Шторки конфиденциальности для камер и блокировочные переключатели

В этой статье содержатся рекомендации по проектированию устройств для защитных шторок или выключателей безопасности, учет аспекта определения состояния затвора и как ожидается, что шторки будут взаимодействовать с существующими требованиями HLK для световых индикаторов.

Общие требования к светодиодным индикаторам

Независимо от затворов или аварийных выключателей, HLK требует, чтобы видимый светодиодный индикатор был ВКЛЮЧЕН, когда ISP захватывает данные с датчика. Для камер RGB, если камера активна, должен быть включен один видимый светодиодный индикатор волны (например, белый, зеленый, синий и т. д.).

Для камер с датчиком RGB+IR это может быть более сложным, так как для камеры IR требуется светодиодный индикатор освещения, а светодиодный индикатор освещения может использовать видимую длину волны (850 nm) или невидимую длину волны (940 nm). Кроме того, приложения могут передавать данные только с ИК-датчика, только с RGB-датчика или с обоих одновременно.

Дизайны с использованием ИК-осветителя на видимой длине волны могут выбрать использование ИК-светодиода в качестве видимого индикатора. Это означает, что если инфракрасная камера включена сама по себе, требования HLK удовлетворяются индикатором инфракрасного светодиода.

Проекты, использующие невидимый излучатель IR, должны использовать светодиод видимого диапазона для индикации, когда активирована IR камера, чтобы удовлетворить требования HLK. Мы рекомендуем использовать светодиодный индикатор работы камеры, чтобы тот же светодиод видимого диапазона включался, когда включен ИК-датчик и/или датчик RGB.

Мы рекомендуем во всех конструкциях включать светодиодный индикатор использования, когда используется камера IR или RGB, независимо от того, использует ли светодиод инфракрасной подсветки видимую длину волны или нет. Ниже приведена полная таблица основных требований к светодиодным индикаторам:

Постоянно активные возможности ИИ (например, распознавание присутствия человека с помощью камеры)

Для устройств, поддерживающих функции ИИ на основе технологии камеры, где ИИ-чип использует основной сенсор камеры, требования к светодиодным индикаторам отличаются, когда специализированный чип присутствия получает эксклюзивный доступ к камере. Дополнительные сведения см. в техническом документе "Датчик присутствия " в Центре партнеров Майкрософт.

Элементы управления конфиденциальностью оборудования

При проектировании камер включаются аппаратные средства управления конфиденциальностью, существуют два ключевых принципа нашего подхода к проектированию:

1. Устройства с элементами управления конфиденциальностью должны обеспечить согласованный интерфейс пользователя и уверенность в состоянии конфиденциальности:

   • После того как клиент узнает, как затвор на устройстве выглядит и ведет себя, это знание должно применяться к любому устройству, которое они используют, имеет затвор.

2. Ни в каких обстоятельствах управление конфиденциальностью камеры не может дать ложное впечатление о конфиденциальности:

   • Устройства не должны подводить в обеспечении конфиденциальности, когда это наиболее важно для клиента. Если шторка конфиденциальности камеры закрыта или выключатель камеры отключен, клиенты ожидают, что изображение не может быть захвачено до тех пор, пока они не взаимодействуют с физическим переключателем, чтобы деактивировать функцию конфиденциальности.

Типы элементов управления

Определяются две формы контроля конфиденциальности: шторки конфиденциальности для камеры (механические и электромеханические) и выключатели отключения камеры. В зависимости от форм-фактора устройства, целевых показателей стоимости BOM и ценовой точки устройства изготовитель оборудования может выбрать реализацию затвора в любой из этих форм. Важной константой для всех трех является то, что они должны действовать на физическом или аппаратном уровне, что означает отсутствие программного обеспечения, так как программное обеспечение может быть скомпрометировано.

Механическая шторка конфиденциальности для камеры

Механические ставни являются самой простой конструкцией — это простая скользящая крышка объектива, которую пользователь вручную перемещает, чтобы заблокировать камеру или убрать препятствие. Они разработаны с помощью непрозрачного материала, который полностью блокирует объектив при закрытии. Этот дизайн изначально защищен от ошибок, поскольку его можно открыть только путем скольжения пользователем.

Электромеханический затвор конфиденциальности камеры

Электромеханикические затворы являются электрически контролируемыми механическими ставнями. Вместо того, чтобы пользователь вручную открывал или закрывал затвор, встроенный затвор открывает или закрывается в ответ на нажатие физической кнопки на устройстве.

