重点关注 Apple 的隐私核心

嗨 大家好 我是隐私工程的萝伦 欢迎观看《Apple的隐私重点整理》 在Apple 我们相信隐私是一项根本的人类权利 装置是我们娱乐自己、彼此连结的 重要工具 特别是当我们不得不 远距保持联系时 人们在进行这些体验时想要分享什么 应该由他们自己做主 当人们知道自己的数据会发生什么事 拥有掌控权的时候 他们就更可能参与你提供的体验 让你的app变成他们 人生中值得信赖的一部分 因此 我们必须一起努力确保 优良的功能与优良的隐私能够并存 这并不容易 因此 在iOS 15和macOS Monterey 我们依然持续提供创新工具 要让你更容易保护用户 同时又能创造他们会喜爱的功能 在这支视频中 我们会带你认识 Apple的隐私手法 并介绍一些新技术 使创造新功能的同时 让尊重用户选择这件事 一如既往的简单

改善app的隐私保护 似乎是个崇高的目标 你甚至可能根本不知道从何着手 因此我们把设计隐私简化成 一系列的原则以及你可以问问自己的 一些相关问题 引导你如何设计产品

所以 我们的隐私手法是什么？ Apple有四大基本隐私重点 第一个是数据最小化 只要求和使用 你真正需要的数据 第二个是终端装置处理 也就是本地处理数据 不传送到服务器 第三个是透明与控制 让用户 清楚地认识 及控制 自己的数据被使用的方式 最后 安全保护 有助实现平台上的 隐私保护 在实践上 这些指导原则会带出 一系列有关功能方面的问题 说到数据最小化 我真的需要此数据 才能创造强大的功能吗？ 关于终端装置处理 服务器为何需要看见此数据？ 说到透明与掌控 我们要用此数据做什么 又要如何把这点传达给用户？ 最后 关于安全保护 此数据在中转 和休息时如何受到保护？ 我跟嘉瑞特会带你认识新功能 让你只搜集你所需要的数据 保护用户的数据 还有一些或许可以启发你 思考app有哪些隐私新可能的技术 接着 艾略特会探讨 私密转送的运作方式 以及如何应用四大原则来设计之 我们先从iOS 15的数据最小化开始 人们去过的地方 会透露他们的生活 你的app可能依赖位置 来提供很棒的体验 但是用户可能会对马上授权给app 存取位置感到不安心

在iOS 13 我们提供了一个新方式 让人们可以选择“允许一次” 来试试看app的位置功能 但这会带来多次反复的提醒 在iOS 15 有一个 设计位置功能的新方式 可以更不着痕迹地融入app的体验 同时允许用户选择何时分享位置 你现在可以直接在app里加入一个 “分享目前位置”的按钮 轻点之后 app就可以 为那段对话存取位置 就像“允许一次”那样 很多app只有某些功能需要使用位置 使用这个位置按钮是一个很棒的方式 让你建立用户的信任感 在人们 跟真正需要位置信息的功能 进行互动时存取位置 用户首次轻点这个按钮时 他们会认识其运作方式 选择要让 app取得精准还是大概的位置

左上角的位置箭头将出现 向人们表明 app已收到位置 下次轻点app的位置按钮时 就会直接启动 不会再提示 位置授权会以对话为单位 持续到用户离开app为止 这运作方式跟“允许一次”是一样的 但是相当不着痕迹 是取代“使用App时”的绝佳办法 跟“使用App时”相比 位置按钮 使你可以提供一个更省力的方式 让用户试用需要取得位置的功能 你可以在 CLLocationButton 设定属性 自定 适合你的app的按钮 可以自定的 按钮属性 包括底色 文字和位置箭头颜色 以及圆弧边缘 这些位置按钮设计的目的是确保用户 按下按钮时 表示他意图提供位置给app 一致的字符串和外观让这些按钮 容易辨识 而对比、大小 和形状的限制则确保按钮清楚可见 这表示iOS可以确认按钮 是被直接轻点 支持位置按钮的有watchOS iOS、iPadOS及拥有Catalyst的macOS 常常 用户开启app时马上就得做出 位置存取的重大决定 位置按钮让用户可以更精准掌握 自己的位置何时被使用 同时确保更不着痕迹的用户体验 安全粘贴跟位置按钮 使用相同的技术 确认粘贴按钮是被直接轻点 现在 OS能够很可靠地区分 用户触发的粘贴 和app主动做出的程序粘贴

