[논문 리뷰] OVRseen: Auditing Network Traffic and Privacy Policies in Oculus VR

Rahmadi Trimananda, Hieu Le외 4명|arXiv (Cornell University)|2021. 06. 09.

Privacy, Security, and Data Protection참고 문헌 37인용 수 6

한 줄 요약

이 논문은 오culus VR의 네트워크 트래픽 및 개인정보 정책을 감시하기 위한 새로운 시스템인 OVRseen을 제안한다. 동적 트래픽 분석과 개인정보 정책 채굴을 결합하여 정책과 실제 간의 불일치를 드러낸다. 분석 결과, 데이터 흐름의 약 70%가 정책에 공개되지 않았고, 69%는 핵심 기능 외의 목적을 위해 사용된 것으로 나타나, VR 생태계의 심각한 개인정보 위험이 드러났다.

ABSTRACT

Virtual reality (VR) is an emerging technology that enables new applications but also introduces privacy risks. In this paper, we focus on Oculus VR (OVR), the leading platform in the VR space and we provide the first comprehensive analysis of personal data exposed by OVR apps and the platform itself, from a combined networking and privacy policy perspective. We experimented with the Quest 2 headset and tested the most popular VR apps available on the official Oculus and the SideQuest app stores. We developed OVRseen, a methodology and system for collecting, analyzing, and comparing network traffic and privacy policies on OVR. On the networking side, we captured and decrypted network traffic of VR apps, which was previously not possible on OVR, and we extracted data flows, defined as . Compared to the mobile and other app ecosystems, we found OVR to be more centralized and driven by tracking and analytics, rather than by third-party advertising. We show that the data types exposed by VR apps include personally identifiable information (PII), device information that can be used for fingerprinting, and VR-specific data types. By comparing the data flows found in the network traffic with statements made in the apps' privacy policies, we found that approximately 70% of OVR data flows were not properly disclosed. Furthermore, we extracted additional context from the privacy policies, and we observed that 69% of the data flows were used for purposes unrelated to the core functionality of apps.

연구 동기 및 목표

• 오쿠루스 VR 앱이 개인정보를 실제로 어떻게 수집하고 공유하는지, 그리고 개인정보 정책에 기재된 내용과 어떻게 다를지 조사하기 위해.
• 루팅이 필요 없이 오쿠루스 퀘스트 2 앱의 네트워크 트래픽을 캡처하고 복호화하여 분석할 수 있는 시스템을 개발하기 위해.
• 실제 데이터 흐름과 개인정보 정책 공개 내용 간의 불일치를 식별하기 위해.
• 특히 핵심 앱 기능과 관련이 없는 경우, 데이터 수집의 목적을 규명하기 위해.
• 이머ersive 플랫폼에서의 개인정보 정책 분석을 향상시키기 위해 VR 전용 온톨로지(데이터 유형 및 엔터티)를 구축하기 위해.

제안 방법

• OVRseen은 오쿠루스 OS 기반 안드로이드 10에 맞게 수정한 AntMonitor의 변형을 사용하여, 140개의 인기 오쿠루스 VR 앱에서 네트워크 트래픽을 캡처하고 복호화한다.
• 프리다와 바이너리 분석을 활용한 동적 분석을 통해, 스트립된 바이너리가 포함된 유니티 및 언리얼 엔진 기반 앱의 인증서 핀닝을 우회한다.
• 복호화된 트래픽에서 데이터 흐름을 튜플 ⟨앱, 데이터 유형, 대상⟩로 추출하며, 대상을 제1자, 제3자, 또는 ATS(광고 및 추적 서비스)로 분류한다.
• 네트워크 트래픽과 정책 텍스트를 기반으로 VR 전용 데이터 및 엔터티 온톨로지를 구성하여 구조화된 분석을 가능하게 한다.
• PoliCheck를 활용하여 데이터 흐름을 개인정보 정책 문장에 매핑함으로써 네트워크-정책 일관성 검사를 수행한다.
• PoliSis를 활용하여 개인정보 정책 텍스트에서 데이터 수집 목적을 추출하고 레이블링함으로써 맥락적 이해를 향상시킨다.

실험 결과

연구 질문

• RQ1 오쿠루스 VR 앱의 실제 데이터 흐름은 개인정보 정책에 기재된 데이터 수집 주장과 어떻게 다를까?
• RQ2 오쿠루스 VR 앱은 어떤 유형의 개인 및 민감한 데이터를 전송하고 있으며, 어느 대상으로 전송되는가?
• RQ3 데이터 흐름이 VR 애플리케이션의 핵심 기능과 관련 없이 사용되는 정도는 어느 정도인가?
• RQ4 개인정보 정책은 오쿠루스 VR 앱의 실제 네트워크 행동과 얼마나 일관성이 있는가?
• RQ5 특히 가급화되거나 스트립된 바이너리가 포함된 경우, VR 플랫폼에서 네트워크 트래픽과 개인정보 정책을 감시하는 데 있어 주요 과제는 무엇인가?

주요 결과

• 네트워크 트래픽에서 식별된 데이터 흐름의 약 70%가 해당 개인정보 정책에 공개되지 않았다.
• 데이터 흐름의 69%가 분석 및 추적과 같은 핵심 기능 외의 목적을 위해 사용되었다.
• 오쿠루스 플랫폼은 중심화 정도가 높아 대부분의 데이터 흐름이 오쿠루스 또는 그 연계 서비스로 향하고, 제3자 광고주로 향하는 경우보다 훨씬 적었다.
• 오쿠루스 VR 앱은 개인식별정보(PII), 기기 지문 데이터, 그리고 VR 전용 센서 데이터(예: 눈 동공 추적, 손 움직임) 등 다양한 민감한 데이터를 전송한다.
• 시스템은 오쿠루스 퀘스트 2의 유니티 및 언리얼 엔진 기반 앱에서 네트워크 트래픽을 성공적으로 복호화하여, 스트립된 바이너리와 고유한 인증서 검증 방식으로 인한 과제를 극복했다.
• 연구 결과, 정책 주장과 실제 데이터 전송 간의 심각한 격차가 드러나, VR 데이터 처리 방식의 투명성 부족이 확인되었다.