[论文解读] Browser Feature Usage on the Modern Web

Peter Snyder, Lara Ansari+2 more|arXiv (Cornell University)|May 20, 2016

Spam and Phishing Detection参考文献 13被引用 4

一句话总结

本文通过分析 Alexa 排名前 10,000 个网站中 JavaScript API 的使用情况，研究了现代网络中浏览器功能的使用状况，发现超过 50% 的功能从未被使用。研究还表明，广告和追踪拦截插件在 90% 以上的时间内阻止了约 10% 的功能执行，且在拦截插件启用时，83% 的功能在少于 1% 的网站上被使用，凸显了可用功能与实际使用之间的显著脱节，尤其是在启用隐私保护扩展的情况下。

ABSTRACT

Modern web browsers are incredibly complex, with millions of lines of code and over one thousand JavaScript functions and properties available to website authors. This work investigates how these browser features are used on the modern, open web. We find that JavaScript features differ wildly in popularity, with over 50% of provided features never used in the Alexa 10k. We also look at how popular ad and tracking blockers change the distribution of features used by sites, and identify a set of approximately 10% of features that are disproportionately blocked (prevented from executing by these extensions at least 90% of the time they are used). We additionally find that in the presence of these blockers, over 83% of available features are executed on less than 1% of the most popular 10,000 websites. We additionally measure a variety of aspects of browser feature usage on the web, including how complex sites have become in terms of feature usage, how the length of time a browser feature has been in the browser relates to its usage on the web, and how many security vulnerabilities have been associated with related browser features.

研究动机与目标

• 了解现代网络中浏览器功能在最受欢迎网站上的实际使用模式。
• 研究广告和追踪拦截插件如何改变浏览器功能的使用情况，特别是功能被阻止的频率和分布情况。
• 评估浏览器功能流行度、存在时间与安全漏洞之间的关系。
• 评估隐私保护扩展对浏览器 API 执行的影响，特别是与追踪和广告相关的功能。
• 检查广泛使用且复杂的网站是否比不那么流行的网站依赖更广泛或更狭窄的浏览器功能集合。

提出的方法

• 作者使用自定义网络爬虫和 JavaScript 代码的静态分析，从 Alexa 排名前 10,000 个网站中收集并分析了 JavaScript 功能的使用情况。
• 他们将浏览器功能分类为基于标准的 API 系列，并测量了数据集中各类功能的使用频率。
• 通过测量启用和禁用这些扩展时的功能执行率，评估了流行广告和追踪拦截插件（如 uBlock Origin、Privacy Badger）的影响。
• 他们采用猴子测试方法，在开放网络中触发功能使用，通过模拟用户交互来检测隐藏或极少触发的功能。
• 研究人员将功能使用情况与安全漏洞数据（CVE）相关联，以评估使用率低或被阻止功能的风险特征。
• 他们分析了功能年龄（自引入以来的时间）与使用频率之间的关系，以评估采用趋势。

实验结果

研究问题

• RQ1 在 Alexa 排名前 10,000 个网站中，浏览器功能的使用频率如何？不同功能类型之间的使用分布是怎样的？
• RQ2 广告和追踪拦截插件在多大程度上阻止了特定浏览器功能的执行？哪些功能最常被阻止？
• RQ3 内容拦截插件的存在如何影响功能使用整体分布，特别是对不流行或较新功能的影响？
• RQ4 浏览器功能的年龄与它在现代网络上的使用频率之间是否存在相关性？
• RQ5 功能流行度与相关安全漏洞数量（CVE）之间存在何种关系？

主要发现

• 在 Alexa 排名前 10,000 个网站中，现代浏览器可用的 JavaScript 功能中超过 50% 从未被使用。
• 大约 10% 的浏览器功能在至少 90% 的使用场景中被广告和追踪拦截插件阻止执行。
• 在流行拦截插件存在的情况下，超过 83% 的浏览器功能在 Alexa 排名前 10,000 个最热门网站中执行频率低于 1%。
• 研究识别出 15 项标准（占所有标准的 20%），在启用拦截插件时完全未被使用，另有 31 项标准（占 41%）在少于 1% 的网站上被使用。
• 即使被大量阻止，这些功能仍与大量安全漏洞相关联，表明未使用或被阻止的功能依然构成安全风险。
• 尽管存在广泛阻止，最流行的网站仍保持功能正常和受欢迎，表明网络的编程模型对功能移除具有高度韧性。