大家讀完覺得有幫助記得關(guān)注和點贊摘要移動操作系統(tǒng)提供了運行時權(quán)限系統(tǒng)旨在改善用戶對敏感數(shù)據(jù)訪問的控制。然而默認(rèn)或預(yù)裝的移動應(yīng)用通常更深入地嵌入系統(tǒng)可以以高權(quán)限運行且用戶無法對其進(jìn)行審查。當(dāng)前的權(quán)限模型通常允許在應(yīng)用會話活躍期間以持久或臨時狀態(tài)授予訪問權(quán)限但不會區(qū)分應(yīng)用的不同功能。因此用戶可能在對自己在何時以及為何訪問某些信息知之甚少的情況下進(jìn)行授權(quán)。本文提出了一種上下文敏感且面向用戶的權(quán)限治理系統(tǒng)以增強默認(rèn)移動應(yīng)用中的隱私管理。該框架提出了一種基于功能的授權(quán)選項稱為“需要時允許”該選項僅允許需要訪問數(shù)據(jù)的功能訪問數(shù)據(jù)而非整個應(yīng)用會話。我們創(chuàng)建了一個加權(quán)評分系統(tǒng)以確定用戶所做選擇的隱私影響該系統(tǒng)基于權(quán)限的敏感性和授權(quán)類型。為了模擬六種常用默認(rèn)應(yīng)用類型中的30種真實權(quán)限請求情境我們建立了一個基于Web的仿真平臺以便在本機實現(xiàn)之前進(jìn)行受控的早期評估。評估方法采用探索性方法通過一項包含104名受訪者的橫截面調(diào)查來測試有關(guān)默認(rèn)應(yīng)用的隱私意識和行為并輔以包含八名受訪者的形成性可用性測試以測試與原型系統(tǒng)的交互。調(diào)查結(jié)果顯示并非所有用戶都會詳細(xì)考慮默認(rèn)應(yīng)用權(quán)限他們更希望在采用之前以更具上下文感知的方式進(jìn)行解釋。這些發(fā)現(xiàn)提供了初步證據(jù)表明上下文感知的權(quán)限治理可以在權(quán)限交互過程中提高用戶的理解和決策清晰度。鑒于專門針對默認(rèn)移動應(yīng)用的以用戶為中心的評估的可用性有限本研究采用探索性仿真方法作為在原生移動部署之前研究功能級授權(quán)和隱私反饋機制的適當(dāng)?shù)谝徊健ｊP(guān)鍵詞手機隱私網(wǎng)絡(luò)安全默認(rèn)移動應(yīng)用用戶隱私意識權(quán)限濫用上下文感知授權(quán)權(quán)限管理1 引言手機現(xiàn)已成為通信、導(dǎo)航、信息獲取、醫(yī)療保健和日常數(shù)字交易的重要計算設(shè)備。其中大部分功能是通過操作系統(tǒng)附帶的默認(rèn)移動應(yīng)用實現(xiàn)的包括瀏覽器、消息應(yīng)用、地圖、相機、電話服務(wù)和健康工具。這些默認(rèn)應(yīng)用通常需要請求訪問敏感資源的權(quán)限如位置、麥克風(fēng)、相機、聯(lián)系人、存儲和通知以提供這些服務(wù)。雖然這種訪問方式促進(jìn)了便利性和可用性但也帶來了隱私威脅因為這些訪問可能不易被用戶看到、限制和理解。Felt等人研究了用戶對移動平臺的注意力和理解并報告稱用戶通常難以準(zhǔn)確評估與應(yīng)用權(quán)限相關(guān)的隱私影響Felt等人2012。移動操作系統(tǒng)試圖通過基于權(quán)限的訪問控制機制來緩解這些風(fēng)險該機制允許用戶授予或拒絕應(yīng)用訪問受保護(hù)系統(tǒng)資源的權(quán)限。隨著時間的推移這些系統(tǒng)已從安裝時權(quán)限模型發(fā)展為運行時權(quán)限系統(tǒng)允許用戶在應(yīng)用使用過程中做出授權(quán)決策。Wijesekera等人證明權(quán)限決策取決于訪問發(fā)生的上下文強調(diào)了上下文相關(guān)且易于理解的權(quán)限提示的重要性Wijesekera等人2015。盡管有這些改進(jìn)現(xiàn)有的權(quán)限系統(tǒng)主要還是在應(yīng)用或會話級別而非功能級別運行。一旦授予權(quán)限即使需要該權(quán)限的特定功能不再活動訪問權(quán)限也可能在整個應(yīng)用會話期間持續(xù)存在。Mendes等人進(jìn)行了一項實地研究考察了用戶對移動應(yīng)用隱私的期望發(fā)現(xiàn)許多權(quán)限訪問的發(fā)生方式出乎用戶意料導(dǎo)致用戶期望與系統(tǒng)行為之間存在差異Mendes等人2022。隱私問題對于默認(rèn)或預(yù)裝的移動應(yīng)用尤其重要它們深度集成到操作系統(tǒng)中并且相較于第三方應(yīng)用通常獲得更高水平的用戶隱性信任。Ozbay和Bicakci提出了一種針對預(yù)裝Android應(yīng)用的安全和隱私風(fēng)險評分模型并觀察到此類應(yīng)用可能以特權(quán)訪問運行同時受到的用戶審查少于從官方應(yīng)用商店下載的應(yīng)用?zbay和B??akc?2024。類似地Sutter等人分析了Android設(shè)備的固件鏡像并證明預(yù)裝應(yīng)用可能包含嵌入的第三方組件并在有利的系統(tǒng)條件下運行這可能使用戶難以監(jiān)控或評估其行為Sutter和Tellenbach2023。