Hluboký ponor ochrany soukromí v systému Android 11: Konverzace s Googlem o zásadních vylepšeních systému Android 11

Android 11 je tady, a zatímco časné náhledy vývojářů a beta verze nám ukázaly většinu toho, co je k dispozici, v zákulisí se toho hodně změnilo. Mnoho z těchto změn souvisí s ochranou osobních údajů uživatelů, což je něco, co se týká nás všech.

Samotné změny nevypadají jako zásadní doplňky k tomu, co se stalo nejpoužívanějším operačním systémem na světě, a to je záměrné. Tým pracující na ochraně soukromí uživatelů měl těžkou práci, aby nám dal větší kontrolu a být proaktivní prostřednictvím samotného OS, aniž by se něco cítilo komplikovaně nebo rušivě.

Chcete-li získat celý příběh o tom, co se změnilo, a některé myšlenky, které šly do těchto změn, které si můžete podrobně přečíst v našem Recenze Android 11„Posadil jsem se s produktovým manažerem Google a specialistkou na ochranu soukromí Charmaine D'Silvou k diskusi o tom, co to všechno znamená a jak to všechno funguje.

Nejdůležitější věcí, kterou bychom měli všichni vědět, je to, že Android byl od základu postaven na ochranu soukromí uživatelů. Někdy se to nezdá se všemi údaji, které o nás Google shromažďuje, ale máme na výběr odhlásit se z tohoto shromažďování a pokud nechceme, aby byla data anonymizována - do počítačů Google, jsme jen náhodní číslo.

Hned od začátku byl Android navržen s ochranou soukromí. Za poslední tři roky jsme se skutečně zaměřili na to, abychom se ujistili, že funkce, které skutečně vytváříme, jsou věci, po kterých uživatelé touží. Když jsme dříve stavěli funkce ochrany osobních údajů, většina věcí byla pod kapotou; tímto způsobem jsme vlastně strukturovali operační systém. Věci nebyly tolik před uživatelem, protože upřímně, pokud o tom přemýšlíte, soukromí může být docela ohromující.

Nejpřednějšími funkcemi ochrany soukromí v systému Android 11 jsou změny oprávnění a přidání „jednorázové“ povolení pro aplikace, které používají polohu, kameru nebo mikrofon. Toto je rozšíření Android 10 oprávnění „během používání“ pro umístění na pozadí, které vám umožnilo zabránit jakékoli aplikaci ve sledování, když jste ji nepoužívali.

Google se podíval na uživatelská data a přistoupil k myšlence přidání větší uživatelské kontroly k některým důležitým funkcím ochrany soukromí v systému Android 11:

Vzhledem k tomu, že uživatelé změnili svůj postoj k tomu, že chtějí věci ovládat více, než aby se o ně ve výchozím nastavení starali, posunuli jsme náš přístup, abychom byli schopni uspokojit také potřeby uživatelů. Přidáváme další ovládací prvky před uživatele, což jim dává větší výběr, a s každým vydáním pomalu zvyšujeme, kolik možností a možností dáváme uživateli. To je zcela úmyslné. Nikdy nechceme uživatele přemoci tolika možnostmi, že by opravdu nevěděli, kterou volbu učinit, takže si velmi dobře uvědomujeme, jakou volbu před uživatelem máme.

Google říká, že mnoho lidí ve skutečnosti také využívá tyto nové funkce, mnohem více než v předchozích letech.

Překvapivě a k naší velké radosti jsme viděli, že uživatelé tyto možnosti skutečně využívají velmi často. To nám dává jistotu, že budeme ve skutečnosti stavět více těchto typů funkcí směrem vpřed. Pokud jste viděli ohlédnutí za Androidem 10, jednou z hlavních změn, které jsme provedli s tímto konkrétním vydáním, bylo ve skutečnosti přidání povolení k umístění „během používání“.

