จุดประสงค์ที่ตั้งใจจะนำมาใช้ในโปรเจ็กต์โอเพนซอร์ส Android (AOSP) คำอธิบายทางเทคนิคนี้กล่าวถึงแรงจูงใจเบื้องหลังการปรับเปลี่ยนในอุปกรณ์ (ODP) หลักการการออกแบบที่เป็นแนวทางในการพัฒนา ความเป็นส่วนตัวผ่านโมเดลการรักษาข้อมูลที่เป็นความลับ และวิธีที่ฟีเจอร์จะช่วยรักษาประสบการณ์ความเป็นส่วนตัวที่ยืนยันได้
เราวางแผนจะบรรลุเป้าหมายนี้โดยการลดความซับซ้อนของโมเดลการเข้าถึงข้อมูล และตรวจสอบให้แน่ใจว่าข้อมูลผู้ใช้ทั้งหมดที่หลุดออกไปจากขอบเขตความปลอดภัยนั้นมีความแตกต่างกันในระดับ (ผู้ใช้ ผู้ใช้ ผู้ใช้ โมเดล_อินสแตนซ์) (ซึ่งบางครั้งอาจย่อลงเป็นระดับผู้ใช้ในเอกสารนี้)
โค้ดทั้งหมดที่เกี่ยวข้องกับข้อมูลผู้ใช้ปลายทางขาออกที่อาจเป็นข้อมูลจากอุปกรณ์ของผู้ใช้ปลายทางจะเป็นโอเพนซอร์สและตรวจสอบได้โดยเอนทิตีภายนอก ในช่วงแรกของข้อเสนอ เราจะพยายามสร้างความสนใจและรวบรวมความคิดเห็นเกี่ยวกับแพลตฟอร์มที่เอื้อให้เกิดโอกาสการปรับเปลี่ยนตามอุปกรณ์ เราเชิญผู้มีส่วนเกี่ยวข้อง เช่น ผู้เชี่ยวชาญด้านความเป็นส่วนตัว นักวิเคราะห์ข้อมูล และ ผู้ปฏิบัติงานด้านความปลอดภัยมาร่วมงานกับเรา
การมองเห็น
การปรับเปลี่ยนในแบบของคุณในอุปกรณ์ออกแบบมาเพื่อปกป้องข้อมูลของผู้ใช้ปลายทางจากธุรกิจที่ไม่เคยมีการโต้ตอบด้วย ธุรกิจอาจยังคงปรับแต่งผลิตภัณฑ์และบริการของตนสำหรับผู้ใช้ปลายทาง (เช่น การใช้โมเดลแมชชีนเลิร์นนิงที่มีความเป็นส่วนตัวและมีความเป็นส่วนตัวที่เหมาะสม) แต่จะไม่เห็นการปรับแต่งที่แน่ชัดสำหรับผู้ใช้ปลายทาง (ซึ่งไม่เพียงแต่ขึ้นอยู่กับกฎการปรับแต่งที่สร้างโดยเจ้าของธุรกิจ แต่รวมถึงค่ากำหนดของผู้ใช้ปลายทางแต่ละคนด้วย) เว้นแต่จะมีการโต้ตอบโดยตรงระหว่างธุรกิจและผู้ใช้ปลายทาง หากธุรกิจสร้างโมเดลแมชชีนเลิร์นนิงหรือการวิเคราะห์เชิงสถิติ ODP จะพยายามตรวจสอบว่ามีการลบข้อมูลระบุตัวบุคคลอย่างถูกต้องโดยใช้กลไก Differential Privacy ที่เหมาะสม
แผนปัจจุบันของเราคือการพิจารณา ODP ในเป้าหมายต่างๆ ที่ครอบคลุมฟีเจอร์และฟังก์ชันการทำงานต่อไปนี้ นอกจากนี้ เรายังเชิญผู้ที่สนใจ ให้ช่วยแนะนำฟีเจอร์หรือเวิร์กโฟลว์เพิ่มเติมอย่างสร้างสรรค์เพื่อการสำรวจเพิ่มเติมนี้
- สภาพแวดล้อมแซนด์บ็อกซ์ซึ่งตรรกะทางธุรกิจทั้งหมดมีและสั่งการ ซึ่งทำให้มีสัญญาณหลากหลายจากผู้ใช้ปลายทางในการเข้าสู่แซนด์บ็อกซ์ในขณะที่จำกัดเอาต์พุต
พื้นที่เก็บข้อมูลที่เข้ารหัสจากต้นทางถึงปลายทางสำหรับสิ่งต่อไปนี้
- การควบคุมผู้ใช้และข้อมูลอื่นๆ ที่เกี่ยวข้องกับผู้ใช้ ข้อมูลนี้อาจเป็นข้อมูลที่ผู้ใช้ปลายทางให้หรือรวบรวมและอนุมานโดยธุรกิจ รวมถึงการควบคุม Time to Live (TTL) การล้างข้อมูลนโยบาย นโยบายความเป็นส่วนตัว และอื่นๆ
- การกำหนดค่าธุรกิจ ODP มีอัลกอริทึมใน การบีบอัดหรือปรับข้อมูลเหล่านี้ให้ยากต่อการอ่าน (ODP)
- ผลการประมวลผลธุรกิจ ผลลัพธ์เหล่านี้อาจมีลักษณะดังนี้
- ใช้เป็นอินพุตในขั้นตอนต่อๆ ไป
- ส่งเสียงดังตามกลไก Differential Privacy ที่เหมาะสม และอัปโหลดไปยังอุปกรณ์ปลายทางที่ผ่านเกณฑ์
- อัปโหลดโดยใช้ขั้นตอนการอัปโหลดที่เชื่อถือได้ไปยัง Trusted Execution Environments (TEE) ที่เรียกใช้ภาระงานแบบโอเพนซอร์สที่มี กลไก Differential Privacy ส่วนกลางที่เหมาะสม
