浏览器中用户浏览记录的隐私威胁分析与防御研究

作     者：顾祖林 

作者单位：南京邮电大学 

学位级别：硕士

导师姓名：张伟

授予年度：2022年

学科分类：0839[工学-网络空间安全] 08[工学] 

主      题：浏览器 浏览记录 隐私威胁 安全浏览 匿名化 EC-OPRF 

摘      要：浏览器是人们了解外部信息世界的重要窗口,近年来其中的隐私威胁越发突显。针对层出不穷的互联网隐私威胁,现有的研究通常针对网络跟踪、网络钓鱼这类第三方跟踪与威胁问题进行研究,忽视了浏览器本身是否是一个值得信赖的平台这一问题。由于用户的浏览记录蕴含了大量与用户特征有关的信息,一旦泄露会对用户的隐私造成严重威胁。所以研究用户使用浏览器的过程中浏览记录泄露问题对保护用户的隐私安全至关重要。本文针对浏览网页以及使用安全浏览服务这两个用户使用浏览器过程中最常见的场景设计分析方法,证实了现有的浏览器在这两方面存在泄露用户浏览记录的问题,并以此为指导,设计了两种隐私保护型的改进方案。主要研究内容如下。(1)通过获取浏览器在用户浏览网页的不同阶段向后端服务器传输的数据证明了大部分浏览器会与后端服务器共享用户的浏览记录。通过分析Google Update API传输哈希前缀的隐私威胁,证明了传输哈希前缀并不能保障用户浏览记录不泄露。(2)针对用户浏览网页时浏览记录的泄露问题,提出了一种用户浏览记录匿名化方法。首先通过量化用户隐私分布的不确定度以及可用性损失,明确如何达到隐私和可用性的平衡,具体使用肯德尔系数来衡量可用性的损失,使可用性损失的衡量更贴合现有的推荐排名系统。接着通过网页主题的分类与选择指导噪声网页链接添加。最后通过实验证明,本文提出的算法能够更好地为浏览记录保留可用性,并对新型的去匿名化攻击有较好的防御效果。(3)针对用户使用安全浏览服务时浏览记录的泄露问题,提出基于安全代理思想的安全浏览服务。首先通过在URL黑名单提供者和用户之间设置安全代理,协助安全浏览过程中的URL的传输。接着使用EC-OPRF(Elliptic Curve Oblivious Pseudorandom Function)为涉及URL传输的各个步骤提供保护,提出预先加密黑名单的方式,使EC-OPRF能够适用于三方运算,并使用预先选择基点的改进方法减少EC-OPRF的计算时间。最终通过实验证明,提出的改进EC-OPRF能够有效减少计算时间,提高恶意URL的检测效率。