Diepgaande privacy van Android 11: een gesprek met Google over de essentiële verbeteringen van Android 11

Android 11 is hier, en hoewel de vroege previews van ontwikkelaars en bètaversies ons het meeste hebben laten zien van wat er beschikbaar is, is er veel achter de schermen dat is veranderd. Veel van die veranderingen hebben te maken met de privacy van gebruikers, iets dat ons allemaal aangaat.

De veranderingen zelf lijken geen grote toevoegingen aan wat het meest gebruikte besturingssysteem ter wereld is geworden, en dat is zo ontworpen. Het team dat werkte aan de privacy van gebruikers, had de zware taak om ons meer controle te geven en proactief zijn via het besturingssysteem zelf zonder dat iets gecompliceerd of storend aanvoelt.

Om het volledige verhaal te krijgen over wat er is veranderd en enkele gedachten die aan die veranderingen zijn besteed, die u in detail kunt lezen in onze Android 11 recensie, Ging ik zitten met Google Product Manager en privacyspecialist, Charmaine D'Silva, voor een discussie over wat het allemaal betekent en hoe het allemaal werkt.

Het belangrijkste dat we allemaal moeten weten, is dat Android vanaf de basis is opgebouwd om de privacy van gebruikers te beschermen. Het lijkt soms niet zo met alle gegevens die Google over ons verzamelt, maar we hebben de keuze om dat wel te doen u afmelden voor die verzameling en als we dat niet doen, worden de gegevens geanonimiseerd - voor de computers van Google zijn we slechts een willekeurige aantal.

Android is vanaf het begin ontworpen met het oog op privacy. In de afgelopen drie jaar hebben we er echt alles aan gedaan om ervoor te zorgen dat de functies die we bouwen, de dingen zijn die gebruikers verlangen. Voorheen, toen we privacyfuncties bouwden, zaten de meeste dingen onder de motorkap; dit is de manier waarop we het besturingssysteem feitelijk hebben gestructureerd. De gebruiker lag niet zozeer, want als je erover nadenkt, kan privacy behoorlijk overweldigend zijn.

De meest vooruitstrevende privacyfuncties in Android 11 zijn wijzigingen in machtigingen en het toevoegen van de "eenmalige" toestemming voor apps die locatie, je camera of je microfoon gebruiken. Dit is een uitbreiding van Android 10's "tijdens gebruik" toestemming voor achtergrondlocatie waarmee u kunt voorkomen dat een app u volgt terwijl u deze niet gebruikt.

Google keek naar gebruikersgegevens en benaderde het idee om meer gebruikerscontrole toe te voegen aan enkele essentiële privacyfuncties in Android 11:

Omdat gebruikers hun standpunt veranderden over het feit dat ze de dingen meer wilden controleren in plaats van dat er standaard voor hen werd gezorgd, hebben we onze aanpak gewijzigd om ook aan de behoeften van de gebruikers te kunnen voldoen. We voegen meer bedieningselementen toe voor de gebruiker, waardoor ze meer keuze hebben, en met elke release verhogen we langzaam het aantal keuzes en opties dat we de gebruiker geven. Dat is helemaal opzettelijk. We willen de gebruiker nooit overweldigen met zoveel opties dat ze niet echt weten welke keuze ze moeten maken, dus we zijn ons erg bewust van welke keuze we de gebruiker voorleggen.

Google zegt dat veel mensen deze nieuwe functies ook daadwerkelijk gebruiken, veel meer dan in voorgaande jaren.

Wat we, verrassend en tot onze grote vreugde, hebben gezien, is dat gebruikers deze keuzes eigenlijk heel vaak uitoefenen. Dit geeft ons het vertrouwen om in de toekomst daadwerkelijk meer van dit soort functies te bouwen. Als je terugkijkt op Android 10, was een van de belangrijkste wijzigingen die we met die specifieke release hebben aangebracht, feitelijk het toevoegen van de locatietoestemming "tijdens gebruik".