在iOS 14 粘贴透明通知 让用户知道app什么时候存取剪贴板 这也会帮助你得知app包含的SDK 可能在什么时候意外存取剪贴板

现在 当用户通过编辑选项进行粘贴 已经不再需要透明通知 如果用户没有通过编辑菜单 或键盘主动进行粘贴 通知才会显示在UI 要改善你的体验 请改成只有用户主动进行的粘贴 如果你需要存取剪贴板 你可以使用数据侦测器 在存取之前确认剪贴板的内容 跟你的应用程序有关 下一个原则是终端装置处理 终端装置处理是面容ID 快速输入建议、测量血氧等 核心功能的根本基石 终端装置处理主要的好处就是 你可以用敏感数据设计出很棒的功能 不必传送到服务器

在iOS 15 我们把这原则应用到Siri Siri是强大的功能内建 产业顶尖隐私技术的绝佳例子 Siri从一开始就被设计成 要保护你的隐私 录音没有预设要储存起来 你的要求是跟一个随机识别符有关 不是你的Apple ID 我们也很努力把你的个资 留在装置上 然而 操作像Siri所使用的那些 庞大机器学习模型 通常会需要很多服务器 但是大约在我们推出iOS 12的时候 我们也在硬件添加了 Apple神经网络引擎 Apple神经网络引擎让我们可以 在终端装置移动更多Siri的成分

到了iOS 13 我们引入了 完全在终端装置产生Siri声音的能力 这就表示Siri针对你的要求 所做出的回应不会离开装置

在iOS 14 我们引入了 终端装置键盘听写 这是我们在终端装置运行的第一个 高品质语音转文字模型 人们现在还是会担心 语音助手可能会把声音录下来 为了解决这层疑虑 我们正把所有的自动语音识别模型 完全移到终端装置上让Siri运行 将终端装置语音识别带给Siri 就表示预设的情况下 你的要求产生的语音 不会离开iPhone或iPad 这项革新是让终端装置处理 往正确的方向迈进的另一步 把Siri自动语音识别模型移到 终端装置 是针对隐私进行设计 可以造就优良新功能的绝佳例子 终端装置处理表示Siri速度极快 不把要求传送到服务器 而是在终端装置上处理 让Siri可以更快速地回应你的要求 现在 你甚至可以离线做出要求

Apple神经网络引擎是把 更多的Siri处理移到 终端装置的关键原因 在iOS 15 你也可以享受到 Apple神经网络引擎带来的好处 在iOS 15推出的新功能 让你可使用 CreateML框架直接在 iPhone或iPad训练模型 现在 你可以为使用你的app的 每一个人个人化模型 把照片等敏感数据全部 留在他们的装置上 你可以观看机器学习团队的视频 《通过Create ML 框架设计动态iOS app》 来了解更多 接下来 嘉瑞特会谈谈 iOS 15和macOS Monterey的 透明与控制 谢谢你 萝伦！ 在你的app里设计清楚的透明性 和可理解的控制 会帮你建立用户的信任感 知道你计划如何使用他们的电子邮件 照片或健康数据 或者你打算跟谁分享这些 会让用户更自在地探索app的功能 更充分地使用你的app 所以 今天我们要谈到一些 我们平台上有关透明与控制的例子 确保你知道要为你的app 采取哪些步骤

首先 我们会谈到 跟电子邮件有关的透明与控制功能

以前 在提供自己的邮件地址 给某个服务之前 你可能会三思 使用你的app的人也会有同样的疑虑 他们可能会担心自己的信息 被分享给他人 或是自己的购物历史 或行为被连结到其他app和网站 在iOS 13 “通过Apple登录”引入 一个新的app和网站登录方式 允许人们隐藏自己的姓名或邮件地址

在iOS 15 这些好处到处都做得到 使用的是iCloud+的 “隐藏邮件地址” 使用Safari 人们可以轻松 产生新的邮件地址用来填入表格栏位 在邮件撰写新信息时也可以

