厘清移动应用中第三方库的隐私政策
软件工程
2023-09-12 v9 密码学与安全
摘要
个人信息隐私在移动软件中受到显著关注。尽管先前研究者已设计若干方法识别应用行为与安全隐私政策间的冲突，但针对第三方库（TPL）监管需求的研究仍十分匮乏。监管者颁布了多项法规以规范 TPL 对个人信息的处理（例如《加州消费者隐私法》要求企业明确告知消费者是否与其共享数据）。然而，由于三方面原因，分析 TPL 合法性仍具挑战：1）TPL 主要发布于公共仓库而非应用市场（如 Google Play），公共仓库不对各 TPL 进行隐私合规分析。2）TPL 仅提供独立功能或功能序列，无法独立运行，限制了动态分析的应用。3）因并非所有 TPL 功能均涉及用户隐私，在执行隐私合规分析前须定位其访问/处理个人信息的函数。为克服上述挑战，本文提出自动化系统 ATPChecker 以分析 Android TPL 是否符合隐私相关法规。我们的发现提醒开发者在开发应用或撰写隐私政策时注意 TPL 使用，避免违规。
引用
@article{arxiv.2301.12348,
title = {Demystifying Privacy Policy of Third-Party Libraries in Mobile Apps},
author = {Kaifa Zhao and Xian Zhan and Le Yu and Shiyao Zhou and Hao Zhou and Xiapu Luo and Haoyu Wang and Yepang Liu},
journal= {arXiv preprint arXiv:2301.12348},
year = {2023}
}