Кнопки отключения камеры

Некоторые устройства сегодня поставляются с функцией отключения камеры, которая физически отключает устройство камеры от системы при отключении, обеспечивая аппаратный контроль для блокировки доступа к камере, не требуя физического затвора для покрытия объектива или датчика. Хотя это надежно для атак, он создает плохой интерфейс пользователя. Удаляя устройство при выключении, система не может сказать, что корпус по-прежнему имеет камеру в нем, но что она отключена. Это проблематично с точки зрения пользовательского интерфейса, если камера непреднамеренно отключена пользователем, не зная о коммутаторе, так как приложения сообщают о том, что камеры не подключены. Это также может привести к сбою или неправильному выполнению некоторых приложений, если камера удаляется во время использования или отображается во время работы приложения.

Соответственно, Microsoft не рекомендует и не поддерживает использование выключателей камеры, которые полностью отключают камеру от системы. Вместо этого мы рекомендуем одно из двух решений:

1. Физический затвор, как описано в механическом шторке конфиденциальности камеры и электромеханической шторке конфиденциальности камеры.

2. Аварийный выключатель, который отключает датчик, а не ISP, и приводит к синтезу черных кадров ISP.

Во втором решении камера по-прежнему отображается в системе, и приложения могут продолжать использовать ее. Процессор обработки изображений отвечает на все команды (запуск и остановка потоковой передачи, DDIs, такие как яркость или контрастность, изменения типа мультимедиа и т. д.) в обычном режиме, независимо от того, активен ли аварийный выключатель. Однако при активации кнопки аварийного отключения провайдер перестает записывать реальные данные с датчика и вместо этого синтезирует и передает черные кадры, и это все остается незаметным для приложения.

Затворы с несколькими камерами на панели.

Когда клиенты используют устройства с ставнями (например, с несколькими камерами IR и RGB на панели) они ожидают, что если затвор закрыт, конфиденциальность защищается от любого неожиданного доступа к камере. Если системы имеют две камеры на одной панели, такие как RGB и IR-камера для поддержки Windows Hello, важно убедиться, что затвор не дает ложного чувства безопасности. Клиенты не должны понимать, что может быть второй датчик камеры для Windows Hello, а некоторые устройства используют один датчик для RGB+IR. Из-за этого шторка должна закрывать все камеры на панели.

Обеспечение того, чтобы затворы и аварийные выключатели применялись к ИК-камере, крайне важно, так как ИК-камера может быть доступна приложениям и производить изображения сцены с достаточно высоким уровнем точности, как показано ниже. Если не заблокировать ИК-датчик, это может создать ложное чувство безопасности и подорвать доверие пользователей к функциональности затвора в плане конфиденциальности.

Руководство по конструированию физического затвора (механического или электромеханического)

Когда клиент использует устройство с физическим затвором, его наличие создает высокие ожидания относительно уровня конфиденциальности, который он обеспечивает. Проще говоря, это ожидание пользователя заключается в том, что если устройство имеет затвор, и затвор закрыт, они защищены от любого неожиданного доступа к камере. Очень важно, чтобы реализация функции соответствовала ожиданиям, заложенным в ней, иначе она теряет все доверие.

Кроме того, сама концепция заслонки конфиденциальности заключается в обеспечении уровня безопасности, устойчивого к любой практической атаке программного обеспечения. Другими словами, если устройство оснащено затвором и система полностью скомпрометирована вредоносным программным обеспечением, это программное обеспечение не может нарушить конфиденциальность пользователя. Опять же, проще говоря, ожидание заключается в том, что затвор может изменить состояние только в том случае, если пользователь физически взаимодействует с аппаратным элементом управления затвором на устройстве.

Рекомендации по проектированию механических компонентов

Физические ставни, будь то с ручным или электромеханическим приводом, как ожидается, будут сделаны из непрозрачного материала, который полностью блокирует датчик при закрытии и виден невооруженным глазом.

Как описано в затворах с несколькими камерами на одной панели, устройства с отдельной камерой IR и RGB на одной панели должны иметь заблокированы оба датчика одновременно при закрытии затвора. Предположим, что дизайн двойного датчика выглядит следующим образом:

При закрытии затвора он должен охватывать датчик RGB, он необязателен для покрытия датчика IR:

Рекомендации по поведению камеры

Когда камера оснащена физическим затвором, она должна продолжать работать нормально независимо от состояния затвора. Если приложение выполняет потоковую передачу с камеры, оно продолжает записывать и передавать реальные данные датчика, даже если затвор закрыт. Ожидается, что полная окклюзия датчика закрытым затвором будет производить изображение, которое черное или очень близко к нему.

Производители OEM могут заменить изображение на статическое изображение, когда затвор закрыт (например, изображение камеры с перечёркнутой полосой). Этот образ должен быть статическим и не может быть изменен с программного обеспечения для защиты от эксплойтов. Для устройств с шторками конфиденциальности замена изображения может происходить в процессоре обработки изображений (ISP) или в драйвере, хотя рекомендуется выполнять замену в ISP, чтобы уменьшить необходимость в DMFTs и добавить нагрузку на хост-устройство.