Rozhodně jsme se obávali, zda lidé pochopí, co bude znamenat „při používání“, a budou to skutečně používat. Drtivě jsme viděli, že většina uživatelů si tuto možnost ve skutečnosti vybrala více než 50% času ve srovnání s ostatními možnostmi. To byl pro nás jasný indikátor, že uživatelé obecně chtějí mít podrobnější ovládací prvky a jsou pečlivější a promyšlenější při volbě možnosti „během používání“ pro umístění na pozadí.

U jednorázových oprávnění se Google zaměřuje na tři konkrétní případy použití: mikrofon, fotoaparát a umístění.

Vzhledem k velké zpětné vazbě, kterou Android 10 získal nad umístěním na pozadí, se Google rozhodl poskytují ještě větší kontrolu pomocí použití jednorázových oprávnění, která vám umožňují nechat aplikaci provést věc pouze zatímco to tentokrát používáte. Oprávnění k dalšímu používání funkce nebo k přístupu k ní není uděleno po jejím zavření:

Trochu jsme stavěli na tomto druhu přístupu s Androidem 11 a rozšiřováním toho, co jsme udělali s umístěním na pozadí, jsme přidali jednorázové povolení jako novou výzvu k tomuto vydání. Je to stejný druh konceptu, ale pokud uvažujete o použití aplikace a tato oprávnění po celou dobu nepotřebuje. Řekněme například, že jste v situaci, kdy se pokoušíte sdílet svou polohu s manželem nebo s kamarádem prostřednictvím chatovací aplikace. Aplikace pro chat nemusí po celou dobu znát vaši polohu, ale v tomto případě chcete toto místo doručit. Chtěli jsme také dát lidem podrobnou kontrolu nad jednorázovým povolením.

Přemýšleli jsme o tom a skutečně existovaly tři oprávnění, která skutečně mají tyto případy použití: mikrofon, kamera a umístění. Nakonec jsme pro všechny tři vytvořili jednorázové povolení z těchto přesných důvodů. Mohou nastat případy, kdy chcete, aby aplikace měla jednorázový přístup k těmto oprávněním. Vidíme, že lidé tyto možnosti využívají velmi často v náhledech a betách pro Android 11 Developer. Je to stejný koncept, kdy přidáváme uživateli více možností s podrobnými ovládacími prvky prostřednictvím rozsahu oprávnění nebo pokud jde o to, jak dočasné je toto oprávnění také.

Další významnou změnou pod kapotou pro Android 11 je to, že aplikace, která nebyla používána 39 dní, může mít svá oprávnění automaticky odvolána. Pokud k tomu dojde, dostanete systémovou zprávu, která vám o tom řekne, a při příštím použití aplikace můžete samozřejmě znovu povolit oprávnění.

D'Silva vysvětluje, že se jedná o jeden z časů, kdy se Google rozhodl být proaktivní, spíše než nechat uživatele zpracovat úkol, protože oprávnění systému Android nejsou snadnou navigací:

Množství akce, která odvolá povolení, je docela obtížné a nejedná se o něco, co většina uživatelů dokáže snadno. To dává uživateli možnost vyzkoušet si funkci nebo se ujistit, že je s aplikací v pořádku, protože ji může pouze povolit pro jeden případ použití a už si s ní nebude muset dělat starosti. Při navrhování funkce jednorázového povolení do našeho myšlení skutečně vstoupilo naše myšlení.

Ve skutečnosti mnohokrát s aplikacemi interagujeme a používáme je, protože v tu chvíli je to opravdu důležité. Když se od této situace vzdalujeme, nemusí být tato aplikace něčím, co používáte po celou dobu, takže pro odvolání povolení používáme stejný typ myšlení. Řekněme, že navštívíte nové město a potřebujete použít aplikaci pro sdílení jízd nebo navštívit místní atrakce. Když odcházíte, lidé se obvykle nevracejí a tyto aplikace velmi často mazají, pokud mají telefon s velkým úložištěm. Tato aplikace může mít i nadále přístup ke všem uděleným oprávněním, která byla v té době zcela vhodná a relevantní. Pokud však tuto aplikaci ve skutečnosti nepoužíváte, neměla by již mít přístup k těmto oprávněním.

