[论文解读] Exploring the Cookieverse: A Multi-Perspective Analysis of Web Cookies

Ali Rasaii, Shivani Singh+2 more|arXiv (Cornell University)|Feb 10, 2023

Privacy, Security, and Data Protection被引用 5

一句话总结

本文通过全球8个不同地理位置的多重视角测量研究，分析了网页Cookie的使用情况，提出BannerClick——一种自动化检测与交互Cookie弹窗的工具（检测准确率达99%，接受操作准确率达97%，拒绝操作准确率达87%）。研究发现，欧盟地区Cookie弹窗的出现率高出56%，且接受弹窗后，第三方Cookie数量平均增加5.5倍，揭示了在地理位置、弹窗交互行为及客户端平台之间，Cookie行为存在显著不一致性。

ABSTRACT

Web cookies have been the subject of many research studies over the last few years. However, most existing research does not consider multiple crucial perspectives that can influence the cookie landscape, such as the client's location, the impact of cookie banner interaction, and from which operating system a website is being visited. In this paper, we conduct a comprehensive measurement study to analyze the cookie landscape for Tranco top-10k websites from different geographic locations and analyze multiple different perspectives. One important factor which influences cookies is the use of cookie banners. We develop a tool, BannerClick, to automatically detect, accept, and reject cookie banners with an accuracy of 99%, 97%, and 87%, respectively. We find banners to be 56% more prevalent when visiting websites from within the EU region. Moreover, we analyze the effect of banner interaction on different types of cookies (i.e., first-party, third-party, and tracking). For instance, we observe that websites send, on average, 5.5x more third-party cookies after clicking ``accept'', underlining that it is critical to interact with banners when performing Web measurements. Additionally, we analyze statistical consistency, evaluate the widespread deployment of consent management platforms, compare landing to inner pages, and assess the impact of visiting a website on a desktop compared to a mobile phone. Our study highlights that all of these factors substantially impact the cookie landscape, and thus a multi-perspective approach should be taken when performing Web measurement studies.

研究动机与目标

• 调查地理区域、Cookie弹窗交互行为以及客户端平台（桌面端与移动端）如何影响网站上的Cookie部署。
• 解决现有Web测量研究中缺乏考虑客户端因素（如用户同意交互与设备差异）的多视角研究的不足。
• 开发并验证BannerClick，一种高精度自动化工具，用于检测、接受与拒绝Cookie弹窗。
• 量化在不同测量视角与网站页面（首页与内页）之间，Cookie行为的统计一致性。
• 通过比较欧盟与非欧盟地区，评估GDPR对Cookie部署的影响，重点关注第三方与追踪Cookie的差异。

提出的方法

• 在五大洲的8个不同地理位置部署测量基础设施，分析Tranco排名前1万名网站的Cookie使用情况。
• 开发BannerClick工具，结合计算机视觉与启发式规则，实现对Cookie弹窗的检测、接受与拒绝，准确率分别达到99%、97%与87%。
• 在三种条件下进行测量：无交互、接受弹窗、拒绝弹窗，以评估对Cookie数量的影响。
• 应用统计检验方法：使用变异系数评估同一地点内部的一致性，使用Mann–Whitney U检验评估不同地点之间的一致性。
• 比较首页与内页的Cookie数量，以评估页面类型相关的追踪行为差异。
• 评估桌面端与移动端浏览器访问下，Cookie部署的差异。

实验结果

研究问题

• RQ1 Cookie弹窗在不同地理区域的出现率有何差异，特别是欧盟与非欧盟地理位置之间的对比？
• RQ2 与Cookie弹窗的交互行为（接受/拒绝）对网站设置的第三方与追踪Cookie数量有何影响？
• RQ3 从不同地理位置或同一地点多次测量同一网站时，Cookie环境的一致性如何？
• RQ4 网站的首页与内页在Cookie数量上存在哪些差异？
• RQ5 客户端平台（桌面端与移动端）如何影响网站设置的Cookie数量与类型？

主要发现

• 当网站从欧盟地区访问时，Cookie弹窗的出现率比非欧盟地区高出56%。
• 在接受Cookie弹窗后，网站平均发送的第三方Cookie数量增加5.5倍，表明用户同意交互具有显著影响。
• 即使在拒绝弹窗后，仍有96%的网站在非欧盟国家发送的追踪Cookie数量多于欧盟国家，表明区域间差异持续存在。
• 在欧盟地区，网站的Cookie部署表现出更高的统计一致性，而欧盟与非欧盟地理位置之间的差异最为显著。
• 27.4%的网站在首页与内页间表现出不同的第三方Cookie行为，15.7%的网站在所有测量点均显示不同的追踪Cookie行为。
• 在美国测量点中，32%的网站在首页设置的第三方Cookie多于内页，而在德国则有29.7%的网站呈现相反趋势，表明追踪行为与页面类型相关。