本文提出了一種專門針對默認(rèn)移動應(yīng)用的上下文感知、以用戶為中心的權(quán)限治理框架在這些應(yīng)用中盡管權(quán)限行為與操作系統(tǒng)服務(wù)更深地集成但對用戶而言卻往往不太可見。與在整個應(yīng)用會話期間維持訪問的傳統(tǒng)運行時權(quán)限方法不同所提出的框架引入了一種稱為“需要時允許”的功能級授權(quán)選項該選項將權(quán)限訪問限制在需要它的特定功能上而非整個應(yīng)用執(zhí)行期間。此外該框架還包含一個加權(quán)隱私評分模型該模型提供關(guān)于跨交互場景的重復(fù)權(quán)限決策所導(dǎo)致的累積暴露的可解釋反饋。此評分機制旨在在授權(quán)過程中支持用戶意識而非強制執(zhí)行系統(tǒng)級策略限制。由于修改原生移動操作系統(tǒng)超出了本研究的范圍所提出的方法是通過基于Web的仿真平臺實現(xiàn)和評估的以便在原生移動部署之前進(jìn)行受控的早期評估從而模擬默認(rèn)應(yīng)用中的真實權(quán)限請求場景。評估包括一項涉及104名參與者的橫截面調(diào)查以考察用戶對默認(rèn)應(yīng)用權(quán)限的意識和行為模式并結(jié)合了與八名參與者的形成性可用性測試以探索用戶在受控權(quán)限請求場景中如何解釋和交互功能級授權(quán)及隱私反饋機制。本工作的貢獻(xiàn)有三方面?zhèn)戎赜趯δJ(rèn)移動應(yīng)用的以用戶為中心的權(quán)限治理機制進(jìn)行探索性評估一個針對默認(rèn)移動應(yīng)用定制的基于功能的權(quán)限治理模型將授權(quán)決策與單個功能交互而非應(yīng)用會話相關(guān)聯(lián)。一個累積隱私評分機制旨在提供關(guān)于跨應(yīng)用場景的重復(fù)權(quán)限決策相關(guān)相對暴露的可解釋反饋。一個基于仿真的實現(xiàn)和探索性實證評估考察功能級授權(quán)結(jié)構(gòu)如何在權(quán)限交互期間影響用戶的意識和決策行為。本文的其余部分組織如下。第2節(jié)回顧了關(guān)于移動權(quán)限和上下文感知授權(quán)的相關(guān)工作。第3節(jié)介紹了所提出的框架和仿真設(shè)計。第4節(jié)報告了評估方法和結(jié)果。第5節(jié)討論了影響和局限性第6節(jié)總結(jié)了本文。2 文獻(xiàn)綜述2.1 移動權(quán)限模型與運行時控制移動操作系統(tǒng)中存在運行時權(quán)限框架用于控制對位置、相機、麥克風(fēng)和存儲等敏感資源的訪問。根據(jù)Android開發(fā)者文檔最新的Android操作系統(tǒng)提供了諸如“一次性訪問”和“僅在使用應(yīng)用時允許”等選項旨在減少持續(xù)的數(shù)據(jù)暴露Android Developers2026。這些機制代表了從早期安裝時權(quán)限模型向更具交互性的用戶控制的轉(zhuǎn)變。盡管有了這些改進(jìn)用戶控制仍然大多停留在應(yīng)用或會話級別。Mendes等人進(jìn)行了一項實地研究考察了用戶在真實場景中權(quán)限請求期間的期望發(fā)現(xiàn)相當(dāng)一部分權(quán)限訪問是用戶未預(yù)料到的這揭示了用戶意圖與系統(tǒng)行為之間的差異Mendes等人2022。當(dāng)授予一個功能的權(quán)限在整個應(yīng)用會話中持續(xù)存在時這種持久性問題尤為突出。2.2 用戶意識與權(quán)限決策行為權(quán)限治理高度依賴于用戶意識。Prange等人對Android用戶對已授予權(quán)限的意識進(jìn)行了調(diào)查發(fā)現(xiàn)相當(dāng)大比例的受訪者未能正確識別哪些權(quán)限已授予其安裝的應(yīng)用Prange等人2024。這意味著在日常使用手機時權(quán)限狀態(tài)往往會變得模糊。決策也受到權(quán)限解釋質(zhì)量的影響。Elbitar等人證明權(quán)限理由的具體措辭及其呈現(xiàn)方式在塑造用戶決策及其對決策的信念方面起著至關(guān)重要的作用Elbitar等人2025。他們的結(jié)果支持這樣一種觀點即權(quán)限系統(tǒng)不僅是技術(shù)控制也是溝通其中清晰度和上下文決定了用戶行為。Wu等人也深入探討了用戶關(guān)于權(quán)限的不適感如何取決于物理環(huán)境和活動Wu等人2025。他們的發(fā)現(xiàn)表明用戶對隱私風(fēng)險的感知是情境化的因此可以認(rèn)為靜態(tài)或基于會話的權(quán)限模型不足以描述用戶動態(tài)的期望。2.3 細(xì)粒度和上下文感知的強制方法認(rèn)識到粗粒度權(quán)限模型的缺點后各種研究者考慮了上下文敏感和細(xì)粒度的強制系統(tǒng)。Guerra等人提出了RPCDroid一個運行時分析系統(tǒng)它將可識別的危險權(quán)限使用與特定的UI事件相關(guān)聯(lián)從而可以在同一應(yīng)用內(nèi)識別不同的訪問上下文Guerra等人2023。他們的貢獻(xiàn)提醒我們注意在一個功能中適合允許的權(quán)限在另一個功能中可能被過度允許。