Android Açık Kaynak Projesi (AOSP)'nde uygulanması amaçlanan bu teknik açıklama metninde, Cihaz Üzerinde Kişiselleştirme'nin (ODP) arkasındaki motivasyon, geliştirilmesine yön veren tasarım ilkeleri, gizlilik modeli aracılığıyla sağladığı gizlilik ve doğrulanabilir şekilde gizli bir deneyim sunmaya nasıl yardımcı olduğu ele alınmaktadır.
Bunu, veri erişim modelini basitleştirerek ve güvenlik sınırından çıkan tüm kullanıcı verilerinin her bir düzeyde (kullanıcı, benimseyen, model_ornek) diferansiyel şekilde özel olmasını sağlayarak (bu belgede bazen kullanıcı düzeyi olarak kısaltılır) sağlamayı planlıyoruz.
Son kullanıcıların cihazlarından olası son kullanıcı verisi çıkışıyla ilgili tüm kodlar açık kaynak olacak ve harici tüzel kişiler tarafından doğrulanabilir. Teklifimizin ilk aşamalarında, cihaz üzerinde kişiselleştirme fırsatlarını kolaylaştıran bir platform için ilgi oluşturmayı ve geri bildirim toplamayı amaçlıyoruz. Gizlilik uzmanları, veri analistleri ve güvenlik uzmanları gibi paydaşları bizimle etkileşime geçmeye davet ediyoruz.
Görsel
Cihaz üzerinde kişiselleştirme, son kullanıcıların bilgilerini etkileşimde bulunmadıkları işletmelerden korumak için tasarlanmıştır. İşletmeler, ürün ve hizmetlerini son kullanıcılar için özelleştirmeye devam edebilir (ör. uygun şekilde anonimleştirilmiş ve diferansiyel olarak gizli makine öğrenimi modelleri kullanarak). Ancak işletme ile son kullanıcı arasında doğrudan etkileşim olmadığı sürece, bir son kullanıcı için yapılan özelleştirmeleri tam olarak göremezler (bu, yalnızca işletme sahibi tarafından oluşturulan özelleştirme kuralına değil, aynı zamanda bireysel son kullanıcı tercihine de bağlıdır). Bir işletme herhangi bir makine öğrenimi modeli veya istatistiksel analiz üretiyorsa ODP, bunların uygun Diferansiyel Gizlilik mekanizmaları kullanılarak düzgün bir şekilde anonimleştirilmesini sağlamaya çalışır.
Şu anki planımız, ODP'yi aşağıdaki özellikleri ve işlevleri kapsayan birden fazla aşamada keşfetmektir. Ayrıca, bu keşfi daha da ilerletmek için ek özellikler veya iş akışları önermek üzere ilgili tarafları yapıcı bir şekilde katkıda bulunmaya davet ediyoruz:
- Tüm iş mantığının bulunduğu ve yürütüldüğü korumalı bir ortam. Çıkışları sınırlarken çok sayıda son kullanıcı sinyalinin korumalı alana girmesine olanak tanır.
Aşağıdakiler için uçtan uca şifrelenmiş veri depoları:
- Kullanıcı denetimleri ve kullanıcıyla ilgili diğer veriler. Bu, kullanıcı tarafından sağlanan veya işletmeler tarafından toplanan ve çıkarılan son kullanma süresi (TTL) denetimleri, silme politikaları, gizlilik politikaları ve daha fazlası olabilir.
- İşletme yapılandırmaları. ODP, bu verileri sıkıştırmak veya gizlemek için algoritmalar sağlar.
- İşletme sonuçları işleme. Bu sonuçlar şunlar olabilir:
- Daha sonraki işleme turlarında giriş olarak tüketilir.
- Uygun Diferansiyel Gizlilik mekanizmalarına göre gürültü eklenir ve uygun uç noktalara yüklenir.
- Uygun merkezi Diferansiyel Gizlilik mekanizmalarına sahip Açık Kaynaklı iş yükleri çalıştıran Güvenilir Yürütme Ortamlarına (TEE) güvenilir yükleme akışı kullanılarak yüklenir
- Son kullanıcılara gösterilir.
Aşağıdakiler için tasarlanmış API'ler:
- 2(a) maddesini toplu veya artımlı olarak güncelleyin.
