Microsoft je objavio svojevrsni beli papir u kojem opisuje šta kompanija radi kako bi obezbedila podatke korisnika unutar Windows Recall-a, kontroverzne Windows funkcije koja pravi snimke vaših aktivnosti za kasnije pretraživanje.
Microsoft još uvek nije potvrdio da li će objaviti Recall za Windows Insider kanale radi daljeg testiranja kao što je prvobitno planirano. U stvari, papir kompanije sadrži veoma malo informacija o Recall-u kao proizvodu ili kada će Recall biti pušten javnosti.
Recall je prvi put lansiran u maju kao deo Windows 11 24H2 ažuriranja i koristi lokalne AI sposobnosti Copilot+ računara. Ideja je da Recall pravi povremene snimke vašeg ekrana, a zatim koristi optičko prepoznavanje karaktera i tehnike vođene AI-em kako bi prevodio i razumeo vaše aktivnosti. Ako vam je potrebno da se vratite nečemu iz prošlosti, ali se ne sećate šta je to ili gde je smešteno, Recall dolazi u pomoć.
Međutim, Recall je viđen kao rizik po privatnost i nakon toga je povučen iz planiranog javnog lansiranja, uz objašnjenje Microsoft-a da će Windows Recall ponovo biti objavljen u oktobru.
Microsoft-ov najnoviji post, koji je napisao potpredsednik za bezbednost operativnih sistema i preduzeća David Weston, detaljno objašnjava kako kompanija namerava da zaštiti podatke unutar Recall-a. Iako su novinari ranije otkrili da je Recall bio „uključen“ po defaultu uz mogućnost isključenja, sada će biti potrebno da se korisnici prijave za korišćenje ove funkcije. Weston je rekao da će korisnicima biti ponuđen „jasan“ izbor da li žele da koriste Recall, a čak i nakon što se prijave za Recall, mogu kasnije da se odjave ili čak potpuno uklone ovu funkciju iz Windows-a.
Post se dodatno bavi pitanjem kako se podaci čuvaju unutar Windows-a, što je postalo jedan od glavnih fokusa kontroverze oko Recall-a. U maju, istraživač kibernetske bezbednosti Kevin Beaumont je tvitovao da Recall čuva snimke u „čistom tekstu“, i objavio je snimke ekrana kako baza podataka izgleda unutar Windows-a. Beaumont je od tada obrisao svoj tvit i uklonio sliku baze podataka iz svog blog posta koji je prikazivao njegova otkrića.
Alex Hagenah je zatim objavio „TotalRecall“, alat dizajniran za vađenje informacija iz Recall fajlova. Taj alat, smešten na GitHub stranici, još uvek uključuje snimke ekrana Recall baze podataka, ili bar onoga što je bilo dostupno u to vreme.
Microsoft nikada nije javno potvrdio Beaumontova otkrića i ne referira se na njih u svom najnovijem postu. Predstavnici kompanije takođe nisu odgovorili na pisane zahteve za daljim komentarima.
Microsoft sada tvrdi da su podaci Recall-a uvek enkriptovani i da se čuvaju unutar onoga što nazivaju Virtualizovanom Bezbednosnom Enklavom, ili VBS Enklavom. Ova VBS Enklava može se otključati samo putem Windows Hello poboljšane sigurnosti prijavljivanja, a jedini podaci koji ikada napuštaju VBS Enklavu su oni koje korisnik izričito zatraži. (PIN kodovi se prihvataju samo nakon što korisnik doda Windows Hello ključ.)
„Biometrijski podaci moraju biti registrovani da bi se pretraživali Recall sadržaji. Korišćenje VBS Enklava sa Windows Hello poboljšanom sigurnošću prijavljivanja omogućava da se podaci kratko dekriptiraju dok koristite Recall funkciju za pretragu“, rekao je Microsoft. „Autorizacija će isteći i zahtevati od korisnika da ponovo autorizuje pristup za buduće sesije. Ovo ograničava pokušaje latentnog malvera koji pokušava da ‘prati’ korisničku autentifikaciju kako bi ukrao podatke.“
Weston je takođe nastojao da naglasi da ako koristite „privatno pretraživanje“, Recall nikada ne hvata snimke ekrana. (Nije jasno da li se ovo odnosi samo na Edge ili na druge pretraživače.) Recall snimci se mogu obrisati, uključujući prema raznim datumima. A ikona u sistemskoj traci će treptati kada se snimak ekrana sačuva.
Ono što ne znamo je da li Recall čuva duboko lične podatke (kao što su lozinke). „Filtriranje osetljivog sadržaja je podrazumevano uključeno i pomaže u smanjenju broja lozinki, nacionalnih identifikacionih brojeva i brojeva kreditnih kartica koji se čuvaju u Recall-u.“
Microsoft je rekao da su dizajnirali Recall kao deo „zero trust“ okruženja, gde se VBS Enklava može otključati samo nakon što se proceni da je sigurna. Međutim, poverenje će biti problem i za potrošače. Čini se da Microsoft barem nudi opcije za isključivanje Recall-a ako su korisnici zabrinuti zbog toga šta će ova funkcija pratiti.