[论文解读] PrivacyProxy: Leveraging Crowdsourcing and In Situ Traffic Analysis to Detect and Mitigate Information Leakage

Gaurav Srivastava, Bhuwalka, Kunal+6 more|arXiv (Cornell University)|Aug 21, 2017

Advanced Malware Detection Techniques参考文献 34被引用 13

一句话总结

PrivacyProxy 是一种客户端的、保护隐私的系统，通过设备端流量分析和众包哈希签名，检测并缓解 Android 应用中的 PII 泄露。在实际部署中 F1 得分为 0.885，在受控实验中为 0.759，性能开销极小，且用户感知的性能稳定性强。

ABSTRACT

Many smartphone apps transmit personally identifiable information (PII), often without the users knowledge. To address this issue, we present PrivacyProxy, a system that monitors outbound network traffic and generates app-specific signatures to represent sensitive data being shared. PrivacyProxy uses a crowd-based approach to detect likely PII in an adaptive and scalable manner by anonymously combining signatures from different users of the same app. Furthermore, we do not observe users network traffic and instead rely on hashed signatures. We present the design and implementation of PrivacyProxy and evaluate it with a lab study, a field deployment, a user survey, and a comparison against prior work. Our field study shows PrivacyProxy can automatically detect PII with an F1 score of 0.885. PrivacyProxy also achieves an F1 score of 0.759 in our controlled experiment for the 500 most popular apps. The F1 score also improves to 0.866 with additional training data for 40 apps that initially had the most false positives. We also show performance overhead of using PrivacyProxy is between 8.6% to 14.2%, slightly more than using a standard unmodified VPN, and most users report no perceptible impact on battery life or the network.

研究动机与目标

• 为解决流行智能手机应用，尤其是通过第三方库导致的未经同意的 PII 泄露问题。
• 在不修改应用或操作系统的情况下检测个人身份信息（PII），同时保护用户隐私。
• 开发一种可扩展、自适应的系统，通过集体用户数据提升检测准确率，而不暴露原始网络内容。
• 在保持较小可信计算基的前提下，实现对 PII 传输的细粒度用户控制。
• 在真实世界和受控环境中评估系统的有效性、效率以及用户感知。

提出的方法

• 使用本地 VPN 代理实时拦截并分析用户设备上的出站网络流量。
• 从 HTTP 请求中提取键值对，并生成加密哈希签名以表示敏感数据模式。
• 采用基于众包的算法，聚合来自多个用户的匿名签名，以识别可能的 PII，即使格式未知或被混淆。
• 应用计数-最小堆数据结构，总结并检测跨用户重复出现的 PII 模式，而无需暴露原始值。
• 通过设备端处理过滤并阻止 PII 在传输前泄露，最大限度减少数据外泄和网络开销。
• 实施保护隐私的防御措施，如签名哈希和潜在的噪声注入，以抵御字典攻击。

实验结果

研究问题

• RQ1 是否能够在一个不修改应用或操作系统的系统中检测 Android 应用中的 PII 泄露，同时保护用户隐私？
• RQ2 基于众包的签名聚合方法在识别各种应用中常见和特定应用的 PII 方面效果如何，尤其是在格式未知的情况下？
• RQ3 该系统在电池续航、网络使用和用户感知响应速度方面的性能开销如何？
• RQ4 随着用户参与度和训练数据的增加，检测准确率如何提升？
• RQ5 该系统能否检测到传统基于规则或启发式方法所遗漏的 PII 类型？

主要发现

• PrivacyProxy 在 191 个应用的实际部署中取得了 0.885 的 F1 得分，证明了其在真实世界中的强大检测性能。
• 在包含 500 个热门应用的受控实验中，系统 F1 得分为 0.759，对于 40 个高误报率应用，加入额外训练数据后提升至 0.866。
• 系统的性能开销在 8.6% 到 14.2% 之间，略高于标准未修改的 VPN，但大多数用户报告未察觉到电池或网络性能的明显影响。
• 用户调查结果显示，85% 的用户认为电池续航无变化，68% 的用户表示网络性能无变化。
• PrivacyProxy 检测到的 PII 类型范围比以往工作更广，包括应用特定的标识符和混淆值。
• 由于其自适应的基于签名的检测机制，系统对数据混淆技术（如 PII 的哈希或编码）表现出强韧性。