崩溃隐私：某 Web 浏览器泄露崩溃报告的解剖
密码学与安全
2018-08-07 v1
摘要
通过数据泄露对用户隐私造成损害并非未知问题，然而其尚未在崩溃报告系统情境下被研究。自动崩溃报告系统 (ACRS) 被应用程序用来报告软件故障期间发生的错误信息。尽管崩溃报告对诊断错误很有价值，其可能包含用户的敏感信息。本文中，我们针对浏览器崩溃报告系统研究此类隐私泄露。作为一个案例研究，我们挖掘了一个由六年期间收集的崩溃报告组成的数据集。我们的分析显示出超过 20,000 个会话与令牌 ID、600 个密码、9,000 个电子邮件地址、海量联系信息及其他敏感数据。我们的分析揭示了当前最先进浏览器崩溃报告系统中一个重要的安全与隐私问题。进一步，我们提出一个热修补 (hotfix)，通过在向服务器提交报告前从崩溃报告中移除敏感数据来增强 ACRS 中用户的隐私与安全。我们提出的热修补可轻易集成进 ACRS 的当前实现，且不影响修 bug 的过程，同时保持报告的可读性。
引用
@article{arxiv.1808.01718,
title = {Crashing Privacy: An Autopsy of a Web Browser's Leaked Crash Reports},
author = {Kiavash Satvat and Nitesh Saxena},
journal= {arXiv preprint arXiv:1808.01718},
year = {2018}
}