Windows Recall onthoudt alles wat een gebruiker op z’n Windows-PC doet en is een mijnenveld voor wat privacy aangaat. Het wordt thans nog maar in preview aangeboden, en misschien is het best als het daar blijft… voor altijd.

Door Richard Speed, 22 mei 2024
Bron: theregister.com “Giving Windows total recall of everything a user does is a privacy minefield” (Internet archive)

De Windows Recall-functie van Microsoft wekt controverse op nog voordat deze het previewstadium ontgroeid is.

Zoals zoveel van Microsofts AI-producten, blijft Windows Recall in preview-fase terwijl Microsoft het verfijnt op basis van gebruikersfeedback – of het uiteindelijk gewoon opgeeft en doet alsof het nooit bestaan heeft

Het principe is eenvoudig. Zoals eerder opgemerkt, maakt Windows om de paar seconden een momentopname van de gebruiker zijn actieve scherm en dumpt deze op schijf. De gebruiker kan vervolgens door het archief met momentopnamen scrollen om te zien wat hij een tijdje voorheen deed, of een AI-systeem raadplegen om eerdere schermafbeeldingen op te roepen dmv tekst.

De Windows 11-functie zou uiteindelijk moeten worden uitgebreid, zodat gebruikers in staat zijn alles wat onlangs op hun Copilot+-PC is gebeurd, op te halen en ermee te interageren of te hergebruiken, aangezien het systeem alle app-activiteit, communicatie, enzovoort, evenals een screenshot van elke verstreken seconde, registreert in lokale opslag voor zoeken en ophalen.

Microsoft, dat onlangs door de Amerikaanse overheid op de vingers werd getikt omwille van een lakse beveiliging, zei: “Recall stelt u ook in staat om de snapshot te openen in de oorspronkelijke toepassing waarin deze is gemaakt, en naarmate Recall in de loop van de tijd wordt verfijnd, zal het het eigenlijke brondocument, de website of e-mail die in de screenshot voorkomt rechtstreeks kunnen openen. Deze functionaliteit wordt verbeterd tijdens de previewfase van Recall.”

Verbeteringen zullen zeker nodig zijn, met name in de manier waarop de functie omgaat met privacy.

Afgezien van het feit dat BitLocker alleen van toepassing is op Windows 11 Pro of Enterprise-apparaten – alle anderen moeten het doen met “gegevensversleuteling” – kan Windows Recall een privacy-nachtmerrie worden.

Volgens Microsoft vindt alle verwerking plaats op het apparaat van de klant en blijven de snapshots daar. De IT-gigant zegt ook dat voor het relatief kleine aantal gebruikers van zijn Edge-browser – met een marktaandeel van iets minder dan 13 procent, volgens Statcounter – InPrivate-sessies niet zullen worden geregistreerd, en ook geen DRM-inhoud.

“Informatie zoals wachtwoorden of financiële rekeningnummers wordt niet verborgen. Die gegevens kunnen zich bevinden in de snapshots die op uw apparaat zijn opgeslagen.”

Microsoft gaf in zijn FAQ’s aan dat zijn snapshotfunctie gevoelige informatie zal oppikken: “Recall voert geen contentmoderatie uit. Het verbergt geen informatie zoals wachtwoorden of financiële rekeningnummers. Die gegevens kunnen zich in snapshots bevinden die op uw apparaat zijn opgeslagen, vooral wanneer sites geen standaard internetprotocollen volgen, zoals het afschermen van wachtwoordinvoervelden.”

Maar dat is oké – een gebruiker kan er immers voor kiezen om sites uit te filteren, toch? Ja dat kan, maar alleen als u Edge gebruikt. In de diepere documentatie voor de service zei Microsoft: “Om een ​​website uit een snapshot te filteren, moet u Microsoft Edge gebruiken.”

“Recall slaat geen inhoud op van uw privé-browseactiviteit wanneer u Microsoft Edge of een op Chromium gebaseerde browser gebruikt.”

Dus, voor wat het respecteren van privétabbladen betreft, gaat het alvast over meer dan Edge alleen. Tarquin Wilton-Jones, een ontwikkelaar en privacy-expert bij Vivaldi, een op Chromium gebaseerde browserproducent, sprak eerder de hoop uit dat het automatisch respecteren van de InPrivate-modus – of Incognito-modus voor Chrome – ook buiten Edge zou gelden.

“Het zal vrijwel zeker de pogingen van een browser om de browsegegevens te wissen niet respecteren, terwijl die browser ongetwijfeld in de screenshothistorie zal voorkomen,” voegde hij toe.