这些也可以来自其他的管道 任何会收到邮件地址的管道 都可能有“隐藏邮件地址”的地址 客户使用“隐藏邮件地址”时 你的邮件会直接寄到他们的收件匣 请务必尊重他们的决定 只在你的app体验有需要时 要求额外的信息 如姓名 为了让邮件更丰富、有互动性 邮件常常含有一些远程主机的图片 当邮件程序秀出这类邮件时 远程图片会被截取 揭露邮件是在 何时、大概在哪里 在什么样的装置上被开启 现在有很多营销邮件 会为每一个用户提供 独一无二的图片URL 或甚至是看不见的像素 在用户阅读信息时 特别用来 把这项信息链接给用户 这就导致人们必须选择纯文本的邮件 以保护自己的隐私 或者完整呈现 邮件内容 但会揭露自己的邮件活动 在iOS 15 我们要引入邮件隐私保护 用户可以选择让iOS私下载入 远程信息内容 隐藏邮件活动 这真的很酷！ 对你来说也是很棒的消息 有更多人会读你的邮件 包括你放进的所有图片和视觉元素 如果你有在使用远程图片计算 营销成效 有几个更动要留意 由于邮件内容可能在传送后自动载入 邮件观看的时间将不再是正确的 由于内容载入后不会揭露用户的 IP地址 也没有详细的标头 阅读邮件的地点和装置类型 不会被揭露 不管用户是否读了邮件 你都会看见邮件已被开启 接着 在透明与控制方面 我们要快速带过专注模式和指示器

在iOS 15推出的新功能 让通讯类的app 可以在勿扰和专注模式 协助用户 方式是先要求阅读用户的忙碌状态 再将该状态分享到app的体验中 想要要求存取状态 你需要在app的Info.plist放入 NSFocusStatusUsageDescription 并在Xcode开启 用户通知通讯功能 想了解更多关于 专注模式的细节 请观看 《传送通讯和时间敏感的通知》 在macOS Monterey 我们使用录音指示器 补充了相机指示器灯光 现在 内建麦克风 或W1或H1语音装置只要有在倾听 用户就会在状态栏看见一个橘点 当然 要建立信任感 就不能滥用信任感 一定要确保你的app只在用户 觉得合理的情况下启动麦克风 例如 如果你的app有静音选项 静音时就要停止接收系统的语音 务必在macOS Monterey测试app 以确保app做出用户预料之内的行为 此外 你也可以轻松确认 app里没有第三方SDK 在意料之外进行倾听 接着 我们来看看为最近的app行为 提供透明性的工具

App隐私报告让用户可以明白 他们的日常应用程序发生了哪些事 在接下来的软件更新又会出现什么 报告会让用户知道 app何时存取用户数据 及传感器 像是位置、照片或联络人 并将网站在app联络人中存取的网域 以及app联络的所有网域列出 让你看到app可能在跟谁 分享数据

App隐私报告将出现在隐私权设定中 可以由用户开启 让他们更认识 自己安装的app 假如用户希望清除使用历史 只要再次关闭就可以了 还有很重要的一点也要注意 那就是App隐私报告 不会记录网页浏览器 短暂的WebKit对话 像是Safari的无痕浏览模式

在iOS 15 “记录App活动” 提供了导出功能 让你更了解app的行为 因此 你应该要使用iOS 15 beta 开启“记录App活动” 提前测试 你的app在App隐私报告功能 呈现出来的样子 接着 当你选择“储存App活动” iOS就会生成一个JSON文件 你应该查阅这个JSON档的内容 确认app的行为如你预期

那么 我们就来看一下 JSON会有一份串流字典列表 二进制存取用户数据 和传感器的每一次都会有一个 如位置或相机 这是一个单一存取的例子 首先 搜寻app所有二进制的 组合ID的所有实例 接着 时戳可以帮你 把这些存取绑在软件行为

要查看你联络过的所有网域 请查找JSON区块标记下方 那里有一个最后的字典 这使用了键的组合ID 所以每一个 app的可执行文件都有一个字典 接着 你就可以看到所有的网域联络 这些联络何时启动 以及是app还是用户启动的

