Better Web Measurements: Enhancing Security and Privacy Research

Das World Wide Web hat den Zugang zu und Austausch von Informationen im Technologiezeitalter neu definiert. Mit wachsender Relevanz und Datensammlung wird das Verständnis für Sicherheit und Datenschutz im Web immer bedeutsamer. In diesem Zusammenhang sind groß angelegte Webmessungen mächtige Methoden, um die Webumgebung zu erkunden. Sie bieten wertvolle Einblicke in die Stärken und Schwächen des Webs. Solche Messungen stellen jedoch aufgrund der inhärenten Komplexität der Web-Architektur, variierender lokaler Regulierungen und der Vielfalt der Techniken eine große Herausforderung dar. ... mehrDiese Faktoren können Ergebnisse schnell verzerren und zu inkonsistenten Studienergebnissen führen, was eine sorgfältige Durchführung erfordert.

Diese Arbeit zielt darauf ab, die Faktoren zu verstehen, die zu Abweichungen führen, und praktikable Methoden zu identifizieren, um robustere und somit überprüfbare sicherheits- und datenschutzbezogene Webmessungen durchzuführen. Wir verwenden Metascience-Methoden, um zu untersuchen, wie die Robustheit von Studien erhöht werden kann, und liefern somit zuverlässigere Erkenntnisse für Forscher, Entwickler und Endbenutzer. Zu diesem Zweck führen wir verschiedene groß angelegte Webmessungen durch.

Zunächst gehen wir auf den Aspekt der Robustheit durch zwei Messstudien ein. Sie basieren auf 24 verschiedenen Messungen auf 4,5 Millionen Seiten und der Überprüfung der Ressourceabhängigkeiten von 1,7 Millionen Webseiten mit fünf Profilen. Wir zeigen, wie minimale Designentscheidungen in einer Studie das Ergebnis erheblich beeinflussen können und identifizieren Ressourcenmerkmale, die diese Varianzen verstärken. Schließlich geben wir Empfehlungen für die Erhöhung der Robustheit solcher Studien.

Basierend auf den Erkenntnissen zur Robustheit führten wir eine 18-monatige Sicherheitsmessung durch, die über 5,6 Millionen Webseiten und 246 unterschiedliche Software abdeckte. Diese Fallstudie zeigt, dass 95% der Webseiten mindestens eine verwundbare Softwarekomponente einsetzen. Wir verdeutlichen, dass Messungen an statischen Datensätzen der einzige zuverlässige Ansatz zur kompletten Sicherstellung der Reproduzierbarkeit~ist.

Um den Datenschutz-Aspekt anzugehen, führten wir eine weitere Fallstudie durch, bei der 2,6 Millionen Webseiten mit 27 Profilen untersucht wurden. Unsere Analyse verglich verschiedene "Cookie-Banner-Interaktion"-Browsererweiterungen und deren Wirksamkeit bei der Kommunikation von Nutzerpräferenzen. Unsere Ergebnisse zeigen signifikant unterschiedliche Effekte, und identifizieren Nebenwirkungen, die die Privatsphäre des Benutzers gefährden können.

The World Wide Web has revolutionized our access to and sharing of information, our connections with each other, and our ways of doing business in the modern age of technology. As the Web is gaining importance and collecting more sensitive data, it becomes increasingly crucial to Web users to understand its impact on security and privacy. In this context, large-scale Web measurements are powerful tools for exploring the Web environment. Large-scale measurements provide valuable insights into the strengths and weaknesses of the Web. Such measurements, however, represent a major challenge due to the inherent complexity of the Web's architecture, varying local regulations, and the diversity of measurement environments. ... mehrThese factors can quickly bias results and render study findings inconsistent.

This thesis is aimed at comprehending factors leading to variances and pinpointing feasible methods to conduct more robust and thus verifiable security- and privacy-related Web measurements. We employ Metascience methodologies to examine how the robustness of studies can be enhanced, thereby yielding more reliable insights for researchers, developers, and end users. To this end, we conduct various large-scale Web measurements while crawling 17 million webpages across the global Web.

We first tackle the aspect of robustness through two comprehensive large-scale measurement studies. These studies were based on running 24 different measurements across 4.5 million pages and scrutinizing the loading dependencies of 1.7 million webpages with five profiles. We highlight how minimal design choices in a Web measurement study can significantly influence the results and identify resource characteristics that amplify these variances. We finally provide guidelines for enhancing robustness of such studies.

Expanding on the robustness findings, we launched an 18-month Web security measurement that covered over 5.6 million websites and 246 distinct software components. This case study underlines that 95% of the evaluated websites utilize at least one vulnerable software component. Furthermore, it validated that conducting measurements on a static dataset is the only reliable approach to completely reproducing a Web measurement.

To tackle the privacy aspect, we carried out another case study examining 2.6 million webpages across 27 profiles. Our analysis compared various "cookie banner interaction'" browser extensions and their effectiveness in communicating user preferences regarding cookies. Our results revealed significantly different effects, even between extensions offering the same functions, and identified side effects that may compromise user privacy.