同樣Malviya等人提出了DROIDGEM它根據(jù)用戶或系統(tǒng)事件在特定應(yīng)用的每個功能級別上對權(quán)限使用進(jìn)行分類Malviya等人2023。這種策略有助于在每個功能的基礎(chǔ)上解釋權(quán)限訪問特征而不是將應(yīng)用作為一個整體。最近Milanese等人測試了一個基于LLM的權(quán)限解釋模型該模型利用UI上下文來幫助用戶做出決策M(jìn)ilanese等人2025。他們的文章明確指出現(xiàn)有的移動平臺基于應(yīng)用級別而非特定功能來設(shè)置權(quán)限因此更細(xì)粒度的治理模型是有用的。2.4 默認(rèn)和預(yù)裝應(yīng)用中的隱私問題默認(rèn)和預(yù)裝應(yīng)用由于其對操作系統(tǒng)的深度訪問和部署期間的特殊權(quán)限存在獨特的隱私問題。Sutter等人通過一種非可執(zhí)行、大規(guī)模且無偏的方法分析了大型企業(yè)的固件鏡像揭示了預(yù)裝的Android應(yīng)用可能包含大量的第三方縮寫并在有利條件下運行Sutter和Tellenbach2023。這些屬性可能使用戶監(jiān)控變得復(fù)雜。Ozbay和Bicakci提出了一個評分系統(tǒng)來評估預(yù)裝Android應(yīng)用的隱私和安全風(fēng)險并指出預(yù)裝應(yīng)用相較于從官方商店下載的第三方應(yīng)用往往受到的審查較少?zbay和B??akc?2024。對新興市場移動設(shè)備的創(chuàng)新性分析也記錄了與捆綁軟件安排和權(quán)限設(shè)置相關(guān)的隱私暴露。盡管平臺供應(yīng)商仍在加強特權(quán)權(quán)限限制例如在最新版Android中允許列出簽名權(quán)限但這些更改大多發(fā)生在系統(tǒng)級別。它們未能直接解決用戶在日常使用默認(rèn)應(yīng)用時如何體驗和解釋權(quán)限決策的問題。2.5 權(quán)限濫用、生態(tài)系統(tǒng)演變與設(shè)計影響的設(shè)計啟示近期工作也表明權(quán)限問題不僅是用戶界面問題也是生態(tài)系統(tǒng)演變問題。Wang等人研究了與Android運行時權(quán)限相關(guān)的錯誤并發(fā)現(xiàn)這些錯誤在大量應(yīng)用中很常見當(dāng)權(quán)限被撤銷或權(quán)限規(guī)范在Android版本間發(fā)生變化時可能導(dǎo)致意外行為。這一論點提出了一個實際問題即盡管平臺上的控制機制可能得到增強但由于跨平臺和操作系統(tǒng)版本的實際實現(xiàn)情況實際使用可能不符合用戶意圖Wang等人2022。在生態(tài)系統(tǒng)層面Alkinoon等人檢查了多年來跨應(yīng)用類型的權(quán)限使用趨勢并發(fā)現(xiàn)權(quán)限請求模式隨時間變化權(quán)限集的共現(xiàn)可以揭示重要的隱私影響。這強調(diào)了需要能被消費者理解的治理方法以及能夠承受應(yīng)用更新帶來的變化的方法Alkinoon等人2025。在開發(fā)者方面Tahaei等人比較了開發(fā)者和最終用戶對權(quán)限的看法并發(fā)現(xiàn)開發(fā)者可能因為不理解權(quán)限范圍或因為第三方庫要求而請求更實質(zhì)性的權(quán)限而用戶通常將提示解釋為必需。這種聯(lián)系的失敗有助于我們理解為什么用戶即使在當(dāng)代運行時權(quán)限系統(tǒng)中仍會遇到不適當(dāng)?shù)恼埱蟛⒓ぐl(fā)了將授權(quán)更清晰地鏈接到特定功能需求而非整個應(yīng)用廣泛訪問的策略Tahaei等人2023。2.6 上下文提示、理性推理與權(quán)限疲勞除了意識權(quán)限授予的時間和方式也影響決策質(zhì)量。Harbach等人對設(shè)備上權(quán)限提示的大規(guī)模靜默進(jìn)行了研究并證明減少不必要的干擾可以在不消除用戶控制的情況下改善用戶體驗。盡管他們的上下文是瀏覽器權(quán)限但其背后的機制適用于移動權(quán)限治理的背景因為它展示了過度提示與有意義同意之間的沖突Harbach等人2024。Elbitar等人對權(quán)限理由進(jìn)行了詳細(xì)研究并評估了理由措辭在確定用戶選擇和感知控制方面的有效性。他們的結(jié)果證實了一個實際的設(shè)計需求即權(quán)限提示應(yīng)傳達(dá)即時的目的和上下文特別是當(dāng)用戶無法將權(quán)限提示關(guān)聯(lián)到特定功能時。這類似于上下文錨定授權(quán)其中除了用戶正在執(zhí)行的操作外還提供解釋而不是應(yīng)用可以做什么Elbitar等人2025。2.7 UI上下文與權(quán)限之間的細(xì)粒度映射越來越多的文獻(xiàn)試圖將權(quán)限與引發(fā)資源訪問的特定交互情境聯(lián)系起來。Guerra等人提出了動態(tài)分析工具RPCDroid它將基于UI的事件與訪問敏感資源的權(quán)限相關(guān)聯(lián)并證明應(yīng)用可以在不同的用戶交互下使用相同的敏感資源。這支持了一個主要假設(shè)即單一的會話級授權(quán)可能過于寬泛因為用戶可能意圖授予一個功能而非同一會話窗口內(nèi)使用相同會話的其他功能Guerra等人2023。