안드로이드 정적 분석을 활용한개인정보 처리방침의 신뢰성 분석
Reliability Analysis of Privacy Policies Using Android Static Analysis
정윤교(공군사관학교)
12권 1호, 17~24쪽
초록
모바일 앱은 사용자의 편의를 위해 개인정보에 접근할 수 있는 권한을 자주 요청한다. 하지만 이에 따라 모바일 앱을 이용하는 동안 허용되지않은 개인정보가 유출되는 문제가 많이 발생했다. 이러한 문제를 해결하기 위해 구글 앱스토어에 등록된 앱은 개인정보 처리방침에 사용자의 개인정보를 앱에서 어떻게 활용하는지 명시하도록 했다. 하지만 앱이 수행하는 개인정보 수집 및 처리 과정이 개인정보 처리방침에 정확히 공개되어있는지 확인하기 어려우며, 모바일 앱 사용자가 앱이 접근할 수 있는 개인정보에 대해 알기 위해서는 개인정보 처리방침에 의존해야만 한다. 본연구에서는 개인정보 처리방침과 모바일 앱을 분석하여 개인정보 처리방침의 신뢰성을 확인하는 시스템을 제시한다. 먼저 개인정보 처리방침의텍스트를 추출 및 분석하여 모바일 앱이 어떤 개인정보를 이용할 수 있다고 공개하는지 확인한다. 이후 안드로이드 정적 분석을 통해 앱이 접근할수 있는 개인정보 분류를 확인하고, 두 결과를 비교하여 개인정보 처리방침을 신뢰할 수 있는지 분석한다. 실험을 위해 구글 앱스토어에 등록된약 13,000개 안드로이드 앱의 패키지 파일과 부가정보를 수집한 뒤 분석할 수 있는 앱을 선정하기 위해 4가지 조건에 따라 전처리를 진행했다. 선정한 앱을 대상으로 텍스트 분석과 모바일 앱 분석을 진행하고, 이를 비교하여 모바일 앱은 개인정보 처리방침에 공개한 것보다 더욱 많은 개인정보에 접근할 수 있음을 증명한다.
Abstract
Mobile apps frequently request permission to access sensitive data for user convenience. However, while using mobile applications,sensitive and personal data has been leaked even if users do not allow it. To deal with this problem, Google App Store has requireddevelopers to disclose how the mobile app handles user data in a privacy policy. However, users are not certain that the privacy policydescribes all the app’s behavior. They have no choice but to rely on the privacy policy to confirm how the app uses data. This studydesigned a system that checks the reliability of privacy policies by analyzing the privacy policy texts and mobile apps. First, the systemextracts and analyzes the privacy policy texts to check which personal data the privacy policy discloses that the mobile apps can collect. After analyzing which data apps can access using android static analysis, we compare both results to analyze the reliability of privacypolicies. For the experiment, we collected the APK files and metadata of about 13K android apps registered in the Google Play Storeand preprocessed the apps by four conditions. According to the comparison between privacy policies and mobile app behavior, manyapps can access more personal data than disclosed in the privacy policy.
- 발행기관:
- 한국정보처리학회
- 분류:
- 컴퓨터학