[论文解读] TrackMeNot-so-good-after-all

Rami Al‐Rfou, William Jannen+1 more|arXiv (Cornell University)|Nov 1, 2012

Web Data Mining and Analysis参考文献 1被引用 9

一句话总结

本文评估了 TrackMeNot，一款用于 Firefox 的隐私插件，该插件通过生成随机搜索查询来掩盖用户的搜索模式。通过使用 DISCO 和 Google 归一化距离（GND）进行语义聚类，作者表明 TrackMeNot 所产生的噪声可被部分解构，从而在较小的时间窗口内以高准确度区分出真实用户查询与 TrackMeNot 生成的查询，这削弱了其隐私保护声明。

ABSTRACT

TrackMeNot is a Firefox plugin with laudable intentions - protecting your privacy. By issuing a customizable stream of random search queries on its users' behalf, TrackMeNot surmises that enough search noise will prevent its users' true query profiles from being discerned. However, we find that clustering queries by semantic relatedness allows us to disentangle a nontrivial subset of true user queries from TrackMeNot issued noise.

研究动机与目标

• 评估 TrackMeNot 通过查询混淆保护用户搜索隐私的有效性。
• 调查语义相似性分析是否能够从 TrackMeNot 的噪声中实现用户搜索查询的去匿名化。
• 评估不同语义距离度量方法——DISCO 和 Google 归一化距离（GND）——在区分真实用户查询与 TrackMeNot 生成查询方面的性能。
• 确定查询的时间聚类是否能在 TrackMeNot 生成噪声的情况下暴露用户行为。
• 探讨 TrackMeNot 在保护时间与上下文搜索隐私方面的局限性。

提出的方法

• 使用自定义代理服务器在多天内记录用户和 TrackMeNot 的所有 Google 搜索查询，以区分查询来源。
• 使用 DISCO 和 Google 归一化距离（GND）计算语义相似性矩阵，以测量查询之间的成对相似性。
• 应用层次聚类以可视化和分析基于语义相关性的查询分组。
• 采用滑动窗口方法评估不同时间间隔内的分类性能，测量识别真实用户查询的精确度。
• 评估 GND 在完整查询字符串上的表现，并与基于词的聚合方法进行比较，发现 GND 对完整查询无效。
• 在数据收集期间启用查询爆发和选择性点击功能，以模拟真实的浏览行为。

实验结果

研究问题

• RQ1 语义聚类技术能否有效将真实用户搜索查询与 TrackMeNot 生成的噪声分离？
• RQ2 不同时间窗口大小下，查询分类性能如何变化？
• RQ3 在区分查询来源方面，DISCO 与 Google 归一化距离（GND）哪种语义距离度量方法能提供更高的准确度？
• RQ4 为何 TrackMeNot 在较大时间窗口中无法抵御聚类攻击？
• RQ5 TrackMeNot 查询选择中缺乏上下文和时间连贯性，在多大程度上削弱了其隐私保障？

主要发现

• 在小时间窗口内，测试集 test.m 和 bill.m 中对真实用户查询与 TrackMeNot 噪声的分类实现了完美精确度。
• 随着窗口大小增加，精确度下降，表明 TrackMeNot 的查询列表覆盖范围随时间扩大，降低了基于聚类的去匿名化效果。
• 当应用于完整查询字符串时，Google 归一化距离（GND）度量方法表现无效，产生同质化的相似性矩阵，缺乏有意义的聚类结构。
• 当逐词应用并进行聚合后，GND 展现出作为更有效语义距离度量的潜力，表明需要对查询表示进行优化。
• TrackMeNot 的随机查询选择导致语义上不相关的查询在时间上相邻出现，使得聚类能够在短时间内高精度地隔离出真实用户查询。
• 本研究结论认为，由于其噪声生成缺乏足够的语义连贯性，TrackMeNot 无法有效抵御基于时间的聚类攻击，尤其是在对查询进行小时间帧分析时。