- ผู้ใช้ปลายทางจะเห็น
API ที่ออกแบบมาเพื่อ
- อัปเดต 2(a), กลุ่ม หรือค่อยๆ เพิ่ม
- อัปเดต 2(ข) เป็นระยะๆ ไม่ว่าจะเป็นกลุ่มหรือค่อยๆ เพิ่มขึ้น
- อัปโหลด 2(c) โดยมีกลไกการตัดเสียงรบกวนที่เหมาะสมในสภาพแวดล้อมการรวมที่เชื่อถือได้ ผลลัพธ์ดังกล่าวอาจกลายเป็น 2(ข) สำหรับการประมวลผลรอบถัดไป
หลักการออกแบบ
ODP มุ่งมั่นที่จะสร้างความสมดุลให้กับเสาหลัก 3 ประการ ได้แก่ ความเป็นส่วนตัว ความยุติธรรม และความมีประโยชน์
โมเดลข้อมูลสูงตระหง่านเพื่อการคุ้มครองความเป็นส่วนตัวที่ดียิ่งขึ้น
ODP เป็นไปตาม Privacy by Design และออกแบบโดยมีการปกป้องความเป็นส่วนตัวของผู้ใช้ปลายทางเป็นค่าเริ่มต้น
ODP สำรวจการย้ายการประมวลผลการปรับเปลี่ยนในแบบของคุณไปยังอุปกรณ์ของผู้ใช้ปลายทาง แนวทางนี้รักษาสมดุลระหว่างความเป็นส่วนตัวและประโยชน์ใช้สอยโดยเก็บข้อมูลไว้ในอุปกรณ์ให้มากที่สุดและประมวลผลข้อมูลไว้นอกอุปกรณ์เมื่อจำเป็นเท่านั้น ODP มุ่งเน้นที่
- การควบคุมข้อมูลผู้ใช้ปลายทางในอุปกรณ์ แม้ว่าจะออกจากอุปกรณ์แล้วก็ตาม ปลายทางต้องได้รับการรับรองสภาพแวดล้อมการดำเนินการที่เชื่อถือได้ซึ่งเสนอโดยผู้ให้บริการระบบคลาวด์สาธารณะที่ใช้โค้ดที่ ODP สร้างขึ้น
- ความสามารถในการยืนยันของอุปกรณ์ว่าจะเกิดอะไรขึ้นกับข้อมูลผู้ใช้ปลายทางในกรณีที่ออกจากอุปกรณ์ ODP ให้บริการภาระงานการประมวลผลแบบรวมศูนย์สำหรับโอเพนซอร์สเพื่อประสานงานแมชชีนเลิร์นนิงข้ามอุปกรณ์และการวิเคราะห์สถิติให้แก่ผู้ใช้ อุปกรณ์ของผู้ใช้ปลายทางจะยืนยันว่าภาระงานดังกล่าวถูกดำเนินการในสภาพแวดล้อมการดำเนินการที่เชื่อถือได้โดยไม่มีการแก้ไข
- การรับประกันความเป็นส่วนตัวทางเทคนิค (เช่น การรวม สัญญาณรบกวน Differential Privacy) ของเอาต์พุตที่ออกจากขอบเขตที่อุปกรณ์ควบคุม/ยืนยันได้
ด้วยเหตุนี้ การปรับเปลี่ยนให้เหมาะกับอุปกรณ์เฉพาะเครื่อง
นอกจากนี้ ธุรกิจยังกำหนดให้มีมาตรการด้านความเป็นส่วนตัวซึ่งแพลตฟอร์มควรแก้ไขด้วย ซึ่งจะเป็นการจัดการข้อมูลดิบของธุรกิจในเซิร์ฟเวอร์ที่เกี่ยวข้อง เพื่อให้บรรลุเป้าหมายนี้ ODP จึงใช้รูปแบบข้อมูลต่อไปนี้
- แหล่งข้อมูลข้อมูลดิบแต่ละแหล่งจะจัดเก็บไว้ในอุปกรณ์หรือฝั่งเซิร์ฟเวอร์ ซึ่งช่วยให้เรียนรู้และการอนุมานได้ในท้องถิ่น
- เราจะจัดหาอัลกอริทึมเพื่ออำนวยความสะดวกในการตัดสินใจในแหล่งข้อมูลต่างๆ เช่น การกรองระหว่างตำแหน่งข้อมูลที่แตกต่างกัน 2 ตำแหน่ง หรือการฝึกหรือการอนุมานจากแหล่งข้อมูลต่างๆ
ในบริบทนี้ อาจมีเสาสัญญาณธุรกิจและสถานที่ตั้งสำหรับผู้ใช้
![อาคารธุรกิจและอาคารผู้ใช้ปลายทาง](https://developers.google.cn/static/privacy-sandbox/assets/images/android/on-device-diagram1.png?authuser=6&hl=th)
หอผู้ใช้ปลายทางประกอบด้วยข้อมูลที่ผู้ใช้ปลายทางให้ (เช่น ข้อมูลบัญชีและการควบคุม) ข้อมูลที่รวบรวมซึ่งเกี่ยวข้องกับการโต้ตอบของผู้ใช้ปลายทางกับอุปกรณ์ และข้อมูลลอกเลียนแบบ (เช่น ความสนใจและความต้องการ) ที่อนุมานโดยธุรกิจ ข้อมูลที่สรุปจะไม่เขียนทับการประกาศโดยตรงของผู้ใช้
