Слежка или штатная работа: разбираем технические детали приватности в приложениях Яндекса

Компания признала часть наблюдений автора, но заявила, что их назначение интерпретировано неверно — это, дескать, не слежка, а стандартная работа Android, Chromium и голосовых ассистентов. Разберёмся, где тут правда и стоит ли дёргать рубильник разрешений.

Микрофон, «Алиса» и буфер на полторы секунды

Главный страх из комментариев — что приложение «слушает в фоне». Яндекс объясняет механику: современные ассистенты распознают активационную фразу локально, прямо на устройстве. То есть «Алиса» определяется без отправки звука на сервер. Работает это только пока приложение активно и вы с ним взаимодействуете. Закрыли «Яндекс» — и никакого распознавания нет, никакой фоновой прослушки.

Но есть деталь, которая мне не нравится. Чтобы не терять первые слова команды, приложение держит в памяти прокручиваемый буфер. В production-конфигурации — примерно 1,5 секунды до активации и 0,5 после. Этот буфер на сервер целиком не уходит. Часть аудио перед командой может отправляться для online validation — проверки качества распознавания. Отдельный диагностический механизм может отправлять фрагменты до и после активации для разбора сбоев. Яндекс подчёркивает: это разные механизмы, с разными настройками и разными транспортными путями.

Самый честный момент в ответе — признание, что возможность удалённо менять размер буфера «может вызывать вопросы». В одном из ближайших релизов компания обещает дополнительно ограничить максимальный размер буфера на уровне приложения. Предметно, без отписки. Ждём и проверяем.

Вся история с микрофоном, напомню, завязана на системное разрешение Android. Дали доступ — ассистент работает. Отозвали в настройках — всё, тишина.

Геолокация — вот где реальная дыра

Это уже не про Яндекс, а про Android в целом. По данным Electronic Frontier Foundation, разработчики Android-приложений сами того не осознавая передают сведения о местоположении пользователей рекламодателям. Механика простая и неприятная: рекламное SDK, встроенное в приложение ради монетизации, наследует разрешение на геолокацию и начинает сливать координаты третьим лицам — рекламодателям и так называемым брокерам данных.

Брокеры — отдельная головная боль. Они монетизируют информацию, продавая её военным, правительствам и спецслужбам. Их регулярно взламывают, и тогда ваши треки оказываются у кого попало. EFF обнаружил два конкретных приложения, передававших геолокацию через SDK, — суммарно 60 млн загрузок. Изученные SDK — лишь малая часть рекламной экосистемы, которая накрывает миллиарды пользователей десятков тысяч приложений.

Худшее в этой истории: отключить передачу геолокации третьим лицам пользователь штатно не может. Только полностью заблокировать доступ к местоположению для всего приложения. Никакой галочки «не сливать рекламной сети» в Android не предусмотрено. Радикально — значит без прогноза погоды и без учёта пробежек в фитнес-приложении.

Что делать прямо сейчас

По Яндексу: сходите в системные настройки и посмотрите, кому реально выданы микрофон и геолокация. Яндекс обещает ужать буфер в ближайшем релизе — проверим, как только выйдет обновление. По остальному Android: ставите новое приложение — сразу идите в разрешения и отрубайте геолокацию, если она не критична для работы. Не потому что разработчик плохой, а потому что SDK внутри может быть любым. Это не паранойя — это базовая гигиена, которую Google за десять лет так и не довёл до удобного уровня.