让我告诉你app连接 跟网站连接有什么不同 SafariViewController 以及ASWebAuthenticationSessions 进行的连接会被自动标记成网站连接 如果连结是代表第三方内容 且不属于app功能的核心 你也可以手动把连接 标记成网站连接

在标准层 我们加了一个属性枚举 来手动标记连接 你必须指定“用户” 如果不加以指定 连接会被标记成app流量 该枚举存在于 NSMutableURLRequests之中 你会想在那里供应MainDocumentURL 位于Network框架的 NWConnection 以及套接字 你也可以通过其他 Apple框架的便利方式标记连接 如LinkPresentation和AVFoundation WKWebView加了一些 新方式来通过NSURLRequest 让你适当标记连接 更多内容可以观看 《探索WKWebView新增》

App隐私报告的存在 是要让app行为透明化 “记录App活动”这个好工具 则让你知道 App隐私报告在接下来的 软件更新之后 用户将会看到什么 你的app应该只在用户预期的时间 存取用户预期的数据 这是另一个可以真正 让用户建立起信任感的机会 因为他们可以更了解 你的应用程序做的事 此外 “记录App活动”也可以 让你更明白放在app里的 SDK的行为 确认SDK的实际做法跟你的相符 在你的QA测试融入“记录App活动” 并在App活动的JSON档确认 只有你预期存取的数据存在

关于透明与控制的最后一个部分 我想谈谈一些现有的 但开发者常常会有问题的东西

在2020年下半年 隐私营养标签上线了 标签的设计是要让透明性 以一目了然的格式呈现 用户若知道你的app 会对他们的数据做什么 他们会比较容易信任你 跟你的app互动 我们知道设计好的隐私有多困难 而最棒的成果有时候可能看不见 标签让你可以炫耀你为了保护用户 而付出的努力

标签必须要包含你所有的实践 所有的功能以及所有的OS版本 标签必须跟你的App 追踪透明性使用相符 而这就带到了下一个主题 App追踪透明性在WWDC 2020公布 并在2021年春季的 iOS 14.5开始变成必备 现在 用户可以选择是否愿意 被不同的app和网站追踪 这让人们更容易信任新的app 现有的app当然也是 为了要求授权 你必须提供 目的字符串来说明你为什么想要追踪 你可以在提示前放入 额外信息做进一步的说明 如果你选择这个方式 有几个细节要留意 例如 提示前的说明 不应该使用是非选项 要了解更多 请参阅《人机界面指南》 现在来说需要留意的几件事 追踪的目的是把用户数据 连结到多个app和网站 以达到广告目的或分享给数据中介者 要知道更详尽的定义 请浏览《用户隐私和数据使用页面》 App追踪透明性讲的 不只是广告识别符 广告识别符是其中一种追踪方式 但App追踪透明性 要你任何追踪都得要求授权 做为app功能的一部分 你可能会搜集姓名、邮件地址 或其他识别符 用这些信息链接数据 也算是追踪 指纹辨识 也就是搜集 信息的多个片段 以产生稳定的装置身份的做法 受到了开发者计划许可协议驳斥 即使用户授权追踪也不允许

假如追踪被否决 app所有的功能 一定还是要能用 请确保你的App追踪透明性使用 有反映在营养标签

很多人会嵌入第三方SDK 以避免重新实现功能 或是为了利用有帮助的第三方服务 你必须留意这些SDK在做什么 你要为整个app的行为负责 假如某个SDK会搜集数据 你就必须把这个行为放在隐私标签 假如某个SDK要追踪 你就必须得到用户授权 才能使用这些方式 很多SDK都有跟隐私营养标签 有关的文件 你可以向他们询问 我们知道广告是开发者成功兴旺的 关键之一 所以我们一直都在努力 设计能够保护隐私的广告归因技术 如果你有在app使用广告 使用付费广告拓展客户 或是直接在广告生态系运作 我们有做了一些改善

在过去 我们在可能做到时加入 转换值及来源app、强化了诈骗韧性 为交替广告流提供了信用 推出了保护隐私的网页归因 为遗失的转换提供了会计 进一步强化了隐私保护 现在 iOS 15加了 特定的pingback给你 让你可以 在不需要广告网络的帮助下 计算广告活动绩效 想知道这些改变的详细信息 请观看 《认识保护隐私的广告归因》

