[论文解读] Smartphone Fingerprinting Via Motion Sensors: Analyzing Feasiblity at Large-Scale and Studing Real Usage Patterns.

Anupam Das, Nikita Borisov+2 more|arXiv (Cornell University)|May 27, 2016

Internet Traffic Analysis and Secure E-voting参考文献 29被引用 7

一句话总结

本文表明，智能手机运动传感器可用于大规模设备指纹识别，用户规模达100,000人时分类准确率达到12%，表明许多网站已收集运动传感器数据，从而实现跟踪。本文评估了两种防护措施——混淆和量化，证明它们能降低指纹识别准确率，同时不影响传感器的可用性。

ABSTRACT

Advertisers are increasingly turning to fingerprinting techniques to track users across the web. As web browsing activity shifts to mobile platforms, traditional browser fingerprinting techniques become less effective; however, device fingerprinting using built-in sensors offers a new avenue for attack. We study the feasibility of using motion sensors to perform device fingerprinting at scale, and explore countermeasures that can be used to protect privacy. We perform a large-scale user study to demonstrate that motion sensor fingerprinting is effective with even 500 users. We also develop a model to estimate prediction accuracy for larger user populations; our model provides a conservative estimate of at least 12% classification accuracy with 100000 users. We then investigate the use of motion sensors on the web and find, distressingly, that many sites send motion sensor data to servers for storage and analysis, paving the way to potential fingerprinting. Finally, we consider the problem of developing fingerprinting countermeasures; we evaluate a previously proposed obfuscation technique and a newly developed quantization technique via a user study. We find that both techniques are able to drastically reduce fingerprinting accuracy without significantly impacting the utility of the sensors in web applications.

研究动机与目标

• 评估利用智能手机运动传感器进行大规模设备指纹识别的可行性。
• 研究网页上运动传感器数据在现实中的使用模式。
• 评估能降低指纹识别准确率同时保持传感器可用性的隐私保护防护措施。

提出的方法

• 开展一项包含500名参与者的大型用户研究，以收集运动传感器数据并评估指纹识别准确率。
• 开发一个预测模型，估算在更大人群中的分类准确率，预测在100,000名用户时至少达到12%的准确率。
• 分析真实网络流量，检测运动传感器数据向服务器的传输，识别潜在的指纹识别向量。
• 评估一种先前提出的混淆技术，以干扰指纹识别。
• 提出并实现一种新颖的量化技术，以降低传感器数据的精度并减少指纹的独特性。
• 开展用户研究，评估防护措施对指纹识别准确率和应用可用性的影响。

实验结果

研究问题

• RQ1 智能手机上的运动传感器能否有效用于大规模设备指纹识别？
• RQ2 在现实使用中，网站收集并传输运动传感器数据的普遍程度如何？
• RQ3 现有防护措施在不降低网络应用中传感器功能的前提下，能在多大程度上降低指纹识别准确率？
• RQ4 在大规模场景下（如100,000名用户），运动传感器指纹识别的预测分类准确率是多少？
• RQ5 混淆和量化技术在隐私保护方面的有效性与可用性如何比较？

主要发现

• 在100,000名用户时，运动传感器指纹识别的分类准确率达到至少12%，证明其在大规模场景下的可行性。
• 大规模用户研究证实，即使仅有500名用户，运动传感器指纹识别也具有有效性。
• 发现许多网站会收集并传输运动传感器数据到服务器，为指纹识别提供了可行的攻击向量。
• 混淆技术显著降低了指纹识别准确率，同时对传感器可用性的影响可忽略不计。
• 新提出的量化技术同样降低了指纹识别准确率，同时保持了网络应用的功能性。
• 两种防护措施在实践中均有效，表明可在不降低用户体验的前提下保护用户隐私。