We waren absoluut ongerust of mensen wel of niet zouden begrijpen wat "tijdens gebruik" zou betekenen en of ze het ook daadwerkelijk zouden gebruiken. Overweldigend zagen we dat de meeste gebruikers eigenlijk meer dan 50% van de tijd voor die optie kiezen in vergelijking met de andere opties. Dit was voor ons een duidelijke aanwijzing dat gebruikers over het algemeen meer gedetailleerde bedieningselementen willen en bewuster en bedachtzamer zijn bij het kiezen van de optie "tijdens gebruik" voor de achtergrondlocatie.

Voor eenmalige machtigingen richt Google zich op drie specifieke gebruiksscenario's: microfoon, camera en locatie.

Vanwege de geweldige feedback die Android 10's controle over de achtergrondlocatie ontving, besloot Google dat te doen bieden nog meer controle door het gebruik van "eenmalige" machtigingen waarmee u een app een ding enkel en alleen terwijl je het deze keer gebruikt. De toestemming om een ​​functie te blijven gebruiken of er toegang toe te hebben, wordt niet verleend nadat u deze hebt gesloten:

We hebben een beetje op dat soort benadering gebouwd met Android 11 en voortbouwend op wat we deden met de achtergrondlocatie, hebben we een eenmalige toestemming als een nieuwe prompt aan deze release toegevoegd. Het is hetzelfde soort concept, maar als u overweegt een app te gebruiken en deze toestemming niet altijd nodig heeft. Stel dat u zich bijvoorbeeld in een situatie bevindt waarin u uw locatie probeert te delen met uw partner of met een vriend via een chat-app. Een chat-app hoeft niet altijd uw locatie te weten, maar in dit ene geval wilt u die locatie bezorgen. We wilden mensen ook de granulaire controle geven van een eenmalige toestemming.

We hebben erover nagedacht en er waren drie toestemmingen die echt opvielen en die gebruiksscenario's hebben: microfoon, camera en locatie. We hebben uiteindelijk om deze exacte redenen een eenmalige toestemming voor alle drie gebouwd. Er kunnen gevallen zijn waarin u wilt dat een app eenmalig toegang heeft tot deze machtigingen. We zien dat mensen deze opties vrij vaak gebruiken in de Android 11 Developer Previews en Beta's. Het is hetzelfde concept waarbij we meer keuze aan de gebruiker toevoegen met gedetailleerde bedieningselementen via de reikwijdte van de toestemming of als het gaat om hoe tijdelijk die toestemming ook is.

Een andere grote verandering onder de motorkap voor Android 11 is dat een app die 39 dagen niet is gebruikt, de machtigingen automatisch kan laten intrekken. Als dit gebeurt, krijgt u een systeembericht met informatie hierover en kunt u de machtigingen de volgende keer dat u de app gebruikt, natuurlijk opnieuw inschakelen.

D'Silva legt uit dat dit een van de keren is dat Google besloot proactief te zijn in plaats van een gebruiker de taak te laten uitvoeren, omdat Android-machtigingen niet gemakkelijk te navigeren zijn:

De hoeveelheid actie om een ​​toestemming in te trekken is behoorlijk zwaar en niet iets dat de meeste gebruikers gemakkelijk kunnen doen. Dit geeft een gebruiker de mogelijkheid om een ​​functie uit te proberen of ervoor te zorgen dat ze vertrouwd zijn met een app, omdat ze deze slechts voor eenmalig gebruik kunnen inschakelen en zich er nooit meer zorgen over hoeven te maken. Dit is iets waar we echt aan hebben gedacht bij het ontwerpen van de eenmalige toestemmingsfunctie.

Het komt zo vaak voor dat we daadwerkelijk met apps communiceren en ze gebruiken omdat het op dat moment echt belangrijk is. Naarmate we verder gaan met die situatie, is die app misschien niet iets dat u altijd gebruikt, dus we gebruiken dezelfde manier van denken voor het intrekken van toestemming. Stel dat je een nieuwe stad bezoekt en een app nodig hebt om ritten te delen of om lokale attracties te bezoeken. Als je weggaat, gaan mensen meestal niet terug en verwijderen ze deze apps vaak als ze een telefoon hebben met veel opslagruimte. Die app heeft mogelijk nog steeds toegang tot alle toestemmingen die je hebt verleend, die op dat moment volledig passend en relevant waren. Maar als u die app niet echt gebruikt, zou deze geen toegang meer moeten hebben tot deze rechten.

