Глубокое погружение в конфиденциальность Android 11: разговор с Google о критических улучшениях Android 11

Android 11 находится здесь, и хотя ранние превью для разработчиков и бета-сборки показали нам большую часть того, что доступно, многое изменилось за кулисами. Многие из этих изменений связаны с конфиденциальностью пользователей, что затрагивает всех нас.

Сами по себе изменения не кажутся серьезными дополнениями к самой используемой операционной системе в мире, и это сделано специально. Команда, работающая над конфиденциальностью пользователей, должна была предоставить нам больше контроля. а также быть проактивным через саму ОС без каких-либо сложностей или разрушений.

Чтобы получить полную информацию о том, что было изменено, и некоторые мысли, которые вошли в эти изменения, вы можете подробно прочитать в нашем Обзор Android 11, Я встретился с менеджером по продуктам Google и специалистом по конфиденциальности Шармейн Д'Сильва, чтобы обсудить, что все это значит и как все это работает.

Самое важное, что мы все должны знать, - это то, что Android был создан с нуля для защиты конфиденциальности пользователей. Иногда это не так со всеми данными, которые Google собирает о нас, но у нас есть выбор: откажемся от этой коллекции, и если мы этого не сделаем, данные будут анонимными - для компьютеров Google мы просто случайный число.

С самого начала Android был разработан с учетом принципа конфиденциальности. За последние три года мы действительно сосредоточились на том, чтобы те функции, которые мы действительно создавали, были желаниями пользователей. Раньше, когда мы создавали функции конфиденциальности, большинство вещей было скрыто; так мы фактически структурировали операционную систему. Перед пользователем не так много всего, потому что, честно говоря, если подумать, конфиденциальность может быть довольно подавляющей.

Наиболее перспективные функции конфиденциальности в Android 11 - это изменение разрешений и добавление «разовое» разрешение для приложений, которые используют геолокацию, камеру или микрофон. Это расширение Android 10-х разрешение «во время использования» для фонового местоположения, которое позволяло запретить любому приложению отслеживать вас, пока вы его не использовали.

Google изучил пользовательские данные и подошел к идее добавления дополнительных возможностей управления некоторыми критически важными функциями конфиденциальности в Android 11:

Поскольку пользователи изменили свою позицию и захотели больше контролировать вещи, а не заботиться о них по умолчанию, мы изменили наш подход, чтобы также иметь возможность удовлетворять потребности пользователей. Мы добавляем больше элементов управления перед пользователем, предоставляя им больше выбора, и с каждым выпуском мы постепенно увеличиваем количество вариантов и опций, которые мы предоставляем пользователю. Это сделано намеренно. Мы никогда не хотим перегружать пользователя таким количеством опций, чтобы он действительно не знал, какой выбор сделать, поэтому мы очень внимательно относимся к тому, какой выбор мы предлагаем пользователю.

Google говорит, что многие люди действительно используют эти новые функции, гораздо больше, чем в предыдущие годы.

Что мы наблюдаем, что удивительно и к нашему большому удовольствию, так это то, что пользователи на самом деле очень часто используют этот выбор. Это дает нам уверенность в том, что в будущем мы сможем создать больше таких функций. Если вы оглядывались назад на Android 10, то одним из основных изменений, внесенных в этот конкретный выпуск, было добавление разрешения на определение местоположения «во время использования».

Мы определенно опасались, поймут ли люди, что означает фраза «во время использования», и будут ли они ее использовать. В подавляющем большинстве случаев мы увидели, что большинство пользователей выбирают этот вариант более чем в 50% случаев по сравнению с другими вариантами. Для нас это явный показатель того, что пользователи обычно хотят иметь более детальные элементы управления и более внимательны и вдумчивы к выбору параметра «во время использования» для фонового расположения.

Что касается одноразовых разрешений, Google фокусируется на трех конкретных случаях использования: микрофон, камера и местоположение.

