Androidアプリ向けSDKのガイダンスと実動作間の不一致の半自動検知

• Item type: Symposium(1)
• 公開日: 2023-10-23
• タイトル: Androidアプリ向けSDKのガイダンスと実動作間の不一致の半自動検知
• タイトル / 言語: en
• タイトル: Semi-automatic Detection of Inconsistencies between Guidance and Actual Behavior of Third-party SDKs in Android Apps
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: Androidアプリ, サードパーティSDK, データプライバシー, 動的テイント解析, NLP
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 名古屋工業大学
• 著者所属: 名古屋工業大学
• 著者所属: 名古屋工業大学
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者名: 稲吉, 弘樹; 掛井, 将平; 齋藤, 彰一
• 著者名(英): Hiroki, Inayoshi; Shohei, Kakei; Shoichi, Saito
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: スマートフォン向けアプリの開発においても，データ収集・共有プラクティスは重大な事項である．ユーザーの同意を得ないなどの不適切なプラクティスのために，アプリ開発者が多額の罰金を課せられた事例がある．2022年7月にGoogle Play Storeにデータセーフティセクションが導入された．これに伴って，サードパーティSDKプロバイダはガイダンスを公開した．アプリ開発者は使用するSDKのガイダンスを参照して，そのSDKのプラクティスを把握し，Googleに申告する．正しい申告を行えるかどうかは，ガイダンスの正確性にかかっている．本稿はこの点に初めて着目し，ガイダンスの収集，解析，誤り調査を行う半自動のアプローチを構築・評価する．識別子に関して，ガイダンスの記述と実際の動作を比較した結果，UUIDに関する不備を5つのSDKで発見した．問題となる設定を再現して議論する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Data collection and sharing practices are critical in smartphone app development as well as other areas. App developers could be ordered to pay a massive fine due to improper practices, such as obtaining no user consent. In July 2022, Google Play Store introduced the data safety section. Along with this, third-party SDK providers have published guidance pages. App developers should refer to the guidance of the SDKs they use to understand the SDKs' practices and declare them to Google. The correctness of the declaration depends on the accuracy of the guidance. This paper is the first to address this point, and it builds and evaluates a semi-automatic approach to collecting, analyzing, and verifying the guidance. By comparing guidance contents and actual behavior concerning identifiers, we found that five SDKs are failing to disclose their use of UUIDs. We demonstrate the relevant configuration and discuss the issue.
• 書誌情報: コンピュータセキュリティシンポジウム2023論文集; p. 849-856, 発行日 2023-10-23
• 出版者 / 言語: ja
• 出版者: 情報処理学会