Milanese等人研究了大型語言模型可以根據(jù)UI屏幕上下文確定權(quán)限請求的適當(dāng)性實質(zhì)上將屏幕視為活動功能的證據(jù)。他們的發(fā)現(xiàn)證實了功能感知權(quán)限判斷的可行性并為將授權(quán)限制在活動功能的治理方案形式提供了外部驗證Milanese等人2025。獨立地Hu等人提出了一種LLM驅(qū)動的Android框架中API權(quán)限映射發(fā)現(xiàn)方法其動機也是觀察到不完整或過時的權(quán)限映射可能導(dǎo)致錯誤的權(quán)限聲明語句。雖然這項工作旨在找到正確答案但它適用于用戶治理因為錯誤的權(quán)限聲明使得即使UI設(shè)計良好面向用戶的決策也變得毫無意義Hu等人2025。2.8 軟件和固件級別的默認(rèn)透明度對于默認(rèn)和預(yù)裝應(yīng)用透明度需要的不僅僅是應(yīng)用商店級別的分析還需要固件級別的可見性。Sutter等人引入了FirmwareDroid對預(yù)裝的Android軟件進(jìn)行大規(guī)模提取和靜態(tài)分析以恢復(fù)設(shè)備上預(yù)裝內(nèi)容的透明度以及嵌入式軟件組件的行為。這闡明了一個觀點即默認(rèn)應(yīng)用在治理方面應(yīng)被特殊對待因為它們的存在和行為可能更難通過常規(guī)工具監(jiān)控或消除Sutter和Tellenbach2023。Diallo等人探討了低成本設(shè)備上的預(yù)裝Android應(yīng)用并討論了價格極低的手機如何成為隱私侵犯功能的分布渠道尤其是在此類手機廣泛普及的地區(qū)。這進(jìn)一步啟發(fā)了不預(yù)設(shè)應(yīng)用商店檢查的權(quán)限治理設(shè)計即使在應(yīng)用是設(shè)備環(huán)境的默認(rèn)組成部分時也能良好運行Diallo等人2025。2.9 權(quán)限暴露與行為漂移的實證測量大規(guī)模實證研究仍然證明了現(xiàn)代移動生態(tài)系統(tǒng)中權(quán)限暴露的復(fù)雜性。Ren等人調(diào)查了移動流量中基于網(wǎng)絡(luò)的個人信息泄露并證明即使合法應(yīng)用傳輸個人信息時泄露也可能發(fā)生但其形式對用戶來說并不直觀Ren等人2016。雖然這些概念在技術(shù)上適用于默認(rèn)應(yīng)用但更廣泛地說這項工作指出了將感知到的權(quán)限授予與現(xiàn)實下游數(shù)據(jù)流匹配的問題。Calciati和Gorla使用縱向研究檢查了Android應(yīng)用的更新并指出權(quán)限請求隨時間趨于擴大特別是在主要功能發(fā)布之后Calciati和Gorla2017。這種演變趨勢使用戶管理更加復(fù)雜因為為有限功能發(fā)出的授權(quán)后來可能擴展到新行為。Prange等人在一項實地研究中考察了用戶對Android隱私權(quán)限的意識和控制并發(fā)現(xiàn)撤銷通常發(fā)生在爆發(fā)期主要影響不常用的應(yīng)用或?qū)诵墓δ芊潜匦璧臋?quán)限Prange等人2024。這種做法進(jìn)一步支持了可能需要考慮其他回顧性審查機制的論點。2.10 自適應(yīng)隱私控制與決策支持系統(tǒng)已有若干研究論文致力于幫助用戶做出權(quán)限決策的自適應(yīng)系統(tǒng)。Olejnik等人提出的上下文推薦機制利用用戶先前的決策來推斷未來的授權(quán)偏好Olejnik等人2017。他們的發(fā)現(xiàn)表明自適應(yīng)系統(tǒng)能夠在不破壞用戶自主權(quán)的情況下減少認(rèn)知負(fù)荷。同樣Wijesekera等人比較了基于上下文元數(shù)據(jù)和用戶交互歷史做出權(quán)限適當(dāng)性決策的機器學(xué)習(xí)模型Wijesekera等人2017。這些系統(tǒng)在架構(gòu)上也不同于功能級授權(quán)但具有相同的目標(biāo)縮小請求內(nèi)容與用戶期望之間的距離。最近Liu等人發(fā)現(xiàn)其個性化隱私助手提出的建議中有78.7%被采納且參與者認(rèn)為該助手及其建議有用且可用Liu等人2016。這推動了將可解釋性與強制執(zhí)行相結(jié)合的需求。2.11 透明度機制與平臺治理平臺級透明度的工具也在發(fā)展。Prange等人發(fā)現(xiàn)大多數(shù)參與者曾使用過Android的權(quán)限管理器但通常每月少于一次而大多數(shù)Android 12參與者未使用過或不知道隱私儀表板Prange等人2024。這與過去的證據(jù)一致即意識不一定轉(zhuǎn)化為長期的治理行為。Apple應(yīng)用隱私標(biāo)簽也以類似方式被評估。根據(jù)Xiao等人某些類型的應(yīng)用中披露的數(shù)據(jù)實踐與觀察到的網(wǎng)絡(luò)行為之間存在差距Xiao等人2023。基于這些結(jié)果我們可以得出結(jié)論聲明性的透明度機制不足以確保有意義的控制。2.12 研究空白與本研究的定位近期研究工作也在通過運行時控制、上下文解釋和權(quán)限使用的細(xì)粒度分析來增強移動權(quán)限系統(tǒng)方面取得了顯著進(jìn)展。過去關(guān)于移動權(quán)限系統(tǒng)的工作也涵蓋了上下文感知授權(quán)機制、功能級權(quán)限映射、自適應(yīng)決策支持系統(tǒng)以及在權(quán)限交互過程中協(xié)助用戶的其他方面?？傮w而言過去所有關(guān)于移動權(quán)限系統(tǒng)的工作都表明權(quán)限交互與用戶期望在上下文相關(guān)性方面密切相關(guān)。然而過去關(guān)于移動權(quán)限系統(tǒng)的工作在面向用戶的權(quán)限治理方面存在某些限制。首先過去的大部分工作更側(cè)重于系統(tǒng)級或開發(fā)者級的權(quán)限分析、權(quán)限檢測或權(quán)限決策支持。因此對面向用戶的權(quán)限治理關(guān)注較少。其次盡管細(xì)粒度權(quán)限分析是過去關(guān)于移動權(quán)限系統(tǒng)工作的一部分但在將權(quán)限治理與面向用戶的權(quán)限授權(quán)功能集成方面關(guān)注較少。第三默認(rèn)或預(yù)裝的移動應(yīng)用盡管具有更高的權(quán)限和普及性但在面向用戶的權(quán)限治理結(jié)構(gòu)方面仍然是一個未探索的領(lǐng)域。本研究旨在通過開發(fā)一個面向用戶的權(quán)限治理模型來填補已識別的研究空白該模型在統(tǒng)一的交互模型中包含三個組成部分即通過“需要時允許”選項實現(xiàn)的功能級權(quán)限治理、與功能交互相關(guān)聯(lián)的上下文權(quán)限解釋以及旨在向用戶提供關(guān)于其與權(quán)限治理框架交互的可解釋反饋的累積隱私評分。當(dāng)前研究的新穎之處不在于開發(fā)新的系統(tǒng)級強制執(zhí)行機制而在于開發(fā)一個面向默認(rèn)移動應(yīng)用的統(tǒng)一用戶交互模型。考慮到在移動操作系統(tǒng)中直接實現(xiàn)此類權(quán)限治理結(jié)構(gòu)的挑戰(zhàn)當(dāng)前研究旨在提供一種替代的基于仿真的方法來理解用戶與功能級權(quán)限治理結(jié)構(gòu)的交互以期理解此類結(jié)構(gòu)如何在與權(quán)限治理框架的交互中影響用戶意識。3 方法3.1 研究方法本文采用系統(tǒng)設(shè)計和用戶評估技術(shù)來分析默認(rèn)移動應(yīng)用中的隱私控制措施。研究包括創(chuàng)建一個基于Web的仿真系統(tǒng)部署一個情境感知的權(quán)限治理模型并通過調(diào)查數(shù)據(jù)收集和形成性可用性測試進(jìn)行探索性實證評估。方法學(xué)設(shè)計的目的是確定在受控權(quán)限請求場景中功能級授權(quán)和隱私評分反饋對用戶意識和決策行為的影響。整體研究過程涉及并行數(shù)據(jù)收集和系統(tǒng)開發(fā)階段。調(diào)查數(shù)據(jù)用于考察用戶意識和行為模式同時開發(fā)仿真平臺以在受控場景中評估功能級授權(quán)。研究工作流程如圖1所示。圖1研究設(shè)計與數(shù)據(jù)收集工作流程概述圖描述一個流程圖顯示研究階段目標(biāo)定義、系統(tǒng)開發(fā)、調(diào)查、可用性測試和數(shù)據(jù)流。如圖1所示調(diào)查分析為解釋用戶行為模式提供了信息而模擬場景數(shù)據(jù)集則用于在仿真環(huán)境中構(gòu)建真實的權(quán)限交互。3.2 系統(tǒng)設(shè)計與實現(xiàn)仿真平臺是一個基于Web的應(yīng)用程序旨在表示默認(rèn)移動應(yīng)用中常見的權(quán)限交互。該系統(tǒng)的開發(fā)方式使其能夠模仿真實的權(quán)限請求提示并能以結(jié)構(gòu)化方式比較授權(quán)選項。該系統(tǒng)包含一個負(fù)責(zé)呈現(xiàn)預(yù)定義應(yīng)用任務(wù)的場景模塊、一個提供四種授權(quán)選項的權(quán)限決策界面、一個更新累積暴露指標(biāo)的隱私評分模塊以及一個為評估目的記錄用戶交互的數(shù)據(jù)記錄組件?；赪eb的仿真平臺的內(nèi)部架構(gòu)包括后端邏輯層、前端界面層、加密處理模塊和集成機制。組件之間的結(jié)構(gòu)關(guān)系如圖2所示。圖2系統(tǒng)架構(gòu)與組件集成圖描述一個架構(gòu)圖顯示后端Python/Flask、前端HTML/CSS/JS、加密AES和集成機制。后端使用Python和Flask實現(xiàn)前端使用HTML、CSS和JavaScript加密操作通過Python密碼庫使用AES處理。這些組件被集成以確保場景執(zhí)行和用戶交互日志記錄的安全和結(jié)構(gòu)化處理。3.3 權(quán)限選項與功能級授權(quán)仿真平臺為每次權(quán)限請求提供四種授權(quán)選擇“不允許”、“僅在使用應(yīng)用時允許”、“需要時允許”和“始終允許”。“需要時允許”選項代表了本研究中提出的功能級授權(quán)機制。此選項是一個概念上的限制與在應(yīng)用會話期間保持權(quán)限訪問的基于會話的授權(quán)形成對比。圖3仿真界面中的權(quán)限授權(quán)選項[圖描述顯示四個授權(quán)按鈕不允許、僅在使用應(yīng)用時允許、需要時允許、始終允許的截圖。]