[论文解读] Privacy Risks in Mobile Dating Apps

Jody Farnden, Ben Martini+1 more|arXiv (Cornell University)|May 12, 2015

Digital and Cyber Forensics参考文献 10被引用 23

一句话总结

本文通過對九款基於鄰近關係的移動戀愛應用的數位鑑識分析，調查了其隱私風險。研究發現，即使應用程式設計假設數據具有臨時性，仍可從裝置中恢復敏感資料，包括聊天訊息和附近使用者的個人資料，顯示出顯著的使用者隱私漏洞。

ABSTRACT

Dating apps for mobile devices, one popular GeoSocial app category, are growing increasingly popular. These apps encourage the sharing of more personal information than conventional social media apps, including continuous location data. However, recent high profile incidents have highlighted the privacy risks inherent in using these apps. In this paper, we present a case study utilizing forensic techniques on nine popular proximity-based dating apps in order to determine the types of data that can be recovered from user devices. We recover a number of data types from these apps that raise concerns about user privacy. For example, we determine that chat messages could be recovered in at least half of the apps examined and, in some cases, the details of any users that had been discovered nearby could also be extracted.

研究动机与目标

• 調查基於鄰近關係匹配的移動戀愛應用中個人資料的持久性與可恢復性。
• 評估使用者在使用應用程式後，殘留於裝置中的資料對個人隱私所造成的影響程度。
• 識別可從戀愛應用安裝中鑑識提取的特定資料類型，例如訊息與聯絡資訊。
• 強調在流行戀愛應用程式中，持續位置共享與臨時資料處理所帶來的風險。

提出的方法

• 對九款流行的基於鄰近關係的移動戀愛應用，在實體裝置上執行數位鑑識資料取得。
• 使用標準數位鑑識技術，從應用程式使用後儲存在智慧型手機中的殘留資料進行提取與分析。
• 檢視各應用程式之間的資料保留政策與儲存機制，以識別殘留於裝置上的敏感資訊。
• 分析恢復資料的類型，包括聊天訊息、使用者個人資料與位置元資料。
• 評估資料持久性所帶來的安全與隱私影響，儘管應用程式聲稱資料為暫時性。
• 將發現結果與應用程式文件與使用者介面行為交叉比對，以驗證鑑識結果。

实验结果

研究问题

• RQ1 在刪除或停用應用程式後，可從移動戀愛應用中恢復哪些類型的個人資料？
• RQ2 戀愛應用程式如何處理聊天訊息與使用者個人資料在使用者裝置上的持久性？
• RQ3 即使使用者認為其資料已被刪除，恢復資料在多大程度上仍可識別使用者？
• RQ4 在基於鄰近關係的戀愛應用中，持續位置追蹤對使用者隱私有何影響？
• RQ5 鑑識技術如何揭露標準使用者互動無法察覺的隱私弱點？

主要发现

• 至少一半的九款被檢視的戀愛應用中可恢復聊天訊息，顯示儘管聲稱訊息為臨時性，但資料仍被持久儲存。
• 即使在停用應用程式後，仍可從裝置儲存空間中提取先前曾發現的鄰近使用者個人資料。
• 從裝置儲存空間中恢復位置元資料與聯絡資訊，顯示基於鄰近關係的匹配資料並未被安全清除。
• 鑑識分析顯示，資料殘留現象在多款應用中皆存在，顯示資料生命周期管理存在系統性問題。
• 部分應用程式以未加密格式儲存敏感資訊，增加未經授權存取的風險。
• 研究結果顯示，使用者的隱私因超出預期保留期間的殘留資料而受到顯著影響。