[论文解读] TrackMeNot: Enhancing the privacy of Web Search

Vincent Toubiana, Lakshminarayanan Subramanian+1 more|arXiv (Cornell University)|Sep 22, 2011

Privacy, Security, and Data Protection参考文献 9被引用 16

一句话总结

TrackMeNot (TMN) 通过生成模仿真实用户行为的混淆搜索查询来增强网络搜索隐私，使搜索引擎难以区分真实查询与虚假查询。该系统可规避搜索机器人检测器的识别，并通过侧信道防护减少用户画像分析，已在 Yahoo! 上有效混淆了用户兴趣，且未触发自动化检测。

ABSTRACT

Most search engines can potentially infer the preferences and interests of a user based on her history of search queries. While search engines can use these inferences for a variety of tasks, including targeted advertisements, such tasks do impose an serious threat to user privacy. In 2006, after AOL disclosed the search queries of 650,000 users, TrackMeNot was released as a simple browser extension that sought to hide user search preferences in a cloud of queries. The first versions of TrackMeNot, though used extensively in the past three years, was fairly simplistic in design and did not provide any strong privacy guarantees. In this paper, we present the new design and implementation of TrackMeNot, which address many of the limitations of the first release. TrackMeNot addresses two basic problems. First, using a model for characterizing search queries, TrackMeNot provides a mechanism for obfuscating the search preferences of a user from a search engine. Second, TrackMeNot prevents the leakage of information revealing the use of obfuscation to a search engine via several potential side channels in existing browsers such as clicks, cookies etc. Finally, we show that TrackMeNot cannot be detected by current search bot detection mechanisms and demonstrate the effectiveness of TrackMeNot in obfuscating user interests by testing its efficiency on a major search engine.

研究动机与目标

• 解决搜索引擎记录用户查询所引发的隐私风险，这些查询可能暴露敏感的个人身份信息。
• 设计一种实用且用户友好的系统，实现查询混淆，而无需基础设施变更或匿名化网络。
• 防止搜索引擎通过 Cookie、点击行为和浏览器指纹等侧信道识别混淆查询。
• 确保混淆查询与真实查询无法区分，从而在用户兴趣方面制造‘合理怀疑’。
• 评估 TMN 在真实搜索引擎（如 Yahoo!）上改变推断用户画像的效果，且不被检测到。

提出的方法

• TMN 基于用户行为模式（包括时间间隔和频率）生成虚假搜索查询，以模仿真实的搜索活动。
• 系统使用查询模型生成语义上合理且与用户兴趣一致的混淆查询。
• TMN 通过精细控制浏览器交互和请求时间，减轻指纹识别，防止侧信道信息泄露。
• 它利用浏览器扩展（Firefox 和 Chrome）透明运行，保持正常浏览行为不变。
• 通过模仿人类查询模式和分布，TMN 避免被现有搜索引擎机器人检测机制识别。
• TMN 通过分析 Yahoo! 等搜索引擎画像系统中推断兴趣的变化，评估其对用户画像的影响。

实验结果

研究问题

• RQ1 能否以一种使混淆查询与真实用户查询无法区分的方式生成？
• RQ2 TMN 在多大程度上可防止搜索引擎通过画像分析准确推断用户兴趣？
• RQ3 TMN 是否能抵抗现有搜索引擎机器人检测机制的识别？
• RQ4 TMN 在多大程度上可有效防止侧信道泄露，从而避免暴露混淆使用行为？
• RQ5 TMN 的混淆策略是否显著改变了真实世界搜索引擎中推断的用户画像？

主要发现

• 在 Yahoo! 搜索画像上，TMN 平均影响达到 44%，即 44% 的目标主题相关子类别出现在推断的用户画像中。
• 主题级别混淆的平均精确度为 20%，表明 20% 的画像类别与目标主题直接相关。
• 现有搜索引擎机器人检测系统未识别出 TMN 查询，证实其对自动化识别具有抗性。
• 子类别较多的主题（如‘政治’或‘宗教与灵性’）影响更大，表明对更广泛或更专业的主题，混淆效果更优。
• Cookie 使用和点击模式等侧信道泄露得到有效缓解，降低了混淆使用者被指纹识别的风险。
• 该系统成功在搜索引擎推断真实用户兴趣的能力上制造了‘合理怀疑’，即使未实现完全匿名。