В связи с полученными отличными отзывами о контроле Android 10 над фоновым местоположением, Google решил обеспечивают еще больший контроль за счет использования «одноразовых» разрешений, которые позволяют приложению выполнять вещь только пока вы используете его на этот раз. Разрешение на продолжение использования функции или получение доступа к ней не предоставляется после ее закрытия:

Мы как бы построили такой подход в Android 11 и, расширив то, что мы делали с фоновым расположением, мы добавили одноразовое разрешение в качестве нового приглашения к этому выпуску. Это та же концепция, но если вы думаете об использовании приложения, и ему не требуется это разрешение все время. Скажем, например, вы находитесь в ситуации, когда вы пытаетесь поделиться своим местоположением с супругом или другом через приложение чата. Приложению чата не обязательно знать ваше местоположение все время, но в этом случае вы хотите указать это местоположение. Мы также хотели предоставить людям детальный контроль над одноразовым разрешением.

Мы подумали об этом, и мы выделили три разрешения, которые действительно имеют эти варианты использования: микрофон, камера и местоположение. В итоге мы создали разовое разрешение для всех трех именно по этим причинам. Могут быть случаи, когда вы хотите, чтобы приложение имело одноразовый доступ к этим разрешениям. Мы видим, что люди довольно часто используют эти параметры в предварительных версиях и бета-версиях Android 11 для разработчиков. Это та же концепция, в которой мы добавляем пользователю больше возможностей выбора с помощью детализированных элементов управления через область разрешения или когда дело доходит до того, насколько временным является это разрешение.

Еще одно важное изменение в Android 11 заключается в том, что у приложения, которое не использовалось в течение 39 дней, могут автоматически отменяться разрешения. Если это произойдет, вы получите системное сообщение об этом, и вы, конечно же, сможете повторно включить разрешения при следующем использовании приложения.

Д'Сильва объясняет, что это один из случаев, когда Google решил действовать на опережение, а не позволить пользователю выполнять задачу, потому что с разрешениями Android сложно ориентироваться:

Количество действий по отзыву разрешения довольно обременительно, и большинство пользователей не могут сделать это легко. Это дает пользователю возможность опробовать функцию или убедиться, что ему удобно работать с приложением, потому что он может просто включить ее для одного варианта использования и больше не беспокоиться об этом. Это то, что действительно вошло в нашу мысль при разработке функции одноразового разрешения.

Мы очень часто взаимодействуем с приложениями и используем их, потому что в этот момент это действительно важно. По мере того, как мы уходим от этой ситуации, это приложение может быть не тем, что вы используете постоянно, поэтому мы используем тот же тип мышления для отзыва разрешения. Предположим, вы посетили новый город и вам нужно использовать приложение для совместного использования или посетить местные достопримечательности. Когда вы уходите, люди обычно не возвращаются и не удаляют эти приложения очень часто, если у них есть телефон с большим объемом памяти. Это приложение может по-прежнему иметь доступ ко всем предоставленным вами разрешениям, которые были полностью уместными и актуальными в то время. Но если вы на самом деле не используете это приложение, у него больше не должно быть доступа к этим разрешениям.

По мнению Google, предоставление пользователям дополнительных подсказок - не лучшая стратегия.

В этом конкретном случае мы на самом деле хотели убедиться, что занимаем позицию по прояснению всего от имени пользователя заранее и сообщить им, что мы выполнили очистку и автоматически отозвали разрешения. Мы обременяем пользователя и спрашиваем его: «Эй, вы хотите отозвать это разрешение?» или пусть не думают об этом. В этом конкретном случае мы решили просто отозвать все разрешения, а затем уведомить пользователя о том, что эти конкретные приложения больше не имеют этих разрешений.

Приложения Android имеют доступ к много разных разрешения. Их так много, что почти невозможно отследить, почему тому или иному приложению требуется какое-либо конкретное разрешение.

В Android 11 Google действительно сосредоточился на отмене старых разрешений, которые долгое время не использовались.

Я спросил, есть ли какие-то особые разрешения, на которые обращали особое внимание из-за их потенциала за нарушение конфиденциальности и проявил ли Google особое внимание из-за пользовательских данных о поведении приложений на нашем телефоны:

Любое разрешение, которое необходимо предоставить, является конфиденциальным. Вот почему мы всегда запрашиваем согласие пользователя перед тем, как предоставить приложению доступ к этим данным. Поскольку вы спрашивали о пользовательских данных, на самом деле нет предвзятости среди разрешений, когда процент отклонения намного выше, скажем, для местоположения, чем для хранилища. Это не так, и на самом деле все данные, которые у нас есть, говорят нам о том, что по всем направлениям частота отказов в значительной степени одинакова для всех разрешений. Люди одинаково чувствительны ко всем этим разрешениям.