Gebruikers extra prompts geven was volgens Google niet de beste strategie.

In dit specifieke geval wilden we er zeker van zijn dat we het standpunt innemen om alle opheldering te doen namens de gebruiker proactief en laat hen weten dat we de opschoning hebben uitgevoerd en automatisch het rechten. Belasten we de gebruiker en vragen hem: "Hé, wil je deze toestemming intrekken?" of laat ze er niet over nadenken. In dit specifieke geval hebben we besloten om alle machtigingen te verwijderen en de gebruiker vervolgens te laten weten dat deze specifieke apps deze machtigingen niet meer hebben.

Android-apps hebben toegang tot een veel van verschillende rechten. Zoveel dat het bijna onmogelijk is om bij te houden waarom een ​​bepaalde app een bepaalde toestemming nodig heeft.

Met Android 11 concentreerde Google zich echt op het intrekken van oude machtigingen die al een tijdje niet waren gebruikt.

Ik vroeg of er bepaalde toestemmingen waren die speciale aandacht kregen vanwege hun potentieel voor privacymisbruik en of Google vanwege gebruikersgegevens extra aandacht heeft besteed aan hoe apps zich gedragen op onze telefoons:

Elke toestemming die moet worden verleend, is een gevoelige toestemming. Daarom vragen we de gebruiker altijd om toestemming voordat we een app toegang geven tot die gegevens. Omdat je naar gebruikersgegevens hebt gevraagd, is er niet echt een vooroordeel tussen machtigingen waar de afwijzingspercentages veel hoger zijn op bijvoorbeeld de locatie dan bij opslag. Dat is niet het geval, en in feite vertellen alle gegevens die we hebben ons dat de afwijzingspercentages over de hele linie vrijwel hetzelfde zijn voor alle machtigingen. Mensen zijn even gevoelig voor al deze toestemmingen.

Wat we echter hebben gezien, is dat de afwijzingspercentages echt toenemen als een gebruiker niet begrijpt waarom een ​​app toestemming nodig heeft. Dus wat we hebben gezien is dat het niet gaat om wat de toestemming is, het gaat erom of je iets opgeeft in ruil voor iets dat waarde heeft. Waarde-uitwisseling is echt fundamenteel voor de gebruiker, dus als ze begrijpen dat ze echt toegang moeten geven tot de camera, bijvoorbeeld omdat ze een videogesprek willen voeren, is die waarde logisch. Maar als ze dezelfde toegang moeten geven tot zoiets als een rekenmachine (ik hoop dat er geen app is die dit doet!), Dan heeft die waarde-uitwisseling geen zin. Dus wat we door onze gegevens zien, is dat er een discrepantie in de waarde-uitwisseling is wanneer de afwijzingspercentages stijgen.

Ik vroeg ook of de algemene overtuiging dat de helft van de Android-gebruikers altijd gewoon op ja klikt, terwijl de andere helft altijd op nee klikt wanneer de dialoogvensters voor toestemming worden weergegeven, waar was. Ik weet dat veel mensen, vooral technische schrijvers, deze opvatting hebben (inclusief de jouwe), maar het blijkt dat dit echt niet het geval is:

Je zou denken dat dat waar is en ik had eigenlijk die hypothese, dus ging ik naar ons data-analyseteam en nam dat door. Eerlijk gezegd laten de gegevens het niet zien. Er zijn duidelijk trends waarbij sommige mensen voorzichtiger zijn met betrekking tot locatie of andere, meer gevoelige toestemmingen, maar ik heb nog geen bewijs gevonden dat een kerngroep van mensen overal "ja" tegen zegt. Mensen stoppen beslist om na te denken en oefenen hun recht uit om nee te zeggen tegen een app of toestemming.