- 2(b) maddesini toplu veya artımlı olarak düzenli aralıklarla güncelleyin.
- Güvenilir toplama ortamlarında uygun gürültü mekanizmalarıyla 2(c) yükleyin. Bu tür sonuçlar, sonraki işleme turlarında 2(b) olarak değerlendirilebilir.
Zaman çizelgesi
Bu, Beta sürümünde ODP'yi test etmeye yönelik mevcut plandır. Zaman çizelgesi değişebilir.
| Özellik | 2025'in İlk Yarıyıl | 2025 3. Çeyrek |
|---|---|---|
| Cihaz Üzerinde Eğitim + Çıkarım | Bu zaman aralığında pilot uygulama seçeneklerini görüşmek için Özel Korumalı Alan Ekibi ile iletişime geçin. | Uygun Android T ve sonraki sürümlerin yüklü olduğu cihazlarda kullanıma sunulmaya başladı. |
Tasarım ilkeleri
ODP'nin dengelemeye çalıştığı üç temel nokta vardır: gizlilik, adalet ve fayda.
Gelişmiş gizlilik koruması için kuleli veri modeli
ODP, Tasarımdan Başlayan Gizlilik'e göre hareket eder ve varsayılan olarak son kullanıcı gizliliğinin korunması olacak şekilde tasarlanmıştır.
ODP, kişiselleştirme işlemeyi son kullanıcının cihazına taşımayı araştırır. Bu yaklaşım, verileri mümkün olduğunca cihazda tutarak ve yalnızca gerektiğinde cihaz dışında işleyerek gizlilik ile işlevsellik arasında denge kurar. ODP şu konulara odaklanır:
- Cihazdan ayrıldığında bile son kullanıcı verilerinin cihaz tarafından kontrol edilmesi. Hedeflerin, ODP tarafından yazılmış kod çalıştıran herkese açık bulut sağlayıcılar tarafından sunulan Güvenilir Yürütme Ortamları'na sahip olması gerekir.
- Cihazdan ayrılan son kullanıcı verilerine ne olacağının cihaz doğrulanabilirliği. ODP, cihazlar arası makine öğrenimini ve kullanıcıları için istatistiksel analizleri koordine etmek amacıyla Açık Kaynaklı, Birleşik Compute iş yükleri sağlar. Son kullanıcının cihazı, bu tür iş yüklerinin Güvenilir Yürütme Ortamlarında değiştirilmeden yürütüldüğünü onaylar.
- Cihaz tarafından kontrol edilen/doğrulanabilir sınırdan çıkan çıkışların teknik gizliliği (ör. toplama, gürültü, diferansiyel gizlilik) garantisi.
Sonuç olarak, kişiselleştirme cihaza özel olacaktır.
Ayrıca işletmeler, platformun ele alması gereken gizlilik önlemlerine de ihtiyaç duyuyor. Bu, iş verilerinin ham haliyle ilgili sunucularda tutulmasını gerektirir. ODP, bunu başarmak için aşağıdaki veri modelini kullanır:
- Her ham veri kaynağı cihazda veya sunucu tarafında depolanarak yerel öğrenme ve çıkarıma olanak tanır.
- Birden fazla veri kaynağında karar vermeyi kolaylaştıracak algoritmalar sağlayacağız. Örneğin, iki farklı veri konumu arasında filtreleme, çeşitli kaynaklarda eğitim veya çıkarımlar yapabilirsiniz.
Bu bağlamda, bir işletme kulesi ve bir son kullanıcı kulesi olabilir:
Son kullanıcı kulesi; son kullanıcı tarafından sağlanan verilerden (örneğin, hesap bilgileri ve denetimler), son kullanıcının cihazıyla olan etkileşimine ilişkin toplanan verilerden ve işletme tarafından tahmin edilen türev verilerden (ör. ilgi alanları ve tercihler) oluşur. Tahmin edilen veriler, herhangi bir kullanıcının doğrudan bildirimlerinin üzerine yazmaz.