Требования к светодиодным индикаторам конфиденциальности камеры

Требования к светодиодным индикаторам должны соответствовать требованиям , указанным в общих требованиях к светодиодным индикаторам. Это означает, что если любая из камер на панели включена, светодиодный индикатор используемой камеры в видимом спектре должен оставаться включенным независимо от того, открыт затвор или закрыт. Тем не менее, приемлемо, чтобы физический дизайн затвора закрывал светодиод при его закрытии. На приведенных ниже схемах показан сценарий активной потоковой передачи камеры:

Для конструкций, в которых предусмотрены как инфракрасная, так и RGB камеры, некоторые производители могут пожелать отключить инфракрасную подсветку, если инфракрасная камера используется при закрытом затворе. Мы не рекомендуем это, так как оно добавляет дополнительную сложность с небольшой пользой; камера IR будет активна только в том случае, если Windows Hello запущена, и она отображает сообщение в течение этого времени, пытаясь войти в систему, но затвор закрыт. Дополнительные сведения см. в разделе "Реализация Kill switch".

Тем не менее, если светодиодный индикатор ИК-подсветки 840 нм (видимый) не является единственным индикатором использования для камеры ИК (например, обычный видимый белый, зеленый или синий светодиод загорается при активной ИК-камере), то конструкция может отключать светодиод ИК-подсветки при закрытии затвора.

Механизмы переключения состояния затвора

Устройства, реализующие шторки конфиденциальности, не должны разрешать любой программный контроль затвора и должны открывать или закрывать шторку только в ответ на явное взаимодействие пользователя с органом управления шторкой. Это может быть механический ползунок или физическая кнопка, которая управляет электромеханикальным затвором. Никакое программное обеспечение не может изменить состояние затвора, даже если аппаратный элемент управления может переопределить программное обеспечение и сохранить затвор закрытым, так как это не всегда означает, что управление конфиденциальностью включено. Аналогичным образом, затвор может не открываться или закрываться, когда приложение использует камеру, по той же причине. В итоге, если пользователь смотрит на устройство и видит, что затвор закрыт, они должны иметь возможность однозначно выводить, что их конфиденциальность защищена, пока они не принимают физические меры, чтобы открыть затвор.

Сенсор состояния затвора и отчетность о состоянии

Многие проблемы с дизайном конфиденциальности камеры на рынке связаны с ситуациями, когда пользователь непреднамеренно закрывает затвор и не может выяснить, почему их камера производит пустое изображение или не работает. Соответственно, ключевая часть функции приватности Windows зависит от камеры, которая может надежно сообщить о своем состоянии затвора. С помощью этих сведений приложения могут сообщить пользователю о закрытии затвора, чтобы они могли реагировать соответствующим образом. Изменения состояния затвора должны обнаруживаться и сообщаться как можно скорее после возникновения события.

Для обнаружения состояния затвора, физических датчиков и обнаружения на основе встроенного ПО предлагается два метода. Оба метода сообщают обнаруженное состояние затвора через CT_PRIVACY_CONTROL, если исходят с устройства UVC, или через KSPROPERTY_CAMERACONTROL_PRIVACY, если исходят из драйвера AVStream или DMFT.

Дополнительные сведения см. в уведомлении о закрытии конфиденциальности .

Датчик обнаружения физического состояния

Состояние затвора может быть обнаружено с помощью физического датчика, который может определить, открыт или закрыт. Физические датчики могут точно сообщать о состоянии затвора и обеспечивать более надежный опыт. Корпорация Майкрософт не имеет конкретных рекомендаций по проектированию датчиков или конкретных рекомендаций по технологии датчиков.

Обнаружение состояния на основе микропрограммы ISP

Некоторые конструкции могут отказаться от физического затвора и вместо этого использовать встроенное ПО в ISP для обработки изображения и отчета о предполагаемом состоянии затвора. Такое решение позволит проанализировать захваченное изображение в встроенном ПО и сравнить его с пороговым значением, чтобы определить, закрыт ли затвор. Это недорогое решение, поскольку оно не требует новых компонентов и также способно обнаруживать, например, ленту на датчике. Однако при выборе использования такого дизайна следует учитывать два важных вопроса:

1. Дизайн может ложно сообщить о закрытом затворе в темных средах. Тем не менее, ожидается, что это будет минимальным риском или проблемой, так как камера всё равно не может быть использована в условиях такой слабой освещенности.

2. Если ISP не может периодически брать пробы с датчика каждый раз, когда он выходит из состояния D3, этот метод не позволяет приложениям получать точные данные о состоянии датчика, пока они не начнут передачу потоковых данных с камеры.