Ik ben hierdoor aangenaam verrast en hoor graag hoe feitelijke gegevens elk idee verdrijven dat veel gebruikers het gewoon niet kunnen schelen. Vervolgens vroeg ik wat Google aan het doen was om ervoor te zorgen dat gebruikers niet gefrustreerd raken door dialogen te zien waarin om toestemming wordt gevraagd, aangezien de soorten wijzigingen die we in Android 11 zien, worden uitgebreid:

Teruggaand naar de tijd dat we een eenmalige toestemming introduceerden, was er de vrees dat we gebruikers weliswaar de keuze wilden geven, maar dat we nu meer pop-updialogen zullen hebben die ervoor zorgen dat de dingen minder naadloos aanvoelen. Maar alles wat we hebben gezien, is dat mensen enthousiast zijn over het feit dat ze meer keuze hebben, en echt nadenken over waar ze mee instemmen.

We zijn ons er echt van bewust dat de lijst met machtigingen niet iets enorms is dat moeilijk te begrijpen is. We willen de zaken beknopt en nauwkeurig houden, zodat ze op de juiste manier worden bestreken.

Dit zijn ook het soort dingen waar het Play-team meer aan heeft gedacht. Moet een rekenmachine-app je vragen om de camera te gebruiken als hij er niets om vraagt? Het Play-team lanceerde het SMS / Call Log-beleid en de bedoeling is precies hetzelfde: een app die niets te maken heeft met het vragen van sms- en oproeplogboeken, zou er niet om moeten vragen. Zoveel als we kunnen filteren via Google Play om ervoor te zorgen dat de juiste apps om de juiste machtigingen vragen en de gebruiker vervolgens de keuze geven, ik denk dat dat de beste ervaring is. Een onderdeel van niet overweldigend zijn, is dat je de ruis wilt filteren.

Ik weet dat veel "gevorderde" gebruikers om dezelfde soort hebben gevraagd privacycheck dat Google biedt voor uw account op internet, beschikbaar wordt gemaakt voor onze telefoons. D'Silva zegt dat Google besloot proactiever te zijn, wetende dat de gegevens zouden aantonen dat gebruikers de machtigingen van de ongebruikte app wilden intrekken op basis van de achtergrondherinnering van Android 10:

We hebben het er zeker over gehad en je hebt waarschijnlijk zoiets in Android 10 zien gebeuren. We hebben deze achtergrondlocatieherinnering gedaan die in feite zei: "Hé, onthoud dat je deze app toegang hebt gegeven tot de achtergrondlocatie, doe dat wil je daarmee doorgaan? "Dit was ook erg succesvol en we kregen een behoorlijk hoge kill rate van die permissies en zo kennisgeving; meer dan 76% van de gebruikers veranderde uiteindelijk de locatietoestemming om te weigeren of alleen tijdens gebruik.

Snel vooruit naar dit jaar en het intrekkingssysteem is eigenlijk de controle. We moesten nadenken of we mensen van tevoren wilden vragen en ze vervolgens zouden laten kiezen zoals de privacycheck, of willen we die keuze voor hen maken. Uiteindelijk, toen we er meer over nadachten, wilden we hierover een sterker standpunt innemen. Een app die u niet echt hebt gebruikt, heeft daar niets mee te maken (machtigingen behouden). In dit specifieke geval wilden we meer eigenwijs zijn en de gebruiker vertellen "Hé, we hebben deze toestemming weggenomen omdat je deze niet echt gebruikt."

Het is gemakkelijker voor een gebruiker om toestemming terug te geven aan een app dan dat hij er nog één vraag voor heeft.

Vanwege zijn controversiële geschiedenis moest ik vragen stellen Scoped opslag. Scoped Storage is een grote verandering in de manier waarop apps gegevens opslaan en delen, wat ook een grote boost is voor de privacy van gebruikers. Ik vroeg naar eventuele pushbacks van ontwikkelaars en hoe betrokken het privacyteam was bij de ontwikkeling ervan.