“Het kan ook geen GDPR-verzoeken respecteren om persoonlijke gegevens te verwijderen die in een applicatie zijn blootgesteld wanneer die brongegevens door een gegevensbeheerder worden verwijderd. Om deze reden is het duidelijk een enorm privacyrisico voor elke organisatie die met privégegevens omgaat. Wie weet wat voor andere privégegevens of gevoelige informatie het in een vrij toegankelijk formaat zou kunnen opslaan?”

“Recall slaat niet alleen de browsergeschiedenis op, maar ook de gegevens die gebruikers in de browser typen met slechts een zeer grove controle over wat er wordt opgeslagen.”

Mozilla’s Chief Product Officer Steve Teixeira vertelde The Register: “Mozilla maakt zich zorgen over Windows Recall. Vanuit het perspectief van een browser zouden sommige gegevens bewaard moeten worden en andere niet. Recall slaat niet alleen de browsergeschiedenis op, maar ook gegevens die gebruikers in de browser typen, met slechts een zeer grove controle over wat er wordt opgeslagen. Hoewel de gegevens gecodeerd worden opgeslagen, vormen deze opgeslagen gegevens een nieuwe aanvalsvector voor cybercriminelen en creëren nieuwe privacyzorgen voor gedeelde computers.”

Microsoft speelt ook andermaal de rol van poortwachter en kiest welke browsers winnen en verliezen op Windows – waarbij ze natuurlijk Microsoft Edge bevoordelen. Microsoft’s Edge stelt gebruikers in staat om specifieke websites en privé-browseactiviteiten te blokkeren zodat Recall ze niet kan registreren. Andere Chromiumgebaseerde browsers kunnen privé-browseactiviteiten filteren, maar verliezen de mogelijkheid om gevoelige websites (zoals financiële sites) af te schermen voor Recall.

“Op dit moment is er geen documentatie over hoe een niet-Chromiumgebaseerde browser, afkomstig van een derde partij, zoals Firefox, de privacy van gebruikers kan beschermen tegen Recall. Microsoft heeft ons niet verzocht om enige medewerking aan Recall, maar we hadden het geweldig gevonden als dat wel het geval was geweest. Dan hadden we kunnen samenwerken om gebruikers volwaardige zeggenschap te geven over hun privacy, ongeacht de browser die ze kiezen.”

Jake Moore, Global Cybersecurity Advisor bij ESET, merkte op dat hoewel de functie standaard niet is ingeschakeld, het gebruik ervan “een andere weg opent voor criminele aanvallen.”

“In wezen wordt een keylogger in Windows ingebouwd als een standaard onderdeel”

Moore waarschuwde dat “gebruikers voorzichtig moeten zijn met het toestaan dat inhoud wordt geanalyseerd door AI-algoritmen voor een betere ervaring.”

Cybersecurity-expert Kevin Beaumont was vernietigend in zijn beoordeling van de technologie en schreef: “In wezen wordt er een keylogger in Windows ingebouwd als een standaard onderdeel.”

AI-expert Gary Marcus was botter: “F**k that. Ik wil niet dat mijn computer alles bespioneert wat ik ooit doe.”

Onderzoek komt eraan

Om Microsofts problemen nog groter te maken, zei een woordvoerder van het Britse Information Commissioner’s Office vandaag: “We verwachten dat organisaties transparant zijn tegenover gebruikers over hoe hun gegevens worden gebruikt en persoonlijke gegevens alleen verwerken voor zover dat nodig is om een ​​specifiek doel te bereiken. De industrie moet vanaf het begin rekening houden met gegevensbescherming en de risico’s voor de rechten en vrijheden van mensen rigoureus beoordelen en inperken voordat producten op de markt worden gebracht.”

“We doen navraag bij Microsoft om inzicht te krijgen in de waarborgen die er zijn om de privacy van gebruikers te beschermen.”

Thans voelt Windows Recall aan alsof het ondoordacht is uitgewerkt.

Microsoft heeft gezegd dat “Recall een belangrijk onderdeel is van wat Copilot+-PC’s speciaal maakt.”

Maar zoals Microsoft heeft aangegeven, is het nog in previewfase. Bedrijven zullen er waarschijnlijk in een wijde boog omheenlopen zolang de privacy- en beveiligingsvragen die het oproept niet zijn beantwoord. Het GDPR-aspect alleen al maakt het een waardeloos feature voor alle organisaties, behalve de meest vastberaden.

Zowel Microsofts klanten als Windows-enthousiastelingen vragen luidkeels om iets in het besturingssysteem om alle AI-hype de moeite waard te maken. Maar in zijn huidige vorm is Windows Recall dat niet.

Copyright The Register; Alle rechten voorbehouden.

Bron: theregister.com “Giving Windows total recall of everything a user does is a privacy minefield” (Internet archive)