[论文解读] Tracking the Trackers: Towards Understanding the Mobile Advertising and Tracking Ecosystem

Narseo Vallina-Rodríguez, Srikanth Sundaresan+5 more|arXiv (Cornell University)|Sep 22, 2016

Advanced Malware Detection Techniques参考文献 5被引用 68

一句话总结

本文通过 ICSI Haystack 应用收集的网络流量数据，对移动广告与追踪生态系统进行了大规模分析，该应用可实现实时、设备级别的应用与第三方通信监控。研究发现了 58 个此前未报告的追踪域名，并对其行为进行了表征，提升了透明度，并为隐私保护工具的开发提供了支持。

ABSTRACT

Third-party services form an integral part of the mobile ecosystem: they allow app developers to add features such as performance analytics and social network integration, and to monetize their apps by enabling user tracking and targeted ad delivery. At present users, researchers, and regulators all have at best limited understanding of this third-party ecosystem. In this paper we seek to shrink this gap. Using data from users of our ICSI Haystack app we gain a rich view of the mobile ecosystem: we identify and characterize domains associated with mobile advertising and user tracking, thereby taking an important step towards greater transparency. We furthermore outline our steps towards a public catalog and census of analytics services, their behavior, their personal data collection processes, and their use across mobile apps.

研究动机与目标

• 为了增进对移动广告与追踪生态系统的理解，该系统对用户、研究人员和监管机构而言仍不透明。
• 识别并表征在移动应用中运行的第三方追踪服务（ATS），尤其是那些未列在现有公开屏蔽列表中的服务。
• 开发一种可扩展的、基于真实用户流量模式的检测与目录化方法，用于识别 ATS 域名。
• 支持开发公共工具与目录，以提升移动生态系统中的透明度并保护用户隐私。

提出的方法

• 利用 ICSI Haystack Android 应用，该应用通过设备的 VPN 权限实时捕获并分析网络流量。
• 通过设备级别的上下文（如应用标识符、进程 ID 和套接字所有权）将网络流与特定应用相关联。
• 采用基于域名关键词和行为启发式方法的流量级别分类器，以检测 ATS 域名。
• 通过本地代理实施 TLS 解密，以检查加密流量，且在获得用户同意并严格遵守隐私保护措施的前提下进行。
• 通过分析应用间流量分布的实证研究，识别第三方参与的模式。
• 将发现结果与已知屏蔽列表（如 AdBlock 的 Easylist 和 hpHost 的 ATS 列表）进行比对，以识别此前未知的域名。

实验结果

研究问题

• RQ1 哪些第三方域名积极参与移动广告与用户追踪？它们与已知追踪器有何不同？
• RQ2 追踪服务在真实世界移动应用中的普遍程度如何？有多少比例的应用流量被导向这些服务？
• RQ3 有多少比例的应用通过未加密通道泄露敏感用户数据（如 IMEI 或 WiFi SSID）？
• RQ4 追踪服务如何实现跨平台用户画像构建？这对隐私和监管有何影响？
• RQ5 当前检测方法存在哪些局限性？如何利用真实用户流量数据改进这些方法？

主要发现

• 研究发现了 58 个此前未报告的第三方追踪域名，未列于 AdBlock 的 Easylist 和 hpHost 的 ATS 列表等主要公开屏蔽列表中。
• 平均而言，40% 的应用流量被导向第三方追踪与广告域名，且在不同应用类别间存在显著差异。
• 超过 10% 的应用被发现通过未加密通道传输敏感用户标识符（如 IMEI 和 MAC 地址）。
• 大量追踪服务支持跨平台追踪，可实现对用户在多个设备和操作系统的跨平台画像构建。
• 基于 Haystack 的检测方法通过关联网络流量与应用上下文及行为模式，在识别 ATS 域名方面实现了高准确率。
• 研究发现，许多应用在未获取明确用户同意或未使用适当权限机制的情况下，收集并传输唯一的设备标识符。