Scoped Storage is een groot deel van mijn team omdat het 100% een privacyfunctie is. De bedoeling van Scoped Storage was dat we naarmate de zaken evolueren, meer bewust willen zijn van wat er wordt gedeeld en mensen meer keuze willen geven. De herstructurering in Android 10 was absoluut ambitieus en we hebben tijdens het proces veel geleerd.

We hebben de plannen aangepast op basis van feedback van ontwikkelaars en tot nu toe is het met Android 11 erg gegaan soepel verlopen en ik denk dat de ontwikkelaarsgemeenschap de verandering heeft omarmd en blij is deel uit te maken van onze werkwijze. We hebben alle feedback die ze ons in Android 10 hebben gegeven, overgenomen en geprobeerd deze aan te pakken door middel van wijzigingen in onze plannen. Tot nu toe is het vrij soepel verlopen.

Android 10 was absoluut een leerervaring. Het was een enorme verschuiving, dus we leerden door het proces. En we willen absoluut een schreeuw geven aan de ontwikkelaarsgemeenschap die ons echt heeft geholpen met het bedenken van een goede oplossing voor Android 11.

Ik vroeg hoe het team werkte om ervoor te zorgen dat geen van deze wijzigingen onze ervaring met Android erger zou maken. Zo zou het automatisch intrekken van machtigingen in staat zijn om oudere apps te kraken (we gebruiken er allemaal een paar) en wat Google deed om ervoor te zorgen dat de ervaring nog steeds zo goed was als altijd als het gaat om het installeren en gebruiken van derden toepassingen?

Hoe graag ik ook zo ver mogelijk wil zijn als het om privacy gaat, we moeten een stap terug doen en ervoor zorgen dat ervaringen niet kapot gaan. Dus met automatische intrekking is een van de vereisten om standaard aan te staan, dat de app zich moet richten op de Android 11-release.

Er zijn enkele volledig legitieme redenen waarom u nooit zou communiceren met een app, zoals een veiligheidsapp. In sommige gevallen is er een reden om de gebruiker te betrekken of een schakelaar in de instellingen te voorzien, in andere gevallen niet. Dat is een heel fijne balans en we willen ervoor zorgen dat we privacy naar voren schuiven, maar we willen ook geen legitieme use-cases breken.

De enige manier waarop een app die niet is geschreven om Android 11 te targeten, in een staat van automatische intrekking zou verkeren, is als de gebruiker naar binnen ging en de automatische intrekking ervoor inschakelde.

Mijn laatste vraag was gedeeltelijk voor de grap, maar ik weet dat het ook dezelfde vraag is alle van ons hebben: Elke sneak peeks in functies voor Android 12?

Nee. Maar D'Silva suggereerde dat wel iedereen met welke ideeën dan ook stuur ze door naar Google omdat ze ons allemaal de functies willen blijven geven die we willen zien wanneer ze maar kunnen.

Het bedrijf gaat de manier waarop het gebruikers volgt niet veranderen - nogmaals, het wordt anoniem verzameld en u bent slechts een nummer computer herkent - maar het is meer bewust om ervoor te zorgen dat we weten hoe we onze gegevens delen, en nog belangrijker, hoe naar niet deel het wanneer we dat niet willen.

Ik wil iedereen bij Google bedanken die dit mogelijk heeft gemaakt en in het bijzonder mevrouw D'Silva voor het vrijmaken van haar drukke agenda om met mij over privacy te praten. Ik verliet de vergadering met het gevoel dat Google begrijpt hoe belangrijk privacy voor ons allemaal is, ook al geven sommigen van ons meer dan anderen.

Jerry Hildenbrand

Jerry is de huisnerd van Mobile Nation en daar trots op. Er is niets dat hij niet uit elkaar kan halen, maar veel dingen kan hij niet weer in elkaar zetten. Je vindt hem op het Mobile Nations-netwerk en dat kan sla hem op Twitter als je hey wilt zeggen.