เมื่อเปรียบเทียบกันแล้ว ในโครงสร้างพื้นฐานที่เน้นระบบคลาวด์ ระบบจะโอนข้อมูลดิบทั้งหมดจากหอคอยผู้ใช้ปลายทางไปยังเซิร์ฟเวอร์ของธุรกิจ ในทางตรงกันข้าม ในโครงสร้างพื้นฐานที่ยึดอุปกรณ์เป็นหลัก ข้อมูลดิบทั้งหมดจากหอคอยผู้ใช้ปลายทางจะยังคงอยู่ที่ต้นทาง ในขณะที่ข้อมูลของธุรกิจจะยังจัดเก็บอยู่บนเซิร์ฟเวอร์
ในอุปกรณ์ การปรับเปลี่ยนตามอุปกรณ์จะรวมสิ่งที่ดีที่สุดจากทั้ง 2 อย่างเข้าด้วยกันโดยการเปิดใช้เฉพาะโค้ดโอเพนซอร์สที่ได้รับการรับรองเพื่อประมวลผลข้อมูลที่อาจมีความสัมพันธ์กับผู้ใช้ปลายทางในเสื้อยืดโดยใช้ช่องทางเอาต์พุตที่เป็นส่วนตัวมากขึ้น
การมีส่วนร่วมของสาธารณชนที่ไม่แบ่งแยกเพื่อการหาวิธีแก้ปัญหาอย่างเท่าเทียม
ODP มีเป้าหมายเพื่อสร้างสภาพแวดล้อมที่มีความสมดุลสำหรับผู้เข้าร่วมทุกคนในระบบนิเวศที่หลากหลาย เราตระหนักถึงความซับซ้อนของระบบนิเวศนี้ ซึ่งประกอบด้วยผู้เล่นหลากหลายกลุ่มที่นำเสนอบริการและผลิตภัณฑ์ที่แตกต่างกัน
ODP มี API ที่นักพัฒนาซอฟต์แวร์และธุรกิจที่ตนเป็นตัวแทนใช้งานได้เพื่อสร้างแรงบันดาลใจให้เกิดนวัตกรรม การปรับเปลี่ยนในแบบของคุณในอุปกรณ์ช่วยให้ผสานรวมการใช้งานเหล่านี้ได้อย่างราบรื่นในขณะที่จัดการรุ่น การตรวจสอบ เครื่องมือสำหรับนักพัฒนาซอฟต์แวร์ และเครื่องมือแสดงความคิดเห็น การปรับเปลี่ยนในอุปกรณ์ในแบบของคุณไม่ได้สร้างตรรกะทางธุรกิจที่เป็นรูปธรรม แต่เป็นตัวช่วยกระตุ้นให้เกิดความคิดสร้างสรรค์
เมื่อเวลาผ่านไป ODP อาจนำเสนออัลกอริทึมเพิ่มเติม การร่วมมือกับระบบนิเวศเป็นสิ่งจำเป็นในการกำหนดระดับของฟีเจอร์ที่เหมาะสมและอาจกำหนดขีดจำกัดทรัพยากรของอุปกรณ์ที่สมเหตุสมผลสำหรับธุรกิจแต่ละแห่งที่เข้าร่วม เราหวังว่าจะได้รับความคิดเห็นจากระบบนิเวศนี้เพื่อช่วยให้เราทราบและจัดลำดับความสำคัญของ Use Case ใหม่ๆ
ยูทิลิตีสำหรับนักพัฒนาซอฟต์แวร์เพื่อประสบการณ์ของผู้ใช้ที่ดียิ่งขึ้น
ODP จะไม่ทำให้ข้อมูลเหตุการณ์หรือความล่าช้าในการสังเกตการณ์สูญหายไป เนื่องจากระบบจะบันทึกเหตุการณ์ทั้งหมดไว้ที่ระดับอุปกรณ์ ซึ่งไม่มีข้อผิดพลาดในการเข้าร่วม และกิจกรรมทั้งหมด จะเชื่อมโยงกับอุปกรณ์เฉพาะ ด้วยเหตุนี้ เหตุการณ์ที่สังเกตได้ทั้งหมดจึง แสดงตามลำดับเวลาที่แสดงการโต้ตอบของผู้ใช้อย่างเป็นธรรมชาติ
กระบวนการที่เรียบง่ายนี้ช่วยให้ไม่จำเป็นต้องรวมหรือจัดเรียงข้อมูลใหม่ ทำให้สามารถเข้าถึงข้อมูลผู้ใช้ได้เกือบเรียลไทม์และไม่สูญเสียข้อมูล ในทางกลับกัน สิ่งนี้อาจช่วยเพิ่มประสิทธิภาพประโยชน์ที่ผู้ใช้ปลายทางรับรู้เมื่อมีส่วนร่วมกับผลิตภัณฑ์และบริการจากข้อมูล ซึ่งนำไปสู่ระดับความพึงพอใจที่สูงขึ้นและมอบประสบการณ์ที่มีความหมายมากขึ้น ODP ช่วยให้ธุรกิจต่างๆ ปรับตัวตามความต้องการของผู้ใช้ได้อย่างมีประสิทธิภาพ
โมเดลความเป็นส่วนตัว: ความเป็นส่วนตัวผ่านการรักษาข้อมูลที่เป็นความลับ
ส่วนต่อไปนี้จะกล่าวถึงโมเดลผู้ผลิตผู้บริโภคเป็นพื้นฐานของการวิเคราะห์ความเป็นส่วนตัวนี้ และความเป็นส่วนตัวของสภาพแวดล้อมการคำนวณเทียบกับความถูกต้องของเอาต์พุต
โมเดลผู้ผลิตผู้บริโภคเป็นพื้นฐานของการวิเคราะห์ความเป็นส่วนตัวนี้