Dávat uživatelům další výzvy nebylo podle Googlu nejlepší strategií.

V tomto konkrétním případě jsme se vlastně chtěli ujistit, že zaujmeme postoj a uděláme vše pro objasnění jménem uživatele proaktivně a sdělte mu, že jsme provedli vyčištění a automaticky jsme jej odvolali oprávnění. Zatěžujeme uživatele a ptáme se ho: „Hej, chceš odvolat toto povolení?“ nebo ať na to nemusí myslet. V tomto konkrétním případě jsme se rozhodli pouze vytáhnout všechna oprávnění a poté uživatele upozornit, že tyto konkrétní aplikace již tato oprávnění nemají.

Aplikace pro Android mají přístup k hodně různých oprávnění. Tolik, že je téměř nemožné sledovat, proč by nějaká konkrétní aplikace potřebovala nějaké zvláštní povolení.

S Androidem 11 se Google opravdu zaměřil na zrušení starých oprávnění, která nebyla nějakou dobu využívána.

Zeptal jsem se, jestli existují nějaká zvláštní oprávnění, kterým byla věnována zvláštní pozornost kvůli jejich potenciálu za zneužití soukromí a pokud Google věnoval zvláštní pozornost kvůli uživatelským údajům o tom, jak se aplikace chovají v našem telefony:

Jakékoli povolení, které je třeba udělit, je citlivé oprávnění. To je důvod, proč uživatele vždy vyzveme k souhlasu, než dáme aplikaci přístup k těmto datům. Vzhledem k tomu, že jste se zeptali na uživatelská data, mezi oprávněními, kde jsou míry odmítnutí v daném místě mnohem vyšší než u úložiště, není skutečně zkreslení. Není tomu tak a ve skutečnosti všechna data, která máme, nám říkají, že plošně jsou míry odmítnutí u všech oprávnění téměř stejné. Lidé jsou na všechna tato oprávnění stejně citliví.

Viděli jsme však, že míra odmítnutí se skutečně zvyšuje, pokud uživatel nerozumí, proč aplikace potřebuje povolení. Viděli jsme tedy, že nejde o to, o jaké povolení jde, jde o koncept, pokud se vzdáte něčeho na oplátku za něco, co má hodnotu. Výměna hodnot je pro uživatele opravdu zásadní, takže pokud pochopí, že musí skutečně poskytnout přístup ke kameře, například proto, že chtějí mít videohovor, má tato hodnota smysl. Pokud ale musí poskytnout stejný přístup k něčemu jako kalkulačka (doufám, že to žádná aplikace nedělá!), Pak tato výměna hodnot nedává smysl. To, co vidíme prostřednictvím našich dat, je to, že nesoulad ve výměně hodnot je, když míra odmítnutí stoupne.

Také jsem se zeptal, jestli je obecná víra, že polovina uživatelů Androidu vždy jen klikne na ano, zatímco druhá polovina vždy klikne na ne, když se zobrazí s dialogy oprávnění, byla pravdivá. Vím, že spousta lidí, zejména technických autorů, má tuto koncepci (včetně té vaší), ale ukázalo se, že tomu tak opravdu není:

Myslíte si, že je to pravda, a já jsem vlastně měl tu hypotézu, tak jsem šel k našemu týmu pro analýzu dat a probral to skrz ně. Upřímně, data to neukazují. Samozřejmě existují trendy, kdy jsou někteří lidé opatrnější ohledně umístění nebo jiných citlivějších oprávnění, ale zatím jsem nenašel důkazy o tom, že by základní skupina lidí řekla „ano“ všemu. Lidé rozhodně přestávají přemýšlet a uplatňují své právo odmítnout aplikaci nebo povolení.

