שירות הצבירה מרחיב את יכולות המחשוב של ממשקי ה-API של ארגז החול לפרטיות מעבר למכשיר, כדי לאפשר מדידה של אירועים בין משתמשים. מספר החלטות לגבי עיצוב עוזרות להבטיח שפרטיות המשתמש תישמר מחוץ למכשיר. לדוגמה, שירות הצבירה יכול לעבד אירועים רק בסביבת ביצוע מהימנה, ומשימות חייבות לקבל אישור ממתאמים מרכזיים.
היום אנחנו משתפים עדכונים לגבי מתאמי שירות הצבירה ותוצאות של בדיקת אבטחה עצמאית.
הערכת אבטחה של NCC
השימוש בשירותי קוד פתוח של שירות הצבירה ושירותי התיאום מבטיח שבסיס הקוד של המערכות האלה יהיה נגיש לציבור וכל בעלי העניין יוכלו לבדוק אותו, כולל חוקרי אבטחה, מומחים לפרטיות וספקי טכנולוגיות פרסום. באוקטובר 2022 השקנו את שירות הצבירה בקוד פתוח, ולאחרונה את שירותי המתאם בקוד פתוח.
כדי להבין יותר לעומק שהתכנון וההטמעה שלנו עומדים בסטנדרטים גבוהים של אבטחה ופרטיות, יצרנו קשר עם NCC Group, חברה עצמאית עם התמחות באבטחת סייבר, ולבקש ממנה לבדוק את שירות הצבירה ואת המתאם. ארגון NCC פרסם לאחרונה את הדוח שלו ואישר את הטענות שלנו לגבי המערכת. בדוח מופיעים הפרטים הבאים:
- "קבוצת NCC לא זיהתה פגמים בעיצוב שירות הצבירה של ארגז החול לפרטיות. נראה שהוא תואם לשיטות המומלצות בתחום ומספק הגנות חזקות על הסודיות והשלמות של נתונים שנאספים ממשתמשי קצה".
- "נמצא שהעיצוב הכולל של רכיבי הקריפטוגרפיה בשירות הצבירה של ארגז החול לפרטיות מתאים ליעדים שצוינו".
- "לא נמצאה בעיה משמעותית שעלולה לאפשר לטכנולוגיית מודעות או לכל גורם זדוני לקבל גישה למפתחות מלאים או להרשאות גבוהות יותר".
נשמח לקבל משוב על ההטמעות שלנו.
מתאם עצמאי
כדי לשפר את האבטחה והפרטיות, ובהתאם לתכנון הראשוני של שירות הצבירה, החלטנו לפצל את הפעילות של שירותי המתאם בין Google לבין צד שלישי עצמאי.
אנחנו שמחים להודיע שלאחרונה Accenture החלה לפעול כמתאמת העצמאית של Aggregation Service ב-Amazon Web Services (AWS). בחרנו ב-Accenture בגלל היסטוריית הפעילות החזקה שלה כספקית שירות מהימנה ועצמאית של חברות רבות, ובזכות המומחיות הגבוהה שלה בתחום התפעול והאבטחה לתועלת הצרכנים והטכנולוגיות של המודעות.
במבט קדימה
בדיקות בטא של שירות צבירה ב-Google Cloud התחילו לאחרונה. בהמשך נודיע על תוכניות למתאמת עצמאית ב-Google Cloud. תוכלו למצוא עוד שיפורים מתוכננים ב-Aggregation Service בדף הסטטוס.
אנחנו מחויבים להמשיך להיות מעורבים בסביבה העסקית כדי לאפשר שירותים שעומדים בסטנדרטים גבוהים של אבטחה, ופתוחים לקבלת משוב מכם.