เราจะใช้โมเดลผู้ผลิตสำหรับผู้บริโภคในการตรวจสอบการรับประกันความเป็นส่วนตัวด้านความเป็นส่วนตัวผ่านการรักษาข้อมูลที่เป็นความลับ การคำนวณในโมเดลนี้จะแสดงโหนดภายใน Directed Acyclic Graph (DAG) ที่ประกอบด้วยโหนดและกราฟย่อย โหนดประมวลผลแต่ละโหนดมีคอมโพเนนต์ 3 ส่วน ได้แก่ อินพุตที่ใช้ เอาต์พุต และอินพุตการแมปการคำนวณไปยังเอาต์พุต
ในโมเดลนี้ การคุ้มครองความเป็นส่วนตัวจะมีผลกับองค์ประกอบทั้ง 3 รายการต่อไปนี้
- ป้อนข้อมูลความเป็นส่วนตัว โหนดมีอินพุตได้ 2 ประเภท หากอินพุตสร้างโดยโหนดก่อนหน้า อินพุตดังกล่าวจะมีการรับประกันความเป็นส่วนตัวของเอาต์พุตจากรุ่นก่อนหน้าอยู่แล้ว มิเช่นนั้น อินพุตต้องล้างนโยบายข้อมูลขาเข้าโดยใช้ เครื่องมือนโยบาย
- ความเป็นส่วนตัวของเอาต์พุต เอาต์พุตอาจต้องได้รับการประมวลผลเฉพาะตัว เช่น มาจาก Differential Privacy (DP)
- การรักษาข้อมูลที่เป็นความลับของสภาพแวดล้อมการคำนวณ การประมวลผลต้องเกิดขึ้นในสภาพแวดล้อมที่มีการปิดผนึกอย่างแน่นหนา เพื่อให้มั่นใจว่าไม่มีใครมีสิทธิ์เข้าถึงสถานะที่เป็นตัวกลางภายในโหนด เทคโนโลยีที่รองรับการดำเนินการนี้ ได้แก่
Federated Computations (FC), Trusted Execution Environments (TEE), ระบบประมวลผลแบบ Multi-Party Computation (sMPC), การเข้ารหัสแบบโฮโมมอร์ฟิก (HPE) และอีกมากมาย ทั้งนี้เป็นที่น่าสังเกตว่าความเป็นส่วนตัวผ่านการป้องกันการรักษาข้อมูลที่เป็นความลับคือสถานะที่เป็นกลางและเอาต์พุตทั้งหมดที่ส่งต่อขอบเขตการรักษาข้อมูลที่เป็นความลับยังคงต้องได้รับการปกป้องโดยกลไกของ Differential Privacy โดยต้องอ้างสิทธิ์ 2 รายการต่อไปนี้
- การรักษาข้อมูลที่เป็นความลับของสภาพแวดล้อม เพื่อให้มั่นใจว่ามีเพียงเอาต์พุตที่ประกาศเท่านั้นออกจากสภาพแวดล้อมและ
- ความสมเหตุสมผล ซึ่งช่วยให้สามารถหักล้างการกล่าวอ้างเกี่ยวกับความเป็นส่วนตัวของข้อมูล ได้อย่างถูกต้องจากการอ้างสิทธิ์ด้านความเป็นส่วนตัวที่ป้อน Soundness ช่วยให้ สามารถเผยแพร่ DAG ของทรัพย์สินด้านความเป็นส่วนตัว
ระบบส่วนตัวจะรักษาความเป็นส่วนตัวในการป้อนข้อมูล ความลับของสภาพแวดล้อมการคำนวณ และความเป็นส่วนตัวในการแสดงผล อย่างไรก็ตาม จำนวนการใช้กลไก Differential Privacy อาจลดลงได้ด้วยการปิดผนึกการประมวลผลเพิ่มเติมภายในสภาพแวดล้อมการคำนวณที่เป็นความลับ
รูปแบบนี้มีข้อดีหลัก 2 ประการ ข้อแรก ระบบส่วนใหญ่ทั้งขนาดใหญ่และเล็ก สามารถแสดงเป็น DAG ได้ ประการที่ 2 คุณสมบัติ หลังการประมวลผล [ส่วนที่ 2.1] และการเรียบเรียง Lemma 2.4 ในพร็อพเพอร์ตี้เรื่องความซับซ้อนของ Differential Privacy มีเครื่องมือที่ทรงพลัง ในการวิเคราะห์การเปรียบเทียบความเป็นส่วนตัว (กรณีที่เลวร้าย) และความแม่นยำสำหรับทั้งกราฟ:
- หลังการประมวลผลรับประกันว่าเมื่อเปลี่ยนปริมาณแล้ว จะไม่สามารถ "เปลี่ยนเป็นแบบส่วนตัว" ได้ หากไม่มีการใช้ข้อมูลเดิมอีก ตราบใดที่อินพุตทั้งหมดสำหรับโหนดเป็นแบบส่วนตัว เอาต์พุตของโหนดจะเป็นแบบส่วนตัวโดยไม่คำนึงถึงการประมวลผล
- องค์ประกอบขั้นสูงรับประกันว่าหากแต่ละส่วนของกราฟเป็น DP กราฟโดยรวมก็จะเชื่อมโยงกันอย่างมีประสิทธิภาพเท่ากับ Negative และ สมุด ของผลลัพธ์สุดท้ายของกราฟด้วย ยิณยะ พลาด โดยประมาณ ตามลำดับ สมมติว่ากราฟมีหน่วย บุคคลที่สาม และเอาต์พุตของแต่ละหน่วยคือ (username, ชี้ไปที่)-DP
