[论文解读] Android Permissions Remystified: A Field Study on Contextual Integrity

Primal Wijesekera, Arjun Baokar+4 more|arXiv (Cornell University)|Apr 15, 2015

Advanced Malware Detection Techniques参考文献 31被引用 39

一句话总结

本实地研究通过记录36名用户在真实使用场景中对受保护资源的实时应用访问行为，考察了Android权限系统中的情境完整性。研究发现，80%的参与者本应拒绝至少一项权限请求，超过三分之一的访问行为被视为侵扰性——凸显了采用运行时授权而非安装时批准的必要性，以契合用户预期。

ABSTRACT

Due to the amount of data that smartphone applications can potentially access, platforms enforce permission systems that allow users to regulate how applications access protected resources. If users are asked to make security decisions too frequently and in benign situations, they may become habituated and approve all future requests without regard for the consequences. If they are asked to make too few security decisions, they may become concerned that the platform is revealing too much sensitive information. To explore this tradeoff, we instrumented the Android platform to collect data regarding how often and under what circumstances smartphone applications are accessing protected resources regulated by permissions. We performed a 36-person field study to explore the notion of "contextual integrity," that is, how often are applications accessing protected resources when users are not expecting it? Based on our collection of 27 million data points and exit interviews with participants, we examine the situations in which users would like the ability to deny applications access to protected resources. We found out that at least 80% of our participants would have preferred to prevent at least one permission request, and overall, they thought that over a third of requests were invasive and desired a mechanism to block them.

研究动机与目标

• 调查Android应用在多大程度上以违反用户情境预期的方式访问受保护资源。
• 理解用户在真实使用情境中对隐私和权限请求的看法。
• 评估运行时权限提示相较于安装时批准，是否能减少用户疲劳并提升安全决策质量。
• 基于隐私顾虑和对应用功能相关性的感知，建立用户对权限拒绝决策的建模。
• 为设计更智能的权限系统提供依据，仅在访问可能出乎意料时才发起提示。

提出的方法

• 通过增强Android系统，记录在真实使用过程中对权限保护资源（如GPS、摄像头、联系人）的所有访问行为。
• 开展一项包含36名参与者的实地研究，参与者在为期一周的时间内将其改装后的Android设备作为主要手机使用。
• 收集了2700万条关于不同应用和使用情境下实际权限使用情况的数据点。
• 进行退出访谈，并向参与者展示特定的访问事件，以评估其认为该行为是否合理或具有侵扰性。
• 利用参与者反馈，建模决策影响因素：隐私顾虑以及请求与应用功能的相关性感知。
• 开发分类器，基于应用类型、上下文和用户特定偏好，预测用户可能希望拒绝某项权限请求的情形。

实验结果

研究问题

• RQ1 Android应用以用户认为意外或侵扰的方式访问受保护资源的频率如何？
• RQ2 用户决定拒绝权限请求的主要影响因素是隐私顾虑，还是对功能必要性的感知？
• RQ3 用户在多大程度上更倾向于采用运行时授权而非安装时批准来处理权限访问？
• RQ4 上下文线索（如应用处于前台/后台、屏幕开启/关闭）在多大程度上可预测权限请求是否会被视为侵扰？
• RQ5 个体隐私态度的差异如何影响其对可接受应用行为的感知？

主要发现

• 至少80%的参与者在研究期间本应拒绝至少一项权限请求。
• 参与者认为超过三分之一的权限访问行为具有侵扰性，认为自己本应有权拒绝。
• 用户拒绝权限的决定主要受隐私顾虑以及对应用为何需要该资源的理解所驱动。
• 个体隐私偏好以及情境意识（如应用状态、屏幕开关状态）显著影响用户对请求可接受性的判断。
• 当前的“全有或全无”式安装时批准模式未能与用户对情境完整性的期望保持一致。
• 一种基于反馈的自适应权限系统，仅在访问可能出乎意料时才发起提示，可在减少用户习惯化的同时提升用户控制力。