Exploring the Impact of the User's Browsing Environment on Web Privacy
Explorer l'Impact de l'Environnement de Navigation de l'Utilisateur sur le Respect de la Vie Privée en Ligne
Résumé
The evolution of the web has followed a dual trajectory, marked by technological advancements that enhance user experience and an increase in privacy risks. User tracking techniques exploit aspects of the user’s browsing environment (UBE), and this exposes users to privacy risks. Addressing these risks while maintaining seamless web functionality is essential for the future of the web. In
this thesis, we investigate the impact of the UBE on web privacy by analyzing the trade-off between usability and privacy. Our aim is to enhance web privacy by minimizing unnecessary UBE information exposure while maintaining website functionality. We provide three contributions for understanding the interplay between the user’s browsing environment and web privacy:
1. We present a framework to determine the relevance of information within the UBE in relation to website functionality when accessed by websites. We categorize UBE information into geolocation, device, and browser attributes, and simulate website visits using various UBE constructs through browser instrumentation. This approach allows us to systematically restrict specific UBE attributes and observe the resulting website behavior. Our methodology involves designing a web crawler that uses these different UBE constructs and collects data from websites. To quantify the impact of modifying UBE attributes, we introduce SimilarityRadar, a multidimensional tool that compares web pages and computes similarity scores. We use SimilarityRadar to compare website behavior in normal versus restricted environments to identify discrepancies that indicate the relevance of specific UBE attributes. This framework enables the safe restriction of nonessential UBE information, thereby enhancing user privacy.
2. We use SimilarityRadar to investigate the impact of the User Agent (UA) string and associated device information on serving its original purpose of tailoring website content to various browsers. Similar to the comparison between standard and restricted UBE described previously, we crawl 270,048 web pages across 11,252 domains using three standard browsers and a set of ‘None’ browsers—clones of the standard browsers with their UA and associated information set to ‘None’. We then compare the similarity between the standard and ‘None’ browsers. Before JavaScript (JS) execution, we observe 100% similarity, indicating that UA headers are irrelevant to website functionality today. However, after JS execution, 8.4% of crawled web pages change. These changes are primarily driven by third-party scripts related to advertising, bot detection, and content delivery networks. Further investigating, we classify these changes based on levels of usability severity, with most being minor CSS adjustments and a smaller percentage causing significant usability issues. This indicates the obsolescence of the UA string and associated device information amidst its significance in browser fingerprinting.
3. We investigate the enforcement of cookie consent notices across different continents, focusing on how visibility and impact vary by geographic location. We use a novel automated visual detection technique based on SimilarityRadar to efficiently detect consent notices. For each of the five countries—Brazil, France, Japan, South Africa, and the United States—we analyzed 14,078 websites, repeating this process three times under different interaction scenarios: first without interacting with cookie consent notices, then by accepting them, and finally by rejecting them. The results reveal disparities in consent notice prevalence, with France showing the highest visibility at 69% and Japan the lowest at 27%. We also observe that third-party cookies increase after users interact with consent notices, particularly in the US, while France maintains the lowest number of third-party cookies due to its stringent regulations. This indicates a correlation between consent notice visibility and user tracking practices.
L'évolution du web a suivi une trajectoire double, marquée par des avancées technologiques qui améliorent l'expérience utilisateur et une augmentation des risques pour le respect de la vie privée. Les techniques de traçage des utilisateurs exploitent des aspects de l'environnement de navigation de l'utilisateur (UBE). Aborder ces risques tout en maintenant une fonctionnalité web fluide est essentiel pour l'avenir du web. Dans cette thèse, nous étudions l'impact de l'UBE sur le respect de la vie privée en ligne en analysant le compromis entre utilisabilité et respect de la vie privée. Notre objectif est d'améliorer le respect de la vie privée en minimisant l'exposition inutile des informations UBE tout en maintenant la fonctionnalité des sites web. Nous apportons trois contributions dans ce domaine :
1. Nous présentons un cadre pour déterminer la pertinence des informations au sein de l'UBE en relation avec la fonctionnalité des sites web lorsqu'ils sont consultés. Notre approche permet de restreindre systématiquement des attributs UBE et d'observer le comportement résultant du site web. Nous introduisons SimilarityRadar, un outil pour comparer le comportement des sites web dans des environnements normaux versus restreints afin d'identifier les divergences qui indiquent la pertinence de certains attributs UBE. Ce cadre permet la restriction sûre des informations UBE non essentielles, améliorant ainsi le respect de la vie privée de l'utilisateur.
2. Nous utilisons SimilarityRadar pour étudier l'impact de l'en-tête HTTP User-Agent (UA) sur le web. De manière similaire à la comparaison entre l'UBE standard et restreint décrite précédemment, nous explorons 270 048 pages web sur 11 252 domaines en utilisant trois navigateurs standard et un ensemble de navigateurs « None » — des clones des navigateurs standard avec leur UA et informations associées définies comme « None ». Nous comparons ensuite la similarité entre les navigateurs standard et les navigateurs « None ». Avant l'exécution de JavaScript (JS), nous observons une similarité de 100%, indiquant que les en-têtes UA sont aujourd'hui sans pertinence pour la fonctionnalité des sites web. Cependant, après l'exécution du JS, 8,4% des pages web explorées changent. Ces changements sont principalement dus à des scripts tiers liés à la publicité, à la détection de robots et aux réseaux de diffusion de contenu. En approfondissant, nous classons ces changements selon des niveaux de gravité en termes d'utilisabilité, la plupart étant de légères modifications CSS et un plus petit pourcentage causant des problèmes d'utilisabilité significatifs. Cela indique l'obsolescence de l'en-tête UA malgré leur importance dans le fingerprinting des navigateurs.
3. Nous examinons l'usage des bannières de consentement aux cookies sur différents continents, en nous concentrant sur la manière dont la visibilité et l'impact varient selon la localisation géographique. Nous utilisons une nouvelle technique de détection visuelle automatisée basée sur SimilarityRadar pour détecter efficacement les bannières de consentement. Pour chacun des cinq pays—Brésil, France, Japon, Afrique du Sud et États-Unis—nous avons analysé 14 078 sites web, en répétant ce processus trois fois sous différents scénarios d'interaction : d'abord sans interagir avec les bannières de consentement aux cookies, puis en les acceptant, et enfin en les refusant. Les résultats révèlent des disparités dans la prévalence des bannières de consentement, la France affichant la plus haute visibilité à 69% et le Japon la plus basse à 27%. Nous observons également que les cookies tiers augmentent après que les utilisateurs interagissent avec les bannières de consentement, en particulier aux États-Unis, tandis que la France maintient le nombre le plus bas de cookies tiers en raison de sa réglementation stricte. Cela indique une corrélation entre la visibilité des bannières de consentement et les pratiques de traçage des utilisateurs.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|