[论文解读] OVRseen: Auditing Network Traffic and Privacy Policies in Oculus VR

Rahmadi Trimananda, Hieu Le+4 more|arXiv (Cornell University)|Jun 9, 2021

Privacy, Security, and Data Protection参考文献 37被引用 6

一句话总结

本文提出 OVRseen，一种用于审计 Oculus VR 网络流量与隐私政策的新系统，结合动态流量分析与隐私政策挖掘，揭示了其中的不一致之处。研究发现，70% 的数据流在政策中未被披露，69% 的数据流被用于非核心用途，凸显了 VR 生态系统中的重大隐私风险。

ABSTRACT

Virtual reality (VR) is an emerging technology that enables new applications but also introduces privacy risks. In this paper, we focus on Oculus VR (OVR), the leading platform in the VR space and we provide the first comprehensive analysis of personal data exposed by OVR apps and the platform itself, from a combined networking and privacy policy perspective. We experimented with the Quest 2 headset and tested the most popular VR apps available on the official Oculus and the SideQuest app stores. We developed OVRseen, a methodology and system for collecting, analyzing, and comparing network traffic and privacy policies on OVR. On the networking side, we captured and decrypted network traffic of VR apps, which was previously not possible on OVR, and we extracted data flows, defined as . Compared to the mobile and other app ecosystems, we found OVR to be more centralized and driven by tracking and analytics, rather than by third-party advertising. We show that the data types exposed by VR apps include personally identifiable information (PII), device information that can be used for fingerprinting, and VR-specific data types. By comparing the data flows found in the network traffic with statements made in the apps' privacy policies, we found that approximately 70% of OVR data flows were not properly disclosed. Furthermore, we extracted additional context from the privacy policies, and we observed that 69% of the data flows were used for purposes unrelated to the core functionality of apps.

研究动机与目标

• 调查 Oculus VR 应用在实际中如何收集和共享个人数据，与隐私政策中所声明的内容相比如何。
• 开发一种系统，能够在不根植设备的情况下，捕获、解密并分析来自 Oculus Quest 2 应用的网络流量。
• 识别实际数据流与隐私政策披露之间的不一致之处。
• 描述数据收集背后的目的，特别是当这些目的与应用的核心功能无关时。
• 构建适用于 VR 的数据类型与实体本体论，以提升沉浸式平台中隐私政策分析的准确性。

提出的方法

• OVRseen 使用修改版的 AntMonitor，适配基于 Android 10 的 Oculus OS，捕获并解密来自 140 款热门 Oculus VR 应用的网络流量。
• 通过 Frida 进行动态分析，结合二进制分析，绕过基于 Unity 和 Unreal Engine 且已剥离二进制文件的应用中的证书固定机制。
• 从解密后的流量中提取数据流，表示为元组 ⟨应用, 数据类型, 目标⟩，并将目标分类为第一方、第三方或 ATS（广告与追踪服务）。
• 基于网络流量与政策文本构建适用于 VR 的数据与实体本体论，以支持结构化分析。
• 利用 PoliCheck 执行网络流量与政策的一致性检查，通过将数据流映射到隐私政策条文实现。
• 借助 Polisis 从隐私政策文本中提取并标注数据收集的目的，增强上下文理解能力。

实验结果

研究问题

• RQ1 Oculus VR 应用中的实际数据流与隐私政策中声明的数据收集行为相比如何？
• RQ2 Oculus VR 应用传输了哪些类型的个人与敏感数据，以及传输至哪些目标？
• RQ3 数据流在多大程度上被用于与应用核心功能无关的目的？
• RQ4 隐私政策与 Oculus VR 应用的实际网络行为之间的一致性如何？
• RQ5 在存在混淆或剥离二进制文件的情况下，审计 VR 平台的网络流量与隐私政策面临哪些主要挑战？

主要发现

• 约 70% 在网络流量中识别出的数据流未在对应隐私政策中披露。
• 69% 的数据流被用于与应用核心功能无关的目的，例如分析与追踪。
• Oculus 平台表现出高度的中心化特征，大多数数据流均指向 Oculus 或其关联服务，而非第三方广告商。
• Oculus VR 应用传输了广泛范围的敏感数据，包括个人身份信息（PII）、设备指纹数据，以及 VR 特有的传感器数据（例如眼动追踪、手势运动数据）。
• 该系统成功解密了基于 Unity 和 Unreal 引擎的 Oculus Quest 2 应用的网络流量，克服了剥离二进制文件与自定义证书验证带来的挑战。
• 研究揭示了政策声明与实际数据传输之间存在显著差距，表明 VR 数据实践缺乏透明度。