Karşılaştırma amacıyla, bulut odaklı bir altyapıda son kullanıcı kulesinden gelen tüm ham veriler işletmelerin sunucularına aktarılır. Buna karşılık, cihaz merkezli bir altyapıda son kullanıcı kulesinden gelen tüm ham veriler kendi kaynağında kalırken işletmenin verileri sunucularda depolanmaya devam eder.
Cihaz üzerinde kişiselleştirme, yalnızca onaylanmış açık kaynaklı kodların daha özel çıkış kanalları kullanarak TEE'lerdeki son kullanıcılarla alakalı olabilecek verileri işlemesine olanak tanıyarak her iki yöntemin de en iyi yönlerini bir araya getirir.
Adil çözümler için kapsayıcı kamu yararı
ODP, farklı bir ekosistemdeki tüm katılımcılar için dengeli bir ortam sağlamayı amaçlar. Farklı hizmet ve ürünler sunan çeşitli oyunculardan oluşan bu ekosistemin karmaşıklığını biliyoruz.
ODP, inovasyona ilham vermek için geliştiriciler ve temsil ettikleri işletmeler tarafından uygulanabilecek API'ler sunar. Cihaz üzerinde kişiselleştirme; sürümleri, izlemeyi, geliştirici araçlarını ve geri bildirim araçlarını yönetirken bu uygulamaların sorunsuz şekilde entegrasyonunu da kolaylaştırır. Cihaz Üzerinde kişiselleştirme, somut bir iş mantığı oluşturmaz; yaratıcılık için katalizör işlevi görür.
ODP zaman içinde daha fazla algoritma sunabilir. Doğru özellik düzeyini belirlemek ve katılımcı her işletme için makul bir cihaz kaynağı sınırı belirlemek amacıyla ekosistemle işbirliği yapmak önemlidir. Yeni kullanım alanlarını tespit edip bunlara öncelik vermemize yardımcı olması için ekosistemden geri bildirim bekliyoruz.
Daha iyi kullanıcı deneyimleri için geliştirici yardımcı programı
ODP kullanıldığında, tüm etkinlikler cihaz düzeyinde yerel olarak kaydedildiğinden etkinlik verilerinde veya gözlem gecikmelerinde kayıp yaşanmaz. Birleştirme hatası yok ve tüm etkinlikler belirli bir cihazla ilişkilendirilir. Sonuç olarak, gözlemlenen tüm etkinlikler doğal olarak kullanıcı etkileşimlerini yansıtan kronolojik bir dizi oluşturur.
Bu basitleştirilmiş işlem, verileri birleştirme veya yeniden düzenleme ihtiyacını ortadan kaldırarak neredeyse gerçek zamanlı ve kayıp olmayan kullanıcı verilerine erişilebilir. Buna karşılık bu, son kullanıcıların veriye dayalı ürün ve hizmetlerle etkileşimde bulunurken algıladığı faydayı iyileştirerek daha yüksek memnuniyet düzeyleri ve daha anlamlı deneyimler sağlayabilir. ODP ile işletmeler, kullanıcılarının ihtiyaçlarına etkili bir şekilde uyum sağlayabilir.
Gizlilik modeli: gizlilik yoluyla gizlilik
Aşağıdaki bölümlerde, bu gizlilik analizinin temeli olarak tüketici-üretici modeli ve hesaplama ortamı gizliliği ile çıkış doğruluğu ele alınmaktadır.
Bu gizlilik analizinin temeli olarak tüketici-üretken modeli
Gizlilik yoluyla gizlilik sağlamanın gizlilik güvencelerini incelemek için tüketici-üretici modelini kullanacağız. Bu modeldeki hesaplamalar, düğümler ve alt grafiklerden oluşan yönlendirilmiş döngüsel olmayan bir grafik (DAG) içinde düğümler olarak temsil edilir. Her hesaplama düğümünde üç bileşen bulunur: tüketilen girişler, üretilen çıkışlar ve hesaplama girişlerini çıkışlara eşler.
Bu modelde gizlilik koruması üç bileşenin tümü için geçerlidir:
- Giriş gizliliği. Düğümlerin iki tür girişi olabilir. Giriş, önceki düğüm tarafından oluşturulduysa zaten önceki düğümün çıkış gizlilik garantilerine sahiptir. Aksi takdirde, girişlerin politika motorunu kullanarak veri girişi politikalarını temizlemesi gerekir.