พร็อพเพอร์ตี้ 2 รายการนี้จะเปลี่ยนเป็นหลักการออกแบบ 2 ประการสำหรับแต่ละโหนด
- พร็อพเพอร์ตี้ 1 (จาก หลังการประมวลผล) ถ้าอินพุตของโหนดเป็น DP ทั้งหมด เอาต์พุตจะเป็น DP ซึ่งรองรับตรรกะทางธุรกิจที่กำหนดเองที่ดำเนินการในโหนด และรองรับ "ซอสลับ" ของธุรกิจ
- พร็อพเพอร์ตี้ 2 (จากองค์ประกอบขั้นสูง) หากอินพุตของโหนดไม่ใช่ DP ทั้งหมด เอาต์พุตของโหนดจะต้องเป็นไปตาม DP หากโหนดคอมพิวเตอร์ทำงานในสภาพแวดล้อมการดำเนินการที่เชื่อถือได้และกำลังเรียกใช้ภาระงานและการกำหนดค่าที่รองรับการปรับเปลี่ยนในแบบของคุณบนอุปกรณ์ ขอบเขต DP ที่สั้นลงอาจถูกจำกัด ไม่เช่นนั้น การปรับเปลี่ยนในอุปกรณ์ในแบบของคุณอาจต้องใช้ขอบเขต DP ของกรณีที่แย่ที่สุด เนื่องจากข้อจำกัดด้านทรัพยากร สภาพแวดล้อมการดำเนินการที่เชื่อถือได้ที่ผู้ให้บริการระบบคลาวด์สาธารณะเสนอจะได้รับการจัดลำดับความสำคัญในช่วงเริ่มต้น
ความเป็นส่วนตัวของสภาพแวดล้อมการคำนวณเทียบกับความถูกต้องของเอาต์พุต
ดังนั้น การปรับเปลี่ยนในอุปกรณ์ในแบบของคุณจะมุ่งเน้นที่การยกระดับความปลอดภัยของสภาพแวดล้อมการประมวลผลข้อมูลที่เป็นความลับและเพื่อให้มั่นใจว่าสถานะระดับกลางจะยังคงเข้าถึงไม่ได้ กระบวนการรักษาความปลอดภัยที่เรียกว่าการปิดผนึกนี้จะใช้ในระดับกราฟย่อย ทำให้โหนดหลายโหนดสอดคล้องกับข้อกำหนดของ DP ร่วมกัน ซึ่งหมายความว่าพร็อพเพอร์ตี้ 1 และพร็อพเพอร์ตี้ 2 ที่กล่าวถึงไปก่อนหน้านี้จะมีผลในระดับกราฟย่อย
แน่นอนว่าเอาต์พุตกราฟขั้นสุดท้ายคือเอาต์พุต 7 ต่อองค์ประกอบนั้นๆ ซึ่งหมายความว่ากราฟนี้จะมี DP ทั้งหมด 2 DP เมื่อเทียบกับ DP ทั้งหมด (ในพื้นที่) 3 รายการหากไม่ได้ใช้การซีล
โดยพื้นฐานแล้ว การปกป้องสภาพแวดล้อมการคำนวณและขจัดโอกาสให้ฝ่ายตรงข้ามเข้าถึงอินพุตของกราฟหรือกราฟย่อยและสถานะขั้นกลางช่วยให้ใช้งาน DP กลาง (เอาต์พุตของสภาพแวดล้อมที่ปิดผนึกเป็นไปตามข้อกำหนดของ DP) ซึ่งช่วยเพิ่มความแม่นยำได้เมื่อเทียบกับอินพุตภายใน DP (ซึ่งก็คืออินพุตที่สอดคล้องกับ DP ท้องถิ่น) หลักการนี้อยู่ภายใต้การ พิจารณาให้ FC, TEE, sMPC และ HPE เป็นเทคโนโลยีความเป็นส่วนตัว โปรดดูบทที่ 10 ในหัวข้อความซับซ้อนของ Differential Privacy
ตัวอย่างที่ดีและนำไปใช้ได้จริงคือการฝึกโมเดลและการอนุมาน การสนทนาด้านล่างมีสมมติฐานว่า (1) ประชากรในการฝึกและประชากรที่มีการอนุมานทับซ้อนกัน และ (2) ทั้งฟีเจอร์และป้ายกํากับประกอบขึ้นเป็นข้อมูลส่วนตัวของผู้ใช้ เราสามารถใช้ DP กับอินพุตทั้งหมด
การปรับเปลี่ยนอุปกรณ์ในแบบของคุณสามารถใช้ DP ในเครื่องกับป้ายกำกับและฟีเจอร์ของผู้ใช้ก่อนที่จะส่งไปยังเซิร์ฟเวอร์ แนวทางนี้ไม่ได้กำหนดข้อกำหนดใดๆ เกี่ยวกับสภาพแวดล้อมการดำเนินการของเซิร์ฟเวอร์หรือตรรกะทางธุรกิจของเซิร์ฟเวอร์ดังกล่าว
นี่คือการออกแบบการปรับเปลี่ยนในอุปกรณ์ในแบบของคุณที่ใช้อยู่
ยืนยันความเป็นส่วนตัวได้