Jsem tím příjemně překvapen a rád slyším, jak skutečná data rozptýlí jakoukoli představu, že mnoho uživatelů se o to nestará. Dále jsem se zeptal, co dělá Google, aby se ujistil, že uživatelé nejsou frustrovaní zobrazením dialogových oken, která žádají o povolení, protože jsou rozšířeny typy změn, které vidíme v Androidu 11:

Když se vrátíme zpět, když jsme zavedli jednorázové povolení, obávali jsme se, že zatímco jsme chtěli dát uživatelům možnost volby, nyní budeme mít více vyskakovacích dialogů, díky nimž se věci budou cítit méně bezproblémově. Ale všechno, co jsme viděli, je jen to, že lidé jsou nadšeni tím, že mají větší výběr a ve skutečnosti přemýšlejí o tom, s čím souhlasí.

Opravdu si uvědomujeme, že seznam oprávnění není něco masivního, co je těžké pochopit. Chceme, aby věci byly stručné a přesné, aby byly náležitě vymezeny.

To jsou také druhy věcí, o kterých tým Play více přemýšlel. Měla by vás aplikace kalkulačky požádat o použití fotoaparátu, pokud nemá obchodní dotaz? Tým Play spustil zásady SMS / Call Log a záměr je přesně stejný: aplikace, která nemá žádnou firmu požadující SMS a protokoly hovorů, by o to neměla žádat. Nakolik můžeme filtrovat přes Google Play a ujistit se, že správné aplikace požadují správná oprávnění, a poté umožnit uživateli mít na výběr, myslím, že je to nejlepší zážitek. Část toho, že nejste ohromující, je, že chcete odfiltrovat hluk.

Vím, že mnoho „pokročilých“ uživatelů požádalo o stejný druh Kontrola soukromí které Google pro váš účet na webu nabízí, budou zpřístupněny pro naše telefony. D'Silva říká, že Google se rozhodl být proaktivnější, protože věděl, že data ukazují, že uživatelé chtěli zrušit oprávnění nepoužívané aplikace na základě připomenutí polohy Android 10 na pozadí:

Určitě jsme o tom mluvili a pravděpodobně jste viděli, že se něco takového stalo v systému Android 10. Udělali jsme toto připomenutí umístění na pozadí, které v podstatě říkalo: „Hej, pamatuj, že jsi této aplikaci umožnil přístup k umístění na pozadí, ano chcete v tom pokračovat? “Toto bylo také velmi úspěšné a my jsme dostali docela vysokou míru zabití těchto oprávnění a tak oznámení; více než 76% uživatelů ve skutečnosti skončilo změnou oprávnění k umístění za účelem odmítnutí nebo pouze při používání.

Rychle vpřed do letošního roku a systém odvolání je vlastně kontrola. Museli jsme zvážit, jestli se chceme lidí předem zeptat, a pak je nechat vybrat, jako je kontrola soukromí, nebo to chceme udělat pro ně. Nakonec, když jsme o tom více přemýšleli, chtěli jsme k tomu zaujmout pevnější postoj. Aplikace, kterou jste opravdu nepoužili, s tím nemá žádnou obchodní činnost (zachování oprávnění). V tomto konkrétním případě jsme chtěli mít větší mínění a řekli uživateli „Hele, toto oprávnění jsme odebrali, protože ho opravdu nepoužíváte.“

Pro uživatele je jednodušší udělit oprávnění zpět aplikaci, než aby jim ponechal ještě jednu otázku.

Kvůli jeho kontroverzní historii jsem se musel zeptat Rozsahované úložiště. Scoped Storage je velká změna v tom, jak aplikace ukládají a sdílejí data, což je také velká podpora soukromí uživatelů. Zeptal jsem se na jakékoli vrácení vývojáře a na to, jak moc se tým ochrany osobních údajů podílel na jeho vývoji.

