2023年Usenix安全顶会最新发现：大量苹果IOS应用不遵守隐私标签

近日，在2023年的顶级信息安全学术会议Usenix上，来自印第安纳大学伯明顿分校、阿里巴巴实验室等单位的研究者公布了一项最新发现——大量苹果IOS 应用严重不遵守隐私标签，并提供了详细的案例研究和分析。

2020年12月，苹果推出了应用程序隐私标签，据称可以帮助用户在任何苹果平台上下载应用程序之前更好地了解应用程序的隐私做法。

苹果公司自己定义了一套合规要求，隐私标签并不是应用程序隐私政策的直接抽象：苹果为隐私标签定义了四层结构（即，第一层-四种数据用途，第二层-六种目的，第三层-14种数据类型，第四层-32种数据项）。

尽管苹果发布了应用程序开发人员创建隐私标签的要求和指南，但人们对实际中的隐私标签是否正确以及在多大程度上合规知之甚少。

虚假和误导性的隐私标签会欺骗有隐私意识的消费者下载数据密集型应用程序，最终侵蚀标签的可信度和完整性。

因此，必须了解实际开发应用的隐私标签是否正确且合规，为了应对这一新出现的隐私呼吁，先前的工作从开发者的角度（例如，开发者如何及时更新隐私标签）和最终用户的角度进行了分析，并提供了帮助生成准确隐私标签的工具。

然而，大规模全面检查iOS隐私标签的合规性具有挑战性，这需要对应用程序数据流到隐私标签的一致性进行复杂的分析，需要解决隐私标签的多层语义，以及隐私标签上下文中流向不一致的严格定义。

在2023年的顶级信息安全学术会议Usenix上，来自印第安纳大学伯明顿分校、阿里巴巴实验室等单位的研究者进行了系统研究以评估数据流与隐私标签的一致性。

他们分析了5102个iOS应用程序的隐私标签和二进制文件，揭示了不遵守隐私标签的普遍性和严重性，并提供详细的案例研究和分析。

隐私标签合规性检查

研究者提出了一种新的自动化方法，以大规模检查iOS应用程序的隐私标签合规性。具体而言，检查隐私标签中的披露声明与iOS应用程序的实际数据流或实践之间的一致性，而且形式化的定义了隐私标签的不一致性模型。

基于研究者提出的不一致性模型，可以形式化隐私标签合规方面的关键问题，实现一个自动化的端到端系统。

值得注意的是，根据苹果公司的说法，只有当数据项传输到互联网时，才被视为“收集”。因此，为了进行精确的合规性检查，研究者进行了动态端到端应用程序执行，以找出实际的数据“收集”行为。

分析与发现

研究者发现iOS应用程序中隐私标签不遵守的现象普遍存在，严重影响了应用程序隐私做法的可信和透明披露。

在5102个进行全面测试的iOS应用程序中，3423个应用程序带有不合规的隐私标签，其中3281个忽略了披露数据和目的，677个应用程序未充分披露目的。

隐私标签不合规的根本原因来自不同第三方合作伙伴的不透明数据收集，以及误导性的隐私标签披露指南等。

研究团队的研究结果描述了设计、创建和监管精确和适当的隐私标签的新挑战，并在此基础上为多个利益相关者提出了可行的建议。

未来建议

研究团队为多个利益相关者提供了提高隐私标签合规性的建议。

•苹果：公司和社区应为iOS生态系统量身定制敏感数据项，而且敏感数据项和相应系统API之间的映射也需要明确，这样开发人员可以很容易地知道要披露的内容。

•SDK供应商：建议SDK供应商提高隐私标签的数据透明度和指导准确性，应准确地披露强制收集哪些数据，以及说明默认情况下可选择禁用。此外，SDK供应商应避免混淆描述，如“可能收集”。

•应用程序开发人员：应用程序开发人员应仔细审查所采用的SDK，以了解其数据实践、隐私标签指南，最好了解苹果的要求和其他公共政策，并在可能的情况下采用Lalaine等工具或分析报告。

参考文献：

• Xiao Y, Li Z, Qin Y, et al. Lalaine: Measuring and Characterizing Non-Compliance of Apple Privacy Labels[J].
  

本文由“开放隐私计算”整理，转载请注明来源。

END

热门文章: