Тёмная сторона эволюции PWA. Станет ли будущее менее приватным?
В нашей предыдущей статье мы обсуждали, почему Progressive Web Apps сегодня являются более приватной альтернативой нативным приложениям. Браузерная «песочница», контекстные разрешения и отсутствие посредников, сильные стороны PWA сегодня.
Будущее PWA кажется менее приватным с увеличением возможностей взаимодействия с устройствами
Но что будет завтра? Эволюция PWA не стоит на месте. Спецификации вроде Project Fugu от Google, Microsoft и других компаний активно работают над тем, чтобы наделить PWA возможностями, которые раньше были эксклюзивной прерогативой нативных приложений. И здесь нас ждет парадокс в том, что по мере того как PWA становятся мощнее, границы их приватности начинают размываться.
1. Стирание границ когда «песочница» дает трещину
Основной принцип безопасности PWA это изолированная среда браузера. Однако новые API бросают вызов этой изоляции.
Доступ к файловой системе. Появление File System Access API огромный шаг вперед для удобства. Но он же представляет и колоссальный риск. Недобросовестное PWA, получив разрешение, может не просто загрузить один файл, а сканировать целые директории, собирая данные о ваших документах, фото и других личных файлах.
Доступ к оборудованию. Будущие API могут предоставить более глубокий доступ к камере (с управлением настройками), микрофону, Bluetooth и датчикам устройства. Вместо безобидного сканирования QR-кода, PWA потенциально сможет постоянно работать в фоне, собирая данные с акселерометра, гироскопа и других сенсоров, создавая ваш цифровой отпечаток.
Чем больше «нативных» возможностей получают PWA, тем больше они начинают походить на те самые нативные приложения, от чьих рисков мы изначально уходили.
2. Усложнение модели разрешений и усталость пользователя
Сегодня модель разрешений в PWA проста и понятна. Но что будет, когда список API расширится до десятков? Пользователя могут начать заваливать сложными и непонятными запросами.
- «Разрешить приложению доступ к корневой папке Документов?»
- «Разрешить приложению получать список подключенных USB-устройств?»
- «Разрешить приложению работать в фоновом режиме и иметь доступ к геолокации?»
Возникнет усталость от разрешений. Как и в случае с нативными приложениями, пользователи начнут механически нажимать «Разрешить», лишь бы убрать всплывающее окно, сводя на нет все преимущества контекстного запроса.
3. Фоновые операции и скрытый сбор данных
Одно из ключевых преимуществ PWA это их тесная связь с вкладкой браузера. Закрыл вкладку - остановил приложение. Однако новые возможности, такие как продвинутый фоновый запуск и обработка данных воркерами (service workers), могут это изменить.
Представьте PWA, которое в фоновом режиме, без вашего ведома
- Продолжает отслеживать вашу геопозицию.
- Слушает окружающие звуки через микрофон (при якобы выключенной функции).
- Собирает данные о других открытых вкладках (через определенные уязвимости или API).
Это превращает PWA из «безопасного гостя» в потенциального «постоянного жильца» с неясными намерениями.
4. Проблема идентификации и кросс-сайтовое отслеживание
PWA традиционно было сложнее отслеживать между сессиями по сравнению с нативными приложениями, у которых есть доступ к уникальному идентификатору устройства (Google Advertising ID, IDFA). Однако по мере того, как PWA получают возможность хранить большие объемы данных и создавать сложные уникальные «отпечатки» устройства (fingerprinting) на основе доступного железа, разрешений экрана, шрифтов и установленных API, эта граница стирается.
Мощное PWA сможет собрать настолько уникальный набор данных о вашем устройстве и поведении, что его можно будет идентифицировать почти с такой же точностью, как и нативное приложение.
«Осознанный прогресс вместо слепой гонки за функциональностью»
Мы не призываем отказываться от развития PWA. Их потенциал огромен. Однако мы должны смотреть на их эволюцию трезво.
Будущее приватности PWA зависит от трех ключевых сторон
- Разработчики браузеров должны внедрять новые API с максимально строгой моделью безопасности, следуя принципу «запрещено по умолчанию». Каждое новое разрешение должно быть обосновано, прозрачно и легко отключаемо для пользователя.
- Разработчики PWA должны проявлять ответственность и этику, запрашивая только те разрешения, которые критически важны для работы приложения, и четко объясняя, зачем они нужны.
- Пользователи должны оставаться бдительными. Необходимо внимательно читать запросы на разрешения, регулярно проверять настройки сайтов в браузере и очищать данные для подозрительных PWA.
Эволюция PWA это палка о двух концах. С одной стороны это невероятное удобство и мощь, стирающая грань между вебом и нативными платформами. С другой, соблазн для злоупотреблений и новые угрозы конфиденциальности.
Задача не остановить прогресс, а направить его в русло осознанного развития, где мощь технологий не будет приходить в ущерб приватности пользователя.
PWAstat.ru объективно анализируем тренды и риски в мире Progressive Web Apps, чтобы вы были во всеоружии.
На pwastat.ru мы следим за балансом — и напоминаем, что технология должна служить человеку, а не наоборот.