[论文解读] Privacy Limitations Of Interest-based Advertising On The Web: A Post-mortem Empirical Analysis Of Google's FLoC

Alex Berke, Dan Calacci|arXiv (Cornell University)|Jan 31, 2022

Privacy, Security, and Data Protection被引用 10

一句话总结

本文对谷歌的FLoC（Federated Learning of Cohorts）进行了事后分析，FLoC是一种旨在取代第三方Cookie的可选退出式兴趣定向广告系统。通过将FLoC应用于涵盖90,000台美国设备、为期一年的真实世界数据集，作者证明FLoC可通过群体ID序列实现个体化的跨站追踪，仅四周期间内即可唯一识别超过95%的用户，从而破坏其核心隐私承诺。

ABSTRACT

In 2020, Google announced it would disable third-party cookies in the Chrome browser to improve user privacy. In order to continue to enable interest-based advertising while mitigating risks of individualized user tracking, Google proposed FLoC. The FLoC algorithm assigns users to "cohorts" that represent groups of users with similar browsing behaviors so that ads can be served to users based on their cohort. In 2022, after testing FLoC in a real world trial, Google canceled the proposal with little explanation. In this work, we provide a post-mortem analysis of two critical privacy risks for FloC by applying an implementation of FLoC to a browsing dataset collected from over 90,000 U.S. devices over a one year period. First, we show how, contrary to its privacy goals, FLoC would have enabled cross-site user tracking by providing a unique identifier for users available across sites, similar to the third-party cookies FLoC was meant to be an improvement over. We show how FLoC cohort ID sequences observed over time can provide this identifier to trackers, even with third-party cookies disabled. We estimate the number of users in our dataset that could be uniquely identified by FLoC IDs is more than 50% after 3 weeks and more than 95% after 4 weeks. We also show how these risks increase when cohort data are combined with browser fingerprinting, and how our results underestimate the true risks FLoC would have posed in a real-world deployment. Second, we examine the risk of FLoC leaking sensitive demographic information. Although we find statistically significant differences in browsing behaviors between demographic groups, we do not find that FLoC significantly risks exposing race or income information about users in our dataset. Our contributions provide insights and example analyses for future approaches that seek to protect user privacy while monetizing the web.

研究动机与目标

• 评估FLoC作为第三方Cookie的替代方案，是否真正增强了兴趣定向广告中的用户隐私。
• 调查即使禁用第三方Cookie，FLoC是否仍能实现个体化的跨站追踪。
• 评估FLoC是否可能通过群体分配暴露敏感的种族或收入等人口统计信息。
• 为未来的隐私保护广告系统提供实证证据和方法论洞见。
• 倡导在隐私保护广告技术的设计与评估中提升透明度与可复现性。

提出的方法

• 基于谷歌2021年试验设计文档和工程笔记，重新实现了FLoC算法。
• 将FLoC算法应用于来自50,000个家庭的超过90,000台美国设备、为期一年的浏览历史真实世界数据集。
• 追踪随时间变化的群体ID序列，以评估跨站点用户标识符的独特性。
• 通过结合FLoC群体ID与浏览器指纹技术，评估去匿名化的风险。
• 分析不同人口统计群体（种族、收入）之间浏览行为的统计差异，以评估敏感信息泄露的可能性。
• 进行敏感性分析，以估算追踪和人口统计信息暴露风险的保守下限。

实验结果

研究问题

• RQ1 在未启用第三方Cookie的情况下，FLoC群体ID序列在多大程度上可用于唯一识别跨站点的个体用户？
• RQ2 将FLoC与浏览器指纹技术结合后，对用户去匿名化风险有何影响？
• RQ3 FLoC算法是否会导致用户按敏感人口统计属性（如种族或收入）实现有意义的聚类？
• RQ4 实证结果与谷歌在FLoC提案中所作的隐私承诺相比如何？
• RQ5 在设计未来隐私保护广告系统时，可汲取哪些经验教训？

主要发现

• 在观察三周后，数据集中超过50%的用户可通过其FLoC群体ID序列被唯一识别。
• 四周期后，超过95%的用户可通过其FLoC群体ID序列被唯一识别，表明尽管设计目标如此，FLoC仍能实现个体化追踪。
• 当FLoC与浏览器指纹技术结合时，去匿名化风险显著上升，表明FLoC并非稳健的隐私保护原 primitive。
• 尽管在不同人口统计群体（如种族和收入）之间存在浏览行为的显著统计差异，但FLoC算法并未有意义地按这些属性对用户进行分组，表明敏感人口统计信息的直接暴露有限。
• 本研究结果代表了现实世界追踪风险的保守低估，因其假设追踪交互最少，且未涵盖所有可能的追踪启发式方法。
• 研究结果凸显了在依赖持久标识符（即使为群体形式）并结合纵向追踪时，实现隐私保护的根本性挑战。