- Çıkış gizliliği. Çıkışın, diferansiyel gizlilik (DP) tarafından sağlanan gibi özelleştirilmesi gerekebilir.
- Hesaplama ortamı gizliliği. Hesaplama, güvenli bir şekilde kapalı bir ortamda gerçekleşmelidir. Bu sayede, hiçbir kullanıcı bir düğümdeki ara durumlara erişemez. Bunu mümkün kılan teknolojiler arasında Birleşik Hesaplamalar (FC), donanım tabanlı Güvenilir Yürütme Ortamları (TEE), güvenli Çok Taraflı Hesaplama (sMPC), homomorfik şifreleme (HPE) ve daha fazlası yer alır. Gizlilik önlemleri aracılığıyla gizlilik sağlanırken aracı durumların ve gizlilik sınırını aşan tüm çıkışların Diferansiyel Gizlilik mekanizmalarıyla korunmaya devam etmesi gerektiğini belirtmek gerekir. İki gerekli hak talebi şunlardır:
- Ortam gizliliği, yalnızca beyan edilen çıkışların ortamdan çıkmasını sağlar ve
- Giriş gizlilik iddialarından çıkış gizlilik iddialarının doğru şekilde çıkarılmasını sağlayan sağlamlık. Sağlamlık, gizlilik özelliğinin DAG'de yayılmasına olanak tanır.
Gizli bir sistem, giriş gizliliğini, hesaplama ortamı gizliliğini ve çıkış gizliliğini korur. Ancak diferansiyel gizlilik mekanizmalarının uygulama sayısı, gizli bir bilgi işlem ortamında daha fazla işleme mühürleyerek azaltılabilir.
Bu modelin başlıca iki avantajı vardır. İlk olarak, büyük veya küçük birçok sistem DAG olarak temsil edilebilir. İkinci olarak, DP'nin İşleme Sonrası [Bölüm 2.1] ve kompozisyon Diferansiyel Gizliliğin Karmaşıklığındaki Lemma 2.4 özellikleri, bir grafiğin tamamı için (en kötü durumda) gizlilik ve doğruluğun dengesini analiz etmek için güçlü araçlar sunar:
- Son işlem, bir miktar özelleştirildikten sonra orijinal veriler yeniden kullanılmadığı sürece "özelleştirmenin kaldırılamayacağını" garanti eder. Bir düğümün tüm girişleri gizli olduğu sürece, hesaplamalarından bağımsız olarak çıkışı da gizlidir.
- Gelişmiş Bileşim, her grafik bölümü DP ise genel grafiğin de aynı şekilde grafiğin son çıktısının £ ve 5 değerlerini yaklaşık olarak ✓ çekin değerleriyle etkili bir şekilde sınırladığını garanti eder. Grafikte ≥ birim olduğu ve her birimin çıkışının da (£, Δ)-DP olduğu varsayılır.
Bu iki özellik, her düğüm için iki tasarım ilkesine dönüşür:
- Mülk 1 (Son işlemden itibaren) Bir düğümün girişleri tamamen DP ise çıkışı da DP olur. Bu, düğümde yürütülen herhangi bir rastgele iş mantığını barındırır ve işletmelerin "gizli soslarını" destekler.
- Mülk 2 (Gelişmiş Oluşturma'dan) Bir düğümün girişlerinin tümü DP değilse çıkışı DP uyumlu hale getirilmelidir. Bir hesaplama düğümü, Güvenilir Yürütme Ortamları'nda çalışan ve açık kaynaklı, cihaz üzerinde kişiselleştirme tarafından sağlanan iş yüklerini ve yapılandırmaları yürütüyorsa daha sıkı DP sınırları mümkündür. Aksi takdirde, cihaz üzerinde kişiselleştirmenin en kötü durum DP sınırlarını kullanması gerekebilir. Kaynak kısıtlamaları nedeniyle, herkese açık bulut sağlayıcısı tarafından sunulan Güvenilir Yürütme Ortamlarına başlangıçta öncelik verilir.
