[论文解读] SocialSpy: Browsing (Supposedly) Hidden Information in Online Social Networks

Andrea Burattin, Giuseppe Cascavilla+1 more|arXiv (Cornell University)|Jun 12, 2014

Privacy, Security, and Data Protection参考文献 16被引用 6

一句话总结

本文提出 SocialSpy，一种基于四策略的开源情报（OSINT）方法，利用公开可用的 Facebook 工具——图谱 API、互赞页面和 FacePile 插件——绕过隐私设置，恢复用户标记为“隐藏”的好友列表。该方法平均可恢复高达 70% 的好友 ID，暴露出尽管用户已配置隐私限制，Facebook 的隐私保护机制仍存在严重缺陷。

ABSTRACT

Online Social Networks are becoming the most important "places" where people share information about their lives. With the increasing concern that users have about privacy, most social networks offer ways to control the privacy of the user. Unfortunately, we believe that current privacy settings are not as effective as users might think. In this paper, we highlight this problem focusing on one of the most popular social networks, Facebook. In particular, we show how easy it is to retrieve information that a user might have set as (and hence thought as) "private". As a case study, we focus on retrieving the list of friends for users that did set this information as "hidden" (to non-friends). We propose four different strategies to achieve this goal, and we evaluate them. The results of our thorough experiments show the feasibility of our strategies as well as their effectiveness: our approach is able to retrieve a significant percentage of the names of the "hidden" friends: i.e., some 25% on average, and more than 70% for some users.

研究动机与目标

• 证明 Facebook 的隐私设置无法有效保护用户隐藏的好友列表。
• 探究仅使用公开工具的 OSINT 技术在恢复私密社交网络数据方面的可行性。
• 评估多种策略在绕过 Facebook 隐私控制方面的有效性。
• 提高公众对社交网络上感知隐私与实际隐私之间差距的认识。
• 原型化并测试四种基于 OSINT 的好友列表重建方法。

提出的方法

• 本研究采用四种 OSINT 策略：S1 通过互赞页面利用共同点赞；S2 使用 FacePile 插件，从共享点赞中推断好友；S3 利用图谱 API 查询用户数据；S4 从公开个人资料和封面照片中提取好友 ID。
• 所有工具——图谱 API、互赞页面和 FacePile——均可公开访问，无需身份验证或特殊权限。
• 该方法完全依赖公开暴露的数据，使得任何具备基础编程技能的攻击者均可执行。
• 实验在两个数据集上进行：混合数据集（隐私设置混合的资料）和公开数据集（公开可访问的资料）。
• 性能通过每次 HTTP 请求获取的好友 ID 数量以及随时间推移的恢复效率进行衡量，并在不同数据集间比较各策略的效率。
• 在解读结果时，已考虑 FacePile 插件因资料为空而造成的候选好友选择随机性。

实验结果

研究问题

• RQ1 公开可用的 Facebook 工具在多大程度上可用于重建用户隐藏的好友列表？
• RQ2 不同 OSINT 策略在不同隐私设置下恢复私密好友 ID 的有效性如何？
• RQ3 哪些因素会影响基于 OSINT 的 Facebook 好友列表重建成功率？
• RQ4 为何策略 S4（使用公开封面照片）在好友 ID 恢复方面优于其他策略？
• RQ5 公开个人资料数据的可用性如何影响 OSINT 技术的整体有效性？

主要发现

• 所有策略的隐藏好友 ID 平均恢复率为 25%，部分用户的好友恢复率超过 70%。
• 策略 S4（使用公开封面照片）恢复率最高，达 37.12%，部分用户峰值达到 70%。
• 封面照片因无法通过 Facebook 设置设为私密，具有普遍可见性，是高成功率的主要原因。
• 互赞页面和 FacePile 插件策略（S1、S2、S3）的恢复率分别为 17.5%、17.4% 和 20.8%，主要因好友推荐存在随机性。
• 在公开数据集上的性能显著高于混合数据集，证实公开数据的可用性直接提升了攻击成功率。
• 结果表明，当结合 OSINT 技术时，即使用户认为其数据是私密的，Facebook 的隐私设置也无法有效保护用户数据。