การปรับเปลี่ยนในแบบของคุณในอุปกรณ์มุ่งที่จะยืนยันความเป็นส่วนตัวได้ โดยมุ่งเน้นที่การตรวจสอบ สิ่งที่เกิดขึ้นกับอุปกรณ์ของผู้ใช้ ODP จะเขียนโค้ดที่ประมวลผลข้อมูลซึ่งออกจากอุปกรณ์ของผู้ใช้ปลายทางและจะใช้สถาปัตยกรรมกระบวนการรับรองระยะไกล (RATS) RFC 9334 ของ NIST เพื่อรับรองว่าโค้ดดังกล่าวกำลังทำงานโดยไม่มีการแก้ไขในเซิร์ฟเวอร์อินสแตนซ์ที่เป็นไปตาม Confidential Computing Consortium และผู้ดูแลระบบอินสแตนซ์ที่ถูกยกเลิกสิทธิ์ รหัสเหล่านี้จะเป็นโอเพนซอร์สและเข้าถึงได้สำหรับ การยืนยันที่โปร่งใสเพื่อสร้างความไว้วางใจ มาตรการดังกล่าวทำให้บุคคลมั่นใจว่าข้อมูลของตนจะได้รับการปกป้อง และธุรกิจจะสร้างชื่อเสียงได้บนพื้นฐานของการประกันความเป็นส่วนตัวที่แข็งแกร่ง
การลดปริมาณข้อมูลส่วนตัวที่เก็บรวบรวมและเก็บไว้เป็นอีกปัจจัยสำคัญ ของการปรับเปลี่ยนในอุปกรณ์ในแบบของคุณ บริษัทปฏิบัติตามหลักการนี้โดยนำเทคโนโลยีอย่าง Federated Compute และ Differential Privacy มาใช้ ซึ่งทำให้แสดงรูปแบบข้อมูลที่มีคุณค่าได้โดยไม่ต้องเปิดเผยรายละเอียดของบุคคลที่มีความละเอียดอ่อนหรือข้อมูลที่ระบุตัวตนได้
การดูแลรักษาบันทึกการตรวจสอบที่บันทึกกิจกรรมที่เกี่ยวข้องกับการประมวลผลและการแชร์ข้อมูลเป็นอีกแง่มุมหนึ่งของความเป็นส่วนตัวที่ยืนยันได้ ซึ่งทำให้สามารถสร้างรายงานการตรวจสอบและระบุช่องโหว่ ซึ่งแสดงให้เห็นถึงความมุ่งมั่นของเราในการรักษาความเป็นส่วนตัว
เราขอความร่วมมือในเชิงสร้างสรรค์จากผู้เชี่ยวชาญด้านความเป็นส่วนตัว หน่วยงาน อุตสาหกรรม และบุคคลทั่วไป เพื่อช่วยเราปรับปรุงการออกแบบและการติดตั้งอย่างต่อเนื่อง
กราฟด้านล่างแสดงเส้นทางของโค้ดสำหรับการรวมข้อมูลจากหลายอุปกรณ์และการส่งเสียงรบกวนตาม Differential Privacy
![โครงสร้างของบริการ Federated Compute](https://developers.google.cn/static/privacy-sandbox/assets/images/android/on-device-8y8b9hwi0of.png?authuser=6&hl=th)
ดีไซน์เหนือระดับ
จะมีการดำเนินการด้านความเป็นส่วนตัวผ่านการรักษาข้อมูลที่เป็นความลับอย่างไร ในระดับสูง เครื่องมือนโยบายที่สร้างโดย ODP ที่ทำงานในสภาพแวดล้อมที่ปิดผนึกจะทำหน้าที่เป็นองค์ประกอบหลักที่ดูแลโหนด/กราฟย่อยแต่ละรายการขณะที่ติดตามสถานะ DP ของอินพุตและเอาต์พุต
- จากมุมมองของเครื่องมือนโยบาย อุปกรณ์และเซิร์ฟเวอร์จะได้รับการดำเนินการในลักษณะเดียวกัน อุปกรณ์และเซิร์ฟเวอร์ที่ใช้เครื่องมือนโยบายที่เหมือนกันจะถือว่าเหมือนกันเชิงตรรกะ เมื่อเครื่องมือนโยบายได้รับการรับรองร่วมกันแล้ว
- ในอุปกรณ์ การแยกจะดำเนินการผ่านกระบวนการแยก AOSP (หรือ pKVM ในระยะยาวเมื่อมีความพร้อมใช้งานสูง) ส่วนในเซิร์ฟเวอร์ การแยกจะขึ้นอยู่กับ "ฝ่ายที่เชื่อถือได้" ซึ่งเป็นทั้ง TEE และโซลูชันการปิดการขายทางเทคนิคอื่นๆ ที่แนะนำให้ใช้ ข้อตกลงตามสัญญา หรือทั้ง 2 อย่าง
กล่าวคือ สภาพแวดล้อมที่ปิดผนึกทั้งหมดซึ่งติดตั้งและเรียกใช้เครื่องมือนโยบายแพลตฟอร์มจะถือว่าเป็นส่วนหนึ่งของ Trusted Computing Base (TCB) ของเรา ข้อมูลสามารถเผยแพร่โดยไม่มีผลกระทบใดๆ เพิ่มเติมด้วย TCB ต้องใช้ DP เมื่อข้อมูลออกจาก TCB
การออกแบบในระดับสูงของการปรับเปลี่ยนในแบบของคุณในอุปกรณ์ช่วยผสานรวมองค์ประกอบสำคัญ 2 ประการต่อไปนี้ได้อย่างมีประสิทธิภาพ
- สถาปัตยกรรมกระบวนการแบบจับคู่สำหรับการดำเนินการเชิงตรรกะทางธุรกิจ