Scoped Storage je do značné míry součástí mého týmu, protože je 100% funkcí ochrany osobních údajů. Záměrem Scoped Storage bylo to, že jak se věci vyvíjejí, chceme si více všímat toho, co se sdílí, a být schopni dát lidem větší výběr. Restrukturalizace v systému Android 10 byla rozhodně ambiciózní a během procesu jsme se toho hodně naučili.

Upravili jsme plány na základě zpětné vazby vývojářů a zatím u systému Android 11 šly věci velmi dobře hladce a myslím, že vývojářská komunita přijala změnu a jsou šťastní, že jsou součástí naší proces. Vzali jsme veškerou zpětnou vazbu, kterou nám poskytli v systému Android 10, a pokusili jsme se ji vyřešit změnami v našich plánech. Zatím to bylo docela hladké.

Android 10 byl rozhodně zážitek z učení. Byl to obrovský posun, takže jsme se procesem naučili. A rozhodně chceme křičet na vývojářskou komunitu, která nám opravdu pomohla přijít s dobrým řešením pro Android 11.

Zeptal jsem se, jak tým pracoval, aby se ujistil, že žádná z těchto změn nezhorší naše zkušenosti s používáním Androidu. Například by automatické odvolání oprávnění bylo možné rozbít starší aplikace (všichni používáme několik) a co Google udělal, aby se ujistil, že zkušenost byla stále stejně dobrá jako kdykoli, co se týče instalace a používání třetích stran aplikace?

Jakkoli se mi líbí, pokud jde o soukromí, tak daleko, jak je to jen možné, musíme udělat krok zpět a zajistit, aby to v tomto procesu nezlomilo zážitky. Takže s automatickým odvoláním je jedním z požadavků na to, aby bylo ve výchozím nastavení zapnuto, že aplikace musí cílit na verzi Android 11.

Existuje několik zcela legitimních důvodů, pro které byste s aplikací nikdy neměli pracovat, například bezpečnostní aplikace. V některých případech existuje důvod k zapojení uživatele nebo k přepnutí nastavení, v jiných případech není. To je velmi dobrá rovnováha a chceme se ujistit, že posuneme soukromí vpřed, ale také nechceme porušovat případy legitimního použití.

Jediným způsobem, jak by aplikace, která není napsána pro cílení na Android 11, byla ve stavu automatického odvolání, je, pokud uživatel vstoupil a skutečně zapnul automatické odvolání.

Moje poslední otázka byla částečně v žertu, ale vím, že je to také stejná otázka Všechno z nás má: Jakýkoli plíživý pohled na funkce pro Android 12?

Ani náhodou. Ale D'Silva to navrhl každý s jakýmikoli nápady určitě předat je Googlu protože všichni nám chtějí neustále poskytovat funkce, které chceme vidět, kdykoli mohou.

Společnost nebude měnit způsob, jakým sleduje uživatele - opět je shromažďována anonymně a vy jste jen číslo a počítač rozpoznává - ale je třeba si více uvědomit, jak víme, jak sdílíme naše data, a co je důležitější, jak na ne Sdílejte to, když nechceme.

Chtěl bych poděkovat všem ve společnosti Google, kteří to umožnili, a zejména paní D'Silvové, že si udělala čas mimo svůj nabitý program a mohla si se mnou povídat o soukromí. Opustil jsem schůzku s pocitem, že Google chápe, jak důležité je pro nás všechny soukromí, i když některým z nás záleží víc než ostatním.

Jerry Hildenbrand

Jerry je rezidentem Mobile Nation a je na to hrdý. Neexistuje nic, co by nemohl rozebrat, ale mnoho věcí, které nemůže znovu sestavit. Najdete ho v síti Mobile Nations a můžete zasáhnout ho na Twitteru pokud chcete říct hej.