Privacy in online social networks

Abstract

The privacy of data that users share over Online Social Networks (OSNs) cannot be taken for granted. A mixture of public and private user profiles create difficulties in preserving the intended privacy levels; privacy conflicts leave a large number of personally identifiable information (PII) exposed to and accessible by unauthorized audiences. Not only the weak privacy preserving architectures of OSNs but also the tendency of the service providers to make publicly available all uploaded content types lead to inability to ensure privacy by design and by default. As a result, privacy management seems to be a hard task even for experienced users; vague guidelines and incorrect perception of the applicable privacy levels may lead to serious privacy breaches. In this thesis, privacy in OSNs was studied both from an end user and from a provider perspective. User studies were carried out to assess the appropriateness and the adequacy of privacy controls that OSNs offer.We found that the privacy protection levels that are offered as default by the service providers progressively tend to deactivate any privacy control there is, as multiple types of uploaded data become publicly available, without restrictions. It is also worth noting that the usability of default OSN privacy controls is low. At the same time, the complexity of these settings seems to lead to divergence between the intended and the achieved level of privacy.We then assessed the privacy risks resulting from a number of popular user interactions with the OSNs, with an eye towards increasing the awareness of such risks among OSN users that will in turn result in motivating them to engage with protecting the privacy of their PII. To this end, we applied risk assessment methods and we proposed the use of visualization techniques to provide the users with a realistic perception of the privacy risks they face. Despite the fact that such visualization may indeed activate the end users, leading them to change their attitude against privacy risks, risk reduction strategies need to be followed by the end users themselves, rendering them a leading role in decision making with regards to PII privacy management. To this end, we formulated proposals for managing such risks by the end user. From the provider’s perspective, we investigated the extent of compliance of the OSN privacy protection policies with relevant regulations. We found significant divergence; in order to reduce this, we proposed a common structure for such policies that is based on the PII lifecycle.

Η ιδιωτικότητα των διαμοιραζόμενων δεδομένων δε θεωρείται δεδομένη για τα ενεργά μέλη στις πλατφόρμες κοινωνικής δικτύωσης. Συνδυασμοί δημόσιων και ιδιωτικών προφίλ δημιουργούν δυσκολίες στη διατήρηση υψηλών επιπέδων ιδιωτικότητας. Οι διαφορετικές και ενίοτε αντικρουόμενες ρυθμίσεις απορρήτου αφήνουν πολλά προσωπικά δεδομένα εκτεθειμένα και προσβάσιμα από μη εξουσιοδοτημένους χρήστες. Όχι μόνο οι αδύναμες αρχιτεκτονικές ιδιωτικότητας των κοινωνικών δικτύων αλλά και η τάση που έχουν οι πάροχοι κοινωνικής δικτύωσης να κάνουν κάθε τύπο δεδομένων που ανεβαίνει στα προφίλ των χρηστών δημόσια διαθέσιμο, αδυνατούν να εγγυηθούν προστασία της ιδιωτικότητας από το στάδιο του σχεδιασμού ή προστασία της ιδιωτικότητας εκ κατασκευής. Αυτό έχει ως αποτέλεσμα η διαχείριση της ιδιωτικότητας να αποτελεί δύσκολη διαδικασία, ακόμα και για τους πιο έμπειρους χρήστες. Επιπρόσθετα, ασαφείς οδηγίες και λανθασμένη αντίληψη των επιπέδων ιδιωτικότητας που εφαρμόζουν οι χρήστες μπορούν να οδηγήσουν σε σοβαρές παραβιάσεις ιδιωτικότητας. Σε αυτήν τη διατριβή, εξετάσαμε την ιδιωτικότητα στα κοινωνικά δίκτυα τόσο από την οπτική του τελικού χρήστη όσο και από εκείνη του παρόχου υπηρεσιών κοινωνικής δικτύωσης. Πραγματοποιήσαμε μελέτες χρηστών προκειμένου να αξιολογήσουμε την καταλληλόλητα και την επάρκεια των εκάστοτε ρυθμίσεων προστασίας της ιδιωτικότητας που προσφέρουν τα κοινωνικά δίκτυα. Διαπιστώσαμε ότι τα επίπεδα προστασίας της ιδιωτικότητας που παρέχονται ως προεπιλογή από τον πάροχο κοινωνικής δικτύωσης, χρόνο με το χρόνο τείνουν να απενεργοποιήσουν κάθε ίχνος ιδιωτικότητας των προσωπικών δεδομένων, αφού πολλαπλοί τύποι δεδομένων που αναρτώνται στα κοινωνικά δίκτυα είναι δημόσια προσβάσιμοι, χωρίς περιορισμούς. Επίσης, αξίζει να σημειωθεί ότι η χρηστικότητα των ρυθμίσεων προστασίας της ιδιωτικότητας στα κοινωνικά δίκτυα είναι χαμηλή. Ταυτόχρονα, η πολυπλοκότητα των επιλογών αυτών φαίνεται να δημιουργεί αποκλίσεις μεταξύ του επιπέδου ιδιωτικότητας που επιθυμούν να εφαρμόσουν οι χρήστες σε σχέση με αυτό που τελικά εφαρμόζεται.Στη συνέχεια, αξιολογήσαμε και αποτιμήσαμε τον κίνδυνο παραβίασης της ιδιωτικότητας που προκύπτει από συνήθεις ενέργειες χρηστών στα κοινωνικά δίκτυα, προκειμένου οι χρήστες των κοινωνικών δικτύων να ενημερωθούν, να ευαισθητοποιηθούν και κατ’ επέκταση να μπορούν να αντιμετωπίσουν πιο ώριμα τον κίνδυνο, καθώς επίσης να αποκτήσουν κίνητρο ενεργού συμμετοχής στη διαχείριση ιδιωτικότητας των προσωπικών τους δεδομένων. Προς τούτο, εφαρμόσαμε μεθόδους αποτίμησης κινδύνου, ενώ παράλληλα προτείναμε τη χρήση εργαλείων οπτικοποίησης των αποτελεσμάτων, προκειμένου να προσφέρουμε ρεαλιστική αντίληψη των επιπέδων του κινδύνου παραβίασης της ιδιωτικότητας στους χρήστες. Παρόλο που η οπτικοποίηση των αποτελεσμάτων αποτίμησης του κινδύνου παραβίασης της ιδιωτικότητας μπορεί να αφυπνίσει τους χρήστες, κάνοντάς τους να αλλάξουν στάση απέναντι στον κίνδυνο που απειλεί την ιδιωτικότητα των διαμοιραζόμενων δεδομένων τους, στρατηγικές μείωσης του κινδύνου πρέπει να ακολουθηθούν ακόμα και από τους τελικούς χρήστες, αναθέτοντάς τους έτσι ηγετικό ρόλο στη λήψη αποφάσεων σχετικά με τη διαχείριση της ιδιωτικότητας των προσωπικών τους δεδομένων. Προς τούτο, διαμορφώσαμε προτάσεις διαχείρισης αυτών των κινδύνων από την πλευρά του τελικού χρήστη. Από την οπτική του παρόχου, διερευνήσαμε το βαθμό συμμόρφωσης των πολιτικών προστασίας της ιδιωτικότητας των κοινωνικών δικτύων με σχετικές κανονιστικές απαιτήσεις. Διαπιστώσαμε σημαντικές αποκλίσεις, για τη μερική τουλάχιστον άρση των οποίων προτείναμε μία κοινή δομή πολιτικών προστασίας της ιδιωτικότητας, βασισμένη στον κύκλο ζωής προσωπικών δεδομένων.