主流世界之外：被忽视地区的安全与隐私困境

当安全研究只覆盖了少数人

过去十年，人本安全与隐私研究（Human-Centered Security and Privacy）取得了长足进展，但这些研究几乎全部集中在西方人群。据一项发表于USENIX Security的研究统计，相关实验参与者绝大多数来自美国和加拿大，其次为西欧。这种采样偏差带来的后果是：在西方设计与评估的安全方案，一旦被应用到肯尼亚、巴基斯坦、尼日利亚等“主流世界”（Majority World）地区，往往会迅速失效。

乔治·华盛顿大学博士、即将入职新加坡国立大学的Collins Minando，在过去六年中持续研究这一问题。他在一次学术讲座中分享了来自肯尼亚及另外八个主流世界国家的系列研究，揭示了社会经济约束、共享计算设施和文化规范如何重塑人们的安全与隐私实践。

肯尼亚案例一：当借钱比隐私更紧迫

移动贷款应用在肯尼亚的普及程度极高。由于大量人群缺乏正式信用记录，这类应用通过获取手机上的联系人、短信、位置等数据，在几分钟内完成信用评估并放款。研究团队审查了八款常见应用，发现它们无一例外地要求访问通讯录、短信、位置和存储权限，却未在隐私政策中透明说明数据用途。

用户研究揭示了更复杂的现实：许多人清楚这些应用会滥用联系人信息——一旦逾期，催收方会打电话给用户的亲友施压——但他们仍然选择使用。一位受访者的原话是：“当你急需用钱时，你根本不会在意隐私问题。”另一位则说：“绝望的时刻需要绝望的手段。”

Minando对此提出的政策含义颇具反直觉性：西方研究常主张“给用户更多控制权和透明度”，但在这一场景下，赋权逻辑并不成立。当用户因经济压力主动放弃隐私时，真正的保护必须来自平台和监管方。值得关注的是，研究发表后，Google已开始禁止此类应用访问用户通讯录。

移动货币（Mobile Money） 是一种通过手机号码提供基础金融服务的系统，典型代表是肯尼亚的M-Pesa。用户无需传统银行账户，即可在代理网点存入现金换取电子货币，并通过短信或USSD菜单完成转账、支付和取现。由于撒哈拉以南非洲大量人口缺乏正式银行账户和信用记录，移动货币成为事实上的普惠金融基础设施。其交易通常发生在代理点：用户向代理出示身份证件以完成实名验证，代理则通过短信确认交易金额与用户信息。这一流程虽然便捷，却将用户的身份信息和手机号暴露给代理，为后续骚扰或冒名注册埋下隐患。理解移动货币的代理网络结构，是理解后文隐私重设计方案的前提。

肯尼亚案例二：网吧里的共享认证困境

肯尼亚政府服务数字化与个人电脑拥有率偏低形成了叠加效应，使得网吧成为许多人接入互联网和完成政务流程的必要场所。但共享计算设施对认证安全构成了系统性挑战。

研究团队对网吧管理者和顾客进行了半结构化访谈，发现几类反复出现的问题：

• 账户创建门槛：许多顾客从未使用过电脑，连按住Shift键输入大写字母都困难，而网站的密码复杂度要求对他们构成了实质障碍。
• 账户恢复失效：部分顾客甚至不记得注册时用了哪个邮箱或手机号，而主流的账户恢复机制恰恰默认用户记得这些信息。
• 密码由管理者代设：网吧管理者经常替顾客选择密码，且为了自己能记住，倾向于推荐身份证号等本地可记忆信息——而身份证号在肯尼亚日常场景中被频繁出示和记录。
• 密码跨用户复用：更极端的情况是，管理者对多位顾客使用同一个密码，以便随时应答顾客的电话询问。

这些发现指向一个被忽视的角色：网吧管理者实际上是主流世界中的“本地专家”（local experts）。他们虽无安全培训背景，却承担着大量数字安全咨询职能。这也意味着，西方推荐的密码管理器方案在此类场景中几乎无法落地——它假设用户在所有设备上都能安装同一款工具。

跨九国验证：本地专家的建议与障碍

为检验上述问题是否仅为肯尼亚特有，研究团队将范围扩展至九个国家：墨西哥、巴西、加纳、尼日利亚、肯尼亚、土耳其、中国、印度和巴基斯坦。这九国合计占全球人口约一半。研究共招募70位本地专家，涵盖网吧管理者、手机与SIM卡销售者、手机维修人员等群体。