Hesaplama ortamı gizliliği ve çıkış doğruluğu
Bundan sonra Cihaz Üzerinde Kişiselleştirme, gizli hesaplama ortamlarının güvenliğini artırmaya ve ara durumların erişilemez kalmasını sağlamaya odaklanacak. Mühürleme olarak bilinen bu güvenlik süreci alt düzeyde uygulanır ve birden fazla düğümün DP uyumlu hale getirilmesine olanak tanır. Bu, daha önce bahsedilen 1. mülk ve 2. özelliğin alt grafik düzeyinde geçerli olduğu anlamına gelir.
Elbette son grafik çıktısı olan Çıkış 7'ye beste başına DP' eklenir. Bu, hiç mühürleme kullanılmamışsa toplam 3 (yerel) DP'ye kıyasla, bu grafikte toplam 2 DP olacağı anlamına gelir.
Temel olarak, hesaplama ortamını güvence altına alarak ve saldırganların bir grafiğe veya alt grafiğe ait girişlere ve ara durumlara erişme fırsatlarını ortadan kaldırarak Merkezi DP'nin (yani, kapalı bir ortamın çıkışı DP uyumludur) uygulanmasını sağlar. Bu da Yerel DP'ye (yani, bağımsız girişler DP uyumludur) kıyasla doğruluğu artırabilir. Bu ilke FC, TEE'ler, sMPC'ler ve HPE'lerin gizlilik teknolojileri olarak kabul edilmesinin temelini oluşturur. Diferansiyel Gizliliğin Karmaşıklığı başlıklı makalenin 10. bölümüne bakın.
İyi ve pratik bir örnek model eğitimi ve çıkarımdır. Aşağıdaki tartışmalarda (1) eğitim popülasyonunun ve çıkarım popülasyonunun çakıştığı ve (2) hem özelliklerin hem de etiketlerin gizli kullanıcı verilerini oluşturduğu varsayılır. DP'yi tüm girişlere uygulayabiliriz:
Cihaz üzerinde kişiselleştirme, sunuculara göndermeden önce kullanıcı etiketlerine ve özelliklerine yerel DP uygulayabilir. Bu yaklaşım, sunucunun yürütme ortamına veya iş mantığına herhangi bir şart koymaz.
Bu, mevcut cihaz üzerinde kişiselleştirme tasarımıdır.
Gizli olduğu doğrulanabilir
Cihaz üzerinde kişiselleştirme, gizliliği doğrulanabilir şekilde sunmayı amaçlar. Odak noktası, kullanıcı cihazlarının dışında neler olduğunu doğrulamaya yöneliktir. ODP, son kullanıcıların cihazlarından çıkan verileri işleyen kodu yazar ve bu kodun Confidential Computing Consortium uyumlu, ayrıcalıksız bir örnek yöneticisi sunucusunda değiştirilmeden çalıştığını onaylamak için NIST'in RFC 9334 Remote ATtestation procedureS (RATS) Architecture'ını kullanır. Bu kodlar açık kaynaklı olur ve güven kazanmak amacıyla şeffaf doğrulama için erişilebilir olur. Bu tür önlemler, kullanıcılara verilerinin korunduğuna dair güven verebilir ve işletmeler güçlü bir gizlilik güvencesi temelinde itibar kazanabilir.
Toplanan ve depolanan gizli veri miktarını azaltmak, cihaz üzerinde kişiselleştirmenin diğer önemli bir yönüdür. Bu ilkeye bağlı olarak birleşik Compute ve Diferansiyel Gizlilik gibi teknolojileri kullanır ve hassas kişisel bilgileri veya tanımlayıcı bilgileri ifşa etmeden değerli veri kalıplarının ortaya çıkarılmasını sağlar.
Veri işleme ve paylaşma ile ilgili etkinlikleri günlüğe kaydeden bir denetim takibinin sürdürülmesi, doğrulanabilir gizliliğin bir diğer önemli unsurudur. Bu sayede denetim raporları oluşturabilir ve güvenlik açıklarını tespit edebilir ve gizlilik taahhüdümüzü gösterebilirsiniz.
Tasarımları ve uygulamaları sürekli olarak iyileştirmemize yardımcı olmak için gizlilik uzmanları, yetkililer, sektörler ve kişilerden yapıcı işbirlikleri rica ediyoruz.