- นโยบายและเครื่องมือนโยบายสำหรับการจัดการข้อมูลขาเข้า ขาออก และการดำเนินการที่อนุญาต
การออกแบบที่สอดคล้องกันนี้ทำให้ธุรกิจมีความพร้อมในระดับที่จะสามารถเรียกใช้โค้ดที่เป็นกรรมสิทธิ์ในสภาพแวดล้อมการดำเนินการที่เชื่อถือได้ และเข้าถึงข้อมูลผู้ใช้ที่ผ่านการตรวจสอบนโยบายที่เหมาะสมแล้ว
เนื้อหาในส่วนต่อไปนี้จะอธิบายปัจจัยสำคัญ 2 ประการนี้
สถาปัตยกรรมการประมวลผลแบบคู่สำหรับการดำเนินการเชิงตรรกะทางธุรกิจ
การปรับเปลี่ยนในอุปกรณ์ในแบบของคุณเปิดตัวสถาปัตยกรรมกระบวนการแบบจับคู่ใน AOSP เพื่อเพิ่มความเป็นส่วนตัวของผู้ใช้และความปลอดภัยของข้อมูลในระหว่างการดำเนินการตามตรรกะทางธุรกิจ สถาปัตยกรรมนี้ประกอบด้วย
การจัดการกระบวนการ กระบวนการนี้จะสร้างและจัดการ IsolatedProcesses เพื่อให้แน่ใจว่ายังคงแยกต่างหากระดับกระบวนการโดยจำกัดการเข้าถึงไว้สำหรับ API ที่ได้รับอนุญาตเท่านั้นและไม่มีสิทธิ์เครือข่ายหรือดิสก์ ManagedProcess จะจัดการชุดข้อมูลธุรกิจทั้งหมด ตลอดจนนโยบายและข้อมูลผู้ใช้ปลายทางทั้งหมดเพื่อล้างโค้ดทางธุรกิจและพุชไปยัง IsolatedProcesses เพื่อการดำเนินการ และยังเป็นสื่อกลางในการโต้ตอบระหว่าง IsolatedProcesses และกระบวนการอื่นๆ เช่น system_server
IsolatedProcess กระบวนการนี้กำหนดเป็นแบบแยก (
isolatedprocess=true
ในไฟล์ Manifest) โดยกระบวนการนี้จะได้รับข้อมูลธุรกิจ ข้อมูลผู้ใช้ปลายทางที่เป็นไปตามนโยบาย และรหัสธุรกิจจากกระบวนการจัดการ รหัสธุรกิจช่วยให้รหัสธุรกิจทำงานกับข้อมูลของตนและข้อมูลของผู้ใช้ปลายทางที่เป็นไปตามนโยบายได้ IsolatedProcess จะสื่อสารกับ MANAGEProcess ทั้งขาเข้าและขาออกโดยเฉพาะโดยไม่มีสิทธิ์เพิ่มเติม
สถาปัตยกรรมแบบกระบวนการจับคู่เปิดโอกาสให้คุณยืนยันนโยบายความเป็นส่วนตัวของข้อมูลผู้ใช้ได้อย่างอิสระโดยไม่ต้องให้ธุรกิจต้องเปิดแหล่งที่มาทางตรรกะหรือโค้ดทางธุรกิจเป็นแบบโอเพนซอร์ส การจัดการกระบวนการรักษาความเป็นอิสระของ IsolatedProcesses และ IsolatedProcesses ดำเนินงานตามตรรกะทางธุรกิจได้อย่างมีประสิทธิภาพ สถาปัตยกรรมนี้ช่วยให้ได้รับโซลูชันที่ปลอดภัยและมีประสิทธิภาพมากยิ่งขึ้นสำหรับการรักษาความเป็นส่วนตัวของผู้ใช้ในระหว่างการปรับเปลี่ยนในแบบของผู้ใช้
รูปต่อไปนี้แสดงสถาปัตยกรรมกระบวนการที่จับคู่แล้วนี้
![เอนทิตีผู้เขียน "แอป Adopter" อาจมีหรือไม่ใช่เอนทิตีเดียวกันกับผู้เขียน "Adopter apk" ในกราฟ](https://developers.google.cn/static/privacy-sandbox/assets/images/android/on-device-qm1nvb2hub.png?authuser=6&hl=th)
นโยบายและเครื่องมือนโยบายสำหรับการดำเนินการด้านข้อมูล
การปรับโฆษณาตามโปรไฟล์ของผู้ใช้เป็นการเพิ่มชั้นการบังคับใช้นโยบายระหว่างแพลตฟอร์มและตรรกะทางธุรกิจ เป้าหมายคือการจัดหาชุดเครื่องมือที่เชื่อมโยงการควบคุมผู้ใช้ปลายทางและธุรกิจเข้ากับการตัดสินใจด้านนโยบายแบบรวมศูนย์ที่นำไปใช้ได้จริง จากนั้น นโยบายเหล่านี้จะได้รับการบังคับใช้อย่างครอบคลุมและเชื่อถือได้ในทุกช่องทางและธุรกิจ