关于透明与控制 以及你需要为你的app 采取的行动 就讲到这边

最后一个隐私重点是安全性 安全性对我们平台上 一些最为人所知的功能 至关重要 像是确保只有你在 iMessage的对象可以读你的信息 做为安全性确保隐私权的范例 iMessage隐私保障 受到端到端加密支持 如果你的app有使用CloudKit 我们有一些新的安全措施要给你看看 CKAssets一直都可以 自动使用CloudKit加密

在iOS 15 我们提供了新功能 让你能够叫一个函数 就通过强大的加密以相似的方式 保护其他数据类型 这表示先前你要自己 处理用户数据的加密 但是现在我们为所有储存 在iCloud的数据类型 提供加密和键的管理 我们现在支持字符串、数字 日期、CLLocation和阵列 而且这真的很简单！ 你只要用encryptedValues API 设定记录上的键值对 再用CKModifyRecordsOperation储存 要撷取加密过的值 只要叫CKFetchRecordsOperation 使用同样的encryptedValues特性

现在 交给艾略特 说明私密转送以及四大隐私重点 如何形塑私密转送的设定决策 谢谢 嘉瑞特！ 我们一生都在使用网络表达自我 跟工作和学校连结、点餐 让自己在开发者研讨会学习新事物等 无论是饭店Wi-Fi 带着走的移动网络 甚至是家里的固网 不管去到哪里、使用什么网络 网络隐私从来没有像现在这么重要 我们来聊聊我最近搬到库帕提诺后的 一个星期天早晨 喝了一壶咖啡后 我在破旧的沙发上坐下来 决定是时候买个新沙发了 我喜欢苹果园区的沙发 于是我就打开Mac 使用Safari浏览家具网站 寻找类似的风格 连上线后 家具网站马上就有我的IP地址 可以判定我所居住的城市 因此库帕提诺也加到了我的活动档案 在幕后 家具网站 就跟其他许多网站一样 会搜集我的信息分享给数据中介者

家具网站会提供我浏览沙发的数据 我的IP地址也被用来跟其他 许多地方搜集到的 关于我的片段数据结合在一起 片段结合在一起后 便形成 一个关于我在网络上 做了哪些事的完整档案

全部加总起来 这个建立起来的档案 呈现出的便是关于我这个人 和我生活中目前发生的 一切最新又相当私人的样貌 我的档案甚至包含一些私人细节 像是我的电子邮件地址 甚至还有我的通讯地址 因为购买桌子要运送就会提供这部分 我从来没有刻意提供这些信息 或希望我的信息被分享 这类浏览纪录无法清除 或重设 甚至没有储存在我的装置上 这些数据不仅可以用来在我造访的 其他网站上进行广告 还可以在我 不知情的情况下用来影响我的行为

星期天稍晚 我开始 在割草机网站上搜寻割草机 使用我的IP地址和其他档案信息 一个跟我先前浏览过的 沙发有关的广告便出现了 两天后 我在信箱收到 家具网站寄来的沙发型录 网络追踪不一定只留在网络上 有了详细的档案 追踪可能转移到实体空间 追踪会降低信任感 造成人们 限制在网站上进行的活动 网络设备生产者也能够搜集 这类信息 甚至是从使用你的网站 或app的人那里发掘行为模式

TLS和加密DNS等技术 可以保护行为模式和用户数据 不暴露给网络提供者 你应该采用这些技术 想知道更多运用内建方式保护 app网络隐私的方法 请观看WWDC 2020的视频 《启用加密DNS》 及《使用现代网络提升表现和安全》 我们将在iOS 15和macOS Monterey 引入一个新的网络 隐私服务iCloud私密转送 私密转送包含在iCloud+中 可确保 你做出的每一个网络连接都有加密 且你的IP地址不再辨识你的身份 或在Safari泄漏你的位置给网站 最棒的地方是 私密转送独特的设计 让任何人 包括Apple 都看不见你是谁 以及你造访了哪些网站