Однако мы увидели, что количество отказов действительно возрастает, если пользователь не понимает, зачем приложению требуется разрешение. Итак, мы увидели, что дело не в разрешении, а в том, что вы отказываетесь от чего-то в обмен на то, что имеет ценность. Обмен ценностями действительно важен для пользователя, поэтому, если они понимают, что им действительно нужно предоставить доступ к камере, например, потому что они хотят провести видеозвонок, это значение имеет смысл. Но если они должны предоставить такой же доступ к чему-то вроде калькулятора (я надеюсь, что нет приложения, которое бы это делало!), Тогда такой обмен ценностями не имеет смысла. Итак, что мы видим из наших данных, так это то, что несоответствие в обмене ценностями происходит тогда, когда процент отказов растет.

Я также спросил, верно ли общее мнение о том, что половина пользователей Android всегда просто щелкает «да», а другая половина всегда щелкает «нет» в диалоговых окнах разрешений. Я знаю, что многие люди, особенно технические писатели, придерживаются этой концепции (в том числе и ваши искренне), но оказывается, что это не так:

Вы могли подумать, что это правда, и у меня действительно была эта гипотеза, поэтому я пошел к нашей группе анализа данных и проверил ее. Честно говоря, данные этого не показывают. Очевидно, есть тенденции, когда некоторые люди более осторожны в отношении местоположения или других более конфиденциальных разрешений, но я еще не нашел доказательств того, что основная группа людей говорит «да» всему. Люди определенно перестают думать и используют свое право отказаться от приложения или разрешения.

Я приятно удивлен этим и люблю слышать, как фактические данные развеивают любое представление о том, что многим пользователям просто все равно. Затем я спросил, что делает Google, чтобы пользователи не разочаровывались, видя диалоговые окна, которые запрашивают разрешения, когда типы изменений, которые мы видим в Android 11, расширяются:

Возвращаясь к тому моменту, когда мы ввели одноразовое разрешение, существовало опасение, что, хотя мы хотели предоставить пользователям выбор, теперь у нас будет больше всплывающих диалогов, которые сделают работу менее гладкой. Но все, что мы видели, - это просто то, что людям нравится иметь больший выбор, и они действительно думают о том, на что они соглашаются.

Мы действительно помним, что список разрешений не является чем-то огромным, что трудно понять. Мы хотим, чтобы вещи были лаконичными и точными, чтобы охватить их соответствующим образом.

Это те вещи, о которых команда Play думала больше всего. Должно ли приложение-калькулятор просить вас использовать камеру, если ему не о чем спрашивать? Команда Play запустила политику «SMS / Call Log», и ее намерение остается неизменным: приложение, которое не должно запрашивать SMS и журналы вызовов, не должно их запрашивать. Насколько мы можем фильтровать через Google Play, чтобы убедиться, что нужные приложения запрашивают правильные разрешения, а затем предоставить пользователю возможность выбора, я думаю, что это лучший опыт. Часть того, чтобы не быть подавляющим, заключается в том, что вы хотите отфильтровать шум.

Я знаю, что многие «продвинутые» пользователи просили такие же проверка конфиденциальности которые Google предлагает для вашей учетной записи в Интернете, сделать доступными для наших телефонов. Д'Силва говорит, что Google решил действовать более активно, зная, что данные покажут, что пользователи хотели отозвать неиспользуемые разрешения приложения на основе напоминания о фоновом местоположении Android 10:

Мы определенно говорили об этом, и вы, вероятно, видели, что что-то подобное происходило в Android 10. Мы сделали это напоминание о фоновом местоположении, в котором говорилось: «Эй, помните, вы предоставили этому приложению доступ к фоновому местоположению, сделайте вы хотите продолжить? »Это тоже было очень успешным, и мы получили довольно высокий процент уничтожения этих разрешений и уведомление; более 76% пользователей фактически изменили разрешение на доступ к местоположению, чтобы запретить или только во время использования.