圖3展示了每次模擬權(quán)限請求期間向用戶呈現(xiàn)的四種授權(quán)選項。3.4 隱私評分機制應(yīng)用了一個直接的數(shù)學(xué)模型來衡量權(quán)限決策的影響。每次權(quán)限交互根據(jù)所請求權(quán)限的敏感性權(quán)重和所選授權(quán)的動作修飾符計算分?jǐn)?shù)變化。分?jǐn)?shù)更新機制定義為(1) 分?jǐn)?shù)變化 權(quán)限權(quán)重 × 動作修飾符累積隱私分?jǐn)?shù)在每次場景交互后連續(xù)更新。評分系統(tǒng)旨在在仿真環(huán)境中提供相對反饋并代表各種授權(quán)選項下的相對隱私暴露。該模型并非絕對的隱私風(fēng)險而是作為評估指標(biāo)以幫助用戶在進(jìn)行交互時提高意識。3.5 場景構(gòu)建為測試該框架基于與默認(rèn)移動應(yīng)用的常見交互創(chuàng)建了結(jié)構(gòu)化的權(quán)限場景。選擇了六種默認(rèn)應(yīng)用進(jìn)行場景構(gòu)建包括瀏覽器、消息、地圖、相機、健康和電話。每個應(yīng)用以5個基于任務(wù)的場景為特征共構(gòu)成30次模擬權(quán)限交互。每個場景包括一個功能任務(wù)描述、相關(guān)的權(quán)限請求、四種授權(quán)選項以及描述訪問理由的上下文解釋。場景集的創(chuàng)建旨在涵蓋選定的敏感權(quán)限如位置訪問、麥克風(fēng)、相機、聯(lián)系人訪問、存儲訪問和通知權(quán)限。所構(gòu)建的場景側(cè)重于由用戶與應(yīng)用功能的顯式交互觸發(fā)的前臺權(quán)限請求而后臺或被動權(quán)限訪問行為未包含在基于模擬器的評估范圍內(nèi)。3.6 調(diào)查設(shè)計與數(shù)據(jù)收集為測試用戶關(guān)于默認(rèn)移動應(yīng)用權(quán)限的意識、信任感知和行為模式進(jìn)行了一項橫截面調(diào)查。該調(diào)查在線進(jìn)行共收到104份有效回復(fù)。問卷包含人口統(tǒng)計信息、設(shè)備使用習(xí)慣、審查批準(zhǔn)的習(xí)慣、對默認(rèn)應(yīng)用的信任程度以及對描述性權(quán)限解釋的偏好。問卷包含封閉式和開放式問題。未收集任何個人身份信息。3.7 參與者人口統(tǒng)計分析了調(diào)查參與者的人口統(tǒng)計特征以支持對權(quán)限意識和行為響應(yīng)模式的解釋。共獲得104份有效回復(fù)用戶來自多個年齡組對智能手機隱私設(shè)置的熟悉程度各不相同。大多數(shù)受訪者79人年齡在18至24歲之間其次是25-30歲13人、18歲以下5人、35-44歲4人和45-54歲3人。該分布反映了積極參與智能手機使用并代表常見移動應(yīng)用用戶的參與者群體。圖4參與者年齡分布[圖描述一個餅圖顯示主要年齡組為18-24歲。]在隱私設(shè)置熟悉度方面60名參與者表示非常熟悉管理權(quán)限控制36名參與者表示有基本了解8名參與者表示熟悉度有限。這種差異性支持了跨不同技術(shù)信心水平的用戶評估。圖5參與者的技術(shù)專長[圖描述顯示非常熟悉、基本熟悉和有限熟悉的條形圖。]在設(shè)備生態(tài)系統(tǒng)代表性方面57名參與者報告使用Android設(shè)備52名報告使用iOS設(shè)備1名參與者報告使用兩種平臺1名參與者報告使用功能手機。納入跨主要移動操作系統(tǒng)的參與者加強了與權(quán)限意識和交互行為相關(guān)發(fā)現(xiàn)的普適性。圖6設(shè)備生態(tài)系統(tǒng)代表性[圖描述顯示Android、iOS和兩者兼有的條形圖。]3.8 評估程序評估旨在評估在受控環(huán)境中用戶的意識、行為模式以及與功能級權(quán)限治理的交互。鑒于先前缺乏專門針對默認(rèn)移動應(yīng)用中權(quán)限治理的以用戶為中心的評估框架采用探索性設(shè)計作為適當(dāng)?shù)牡谝徊?。因此分析?cè)重于識別可觀察的趨勢和可用性見解而非建立實際的因果關(guān)系或統(tǒng)計上可推廣的結(jié)論。調(diào)查數(shù)據(jù)使用描述性統(tǒng)計方法如頻率分布和基于百分比的匯總進(jìn)行分析以表征用戶意識、權(quán)限審查行為、信任感知和對上下文解釋的偏好。選擇此方法是為了提供對與默認(rèn)移動應(yīng)用權(quán)限相關(guān)的用戶態(tài)度和行為傾向的初步理解。與此同時與八名參與者進(jìn)行了形成性可用性測試以考察用戶如何解釋和交互所提出的授權(quán)模型和隱私評分機制?？捎眯匝芯恐荚谧鳛樾纬尚栽u估旨在識別交互模式、可用性挑戰(zhàn)以及用戶對功能級授權(quán)的解釋而非提供統(tǒng)計上可推廣的結(jié)果。會議側(cè)重于對用戶行為的定性觀察包括對權(quán)限提示的理解、對“需要時允許”選項的解釋以及對累積隱私反饋的響應(yīng)。使用基于Web的仿真平臺能夠在不同應(yīng)用上下文中受控地呈現(xiàn)權(quán)限場景確保評估期間交互條件的一致性。