ในสถาปัตยกรรมกระบวนการแบบจับคู่ เครื่องมือนโยบายจะอยู่ในขั้นตอนการจัดการ ซึ่งดูแลข้อมูลขาเข้าและขาออกของผู้ใช้ปลายทางและข้อมูลธุรกิจ และยังให้การดำเนินการในรายการที่อนุญาตแก่ IsolatedProcess ด้วย ตัวอย่างการครอบคลุม ได้แก่ การปฏิบัติตามการควบคุมของผู้ใช้ปลายทาง การคุ้มครองเด็ก การป้องกันการแชร์ข้อมูลโดยไม่ได้รับความยินยอม และความเป็นส่วนตัวทางธุรกิจ
โครงสร้างการบังคับใช้นโยบายนี้ประกอบด้วยเวิร์กโฟลว์ 3 ประเภทที่นำไปใช้ประโยชน์ได้
- เวิร์กโฟลว์ออฟไลน์ที่เริ่มต้นในเครื่องซึ่งมีการสื่อสารเกี่ยวกับสภาพแวดล้อมการดำเนินการที่เชื่อถือได้ (TEE) ดังนี้
- ขั้นตอนการดาวน์โหลดข้อมูล: การดาวน์โหลดที่เชื่อถือได้
- ขั้นตอนการอัปโหลดข้อมูล: ธุรกรรมที่เชื่อถือได้
- เวิร์กโฟลว์ออนไลน์ที่เริ่มต้นในตัวเครื่อง:
- ขั้นตอนการแสดงแบบเรียลไทม์
- ขั้นตอนการอนุมาน
- เวิร์กโฟลว์ออฟไลน์ที่เริ่มต้นในเครื่อง
- ขั้นตอนการเพิ่มประสิทธิภาพ: การฝึกโมเดลในอุปกรณ์ที่ดำเนินการผ่านการเรียนรู้แบบรวมศูนย์ (FL)
- ขั้นตอนการรายงาน: การรวมข้ามอุปกรณ์ที่ใช้งานผ่าน Federated Analytics (FA)
รูปต่อไปนี้แสดงสถาปัตยกรรมจากมุมมองของนโยบายและเครื่องมือนโยบาย
![เครื่องมือนโยบายอยู่ตรงกลางของการออกแบบ](https://developers.google.cn/static/privacy-sandbox/assets/images/android/on-device-0yqv3oqr1jx.png?authuser=6&hl=th)
- ดาวน์โหลด: 1 -> 2 -> 4 -> 7 -> 10 -> 11 -> 3
- เสิร์ฟ: 1 + 3 -> 4 -> 6 -> 9 -> 11 -> 3
- การเพิ่มประสิทธิภาพ: 2 (มอบแผนการฝึกอบรม) -> 1 + 3 -> 4 -> 5 -> 8 -> 11 -> 2
- การรายงาน: 3 (ระบุแผนการรวม) -> 1 + 3 -> 4 -> 5 -> 8 -> 11 -> 2
โดยรวมแล้ว การเปิดตัวชั้นการบังคับใช้นโยบายและเครื่องมือนโยบายภายในสถาปัตยกรรมกระบวนการแบบจับคู่ของการปรับเปลี่ยนอุปกรณ์ในแบบของคุณจะช่วยให้มีสภาพแวดล้อมที่แยกส่วนและมีการรักษาความเป็นส่วนตัวสำหรับการดำเนินการกับตรรกะทางธุรกิจ ในขณะที่ให้การควบคุมเข้าถึงข้อมูลและการดำเนินการที่จำเป็น
แพลตฟอร์ม API แบบเลเยอร์
การปรับเปลี่ยนในอุปกรณ์ในแบบของคุณจะมีสถาปัตยกรรม API แบบหลายชั้นสำหรับธุรกิจที่สนใจ เลเยอร์บนสุดประกอบด้วยแอปพลิเคชันที่สร้างขึ้นสำหรับกรณีการใช้งานที่เฉพาะเจาะจง ธุรกิจที่มีศักยภาพสามารถเชื่อมต่อข้อมูลกับแอปพลิเคชันเหล่านี้ ซึ่งเรียกว่า API ระดับบนสุด API เลเยอร์บนสร้างขึ้นจาก API ชั้นกลาง
ในอนาคต เราคาดหวังที่จะเพิ่ม API ระดับบนสุดให้มากขึ้น เมื่อ API ระดับบนสุดไม่พร้อมใช้งานสำหรับกรณีการใช้งานบางอย่าง หรือเมื่อ API ระดับบนสุดที่มีอยู่ไม่ยืดหยุ่นพอ ธุรกิจสามารถใช้ API ชั้นกลางได้โดยตรงซึ่งให้ประสิทธิภาพและความยืดหยุ่นผ่านการเขียนโปรแกรมพื้นฐาน
บทสรุป
การปรับเปลี่ยนในอุปกรณ์ในแบบของคุณเป็นข้อเสนอการวิจัยในระยะแรกเพื่อรวบรวมความสนใจและแสดงความคิดเห็นเกี่ยวกับโซลูชันระยะยาวที่พูดถึงข้อกังวลด้านความเป็นส่วนตัวของผู้ใช้ปลายทางด้วยเทคโนโลยีล่าสุดที่ดีที่สุดซึ่งคาดว่าจะทำให้เกิดประโยชน์ใช้สอยที่สูง
เราต้องการร่วมมือกับผู้มีส่วนเกี่ยวข้อง เช่น ผู้เชี่ยวชาญด้านความเป็นส่วนตัว นักวิเคราะห์ข้อมูล และผู้มีโอกาสเป็นผู้ใช้ปลายทาง เพื่อให้แน่ใจว่า ODP ตอบสนองความต้องการและแก้ปัญหาของพวกเขาได้