Перенесемся в этот год, и система отзыва на самом деле является проверкой. Нам нужно было подумать, хотим ли мы спрашивать людей заранее, а затем заставлять их выбирать, например, проверку конфиденциальности, или мы хотим сделать этот выбор за них. В конце концов, по мере того как мы думали об этом больше, мы хотели занять более твердую позицию по этому поводу. Приложение, которое вы действительно не использовали, не имеет для этого никакого отношения (сохранение разрешений). В данном конкретном случае мы хотели быть более самоуверенными и сказать пользователю: «Эй, мы отобрали это разрешение, потому что вы на самом деле его не используете».

Пользователю проще вернуть разрешение приложению, чем оставить ему еще один вопрос.

Из-за его противоречивой истории мне пришлось спросить о Ограниченное хранилище. Scoped Storage - это большое изменение в том, как приложения хранят данные и обмениваются ими, что также значительно повышает конфиденциальность пользователей. Я спросил о любых возражениях разработчиков и о том, как команда по конфиденциальности была вовлечена в их разработку.

Scoped Storage во многом является частью моей команды, потому что это 100% функция конфиденциальности. Намерение Scoped Storage было связано с тем, что по мере развития событий мы хотим более внимательно относиться к тому, что является общим, и иметь возможность предоставить людям больший выбор в отношении этого. Реструктуризация Android 10 была определенно амбициозной, и мы многому научились в процессе.

Мы скорректировали планы на основе отзывов разработчиков, и до сих пор с Android 11 дела пошли очень хорошо. гладко, и я думаю, что сообщество разработчиков восприняло изменения и довольны тем, что стали частью нашего процесс. Мы учли все отзывы, которые они давали нам по Android 10, и попытались исправить это, изменив наши планы. Пока все было довольно гладко.

Android 10 определенно был полезен для обучения. Это был серьезный сдвиг, поэтому мы извлекли уроки из процесса. И определенно мы хотим поблагодарить сообщество разработчиков, которые действительно помогли нам придумать хорошее решение для Android 11.

Я спросил, как команда работала, чтобы убедиться, что ни одно из этих изменений не ухудшит наш опыт использования Android. Например, при автоматическом отзыве разрешений могут быть нарушены старые приложения (все мы используем несколько) и то, что Google сделал, чтобы убедиться, что опыт по-прежнему был хорош, когда дело доходит до установки и использования сторонних Приложения?

Как бы мне ни хотелось быть максимально дальновидным, когда дело доходит до конфиденциальности, мы должны сделать шаг назад и убедиться, что это не мешает опыту в процессе. Таким образом, с автоматическим отзывом одним из требований для его включения по умолчанию является то, что приложение должно быть нацелено на выпуск Android 11.

Есть несколько вполне законных причин, по которым вы никогда не будете взаимодействовать с приложением, например с приложением безопасности. В некоторых случаях есть причина привлечь пользователя или предоставить переключатель в настройках, в других случаях - нет. Это очень хороший баланс, и мы хотим быть уверенными в том, что продвигаем конфиденциальность, но мы также не хотим нарушать законные варианты использования.

Единственный способ, при котором приложение, не написанное для целевой Android 11, могло быть в состоянии автоматического отзыва, - это если пользователь вошел и фактически включил для него автоматическое отзыв.

Мой последний вопрос был частично шутливым, но я знаю, что это тот же вопрос все из нас есть: Любые подробные сведения о функциях для Android 12?

Неа. Но Д'Сильва предположил, что каждый с любыми идеями обязательно отправьте их в Google потому что все они хотят продолжать предоставлять нам функции, которые мы хотим видеть, когда они могут.

Компания не собирается менять способ отслеживания пользователей - опять же, он собирается анонимно, и вы всего лишь число компьютер распознает, но он более внимателен к тому, чтобы мы знали, как мы делимся нашими данными, и, что более важно, как к не делиться ею, когда мы не хотим.

Я хочу поблагодарить всех сотрудников Google, которые сделали это возможным, и особенно г-жу Д'Сильву за то, что она нашла время в своем плотном графике, чтобы поговорить со мной о конфиденциальности. Я покинул собрание, чувствуя, что Google понимает, насколько важна конфиденциальность для всех нас, даже если некоторые из нас заботятся больше, чем другие.

Джерри Хильденбранд

Джерри является постоянным ботаником Mobile Nation и гордится этим. Нет ничего, что он не мог бы разобрать, но многие вещи он не мог бы собрать заново. Вы найдете его в сети Mobile Nations и сможете напиши ему в Твиттере если хочешь поздороваться.