在方法论上，团队刻意与当地研究者合作，并让他们以共同作者身份参与，以避免“飞到巴基斯坦做完研究、拿走论文走人”的提取式研究模式。

研究发现了本地专家建议的一些共同特征：

过时但仍在流传的建议。 安装杀毒软件、定期更换密码、避免使用公共Wi-Fi等建议，在安全社区已因效果有限或HTTPS普及而不再被推荐，但在这些地区仍被广泛传递。

基于约束的本地化改造。 专家们自己使用复杂密码，却建议顾客使用易记密码——因为一旦顾客遗忘密码，会认为专家给了糟糕的建议。这是一种对现实条件的务实适配。

执行建议的三重障碍。 其一是经济成本：土耳其的专家指出，多数人不愿安装更新，因为流量需要付费。其二是社会摩擦：巴基斯坦的专家提到，如果给所有设备都设密码，家人和朋友会怀疑你在隐藏什么。其三是语言壁垒：系统报错和提示多为英文，用户看不懂时的本能反应是直接关闭。

据Minando介绍，这些跨地区共性表明，文化因素——如社会关系中的信任压力——会实质影响人们保护设备访问权的行为，而这一点在西方语境的安全设计中几乎未被考虑。

“主流世界”（Majority World） 是一个近年来在HCI与发展研究领域逐渐流行的术语，用以替代“发展中国家”“第三世界”等带有价值判断的表述。它指代全球人口中占多数、但在学术研究样本中常被边缘化的地区，包括非洲、南亚、东南亚和拉丁美洲的许多国家。该术语强调这些地区并非“少数”或“例外”，而是世界人口的多数。文章引用这一概念，意在指出人本安全研究长期以西方样本为默认，导致设计假设与多数人的现实脱节。与“全球南方”类似，主流世界一词兼具地理与政治经济意涵，提醒研究者关注资源约束、基础设施差异和文化规范对技术采用的影响。

绿野仙踪（Wizard of Oz）式用户测试 是一种在系统原型尚未完全实现时常用的用户研究方法。实验中，参与者以为自己在与一个自动系统交互，但实际上由研究人员在幕后手动模拟系统的响应。这种方法适合测试用户对尚未构建完成的交互流程的感知和接受度，能在低成本下获得接近真实使用的反馈。在本文的移动货币重设计中，团队用纸面原型配合绿野仙踪方法，让用户和代理体验“一次性验证码替代身份证出示”的流程，从而在技术落地前评估偏好与可及性问题。该方法尤其适用于资源受限环境下的早期设计验证。

重新设计：移动货币的隐私嵌入方案

在揭示问题之后，Minando团队尝试了建设性方案。他们选择了肯尼亚极具代表性的移动货币（mobile money）场景。

现有流程中存在两个隐私泄露点：用户需向代理出示身份证件完成验证，而身份证号可被用于冒名注册SIM卡等用途；交易成功后代理收到的确认短信中包含用户姓名和手机号，已有代理在交易后致电用户的案例。

团队重新设计了流程：用户直接与移动货币提供商完成生物识别或声纹认证，无需向代理出示证件；交易完成后，用户与代理各自收到同一个一次性验证码，用户只需向代理出示该码即可完成核验。用户的姓名和手机号不再传输给代理。

通过纸面原型和绿野仙踪（Wizard of Oz）式用户测试，团队发现用户和代理均偏好新流程，主要理由包括：更少的个人身份信息暴露、对生物识别认证的安全感知、以及无需随身携带身份证件的便利性。

但研究也暴露了新的可及性问题：部分用户的指纹磨损导致生物识别困难，老年用户和技术素养较低者对New流程存在操作障碍。代理反映，不少老年用户会把手机直接递过来要求代为操作。此外，女性受访者对手机号被代理获取表达了更强烈的担忧，因为已有代理在交易后发送骚扰信息的案例。

Minando强调，这类方案必须经过本地试点，而非在美國设计完成后直接假设其可迁移。

未来方向：用隐私增强技术释放数据价值

Minando目前与UC Berkeley的同事合作，探索隐私增强技术（PETs）在主流世界的部署路径。这一地区产生了大量有价值的数据——移动货币交易记录、健康数据、定期采集的传感器数据——共享这些数据本可推动研究与创新，但隐私顾虑使共享难以实现。

该项目的路径是逆向的：先与主流世界的政府和NGO合作，理解它们在数据共享上的实际需求与障碍（包括政府部门之间都难以互通数据的现实），再据此定制或重新设计PETs，最终形成一份面向主流世界的隐私部署手册。

几点观察

这项研究的价值不仅在于揭示差异，更在于它挑战了人本安全领域的默认假设：透明度赋权、密码管理器、复杂密码策略、定期更新——这些建议的有效性高度依赖特定的社会经济条件。当用户面临的是流量费用、设备共享和熟人社会的信任压力时，安全建议需要被重新设计，而非简单翻译。

Minando正在新加坡国立大学招募全奖博士生继续这一方向，相关联系方式可见其讲座幻灯片。