[논문 리뷰] TrackMeNot: Enhancing the privacy of Web Search

Vincent Toubiana, Lakshminarayanan Subramanian외 1명|arXiv (Cornell University)|2011. 09. 22.

Privacy, Security, and Data Protection참고 문헌 9인용 수 16

한 줄 요약

TrackMeNot (TMN)은 실제 사용자 행동을 모방하는 가짜 쿼리를 생성함으로써 웹 검색 프라이버시를 향상시킨다. 이는 검색 엔진이 진짜 쿼리와 가짜 쿼리를 구분하기 어려워지게 하며, 검색 봇 탐지 기술을 회피하고 측면 채널 공격에 저항함으로써 Yahoo!에서 사용자 관심사를 효과적으로 가로막는다.

ABSTRACT

Most search engines can potentially infer the preferences and interests of a user based on her history of search queries. While search engines can use these inferences for a variety of tasks, including targeted advertisements, such tasks do impose an serious threat to user privacy. In 2006, after AOL disclosed the search queries of 650,000 users, TrackMeNot was released as a simple browser extension that sought to hide user search preferences in a cloud of queries. The first versions of TrackMeNot, though used extensively in the past three years, was fairly simplistic in design and did not provide any strong privacy guarantees. In this paper, we present the new design and implementation of TrackMeNot, which address many of the limitations of the first release. TrackMeNot addresses two basic problems. First, using a model for characterizing search queries, TrackMeNot provides a mechanism for obfuscating the search preferences of a user from a search engine. Second, TrackMeNot prevents the leakage of information revealing the use of obfuscation to a search engine via several potential side channels in existing browsers such as clicks, cookies etc. Finally, we show that TrackMeNot cannot be detected by current search bot detection mechanisms and demonstrate the effectiveness of TrackMeNot in obfuscating user interests by testing its efficiency on a major search engine.

연구 동기 및 목표

• 검색 엔진이 사용자 쿼리를 기록함으로써 민감한 개인 정보가 泄露될 수 있는 프라이버시 위험을 해결하기 위해.
• 기반 시설 변경이나 익명화 네트워크 없이도 실용적이고 사용자 친화적인 시스템을 설계하기 위해.
• 쿠키, 클릭, 브라우저 지문 등 측면 채널을 통해 가로막힌 쿼리를 식별당하지 않도록 방지하기 위해.
• 가로막힌 쿼리가 진짜 쿼리와 구분되지 않도록 하여 사용자 관심사에 대해 '합리적인 의심'을 만들어내기 위해.
• Yahoo!와 같은 실제 검색 엔진에서 탐지되지 않고 사용자 프로필 추론 방식을 변화시키는 TMN의 효과를 평가하기 위해.

제안 방법

• TMN는 사용자 행동 패턴(시간, 빈도 등)을 기반으로 실제 검색 활동을 모방하는 가짜 검색 쿼리를 생성한다.
• 시스템은 의미적으로 타당하고 사용자 관심사와 일치하는 가로막힌 쿼리를 생성하기 위해 쿼리 모델을 사용한다.
• 브라우저 상호작용과 요청 시간 조절을 신중히 제어함으로써 지문 분석을 방지함으로써 측면 채널 누출을 방지한다.
• 브라우저 확장 기능(Firefox 및 Chrome)을 활용해 정상적인 브라우징 행동을 유지하면서도 투명하게 작동한다.
• 인간의 쿼리 패턴과 분포를 모방함으로써 기존 검색 봇 탐지 기법을 회피한다.
• Yahoo!의 프로파일링 시스템과 같은 검색 엔진 프로파일링 시스템에서의 변화를 분석함으로써 TMN가 사용자 프로파일링에 미치는 영향을 평가한다.

실험 결과

연구 질문

• RQ1 가로막힌 검색 쿼리를 진짜 사용자 쿼리와 구분하기 어려울 정도로 생성할 수 있는가?
• RQ2 TMN는 검색 엔진의 프로파일 분석을 통해 사용자 관심사를 얼마나 정확히 추론하는 것을 방지할 수 있는가?
• RQ3 기존의 검색 봇 탐지 기법에 대해 TMN는 탐지로부터 저항할 수 있는가?
• RQ4 TMN는 가로막기 사용 여부를 드러내는 측면 채널 누출을 얼마나 효과적으로 방지할 수 있는가?
• RQ5 TMN의 가로막기 전략은 실제 웹 검색 엔진에서 추론되는 사용자 프로필에 실제로 큰 영향을 미치는가?

주요 결과

• TMN는 평균적으로 Yahoo! 검색 프로필에 44%의 영향을 미쳤다. 즉, 타겟된 주제와 관련된 하위 카테고리 중 44%가 추론된 사용자 프로필에 나타났다.
• 주제 수준의 가로막기 정확도는 평균 20%였으며, 이는 프로필 카테고리의 20%가 직접적으로 타겟 주제와 연결되어 있음을 의미한다.
• 기존의 검색 봇 탐지 시스템에서 TMN 쿼리는 탐지되지 않았으며, 이는 자동 식별에 대한 저항성을 확인한 것이다.
• 하위 카테고리가 더 많은 주제들(예: '정치' 또는 '종교 및 영성')은 더 높은 영향도를 보였으며, 이는 더 넓거나 전문적인 주제에서 더 나은 가로막기 성능을 의미한다.
• 쿠키 사용 및 클릭 패턴과 같은 측면 채널 누출은 효과적으로 완화되어 가로막기 사용자 지문 분석 위험을 줄였다.
• 완전한 익명성 없이도 검색 엔진이 진짜 사용자 관심사를 추론하는 데 있어 '합리적인 의심'을 효과적으로 만들어 냈다.