然而這些發(fā)現(xiàn)應(yīng)被解釋為初步的因為仿真環(huán)境并未完全復(fù)制現(xiàn)實世界的移動使用條件。4 結(jié)果4.1 受訪者概述以下結(jié)果展示了來自104份有效回復(fù)的評估描述性發(fā)現(xiàn)。每位受訪者填寫了與意識、審查行為、信任感知和權(quán)限管理偏好相關(guān)的問卷主要部分。沒有未完成的回答被用于統(tǒng)計報告。4.2 對默認(rèn)應(yīng)用權(quán)限的意識表1顯示了關(guān)于對默認(rèn)或預(yù)裝移動應(yīng)用授予權(quán)限的意識回答的分布。表1對默認(rèn)應(yīng)用權(quán)限的意識 (n 104)回答頻率 (n)百分比 (%)是7572.1否2927.9大多數(shù)受訪者72.1%表示他們知道自己授予設(shè)備上默認(rèn)應(yīng)用的權(quán)限。然而如下文分析所討論的意識并不一定構(gòu)成主動的隱私管理行為。4.3 權(quán)限審查與重訪行為表2顯示了受訪者審查或修改默認(rèn)應(yīng)用權(quán)限的頻率。表2權(quán)限審查頻率 (n 104)審查頻率頻率 (n)百分比 (%)總是更新后43.8經(jīng)常每周87.7有時每月3129.8很少約每6個月4745.2從不1413.5意識水平相當(dāng)高但缺乏一致的審查行為。只有11.5%的受訪者表示會頻繁或定期審查權(quán)限。相比之下58.7%的人表示很少或從不檢查默認(rèn)應(yīng)用權(quán)限。為直觀說明權(quán)限審查行為的分布圖4展示了受訪者報告審查頻率的百分比細(xì)分。圖7受訪者中權(quán)限審查的頻率圖描述一個條形圖顯示“很少”和“從不”占多數(shù)。該可視化強化了回答集中在“很少”和“從不”類別中的觀察結(jié)果支持了用戶中持續(xù)權(quán)限監(jiān)控有限的觀察。表3顯示了應(yīng)用或系統(tǒng)更新前后的重訪行為。表3更新后重訪權(quán)限設(shè)置 (n 104)重訪頻率頻率 (n)百分比 (%)總是32.9有時2423.1很少4038.5從不3735.6超過三分之二的參與者74.1%表示一旦更新他們幾乎不會或從不重訪權(quán)限設(shè)置。這一趨勢表明初始意識與持續(xù)監(jiān)控權(quán)限設(shè)置之間缺乏行為一致性。4.4 對默認(rèn)應(yīng)用的信任與權(quán)限不適感表4總結(jié)了在權(quán)限請求之前和期間對信任感知和所經(jīng)歷不適感的總結(jié)。表4關(guān)于默認(rèn)應(yīng)用的信任與不適感 (n 104)變量回答類別頻率 (n)百分比 (%)信任水平完全信任1918.3有點信任6663.5完全不信任1918.3對某項權(quán)限感到過不適是6461.5否3634.6大多數(shù)受訪者具有中度信任63.5%對默認(rèn)應(yīng)用有中度信任。同時61.5%表示曾對默認(rèn)應(yīng)用請求的某項權(quán)限感到不安。中度信任與報告的不適感的結(jié)合表明在權(quán)限交互過程中用戶感知存在變異性。圖8對默認(rèn)應(yīng)用的信任水平圖描述顯示“有點信任”占多數(shù)的餅圖。圖5提供了報告的對默認(rèn)移動應(yīng)用信任水平的圖形表示。4.5 對上下文解釋和提醒的偏好表5總結(jié)了參與者對權(quán)限管理上下文解釋和提醒機制的偏好。表5對上下文解釋和權(quán)限提醒的偏好變量回答頻率 (n)百分比 (%)上下文解釋會增強舒適感是6093.8提醒或警報會是理想的是8177.9不確定1817.3否11.0百分比是根據(jù)回答該項目的受訪者計算的。絕大多數(shù)受訪者表示上下文解釋將提高他們在授予權(quán)限時的舒適度。類似地大多數(shù)受訪者表示希望有提醒或警報來有效管理默認(rèn)應(yīng)用權(quán)限。這些結(jié)果突顯了用戶重視關(guān)于權(quán)限的主動溝通并偏好能在他們做出任何決定之前提供清晰度的機制。4.6 自我報告的權(quán)限管理信心回答表明用戶在管理默認(rèn)移動應(yīng)用權(quán)限時的信心存在差異。盡管許多參與者確實報告了對權(quán)限設(shè)置的一般意識但這并未一致轉(zhuǎn)化為實時決策過程中的信心。可用性會議的觀察表明不確定性通常在權(quán)限請求發(fā)生時出現(xiàn)特別是當(dāng)訪問的目的和范圍未明確關(guān)聯(lián)到特定功能時。當(dāng)權(quán)限請求與活動任務(wù)直接相關(guān)且反饋機制為其選擇提供了即時可解釋性時參與者表現(xiàn)出更高的信心。這些發(fā)現(xiàn)表明權(quán)限管理的信心不僅受先前對設(shè)置的了解影響還受權(quán)限交互的清晰度和時機影響支持了功能級授權(quán)在減少決策時不確定性的作用。4.7 綜合觀察綜合來看結(jié)果揭示了用戶意識與持續(xù)隱私管理行為之間的重要差距。雖然大部分受訪者報告知道授予默認(rèn)應(yīng)用的權(quán)限但大多數(shù)表示在更新后或日常設(shè)備使用期間很少重訪權(quán)限設(shè)置。這種模式表明意識本身并不轉(zhuǎn)化為一致的隱私保護(hù)行為。