Should You Use the App for That? - Comparing the Privacy Implications of App- and Web-based Online Services

论文笔记

作者：Christophe Leung, Jingjing Ren, David Choffnes, Christo Wilson

单位：Northeastern University

来源：IMC'16

Introduction

文章主要对比了同一服务的网页端和移动端的PII泄露情况，并由此了解在跨平台的情况下，同一服务收集用户数据的不同之处，从而希望由此能够回答哪一种媒体更加保护用户的隐私的问题。

Data

选择标准：

1. 足够流行且在应用商店里被分类过
2. 在Google Play和App Store有一个免费的应用
3. 在手机浏览器上也提供完全同样的功能
4. 没有使用certificate Pinning

由此在各个类别下根据流行度总共选了50个应用。

Experiment Methodology

Environment

Android 4.4 & iOS 9.3.1，在测试前均经过回复出厂设置以杜绝误差的引进

Interaction

实验步骤：
安装应用→使用VPN隧道连接到Meddle→使用4分钟的应用，并同意期间出现的任何请求→关闭VPN连接并卸载应用

上述步骤在浏览器中也会进行重复，所有操作的会尽可能地还原之前在应用中的操作，Android使用的是Chrome，iOS使用的是Safari，两者均采用隐私模式进行测试。

Identifying PII

使用了ReCon Tool从网络流量中识别出PII，同时为了减少漏报，作者还通过字符串匹配以及已知的一些PII对结果进行加强，并最终人工地进行验证，以去除误报结果。

Domain Categorization

人工找出服务自己的各种域名，剩下产生的流量都被认为是与第三方的通信。

Defining a PII Leak

1. 明文传输
2. 被送往第三方，但与登录无关的数据

Limitation

1. 没有考虑那些非直接共享的PII
2. certificate pinning的无法被检测
3. 没有考虑从浏览器，或从应用到浏览器，从浏览器到应用的信息泄露（从实验设计上就将其杜绝了）

Result

Third Party

PII Leaks

Differences in PII Leaks

Recipient of PII Leaks

Conclusion

1. More domains are contacted from Web sites, more device identifiers were leaked from apps
2. Tracking ecosystem是跨平台的

Future Work

1. 跨服务的PII泄露
2. 为用户提供信息，以使他们了解这些被泄露的PII是如何构建出他们的个人档案的
3. 现有隐私保护机制的有效性