[논문 리뷰] Effective Notification Campaigns on the Web: A Matter of Trust, Framing, and Support

Max Maaß, Alina Stöver외 5명|arXiv (Cornell University)|2020. 11. 12.

Privacy, Security, and Data Protection참고 문헌 31인용 수 12

한 줄 요약

이 연구는 신뢰, 프레임, 지원 요소를 고려하여 보안 설정 오류에 대한 효과적인 웹 알림 캠페인을 평가한다. 연구 결과, Google Analytics의 IP 익명화 실패를 법적 준수 문제로 프레임하는 것이 특히 법학 연구팀을 통해 전달될 경우 복구율을 76.3%로 끌어올리며, 표준 보안 경고보다 유의미하게 높은 성과를 보였다.

ABSTRACT

Misconfigurations and outdated software are a major cause of compromised websites and data leaks. Past research has proposed and evaluated sending automated security notifications to the operators of misconfigured websites, but encountered issues with reachability, mistrust, and a perceived lack of importance. In this paper, we seek to understand the determinants of effective notifications. We identify a data protection misconfiguration that affects 12.7 % of the 1.3 million websites we scanned and opens them up to legal liability. Using a subset of 4754 websites, we conduct a multivariate randomized controlled notification experiment, evaluating contact medium, sender, and framing of the message. We also include a link to a public web-based self-service tool that is run by us in disguise and conduct an anonymous survey of the notified website owners (N=477) to understand their perspective. We find that framing a misconfiguration as a problem of legal compliance can increase remediation rates, especially when the notification is sent as a letter from a legal research group, achieving remediation rates of 76.3 % compared to 33.9 % for emails sent by computer science researchers warning about a privacy issue. Across all groups, 56.6 % of notified owners remediated the issue, compared to 9.2 % in the control group. In conclusion, we present factors that lead website owners to trust a notification, show what framing of the notification brings them into action, and how they can be supported in remediating the issue.

연구 동기 및 목표

• 자동화된 보안 알림의 효과성에 영향을 주는 요인을 조사하기 위해.
• 이전 연구에서 관찰된 낮은 복구율의 원인인 신뢰 부족, 긴급감 부족, 부적절한 프레임을 해결하기 위해.
• 발신자 신원, 연락 수단, 메시지 프레임이 웹사이트 운영자들이 설정 오류 경고에 어떻게 반응하는지 평가하기 위해.
• 자체 서비스 도구, 이메일, 전화 지원과 같은 지원 메커니즘의 수요와 영향을 평가하기 위해.
• 477명의 응답자에 대한 설문 조사로 웹사이트 운영자들이 데이터 보호 설정 오류에 대해 얼마나 인지하고 있는지 이해하기 위해.

제안 방법

• 독일 내 4,594명의 운영자에게 소속된 4,754개의 비준수 웹사이트를 대상으로 익명의 다변량 랜덤화 실험을 수행하였다.
• 독일 내 130만 개의 웹사이트를 스캔하여 Google Analytics를 사용하지만 IP 익명화가 되어 있지 않은 사이트를 특정하였다. 이는 알려진 법적 준수 위반이다.
• 세 가지 다른 발신자(컴퓨터 과학, 법학, 익명 그룹)와 세 가지 메시지 프레임(보안 위험, 개인정보 문제, 법적 준수)을 사용하여 이메일 또는 우편을 통해 알림을 전송하였다.
• 복구 상태를 확인할 수 있는 공개 자체 서비스 도구(CheckGA)를 제공하였으며, 탐지 방지를 위해 익명화된 형태로 배치하였다.
• 이메일 및 전화 지원을 제공하였고, 모든 알림을 받은 운영자들에게 복구 후 설문 조사를 제안하였다.
• 조건 간 복구율을 분석하고 설문 조사 데이터를 활용해 신뢰, 인지도, 지원 선호도를 평가하였다.

실험 결과

연구 질문

• RQ1 이메일 대비 우편과 같은 다른 연락 수단, 컴퓨터 과학자 대비 법학 연구팀과 같은 다른 발신자 신원, 보안 위험, 개인정보 문제, 법적 준수와 같은 다른 메시지 프레임은 복구율에 어떤 영향을 미치는가?
• RQ2 웹사이트 운영자가 설정 오류를 복구하기 위해 가장 원하고 효과적인 지원 형태(자체 서비스 도구, 이메일, 전화)는 무엇인가?
• RQ3 웹사이트 운영자가 보안 알림에 대해 신뢰하거나 불신하는 데 영향을 주는 요인은 무엇인가?
• RQ4 웹사이트 운영자가 자신의 사이트에서 Google Analytics를 사용하고 있으며 관련 데이터 보호 위험을 얼마나 인지하고 있는가?
• RQ5 설정 오류를 보안 위험이나 개인정보 문제로 프레임하는 것과 비교해 법적 준수 문제로 프레임할 경우 복구 행동에 어떤 영향을 미치는가?

주요 결과

• 법학 연구팀을 통해 법적 준수 문제로 프레임된 설정 오류는 복구율을 76.3%로 끌어올렸으며, 이는 컴퓨터 과학 연구자들이 개인정보 문제를 경고하는 이메일의 33.9%보다 뚜렷이 높았다.
• 모든 알림 그룹의 평균 복구율은 56.6%였으며, 이는 대조군의 9.2%보다 유의미하게 높았다.
• 설문 조사한 웹사이트 운영자 중 19.5%는 자신의 사이트가 Google Analytics를 사용하고 있음을 몰라, 데이터 처리 도구에 대한 광범위한 무지가 있음을 시사한다.
• 복구를 이룬 웹사이트 운영자 중 36%는 Google Analytics를 완전히 제거했으며, 일부는 사이트를 오프라인으로 철수하기까지 하여 알림이 더 넓은 보안 및 개인정보 보호 개선을 유도할 수 있음을 보여준다.
• 자체 서비스 도구(CheckGA)는 높은 사용률을 보였으며, 투명하고 검증 가능한 복구 지원에 대한 강한 수요가 있음을 시사한다.
• 연구 결과, 법적 프레임과 발신자 신뢰성이 신뢰와 행동을 크게 증가시켰으며, 발신자 간 이메일 도달률에 큰 차이가 없었다.