同時參與者在沒有足夠解釋的權(quán)限請求出現(xiàn)時表達(dá)了對默認(rèn)應(yīng)用的中度信任以及顯著的不適感。對上下文解釋和提醒機制的強烈偏好進(jìn)一步表明用戶更愿意與提供功能級透明度而非持久會話級授權(quán)的權(quán)限系統(tǒng)交互。這些觀察共同支持了所提出的“需要時允許”框架的動機該框架引入了上下文權(quán)限觸發(fā)器和解釋感知的授權(quán)提示以提高用戶在功能級隱私?jīng)Q策中的參與度。5 討論本研究的結(jié)果表明用戶在默認(rèn)移動應(yīng)用權(quán)限管理方面存在一致的行為模式。大多數(shù)受訪者報告知道授予預(yù)裝應(yīng)用的權(quán)限然而持續(xù)的審查和主動管理這些權(quán)限仍然有限。這表明意識本身并不一定轉(zhuǎn)化為持續(xù)的隱私治理行為。同時盡管對默認(rèn)應(yīng)用整體保持中度信任但相當(dāng)多的受訪者對特定的權(quán)限請求表示不適。這表明用戶的擔(dān)憂并非主要由普遍不信任驅(qū)動而是由對特定情況下權(quán)限訪問的范圍、持續(xù)時間和必要性的不確定性驅(qū)動。參與者對上下文解釋和提醒機制的偏好進(jìn)一步強調(diào)了在決策時刻提供權(quán)限信息的重要性。這些發(fā)現(xiàn)突顯了現(xiàn)有權(quán)限模型與用戶在實踐中解釋和管理授權(quán)決策的方式之間的結(jié)構(gòu)性錯配。本研究中提出的功能級授權(quán)模型旨在通過將權(quán)限激活與單個功能交互相關(guān)聯(lián)而非在整個應(yīng)用會話期間維持訪問來解決這種錯配。盡管評估是在仿真環(huán)境而非原生操作系統(tǒng)實現(xiàn)中進(jìn)行的但研究結(jié)果提供了初步證據(jù)表明上下文敏感的授權(quán)邏輯可能更符合用戶期望并可能改善對隱私相關(guān)決策的感知控制。在解釋這些發(fā)現(xiàn)時應(yīng)考慮本研究的若干局限性。首先結(jié)果部分依賴于自我報告的調(diào)查回答這可能并不總是反映用戶在現(xiàn)實權(quán)限決策中的實際行為。此外雖然樣本量對于描述性行為分析和探索性可用性評估是合適的但更廣泛、更多樣化的參與者群體的驗證將進(jìn)一步增強發(fā)現(xiàn)的普適性。此外完全依賴描述性統(tǒng)計分析限制了得出因果推論或統(tǒng)計上可靠地驗證觀察到的用戶行為差異的能力。另一個限制與使用基于Web的仿真環(huán)境而非在原生移動操作系統(tǒng)內(nèi)部署有關(guān)。由于參與者在受控的實驗環(huán)境中與權(quán)限場景交互他們的決策行為可能受到作為研究一部分被觀察的意識的影響。這種觀察者效應(yīng)可能導(dǎo)致用戶比在日常智能手機使用中更謹(jǐn)慎特別是在涉及敏感數(shù)據(jù)訪問的權(quán)限請求時。未來的工作將涉及在原生移動環(huán)境中實現(xiàn)所提出的框架并使用推斷統(tǒng)計方法進(jìn)行實際受控實驗以評估其在現(xiàn)實條件下對用戶決策和隱私結(jié)果的影響。此外模擬場景主要關(guān)注由用戶與應(yīng)用功能的顯式交互觸發(fā)的前臺權(quán)限請求。然而許多默認(rèn)移動應(yīng)用在用戶未直接感知的情況下執(zhí)行后臺數(shù)據(jù)訪問操作包括被動位置跟蹤、同步過程和系統(tǒng)級遙測收集。這些形式的無形權(quán)限使用代表了隱私暴露的一個重要維度但未包含在當(dāng)前基于仿真器的評估范圍內(nèi)。所提出框架的未來擴展將納入對后臺權(quán)限活動的監(jiān)控機制以支持對默認(rèn)應(yīng)用被動數(shù)據(jù)訪問的更全面保護(hù)。6 結(jié)論本文探討了如何使用功能級授權(quán)來增強默認(rèn)移動應(yīng)用的權(quán)限治理。我們創(chuàng)建了一個在線仿真平臺該平臺包含一個額外的授權(quán)策略“需要時允許”以及一個用于對權(quán)限選擇提供有序反饋的隱私評分系統(tǒng)。在30個模擬權(quán)限條件和104名移動用戶的調(diào)查研究數(shù)據(jù)上對最優(yōu)框架進(jìn)行了測試。研究結(jié)果表明對默認(rèn)應(yīng)用權(quán)限的一般意識是存在的但主動審查的行為并不普遍且在特定權(quán)限被請求時仍存在不適感。這些結(jié)果表明當(dāng)前基于會話的權(quán)限模型可能不足以滿足用戶對訪問范圍和持續(xù)時間的期望。所提出的模型通過將權(quán)限激活限制在單個功能交互上為傳統(tǒng)方法提供了一種更具上下文特定性的替代方案。盡管評估是在受控的仿真環(huán)境中進(jìn)行的但本研究為默認(rèn)移動應(yīng)用中的功能級權(quán)限治理建立了初步的實證和概念基礎(chǔ)。因此與其呈現(xiàn)結(jié)論性的有效性不如說這些發(fā)現(xiàn)突顯了用戶意識、其交互行為以及對上下文授權(quán)機制偏好方面的可觀察趨勢。未來的工作將側(cè)重于在原生移動環(huán)境中實現(xiàn)該框架并應(yīng)用嚴(yán)格的實驗和統(tǒng)計方法來驗證其在現(xiàn)實條件下的影響。