[论文解读] Lalaine: Measuring and Characterizing Non-Compliance of Apple Privacy Labels at Scale

Yue Xiao, Zhengyi Li+5 more|arXiv (Cornell University)|Jun 13, 2022

Privacy, Security, and Data Protection被引用 6

一句话总结

本文介绍了Lalaine系统，这是一种自动化工具，用于测量并表征iOS应用中苹果隐私标签与实际数据流之间的不一致。通过结合动态执行、自然语言处理（NLP）和静态二进制分析，Lalaine分析了5,102个应用，发现了3,423起隐私标签不合规事件，揭示了广泛存在的不一致现象，尤其涉及第三方SDK和数据经纪商。

ABSTRACT

As a key supplement to privacy policies that are known to be lengthy and difficult to read, Apple has launched the app privacy labels, which purportedly help users more easily understand an app's privacy practices. However, false and misleading privacy labels can dupe privacy-conscious consumers into downloading data-intensive apps, ultimately eroding the credibility and integrity of the labels. Although Apple releases requirements and guidelines for app developers to create privacy labels, little is known about whether and to what extent the privacy labels in the wild are correct and compliant, reflecting the actual data practices of iOS apps. This paper presents the first systematic study, based on our new methodology named Lalaine, to evaluate data-flow to privacy-label (flow-to-label) consistency. Lalaine analyzed the privacy labels and binaries of 5,102 iOS apps, shedding light on the prevalence and seriousness of privacy-label non-compliance. We provide detailed case studies and analyze root causes for privacy label non-compliance that complements prior understandings. This has led to new insights for improving privacy-label design and compliance requirements, so app developers, platform stakeholders, and policy-makers can better achieve their privacy and accountability goals. Lalaine is thoroughly evaluated for its high effectiveness and efficiency. We are responsibly reporting the results to stakeholders.

研究动机与目标

• 调查苹果隐私标签与iOS应用实际数据收集行为之间的一致性。
• 识别隐私标签不合规的根本原因，特别是由第三方SDK和不明确的披露指南引发的问题。
• 开发并评估一种自动化、可扩展的方法，用于大规模检测数据流与标签之间的不一致。
• 为改进隐私标签设计、合规要求和平台问责制提供可操作的见解。

提出的方法

• Lalaine采用一种专为苹果四层隐私标签结构定制的不一致模型，区分数据使用目的、数据类型和数据项。
• 结合自动化的iOS用户界面执行以触发真实数据流，动态二进制分析以捕获网络传输，以及静态分析以提取敏感API调用。
• 使用自然语言处理（NLP）解析并映射隐私标签声明至结构化的数据使用目的和数据类型。
• 采用过滤策略优先处理包含敏感API或标签-政策不一致的应用，从而实现对从366,685个应用中收集的6,332个样本应用的大规模分析。
• 将不合规情况分类为三类：数据流与标签不一致但与政策一致，反之亦然，以及两者均不一致。
• 通过将网络端点与加州官方注册数据经纪商名单交叉比对，并利用Crunchbase进行公司查询，识别数据经纪商。

实验结果

研究问题

• RQ1 苹果的隐私标签在多大程度上准确反映了iOS应用的实际数据收集行为？
• RQ2 在现实世界的iOS应用中，隐私标签不合规的主要根本原因是什么？
• RQ3 通过未能披露此类共享的隐私标签，第三方数据经纪商接收数据泄露的普遍程度如何？
• RQ4 在大规模iOS应用样本中，数据流与标签不一致与数据流与政策不一致相比如何？
• RQ5 误导性或不完整的隐私标签披露对用户隐私和平台问责制有何影响？

主要发现

• Lalaine在分析的5,102个iOS应用中检测到3,423起隐私标签不合规事件，表明标签与实际数据流之间存在广泛不一致。
• 发现273个不合规应用将敏感数据发送至22家数据经纪商，其中Unity3D、AdColony、Kochava和Taboola为前四名接收方。
• 许多不合规应用错误地标记了数据使用目的——例如，将数据收集标为“分析”用途，而实际上用于广告或营销。
• 大量不合规源于第三方SDK的不透明数据收集，例如向Adjust发送IDFA/IDFV，或向Google Analytics发送用户电子邮件，尽管标签声称仅收集诊断数据。
• 研究发现，15%的隐私政策-标签不一致应用在数据流与标签之间是一致的，表明仅依赖政策审计不足以检测标签不准确。
• 研究结果表明，苹果当前的隐私标签系统缺乏执行机制，导致误导性披露泛滥，误导注重隐私的用户，并损害平台信誉。