言行一致：小程序程序代码与隐私政策中数据实践的一致性检测
密码学与安全
2023-02-28 v1 软件工程
摘要
小程序是一种结合了 Web 技术与原生能力的新型移动应用形式。其无需下载、无需安装等特性使其迅速流行。然而，在快速扩张的小程序生态中，违反法律法规的隐私问题正在滋生。小程序在程序代码中对数据的实际操作与其在隐私政策描述中的声明之间的一致性十分重要。但此前尚无工作对小程序的隐私问题开展系统性研究。据我们所知，本文首次对小程序中的数据实践与政策描述进行合规性检测。本文首先基于数据实体依赖网络定制了一种污点分析方法，以适应小程序中 JavaScript 语言的特点。随后，我们将数据类型与数据操作转换为程序代码和隐私政策中的数据实践，从而完成细粒度的一致性匹配模型。我们在真实环境中爬取了微信客户端上的 100,000 个小程序，并提取出带有隐私政策的 2,998 个。其中，仅 318 个满足一致性要求，2,680 个不一致，不一致比例高达 89.4%。小程序中的不一致问题非常严重。基于对 6 个真实案例的分析，为降低这一潜在数据泄露风险，我们建议开发者应减少无关信息的收集以及模板的直接使用，平台应提供数据流检测工具与隐私政策撰写支持。
引用
@article{arxiv.2302.13860,
title = {Do as You Say: Consistency Detection of Data Practice in Program Code and Privacy Policy in Mini-App},
author = {Yin Wang and Ming Fan and Junfeng Liu and Junjie Tao and Wuxia Jin and Qi Xiong and Yuhao Liu and Qinghua Zheng and Ting Liu},
journal= {arXiv preprint arXiv:2302.13860},
year = {2023}
}