[논문 리뷰] Privacy Limitations Of Interest-based Advertising On The Web: A Post-mortem Empirical Analysis Of Google's FLoC

Alex Berke, Dan Calacci|arXiv (Cornell University)|2022. 01. 31.

Privacy, Security, and Data Protection인용 수 10

한 줄 요약

이 논문은 제3자 쿠키를 대체하기 위해 설계된 옵트아웃 기반의 관심 기반 광고 시스템인 Google의 FLoC에 대한 사후 분석을 수행한다. 90,000대의 미국 기기에서 1년간의 실세계 데이터셋에 FLoC를 적용한 결과, FLoC는 코hort ID 시퀀스를 통해 개인화된 크로스사이트 추적을 가능하게 하며, 4주 이내에 95퍼센트 이상의 사용자를 고유하게 식별할 수 있음을 입증한다. 이는 FLoC의 핵심 개인정보 보호 약속을 뒤엎는 결과이다.

ABSTRACT

In 2020, Google announced it would disable third-party cookies in the Chrome browser to improve user privacy. In order to continue to enable interest-based advertising while mitigating risks of individualized user tracking, Google proposed FLoC. The FLoC algorithm assigns users to "cohorts" that represent groups of users with similar browsing behaviors so that ads can be served to users based on their cohort. In 2022, after testing FLoC in a real world trial, Google canceled the proposal with little explanation. In this work, we provide a post-mortem analysis of two critical privacy risks for FloC by applying an implementation of FLoC to a browsing dataset collected from over 90,000 U.S. devices over a one year period. First, we show how, contrary to its privacy goals, FLoC would have enabled cross-site user tracking by providing a unique identifier for users available across sites, similar to the third-party cookies FLoC was meant to be an improvement over. We show how FLoC cohort ID sequences observed over time can provide this identifier to trackers, even with third-party cookies disabled. We estimate the number of users in our dataset that could be uniquely identified by FLoC IDs is more than 50% after 3 weeks and more than 95% after 4 weeks. We also show how these risks increase when cohort data are combined with browser fingerprinting, and how our results underestimate the true risks FLoC would have posed in a real-world deployment. Second, we examine the risk of FLoC leaking sensitive demographic information. Although we find statistically significant differences in browsing behaviors between demographic groups, we do not find that FLoC significantly risks exposing race or income information about users in our dataset. Our contributions provide insights and example analyses for future approaches that seek to protect user privacy while monetizing the web.

연구 동기 및 목표

• FLoC가 제3자 쿠키의 대체 수단으로서 관심 기반 광고에서 사용자 개인정보 보호를 진정으로 향상시키는지 평가하기 위해.
• 제3자 쿠키가 비활성화된 상태에서도 FLoC가 개인화된 크로스사이트 추적을 가능하게 하는지 조사하기 위해.
• FLoC의 코hort 할당 방식이 인종이나 소득과 같은 민감한 인구통계학적 정보를 폭 lộ할 위험이 있는지 평가하기 위해.
• 미래의 개인정보 보호 광고 시스템을 위한 실증적 증거와 방법론적 통찰을 제공하기 위해.
• 개인정보 보호 광고 기술의 설계 및 평가 과정에서 더 큰 투명성과 재현 가능성을 촉구하기 위해.

제안 방법

• Google의 2021년 시범 설계 문서와 엔지니어링 노트를 바탕으로 FLoC 알고리즘을 재현하였다.
• 50,000개 가구에 속한 90,000대 이상의 미국 기기에서 확보한 1년간의 브라우징 이력 실세계 데이터셋에 FLoC 알고리즘을 적용하였다.
• 시간에 따라 코hort ID 시퀀스를 추적하여 사이트 간 사용자 식별자의 유일성 여부를 평가하였다.
• 브라우저 지문 기반 기법과 FLoC 코hort ID를 조합하여 사용자 탈식별 위험을 평가하였다.
• 인종, 소득 등 인구통계학적 그룹 간 브라우징 행동의 통계적 차이를 분석하여 민감한 정보 泄露 위험을 평가하였다.
• 추적 및 인구통계학적 정보 노출 위험의 보수적 하한선을 추정하기 위해 민감도 분석을 수행하였다.

실험 결과

연구 질문

• RQ1 제3자 쿠키가 비활성화된 상태에서도 FLoC 코hort ID 시퀀스를 통해 사용자를 사이트 간 고유하게 식별할 수 있는 정도는 어느 정도인가?
• RQ2 FLoC와 브라우저 지문 기반 기법을 조합할 경우 사용자 탈식별 위험은 어떻게 영향을 받는가?
• RQ3 FLoC 알고리즘이 인종이나 소득과 같은 민감한 인구통계학적 특성에 따라 사용자를 의미 있게 군집화하는가?
• RQ4 실증 결과는 FLoC 제안서에서 Google이 제시한 개인정보 보호 약속과 어떻게 비교되는가?
• RQ5 미래의 개인정보 보호 광고 시스템 설계에 있어 어떤 교훈을 얻을 수 있는가?

주요 결과

• 관찰 기간이 3주가 지난 후, 데이터셋 내 50퍼센트 이상의 사용자가 FLoC 코hort ID 시퀀스로 고유하게 식별될 수 있었다.
• 4주가 지나면 95퍼센트 이상의 사용자가 FLoC 코hort ID 시퀀스를 통해 고유하게 식별 가능해졌으며, 이는 FLoC가 설계 목표와는 달리 개인화된 추적을 가능하게 함을 입증한다.
• FLoC를 브라우저 지문 기법과 조합할 경우 탈식별 위험이 크게 증가하여, FLoC가 강력한 개인정보 보호 원천으로서의 기능을 하지 못한다는 점을 시사한다.
• 인종이나 소득 등 인구통계학적 그룹 간 브라우징 행동에 통계적으로 유의미한 차이가 존재하지만, FLoC 알고리즘은 이러한 특성에 따라 사용자를 의미 있게 군집화하지 않아 민감한 개인정보의 직접적 泄露 위험은 제한적임을 나타낸다.
• 본 연구 결과는 실제 추적 위험을 보수적으로 낮게 평가한 것으로, 최소한의 추적자 상호작용을 전제로 하며 모든 가능한 추적 히وري스틱을 고려하지 않은 점을 감안할 때 그러한 가정이 적용된 결과이다.
• 결과적으로, 장기적 추적과 함께 지속적인 식별자(즉, 그룹 기반 식별자조차도)에 의존하는 시스템에서는 개인정보 보호를 달성하는 데 근본적인 과제가 있음을 강조한다.