Dynamic iOS privacy analysis: Verifying App Store privacy labels

Abstract

Smartphones speichern große Mengen persönlicher Informationen, wie Fotos, Kontakte oder Standort-Daten, an einem zentralen Ort. Nutzer*innen können den Applikationen (“Apps”) auf ihren Geräten Zugriff zu diesen Informationen gestatten, jedoch gibt es danach kaum eine Möglichkeit um festzustellen, wie die Daten von der App verwendet werden. Mit dem Ziel, diese Nutzung für die Anwendenden transparenter zu gestalten, hat Apple kürzlich die sogenannten App Privatsphäre Details (“Privatsphäre-Angaben”) im iOS App Store eingeführt. Seither sind die Anbieter*innen von Apps verpflichtet, in einem standardisierten Format anzugeben, wie sie oder Dritte die von ihnen gesammelten Daten speichern und verwenden. Eine große Schwachstelle dieses Systems ist es, dassdiese Angaben seitens Apple nicht überprüft werden.Ziel dieser Arbeit war es deshalb, zu evaluieren, wie dynamische Analysemethoden dazu verwendet werden können, um das Daten-Nutzungsverhalten von Apps zu analysieren und die Privatsphäre-Angaben zu verifizieren.Zu diesem Zweck wurde eine automatisierte Analyse-Plattform entwickelt, die mittels dynamischer Instrumentation während der Laufzeit einer App sensible Methodenaufrufe analysieren und den Netzwerk-Datenverkehr auswerten kann. Durch die Automatisierung dieses Prozesses wird es ermöglicht, eine solche Privatsphäre-Untersuchung an einer größeren Menge von Apps durchzuführen.Die Performanz der Plattform wurde im Zuge von drei Fallstudien mit insgesamt 120 Apps bewertet. Hierbei lag der Fokus darauf, Missbrauch der “Geräte-ID”-Angabe im App Store zu identifizieren. Diese Angabe muss von App-Anbieter*innen gemacht werden, wenn ihre App auf die Werbe-ID zugreift und diese sendet, da sie dadurch die Möglichkeit erhalten, Nutzer*innen-Verhalten app-übergreifend zu analysieren. Unsere Ergebnisse zeigen, dass die Plattform eine solche Deklaration in 70% der Fälle verifizieren konnte. Zusätzlich konnten wir feststellen, dass 24% einer Gruppe bestehend aus 50 Apps, die explizit angegeben hatten gar keine Daten zu sammeln, es dennoch taten.Unsere Erkenntnisse legen nahe, dass die Einführung der App Privatsphäre Details ein effektiver Schritt ist, um die Verwendung von sensitiven Daten transparenter zu machen. Jedoch zeigen sie auch, dass deren Überprüfung notwendig ist, um sicherzustellen, dass Nutzer*innen langfristig nicht durch falsche oder unverifizierte Angaben ihr vertrauen darin verlieren.

Smartphones bundle large amounts of our personal data, like photos, contact information, and location data, in a single place. Users can grant applications (“apps”) access to this data, but they can hardly control or verify how the data is used afterwards. In an attempt to make the collection of privacy-sensitive data more transparent to the user, Apple has recently introduced so-called App Privacy Details (“privacy labels”) on the App Store. They require iOS apps to disclose which kinds of data types they or their third-party partners collect and how they store and use it. One major shortcoming of the system is that these declarations are not verified or audited by Apple, opening the possibility for potential misuse.The aim of this thesis was to evaluate how dynamic mobile analysis methods can be used to investigate an app’s privacy-related behavior at run time in an automated manner, and how they could be used to verify declared privacy labels.Using Dynamic Instrumentation with API Method Call Interception as well as Network Analysis, we created an analysis platform capable of conducting such an analysis on a larger number of apps in an automated manner with minimal interaction by the researcher.To evaluate the real-world performance of the platform, we used it to analyze the privacy behavior of 120 apps in three different case studies. Specifically, we focused on identifying misuse of the “Device ID” label, which apps need to declare if they collect the device’s Advertising Identifier, a valuable data point that allows tracking services to cross-reference user data across apps. Our results show that our platform could successfully verify a declared privacy label for the Advertising Identifier in 70% of cases. Furthermore, we also discovered that among 50 apps who declared not to collect any data, 24% of them still did.We conclude that privacy labels are an important step towards making the use of sensitive data more transparent to the user, but more work needs to be done to ensure that users do not lose their trust in them caused by inaccurate and unvalidated declarations.