Aşağıdaki grafikte, cihazlar arası toplama ve diferansiyel gizlilik başına gürültülendirme için kod yolu gösterilmektedir.
Üst düzey tasarım
Gizlilik aracılığıyla gizlilik nasıl uygulanabilir? Genel olarak, ODP tarafından yazılan ve kapalı bir ortamda çalışan bir politika motoru, giriş ve çıkışlarının DP durumunu izlerken her bir düğümü/alt grafiği denetleyen temel bileşen olarak işlev görür:
- Politika motoru açısından cihazlar ve sunucular aynı şekilde ele alınır. Aynı politika motorunu çalıştıran cihazlar ve sunucular, politika motorları karşılıklı olarak onaylandıktan sonra mantıksal olarak aynı kabul edilir.
- Cihazlarda izolasyon, AOSP'den izole işlemler (veya kullanılabilirlik arttığında uzun vadede pKVM) yoluyla gerçekleştirilir. Sunucularda yalıtım, "güvenilir taraf"a dayanır. Bu taraf, TEE ve tercih edilen diğer teknik mühürleme çözümleri, sözleşmeli bir anlaşma veya her ikisidir.
Diğer bir deyişle, platform politika motorunu yükleyip çalıştıran tüm mühürlü ortamlar Güvenilir Bilgisayar Tabanı (TCB) kapsamında kabul edilir. Veriler, TCB ile ek gürültü olmadan dağıtılabilir. Veriler TCB'den çıktığında DP'nin uygulanması gerekir.
Cihazda Kişiselleştirme'nin üst düzey tasarımı, iki önemli öğeyi etkili bir şekilde entegre eder:
- İş mantığı yürütme için eşli işlem mimarisi
- Veri girişini, çıkışını ve izin verilen işlemleri yönetmek için politikalar ve bir politika motoru.
Bu uyumlu tasarım, işletmelere özel kodlarını güvenilir bir yürütme ortamında çalıştırabilecekleri ve uygun politika kontrollerini tamamlayan kullanıcı verilerine erişebilecekleri eşit bir oyun alanı sunar.
Aşağıdaki bölümlerde bu iki temel unsur ayrıntılı olarak incelenecektir.
İş mantığının yürütülmesi için eşlenmiş işlem mimarisi
Cihaz Üzerinde Kişiselleştirme, iş mantığı yürütme sırasında kullanıcı gizliliğini ve veri güvenliğini iyileştirmek için AOSP'de ikili işlem mimarisi sunar. Bu mimari şunları içeriyor:
işleyeceğiz. Bu işlem, izin verilenler listesindeki API'lerle sınırlı erişim ve ağ ya da disk izinleri olmadan işlem düzeyinde izole kalması için IsolatedProcesses oluşturur ve yönetir. Yöneticiİşlemi, tüm işletme verilerinin ve tüm son kullanıcı verilerinin toplanmasını, işletme kodu için politika temizlemesini ve yürütülmeleri için İzoleİşlemler'e göndermesini yönetir. Ayrıca, IsolatedProcesses ile diğer işlemler (sistem_sunucusu gibi) arasındaki etkileşime aracılık eder.
IsolatedProcess. Manifest'te
isolatedprocess=trueolarak tanımlanan bu işlem, iş verilerini, politikadan temizlenmiş son kullanıcı verilerini ve iş kodunu AdministrativeProcess'ten alır. Bunlar, işletme kodunun kendi verileri ve politikaya uygun son kullanıcı verileri üzerinde çalışmasına olanak tanır. IsolatedProcess, ek izinler olmadan hem giriş hem de çıkış için ManagingProcess ile özel olarak iletişim kurar.
Eşleştirilmiş işlem mimarisi, işletmelerin iş mantıklarını veya kodlarını açık kaynak haline getirmesi gerekmeden son kullanıcı veri gizliliği politikalarının bağımsız olarak doğrulanmasına olanak tanır. IsolatedProcesses'in bağımsızlığını koruyan Yönetim Süreci ile ve IsolatedProcesses, iş mantığını verimli bir şekilde yürütür. Bu mimari, kişiselleştirme sırasında kullanıcı gizliliğini korumak için daha güvenli ve verimli bir çözüm sağlar.
