본문 바로가기
KERD
논문KCI 등재

안드로이드 정적 분석을 활용한개인정보 처리방침의 신뢰성 분석

Reliability Analysis of Privacy Policies Using Android Static Analysis

정윤교
한국정보처리학회|2023.01|정보처리학회논문지. 컴퓨터 및 통신시스템 (KIPS Transactions on Computer and Communication Systems)|제12권 제1호|pp. 17-24

0

조회

0

다운로드

1

인용

0

참고문헌

키워드

개인정보보호개인정보 처리방침정적 분석안드로이드 앱Privacy PolicyStatic AnalysisData PrivacyAndroid Application
주제분류컴퓨터학

초록

모바일 앱은 사용자의 편의를 위해 개인정보에 접근할 수 있는 권한을 자주 요청한다. 하지만 이에 따라 모바일 앱을 이용하는 동안 허용되지않은 개인정보가 유출되는 문제가 많이 발생했다. 이러한 문제를 해결하기 위해 구글 앱스토어에 등록된 앱은 개인정보 처리방침에 사용자의 개인정보를 앱에서 어떻게 활용하는지 명시하도록 했다. 하지만 앱이 수행하는 개인정보 수집 및 처리 과정이 개인정보 처리방침에 정확히 공개되어있는지 확인하기 어려우며, 모바일 앱 사용자가 앱이 접근할 수 있는 개인정보에 대해 알기 위해서는 개인정보 처리방침에 의존해야만 한다. 본연구에서는 개인정보 처리방침과 모바일 앱을 분석하여 개인정보 처리방침의 신뢰성을 확인하는 시스템을 제시한다. 먼저 개인정보 처리방침의텍스트를 추출 및 분석하여 모바일 앱이 어떤 개인정보를 이용할 수 있다고 공개하는지 확인한다. 이후 안드로이드 정적 분석을 통해 앱이 접근할수 있는 개인정보 분류를 확인하고, 두 결과를 비교하여 개인정보 처리방침을 신뢰할 수 있는지 분석한다. 실험을 위해 구글 앱스토어에 등록된약 13,000개 안드로이드 앱의 패키지 파일과 부가정보를 수집한 뒤 분석할 수 있는 앱을 선정하기 위해 4가지 조건에 따라 전처리를 진행했다. 선정한 앱을 대상으로 텍스트 분석과 모바일 앱 분석을 진행하고, 이를 비교하여 모바일 앱은 개인정보 처리방침에 공개한 것보다 더욱 많은 개인정보에 접근할 수 있음을 증명한다.

Abstract

Mobile apps frequently request permission to access sensitive data for user convenience. However, while using mobile applications,sensitive and personal data has been leaked even if users do not allow it. To deal with this problem, Google App Store has requireddevelopers to disclose how the mobile app handles user data in a privacy policy. However, users are not certain that the privacy policydescribes all the app’s behavior. They have no choice but to rely on the privacy policy to confirm how the app uses data. This studydesigned a system that checks the reliability of privacy policies by analyzing the privacy policy texts and mobile apps. First, the systemextracts and analyzes the privacy policy texts to check which personal data the privacy policy discloses that the mobile apps can collect. After analyzing which data apps can access using android static analysis, we compare both results to analyze the reliability of privacypolicies. For the experiment, we collected the APK files and metadata of about 13K android apps registered in the Google Play Storeand preprocessed the apps by four conditions. According to the comparison between privacy policies and mobile app behavior, manyapps can access more personal data than disclosed in the privacy policy.

참고문헌 (33)

