[논문 리뷰] Android Permissions Remystified: A Field Study on Contextual Integrity

Primal Wijesekera, Arjun Baokar외 4명|arXiv (Cornell University)|2015. 04. 15.

Advanced Malware Detection Techniques참고 문헌 31인용 수 39

한 줄 요약

이 현장 연구는 36명의 사용자가 실시간으로 보호된 자원에 접근하는 동안 Android의 권한 시스템 내 맥락적 통합성에 대해 조사한다. 연구 결과, 참가자의 80퍼센트 이상이 적어도 한 개 이상의 권한 요청을 거부했을 것이라 응답했으며, 접근 중 3분의 1 이상이 침해적이라고 간주되어 사용자의 기대에 부합하는 런타임 동의가 설치 시점 승인보다 필요함을 시사한다.

ABSTRACT

Due to the amount of data that smartphone applications can potentially access, platforms enforce permission systems that allow users to regulate how applications access protected resources. If users are asked to make security decisions too frequently and in benign situations, they may become habituated and approve all future requests without regard for the consequences. If they are asked to make too few security decisions, they may become concerned that the platform is revealing too much sensitive information. To explore this tradeoff, we instrumented the Android platform to collect data regarding how often and under what circumstances smartphone applications are accessing protected resources regulated by permissions. We performed a 36-person field study to explore the notion of "contextual integrity," that is, how often are applications accessing protected resources when users are not expecting it? Based on our collection of 27 million data points and exit interviews with participants, we examine the situations in which users would like the ability to deny applications access to protected resources. We found out that at least 80% of our participants would have preferred to prevent at least one permission request, and overall, they thought that over a third of requests were invasive and desired a mechanism to block them.

연구 동기 및 목표

• Android 애플리케이션이 사용자의 맥락적 기대를 위반하는 방식으로 보호된 자원에 접근하는 빈도를 조사하기 위해.
• 실생활 사용 환경에서 사용자가 프라이버시와 권한 요청에 대해 어떻게 인식하는지 이해하기 위해.
• 설치 시점 승인 대비 런타임 권한 프롬프트가 사용자 피로를 줄이고 보안 결정을 향상시키는 데 얼마나 기여하는지 평가하기 위해.
• 사용자의 프라이버시 우려와 애플리케이션 기능에 대한 인식을 바탕으로 권한 차단 결정을 모델링하기 위해.
• 사용자가 예상치 못한 경우에만 프롬프트를 띄우는 더 스마트한 권한 시스템 설계에 정보를 제공하기 위해.

제안 방법

• 실생활 사용 중 보호된 자원(예: GPS, 카메라, 연락처 등)에 대한 모든 접근을 로깅하기 위해 애자일리티드(Android)를 수정하여 장치를 기록함.
• 참가자 36명이 일주일 동안 주로 사용하는 수정된 Android 기기를 사용하는 1주일간의 현장 연구를 실시함.
• 다양한 애플리케이션과 맥락에서 실제 권한 사용에 대한 2700만 개의 데이터 포인트를 수집함.
• 퇴장 인터뷰를 실시하고 특정 접근 이벤트를 참가자들에게 보여주어 그것이 예상 가능한지 혹은 침해적인지 평가함.
• 참가자 응답을 바탕으로 의사결정 요인(프라이버시 우려 및 요청이 애플리케이션 기능에 얼마나 관련 있는지)을 모델링함.
• 앱 유형, 맥락, 사용자 고유의 선호도를 기반으로 사용자가 권한 요청을 차단할 가능성이 높은 경우를 예측하는 분류기 개발함.

실험 결과

연구 질문

• RQ1 Android 애플리케이션이 사용자가 예상치 못하거나 침해적인 방식으로 보호된 자원에 접근하는 빈도는 얼마나 되는가?
• RQ2 사용자가 권한 요청을 차단하기로 决定하는 데 영향을 주는 요인은 프라이버시 우려인지, 기능적 필요성의 인식인지?
• RQ3 사용자는 설치 시점 승인 대신 런타임 동의를 얼마나 원하는가?
• RQ4 앱의 전경/배경 상태, 화면 상태 등의 맥락적 신호는 권한 요청이 침해적으로 느껴질 가능성이 있는지를 예측할 수 있는가?
• RQ5 개인의 프라이버시 태도 차이가 애플리케이션 행동의 허용 가능성을 어떻게 영향을 주는가?

주요 결과

• 최소 80퍼센트의 참가자가 연구 기간 동안 적어도 한 개 이상의 권한 요청을 차단하고 싶었을 것이라 응답함.
• 참가자들은 전체 권한 접근의 3분의 1 이상을 침해적이라고 느끼며, 이를 거부할 수 있었어야 한다고 느꼈음.
• 사용자가 권한을 차단하기로 决定하는 주된 동기는 프라이버시 우려와 앱이 자원이 필요한 이유를 이해하는 데 있음.
• 개인의 프라이버시 선호도와 맥락 인지(예: 앱 상태, 화면 켜짐/꺼짐)는 요청이 허용 가능한지 여부에 중대한 영향을 미침.
• 현재의 전부 또는 없음(all-or-nothing) 설치 시점 승인 모델은 사용자의 맥락적 통합성 기대와 맞지 않음.
• 피드백 기반의 적응형 권한 시스템은 예상치 못한 맥락에서만 프롬프트를 띄워 습관화를 줄이면서 사용자 통제력을 향상시킬 수 있음.