[논문 리뷰] SocialSpy: Browsing (Supposedly) Hidden Information in Online Social Networks

Andrea Burattin, Giuseppe Cascavilla외 1명|arXiv (Cornell University)|2014. 06. 12.

Privacy, Security, and Data Protection참고 문헌 16인용 수 6

한 줄 요약

이 논문은 공개적으로 이용 가능한 페이스북 도구인 Graph APIs, 상호 콘텐츠 페이지, FacePile 플러그인을 활용하여 사용자가 '숨김'으로 설정한 친구 목록을 비공개 설정을 우회하는 네 가지 전략을 포함한 OSINT 접근 방식인 SocialSpy를 제시한다. 이 방법은 평균적으로 최대 70%의 친구 ID 복구를 달성하며, 사용자가 설정한 제한 조건에도 불구하고 페이스북의 개인정보 보호 기능에 심각한 결함이 있음을 드러낸다.

ABSTRACT

Online Social Networks are becoming the most important "places" where people share information about their lives. With the increasing concern that users have about privacy, most social networks offer ways to control the privacy of the user. Unfortunately, we believe that current privacy settings are not as effective as users might think. In this paper, we highlight this problem focusing on one of the most popular social networks, Facebook. In particular, we show how easy it is to retrieve information that a user might have set as (and hence thought as) "private". As a case study, we focus on retrieving the list of friends for users that did set this information as "hidden" (to non-friends). We propose four different strategies to achieve this goal, and we evaluate them. The results of our thorough experiments show the feasibility of our strategies as well as their effectiveness: our approach is able to retrieve a significant percentage of the names of the "hidden" friends: i.e., some 25% on average, and more than 70% for some users.

연구 동기 및 목표

• 페이스북의 개인정보 설정이 사용자의 숨겨진 친구 목록을 보호하는 데 효과가 없음을 입증하는 것.
• 공개 도구만을 사용해 비공개 소셜 네트워크 데이터를 복원하는 OSINT 기법의 실현 가능성을 조사하는 것.
• 페이스북의 개인정보 보호 조치를 우회하는 데 있어 여러 전략의 효과를 평가하는 것.
• 사용자가 느끼는 개인정보 보호와 실제 개인정보 보호 사이의 격차에 대한 인식을 높이는 것.
• 친구 목록 복원을 위한 네 가지 별개의 OSINT 기반 접근 방식을 프로토타yped하고 테스트하는 것.

제안 방법

• 연구는 네 가지 OSINT 전략을 사용한다: S1은 상호 콘텐츠 페이지를 통해 상호 좋아요를 활용한다; S2는 FacePile 플러그인을 사용해 공유된 좋아요에서 친구를 추론한다; S3는 Graph APIs를 활용해 사용자 데이터를 쿼리한다; S4는 공개 프로필 및 커버 사진에서 친구 ID를 추출한다.
• 모든 도구—Graph APIs, 상호 콘텐츠 페이지, FacePile—는 공개적으로 접근 가능하며 인증 또는 특별한 권한이 필요하지 않다.
• 이 접근 방식은 공개적으로 노출된 데이터에만 의존하므로, 기본 스크립팅 기술을 가진 공격자라면 누구나 실행할 수 있다.
• 실험은 두 가지 데이터셋에서 수행되었다: 혼합 데이터셋(다양한 개인정보 설정이 적용된 프로필)과 공개 데이터셋(공개적으로 접근 가능한 프로필).
• 성능은 HTTP 요청당 확보한 친구 ID 수와 시간 경과에 따른 성능을 측정하였으며, 전략 간의 효율성을 데이터셋 간 비교하였다.
• 프로필이 비어 있을 경우 FacePile 플러그인의 후보 친구 선택에서 발생하는 무작위성은 결과 해석 시 고려되었다.

실험 결과

연구 질문

• RQ1 공개적으로 이용 가능한 페이스북 도구를 얼마나 효과적으로 사용해 사용자의 숨겨진 친구 목록을 재구성할 수 있는가?
• RQ2 다양한 개인정보 설정에서 다양한 OSINT 전략이 비공개 친구 ID 복원에 얼마나 효과적인가?
• RQ3 페이스북에서 OSINT 기반 친구 목록 복원의 성공률에 영향을 미치는 요소는 무엇인가?
• RQ4 왜 전략 S4(공개 커버 사진을 사용하는 전략)가 다른 전략들보다 친구 ID 복원에서 뛰어난 성능을 보이는가?
• RQ5 공개 프로필 데이터의 가용성이 OSINT 기법의 총체적 효과성에 어떤 영향을 미치는가?

주요 결과

• 모든 전략의 평균 복구 비율은 25%였으며, 일부 사용자의 경우 70% 이상의 친구가 복구되었다.
• S4 전략(공개 커버 사진을 사용하는 전략)은 37.12%의 최고 복구 비율을 기록했으며, 특정 사용자에게서는 최대 70%까지 도달했다.
• 페이스북 설정으로도 비공개로 만들 수 없는 공개 커버 사진이 전반적으로 보편적으로 노출되므로, 높은 성공률의 주요 원인이 되었다.
• 상호 콘텐츠 페이지 및 FacePile 플러그인 전략(S1, S2, S3)은 각각 17.5%, 17.4%, 20.8%의 복구 비율을 기록했으며, 이는 친구 추천의 무작위성 때문이었다.
• 공개 데이터셋에서의 성능은 혼합 데이터셋보다 뚜렷이 높았으며, 이는 공개 데이터의 가용성이 공격 성공률을 직접적으로 증가시킨다는 것을 확인했다.
• 결과는 사용자가 자신의 데이터가 비공개라고 믿더라도 OSINT 기법이 결합될 경우 페이스북의 개인정보 설정이 사용자 데이터 보호에 실패할 수 있음을 입증한다.