  1. L. A. Mutchler, "Exploratory study on users’ behavior : smartphone usage", Proceedings of Americas Conference on Information Systems, pp.418~ (2011)
  2. G. Jeon, "Automated multi-layered bytecode generation for preventing sensitive information leaks from android applications", IEEE Access, 9, pp.119578~119590 (2021)
  3. 김성진, "모바일 어플리케이션 개인정보 유출탐지 및 보안강화 연구", 정보보호학회논문지, 29(1), pp.195~203 (2019), 한국정보보호학회[DOI]
  4. "User data policy"[URL]
  5. "General Data Protection Regulation"[URL]
  6. "California Consumer Privacy Act"[URL]
  7. "American Data Privacy and Protection Act"[URL]
  8. A. P. Felt, "Android permissions demystified", Proceedings of the 18th ACM conference on Computer and communications security, pp.627~638 (2011)
  9. K. W. Y. Au, "Pscout:Analyzing the android permission specification", Proceedings of the 2012 ACM conference on Computer and Communications Security, pp.217~228 (2012)
  10. D. Arp, "Drebin: Effective and explainable detection of android malware in your pocket", Proceeding of the Network and Distributed System Security Symposium, pp.23~26 (2014)
  11. I. M. Almomani, "A comprehensive analysis of the android permissions system", IEEE Access, 8, pp.216671~216688 (2020)
  12. 오지강, "Forgotten Permission Usages: An Empirical Study on App Description Based Android App Analysis", 한국컴퓨터정보학회논문지, 26(6), pp.107~113 (2021), 한국컴퓨터정보학회[DOI]
  13. J. Gamba, "An analysis of pre-installed android software", Proceeding of IEEE Symposium on Security and Privacy, pp.1039~1055 (2020)
  14. A. M. McDonald, "The cost of reading privacy policies", Isjlp, 4, pp.543~ (2008)
  15. S. Wilson, "The creation and analysis of a website privacy policy corpus", Proceedings of the 54th Annual Meeting of the Association for Computational Linguistics, pp.1330~1340 (2016)
  16. S. Zimmeck, "Maps: Scaling privacy compliance analysis to a million apps", Proceedings on Privacy Enhancing Technologies, pp.66~86 (2019)
  17. F. Liu, "Towards automatic classification of privacy policy text" (2018), School of Computer Science Carnegie Mellon University
  18. T. Libert, "An automated approach to auditing disclosure of third-party data collection in website privacy policies", Proceedings of the 2018 World Wide Web Conference, pp.207~216 (2018)
  19. 백인주, "안드로이드 환경에서 개인정보 처리방침의 투명성 확보방안에 관한 연구: GDPR을 기반으로", 정보보호학회논문지, 29(6), pp.1477~1489 (2019), 한국정보보호학회[DOI]
  20. Leontiadis. I, "Don't kill my ads! balancing privacy in an ad-supported mobile application market", Proceedings of the Twelfth Workshop on Mobile Computing Systems & Applications, pp.1~6 (2012)
  21. M. Backes, "Reliable third-party library detection in android and its security applications", Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security, pp.356~367 (2016)
  22. M. I. Gordon, "Information-flow analysis of android applications in droidsafe", Proceeding of the Network and Distributed System Security Symposium, pp.110~ (2015)
  23. F. Wei, "Amandroid : A precise and general inter-component data flow analysis framework for security vetting of android apps", ACM Transactions on Privacy and Security, 21(3), pp.1~32 (2018)
  24. Y. Pan, "A systematic literature review of android malware detection using static analysis", IEEE Access, 8, pp.116363~116379 (2020)
  25. W. Enck, "Taintdroid : an information-flow tracking system for realtime privacy monitoring on smartphones", ACM Transactions on Computer Systems, 32(2), pp.1~29 (2014)
  26. A. Razaghpanah, "Haystack : A multi-purpose mobile vantage point in user space", ~ (2015)
  27. J. Ren, "Bug fixes, improvements,... and privacy leaks: A longitudinal study of pii leaks across android app versions", Proceeding of the Network and Distributed System Security Symposium (2018)
  28. 안진웅, "분석 회피 기능을 갖는 안드로이드 악성코드 동적 분석 기능 향상 기법", 정보보호학회논문지, 29(3), pp.519~529 (2019), 한국정보보호학회[DOI]
  29. "Dataset of privacy policy and mobile app analysis"[URL]
  30. "Readability.js"[URL]
  31. "Androguard documentation"[URL]
  32. "The Privacy Sandbox"[URL]
  33. Y. Jung, "Reliability analysis of privacy policies based on android static analysis", Proceedings of the Annual Spring Conference of Korea Information Processing Society Conference (KIPS), 29, pp.221~224 (2022)

관련 논문AI추천

모바일 어플리케이션 개인정보 유출탐지 및 보안강화 연구김성진, 허준범한국정보보호학회 · 정보보호학회논문지2019 · 제29권 제1호안드로이드 환경에서 개인정보 처리방침의 투명성 확보방안에 관한 연구: GDPR을 기반으로백인주, 오준형, 이경호한국정보보호학회 · 정보보호학회논문지2019 · 제29권 제6호안드로이드 앱 악성행위 탐지를 위한 분석 기법 연구김종명, 노봉남, 류재철, 심원태한국정보보호학회 · 정보보호학회논문지2011 · 제21권 제1호Forgotten Permission Usages: An Empirical Study on App Description Based Android App Analysis오지강, Scott Uk-Jin Lee한국컴퓨터정보학회 · 한국컴퓨터정보학회논문지2021 · 제26권 제6호해외 애플리케이션의 개인정보 무단 수집 실태 분석과 대응 방안에 대한 연구김세환, 윤형준, 장승훈, 정다현, 한철규한국정보보호학회 · 정보보호학회논문지2021 · 제31권 제3호DroidSecure: 안드로이드 어플리케이션 권한 상승완화를 위한 기술에 대한 연구정수환, 응웬부렁한국정보보호학회 · 정보보호학회논문지2016 · 제26권 제1호

이 간행물의 다른 논문 (4건)

SSD FTL 캐시 알고리즘 분석 및 제언정태윤, 이형봉pp. 1-8군집 로봇의 임무 검증 지원을 위한디지털 트윈 기반 통신 최적화 기법김한진, 권준형, 하범수, 허석행, 김원태, 김관혁, 구지훈, 손호정pp. 9-16A Prospective Extension Through an Analysis of the Existing Movie Recommendation Systems and Their Challenges이경현, CHO NWE ZIN LATT, Muhammad Firdaus, Mariz Aguilarpp. 25-40CT 영상재구성을 위한 빠른 선적분 알고리즘길준민, 천권수pp. 41-46
원문 보기