[논문 리뷰] CookieEnforcer: Automated Cookie Notice Analysis and Enforcement

Rishabh Khandelwal, Asmit Nayak외 2명|arXiv (Cornell University)|2022. 04. 08.

Privacy, Security, and Data Protection인용 수 4

한 줄 요약

CookieEnforcer는 브라우저 확장 프로그램으로, 쿠키 알림을 자동으로 탐지하고, 미세조정된 T5 시퀀스-투-시퀀스 모델을 통해 설정을 분석한 후, 비필수 쿠키를 비활성화하여 개인정보 보호에 유리한 설정을 강제로 적용합니다. 이는 91%의 종단 간 정확도를 달성하며, 쿠키 동의를 관리하는 데 소요되는 사용자 노력도 크게 줄입니다.

ABSTRACT

Online websites use cookie notices to elicit consent from the users, as required by recent privacy regulations like the GDPR and the CCPA. Prior work has shown that these notices use dark patterns to manipulate users into making website-friendly choices which put users' privacy at risk. In this work, we develop CookieEnforcer, a new system for automatically discovering cookie notices and deciding on the options that result in disabling all non-essential cookies. In order to achieve this, we first build an automatic cookie notice detector that utilizes the rendering pattern of the HTML elements to identify the cookie notices. Next, CookieEnforcer analyzes the cookie notices and predicts the set of actions required to disable all unnecessary cookies. This is done by modeling the problem as a sequence-to-sequence task, where the input is a machine-readable cookie notice and the output is the set of clicks to make. We demonstrate the efficacy of CookieEnforcer via an end-to-end accuracy evaluation, showing that it can generate the required steps in 91% of the cases. Via a user study, we show that CookieEnforcer can significantly reduce the user effort. Finally, we use our system to perform several measurements on the top 5k websites from the Tranco list (as accessed from the US and the UK), drawing comparisons and observations at scale.

연구 동기 및 목표

• 사용자 통제를 방해하는 점점 복잡해지고 개인정보 침해가 잠재적인 쿠키 알림의 증가하는 복잡성과 개인정보 침해적 기본 설정을 해결하기 위해.
• 수동 설정 없이도 확장 가능한, 자동화된 시스템을 개발하여 개인정보 보호에 부합하는 쿠키 설정을 식별하고 강제 적용하기 위해.
• 수동 탐색 대신 자동 강제 적용을 통해 쿠키 동의를 관리하는 데 소요되는 사용자 노력 감소를 위해.
• 비필수 쿠키를 기본으로 활성화하는 웹사이트를 탐지하여 규정 준수를 보장하기 위해.
• 더 나은 사용자 친화적인 개인정보 보호 인터페이스를 구축하기 위해 쿠키 제어 기능을 기계가 읽을 수 있는 형식으로 제공하기 위해.

제안 방법

• 기계학습 분류기는 렲영 및 텍스트 특징을 사용하여 웹 페이지에서 쿠키 알림을 탐지합니다.
• 인터랙티브 UI 시뮬레이터는 프로그래밍적 탭 및 이벤트 시뮬레이션을 통해 모든 클릭 가능한 요소와 그 상태(선택됨/선택 안 됨)를 추출합니다.
• 미세조정된 T5 텍스트-투-텍스트 트랜스포머 모델은 쿠키 설정의 텍스트 및 상태를 비필수 쿠키를 비활성화하기 위한 조작 시퀀스로 매핑합니다.
• 시스템은 예측된 조작 시퀀스를 기반으로 자바스크립트 스크립트 조각을 생성하고, 이를 Chrome 확장 프로그램을 통해 브라우저에 삽입하여 설정을 자동으로 강제 적용합니다.
• 쿠키 알림이 변경될 경우 동적 재평가가 가능하여 장기적인 신뢰성을 확보합니다.
• 사용자 피드백은 변경 사항을 강제 적용하기 전에 표시하는 요약 UI를 통해 통합되어, 투명한 동의를 유지합니다.

실험 결과

연구 질문

• RQ1 다양한 웹사이트에서 자동으로 쿠키 알림 제어 기능을 정확하게 탐지하고 추출할 수 있는가?
• RQ2 시퀀스-투-시퀀스 모델이 비필수 쿠키를 비활성화하기 위한 올바른 클릭 순서를 효과적으로 예측할 수 있는가?
• RQ3 수동 설정 대비 자동 강제 적용이 사용자 노력에 얼마나 큰 영향을 미치는가?
• RQ4 특히 규제 지역에서 비필수 쿠키를 기본으로 활성화하는 웹사이트는 얼마나 보편적인가?
• RQ5 다양한 지역(예: 미국 대비 영국)에서 개인정보 보호 규정의 차이가 있을 경우 시스템의 성능은 어떻게 되는가?

주요 결과

• CookieEnforcer는 테스트된 웹사이트 전반에서 비필수 쿠키를 비활성화하기 위한 정확한 조작 시퀀스를 생성하는 데 종단 간 91%의 정확도를 달성했습니다.
• 사용자 연구에서 CookieEnforcer는 쿠키 비활성화에 필요한 클릭 수를 평균 12회에서 단 1회로 줄여 사용자 노력에 상당한 감소 효과를 보였습니다.
• 영국의 16.7% 및 미국의 22%의 웹사이트가 최소 한 개 이상의 비필수 쿠키를 기본으로 활성화하고 있어, 개인정보 보호 기준 위반의 광범위한 확산을 시사합니다.
• 시스템은 91%의 쿠키 알림에서 개인정보 보호에 유리한 설정을 성공적으로 탐지하고 강제 적용하여, 다양한 구현 방식에 걸쳐 강력한 일반화 능력을 입증했습니다.
• T5 기반의 시퀀스-투-시퀀스 모델은 쿠키 알림의 높은 언어적 및 구조적 다양성을 다루는 데에 키워드 기반 또는 규칙 기반 접근 방식보다 뛰어난 성능을 보였습니다.
• 탭 기반 및 접근성 기능에 의존함으로써 상호작용 가능한 요소를 견고하게 탐지할 수 있었지만, 비표준 구현 방식을 가진 드문 에지 케이스는 관찰되었습니다.