我们来看看私密转送在我为新家 添购家具时是怎么运作的 首先 连上家具网站时 私密转送网络里会有 两个不同的代理运算符 被随机挑选出来 这样就没有一个运算符 具有掌控或看得到整个状况 接受我的网络连接的代理 叫做入口代理 入口代理会阻止其他服务器 看到我的IP地址 并将我的网络流量加密 以防网络提供者 得知我在做什么 回到网络的转送是由 出口代理提供 并会防止入口代理 看到我在联络哪一个网站

私密转送使用RSA盲签名 不需要身份或账户信息 就能管理网络存取 装置执行的密码盲操作 让我能够把它找回来 进行网络存取 同时不透露 我账户或者是谁进行连接的任何信息

使用符记服务器的公钥 私密转送代理可快速确认 网络存取授权

建立连线之前 私密转送存取符记服务器会提供一堆 不同的符记到我的装置 这让我随时需要时就能存取任何 自己选择的代理运算符

为强化我选择的代理之间的 信息分离 会使用 多层加密建立连线 连线通过时 代理会一层一层移除 只有我的装置可以解密每一层 每一层都必须知道 我正在连上家具网站

建立连线时 出口代理会随机 选择一个IP地址来使用 这就可以防止我的沙发浏览纪录 连结到浏览割草机 或最近送桌子来的纪录 随着时间过去 私密转送连接 就会自动产生和重复使用 提供IP地址追踪保护 及良好的表现 私密转送隐藏我的IP地址 还有另一个隐私方面的好处 由于我的IP地址可以 地理编码我的大概位置 入口代理就能跟我分享那个位置 这让我可以告知出口代理 要选择哪一组IP地址 这是优良功能和优良隐私的绝佳范例 网站可以在Safari提供本地内容 同时我的准确位置又可以隐藏起来

记住 只有入口代理 可以看见我的IP地址 入口代理将我的IP地址转换到 割草机网站本来 会看到的同一个IP地区 接着把概略的版本送回 在这个例子中 入口代理传回 “加州湾区”给出口代理 协助它在这大概地区的 一组IP地址中进行挑选 有了区域IP地址 我联络的网站 还是可以找到邻近的商店 我们用实际图像来说明 连线时 两个网站都会看到 来自跟我的大概区域 相符的IP地址的连线 地图上的点点代表 该区域每个人可能共享的 私密转送IP地址位置

在iCloud的网络隐私设定中 选择“使用国家与时区”时 没有任何提示会提供给出口代理 所以 它会在属于 入口代理大范围区域的 一组IP地址当中随机挑选一个 因此 网站会看到 更广大的区域所进行的连线 同一地区的所有人 会使用同一组的IP地址

使用概略的位置设定 割草机网站会看到一个随机的位置 比方说洛杉矶 而不是库帕提诺 要做到更好的网络隐私 可以同时使用私密转送 和“隐藏邮件地址” 防止网站使用你的IP地址和邮件地址 来追踪你的网络活动 我们已谈过iCloud私密转送如何示范 我们各大隐私重点的关键概念 使用无法连接的符记来存取网络 阐明了数据最小化的概念 只有装置能够处理和解密 私密转送连接的所有加密层 IP地址保护加强了 对网络追踪的控制 层层加密和强大的安全性加强了 对于谁能存取网络浏览内容的控制 我们的隐私重点影响了我们设计 iCloud私密转送的每一步 现在再交给萝伦 谢谢 艾略特 只要我们同心协力 强大的功能加上 强大的隐私就会比较容易达成 我们希望认识了iOS 15所做的改善 以及Apple在产品里建立隐私的方法 像是私密转送之后 可以启发你 在设计你的app时 想想有哪些创新的可能 要更好地保护用户数据 你可以在CloudKit加密新资产 要拥有不着痕迹的位置功能 你可以采用“分享目前位置”的按钮 最后 检查你的“记录App活动” 准备App隐私报告 确保它有跟你的营养标签相符 Apple在设计工具时都会考虑到隐私 这样你就可以为平台的 每一个人设计很棒的app 要打造一个生态系 让用户会兴奋地 想要探索新的app、尝试新的功能 同时又感觉自己能够 控制数据被使用的方式 需要我们大家共同的努力 iOS 15和macOS Monterey 提供了前所未有的 控制和洞见 我们非常 期待看看你会设计出什么东西 [轻快音乐]