[论文解读] An Empirical Evaluation of GDPR Compliance Violations in Android mHealth Apps

Ming Fan, Le Yu+7 more|arXiv (Cornell University)|Aug 13, 2020

Advanced Malware Detection Techniques参考文献 43被引用 13

一句话总结

该论文提出HPDroid，一种自动化系统，通过分析隐私政策、基于GUI的数据收集以及数据传输安全性，检测Android mHealth应用中的GDPR合规性违规。研究发现，在796款mHealth应用中，23.7%的隐私政策不完整，77.9%存在数据收集不一致问题，仅有59款敏感数据应用中的8款使用了安全传输，且所有这些应用均存在加密误用问题。

ABSTRACT

The purpose of the General Data Protection Regulation (GDPR) is to provide improved privacy protection. If an app controls personal data from users, it needs to be compliant with GDPR. However, GDPR lists general rules rather than exact step-by-step guidelines about how to develop an app that fulfills the requirements. Therefore, there may exist GDPR compliance violations in existing apps, which would pose severe privacy threats to app users. In this paper, we take mobile health applications (mHealth apps) as a peephole to examine the status quo of GDPR compliance in Android apps. We first propose an automated system, named \mytool, to bridge the semantic gap between the general rules of GDPR and the app implementations by identifying the data practices declared in the app privacy policy and the data relevant behaviors in the app code. Then, based on \mytool, we detect three kinds of GDPR compliance violations, including the incompleteness of privacy policy, the inconsistency of data collections, and the insecurity of data transmission. We perform an empirical evaluation of 796 mHealth apps. The results reveal that 189 (23.7\%) of them do not provide complete privacy policies. Moreover, 59 apps collect sensitive data through different measures, but 46 (77.9\%) of them contain at least one inconsistent collection behavior. Even worse, among the 59 apps, only 8 apps try to ensure the transmission security of collected data. However, all of them contain at least one encryption or SSL misuse. Our work exposes severe privacy issues to raise awareness of privacy protection for app users and developers.

研究动机与目标

• 调查mHealth应用在现实世界中关于隐私政策、数据收集一致性及数据传输安全性的GDPR合规状态。
• 通过实现合规性违规的自动化检测，弥合GDPR一般性规则与实际应用实现之间的语义鸿沟。
• 通过真实应用的实证评估，提高开发人员和用户对mHealth应用中隐私风险的认识。
• 开发HPDroid工具，整合自然语言处理（NLP）、静态分析与密码学分析，以细粒度、自动化的方式检测GDPR违规。

提出的方法

• HPDroid使用自然语言处理（NLP）与机器学习技术，通过将隐私政策与GDPR规定的通知类别进行对比，分类并检测其完整性。
• 通过预定义的PHI关键词数据库与静态污点分析，对GUI进行分析，追踪用户输入的PHI从输入控件经数据流传播至文件或网络传输的过程。
• 将隐私政策中声明的数据收集行为与实际的数据收集行为进行匹配，以检测不一致性。
• 针对数据传输安全性，HPDroid识别加密实现，并检查是否符合标准安全规则，标记加密或SSL的误用情况。
• 结合静态污点分析（使用FlowDroid、IccTA、EdgeMiner）与GUI分析，检测PHI收集，尽管存在如误报漏检等局限性。
• 采用三重模块冗余方法，构建可靠的基准数据集，用于训练和评估隐私政策分类器。

实验结果

研究问题

• RQ1 mHealth应用在多大程度上提供了GDPR要求的完整隐私政策？
• RQ2 mHealth应用在多大程度上收集的数据超过其隐私政策中声明的内容，表明存在不一致性？
• RQ3 有多少mHealth应用为敏感健康数据实现了安全的数据传输？又有多少存在加密或SSL误用？
• RQ4 在现实世界中的mHealth应用中，GDPR合规性违规的普遍程度如何，特别是关于隐私政策完整性、数据收集一致性及传输安全性方面？

主要发现

• 在796款mHealth应用中，189款（23.7%）未提供完整的隐私政策，表明透明度方面存在显著缺失。
• 在通过多种方式收集敏感健康数据的59款应用中，46款（77.9%）表现出不一致的数据收集行为，违反了数据最小化原则。
• 在59款收集敏感数据的应用中，仅有8款实现了安全的数据传输，且所有这些应用均至少存在一处加密或SSL误用。
• 研究发现，静态分析工具中的误报漏检表明，实际的合规性违规发生率可能高于观测到的结果。
• GUI-based PHI检测与静态污点分析的结合，能够实现对数据收集行为的细粒度识别，揭示系统性隐私风险。
• 实证评估表明，当前mHealth应用普遍不符合GDPR要求，凸显了对更优工具和开发人员意识提升的迫切需求。