Aşağıdaki şekilde, bu eşleştirilmiş işlem mimarisi gösterilmektedir.
Veri işlemleriyle ilgili politikalar ve politika motorları
Cihaz üzerinde kişiselleştirme, platform ile iş mantığı arasında bir politika yaptırımı katmanı ekler. Amaç, son kullanıcı ve iş kontrollerini merkezi ve uygulanabilir politika kararlarıyla eşleştiren bir dizi araç sağlamaktır. Bu politikalar daha sonra akışlar ve işletmeler genelinde kapsamlı ve güvenilir bir şekilde uygulanır.
İkili işlem mimarisinde politika motoru, MANAGEProcess içinde yer alır ve son kullanıcı ve iş verilerinin giriş ve çıkışını denetler. Ayrıca IsolatedProcess'e izin verilenler listesindeki işlemleri de sağlar. Örnek kapsam alanları arasında son kullanıcı denetimine uyma, çocuk koruması, izinsiz veri paylaşımının önlenmesi ve işletme gizliliği yer alır.
Bu politika yaptırım mimarisi, yararlanılabilen üç tür iş akışı içerir:
- Güvenilir Yürütme Ortamı (TEE) iletişimleriyle yerel olarak başlatılan, çevrimdışı iş akışları:
- Veri indirme akışları: güvenilir indirmeler
- Veri yükleme akışları: güvenilir işlemler
- Yerel olarak başlatılan online iş akışları:
- Gerçek zamanlı yayınlama akışları
- Çıkarma akışları
- Yerel olarak başlatılan çevrimdışı iş akışları:
- Optimizasyon akışları: Birleşik Öğrenme (FL) aracılığıyla uygulanan cihaz üzerinde model eğitimi
- Raporlama akışları: Federated Analytics (FA) aracılığıyla uygulanan cihazlar arası toplama
Aşağıdaki şekilde mimari, politikalar ve politika motorları açısından gösterilmektedir.
- İndir: 1 -> 2 -> 4 -> 7 -> 10 -> 11 -> 3
- Yayınlama: 1 + 3 -> 4 -> 6 -> 9 -> 11 -> 3
- Optimizasyon: 2 (eğitim planı sağlar) -> 1 + 3 -> 4 -> 5 -> 8 -> 11 -> 2
- Raporlama: 3 (toplama planı sunar) -> 1 + 3 -> 4 -> 5 -> 8 -> 11 -> 2
Genel olarak politika yaptırım katmanının ve Cihaz Üzerinde Kişiselleştirme'nin eşlenmiş işlem mimarisindeki politika motorunun kullanıma sunulması, gerekli veri ve işlemlere kontrollü erişim sağlarken iş mantığının yürütülmesi için izole ve gizliliği koruyan bir ortam sağlar.
Katmanlı API yüzeyleri
Cihaz üzerinde kişiselleştirme, ilgilenen işletmeler için katmanlı bir API mimarisi sağlar. Üst katman, belirli kullanım alanları için oluşturulmuş uygulamalardan oluşur. Potansiyel işletmeler, verilerini Üst Katman API'ler olarak bilinen bu uygulamalara bağlayabilir. Üst katman API'ler, orta katman API'leri üzerine oluşturulmuştur.
Zamanla daha fazla üst katman API eklemeyi planlıyoruz. Belirli bir kullanım alanı için üst katman API'si kullanılamadığında veya mevcut üst katman API'leri yeterince esnek olmadığında işletmeler, programlama primitifleri aracılığıyla güç ve esneklik sağlayan orta katman API'lerini doğrudan uygulayabilir.
Sonuç
Cihaz Üzerinde Kişiselleştirme, son kullanıcı gizliliğiyle ilgili endişeleri yüksek düzeyde fayda sağlaması beklenen en yeni ve en iyi teknolojilerle ilgili olan, uzun vadeli bir çözüm için ilgi ve geri bildirim istemek amacıyla hazırlanan erken aşamadaki bir araştırma teklifidir.
ODP'nin ihtiyaçlarını karşıladığından ve endişelerini giderdiğinden emin olmak için gizlilik uzmanları, veri analistleri ve potansiyel son kullanıcılar gibi paydaşlarla etkileşime geçmek isteriz.