[论文解读] Crashing Privacy: An Autopsy of a Web Browser's Leaked Crash Reports

Kiavash Satvat, Nitesh Saxena|arXiv (Cornell University)|Aug 6, 2018

Advanced Malware Detection Techniques参考文献 8被引用 5

一句话总结

本文揭示了网页浏览器崩溃报告系统中严重的隐私泄露问题，在250万份经过部分匿名化的崩溃报告中，发现了超过20,000个会话ID、600个密码和9,000封电子邮件地址。本文提出一种客户端热修复方案，通过基于模式的清理方法，在URL和用户描述中屏蔽敏感数据，同时保持报告的可读性（URL可读性超过92%），显著提升用户隐私保护，且不影响错误修复工作流。

ABSTRACT

Harm to the privacy of users through data leakage is not an unknown issue, however, it has not been studied in the context of the crash reporting system. Automatic Crash Reporting Systems (ACRS) are used by applications to report information about the errors happening during a software failure. Although crash reports are valuable to diagnose errors, they may contain users' sensitive information. In this paper, we study such a privacy leakage vis-a-vis browsers' crash reporting systems. As a case study, we mine a dataset consisting of crash reports collected over the period of six years. Our analysis shows the presence of more than 20,000 sessions and token IDs, 600 passwords, 9,000 email addresses, an enormous amount of contact information, and other sensitive data. Our analysis sheds light on an important security and privacy issue in the current state-of-the-art browser crash reporting systems. Further, we propose a hotfix to enhance users' privacy and security in ACRS by removing sensitive data from the crash report prior to submit the report to the server. Our proposed hotfix can be easily integrated into the current implementation of ACRS and has no impact on the process of fixing bugs while maintaining the reports' readability.

研究动机与目标

• 调查现实世界浏览器崩溃报告系统中私人和敏感数据泄露的程度。
• 分析来自主流网页浏览器的250万份部分匿名化崩溃报告的数据集。
• 识别崩溃报告中存在的确切敏感信息类型，例如密码、电子邮箱地址和联系方式。
• 提出一种轻量级、客户端的热修复方案，在提交前从URL和用户描述中移除敏感数据。
• 确保所提出的解决方案在提升用户隐私的同时，保持报告对开发者的可读性。

提出的方法

• 本研究分析了从主流网页浏览器收集的、为期六年、共计250万份部分匿名化崩溃报告的数据集。
• 设计了一种基于模式的清理算法，使用正则表达式检测并替换URL和用户描述中的敏感数据。
• 该方法针对URL和用户反馈字段中常见的敏感数据模式，如 'sessionid='、'password=' 和 'email='。
• 清理过程将匹配到的敏感值替换为 '****'，以防止信息暴露，同时保持URL的结构可读性。
• 通过人工检查500个URL，评估了该方法对可读性的影响，结果显示可读性保留率超过92%。
• 该方法设计为可轻松集成到现有ACRS实现中，无性能开销，且不影响错误诊断。

实验结果

研究问题

• RQ1 现实世界浏览器崩溃报告中存在哪些类型和数量的敏感个人信息？
• RQ2 当前自动崩溃报告系统（ACRS）的实现在多大程度上损害了用户隐私？
• RQ3 是否可以在客户端有效移除崩溃报告中的敏感数据，而不会降低报告对开发者的可用性？
• RQ4 所提出的清理方法对崩溃报告的可读性和诊断价值有何影响？
• RQ5 在ACRS中，数据隐私与报告效用之间存在何种权衡？是否可通过轻量级客户端过滤实现优化？

主要发现

• 分析发现，该崩溃报告数据集中存在超过20,000个会话或令牌ID、600个明文密码和9,000封电子邮件地址。
• 此外，还从用户描述中提取了大量联系方式，如姓名、地址和电话号码。
• 所提出的客户端清理方法在屏蔽敏感数据后，URL的可读性保留率超过92%。
• 人工评估显示，500个URL中仅有40个在可读性方面受到显著影响，表明对诊断效用的干扰极小。
• 该方法能有效屏蔽敏感数据，同时不改变URL的核心结构或用户描述的诊断内容。
• 该方法轻量、可作为热修复快速部署，且不影响错误修复流程或系统性能。