Второе решение, приведенное выше, создает проблему. Если камера не сообщает о состоянии затвора, когда она не в режиме потоковой передачи, но приложение было создано для проверки и реагирования на состояние затвора до начала стриминга, это может привести к проблемам. В ответ на отзывы, полученные от партнеров, это требование было расслаблено. Мы также обновляем документацию API, чтобы советовать разработчикам программного обеспечения не принимать решения в зависимости от состояния затвора, сообщаемого, когда данные не передаются в потоковом режиме. Например, мы явным образом советуем разработчикам приложений запретить включение камеры, если затвор сообщает о закрытии.

Чтобы избежать риска проблем совместимости с приложениями, которые не следуют этому совету, камеры, которые не могут определять состояние затвора, когда не происходит потоковая передача, должны сообщать, что затвор ОТКРЫТ всякий раз, когда не производится потоковая передача. Иначе если камера может определять состояние затвора, когда потоковая передача не ведется, ожидается, что она обнаружит и сообщит о состоянии затвора в любое время, когда не находится в D3.

Ниже приведена схема, демонстрирующая ожидаемое поведение устройства с закрытой камерой:

Сводная таблица поведения шторки конфиденциальности камеры

В следующей таблице представлены ожидаемое поведение камеры с шторкой конфиденциальности (ручной или электромеханической):

(*) Дополнительные сведения о требованиях к индикатору светодиода см. в разделах «Требования к светодиоду для шторки конфиденциальности камеры» и «Механизмы переключения состояния затвора».

(**) См. «Обнаружение и отчет о состоянии затвора» для получения более подробной информации; в некоторых сценариях состояние затвора всё равно обновится, когда не осуществляется потоковая передача.

Руководство по проектированию аварийного выключателя

Когда клиент использует устройство с предохранительным переключателем, они доверяют аппаратному переключателю для эффективной защиты от любых приложений, пытающихся запечатлеть их изображение. Проще говоря, ожидание пользователя заключается в том, что если на моем устройстве есть рычаг отключения и он активирован, то моя конфиденциальность будет защищена от любого неожиданного доступа к камере. Очень важно, чтобы реализация функции соответствовала ожиданиям, заложенным в ней, иначе она теряет все доверие.

Кроме того, вся концепция аварийного выключателя заключается в том, чтобы обеспечить слой безопасности, защищенный от любой реальной программной атаки. Если устройство имеет переключатель kill и система полностью скомпрометирована вредоносным программным обеспечением, это программное обеспечение не может переопределить переключатель kill и скомпрометировать конфиденциальность пользователя. Проще говоря, предполагается, что "kill switch" может быть активирован или деактивирован пользователем при физическом взаимодействии с устройством.

По сравнению с конструкциями шторок для конфиденциальности, отключающие переключатели более сложны и несут больше проблем для обеспечения доверия. Это связано с тем, что они несут тот же уровень ожидания надежности (физический коммутатор, как ожидается, работает безупречно во всех сценариях), но они не обеспечивают уверенность в том, что физический затвор над объективом обеспечивает. Это означает, что устройства, предлагающие кнопки отключения, должны обеспечивать согласованный, понятный и надежный опыт использования.

Функция аварийного отключения

Аварийные выключатели работают, указывая встроенному ПО интернет-провайдера прекратить захват с датчика и вместо этого синтезировать черное изображение. Таким образом, камера по-прежнему доступна и функциональна с точки зрения приложений, но при активном переключении блокировки передача данных датчика в основную операционную систему прекращается. Надежная конструкция будет работать следующим образом:

1. Физический сигнал от коммутатора подключается к GPIO в ISP, чтобы указать, активен ли переключатель или нет

2. Если аварийный выключатель активен, интернет-провайдер:

   1. Электрически отсоединяет датчик

   2. Начинает синтезировать черные кадры для замены реальных кадров с отключенного датчика

   3. Сообщает, что шторка конфиденциальности закрыта через функцию уведомления о её состоянии.

На практике, ISP кремний, обеспечивающий полноценную функциональность, включая электрическое отключение датчика, когда GPIO аварийного отключения активен, ещё не доступен на рынке. Соответственно, для текущих проектов требуется изменение шага 2a выше, чтобы "Остановить датчик или отменить данные датчика в встроенном ПО". Мы планируем работать с поставщиками услуг, чтобы уменьшить необходимость в данном приспособлении в будущих чипах.

Как и в случае с крышками конфиденциальности, изготовители оригинального оборудования могут заменить изображение статическим изображением, когда переключатель отключения находится в состоянии отключения. Замена изображения может осуществляться в ISP или драйвере, хотя рекомендуется замена в ISP, чтобы уменьшить необходимость в DMFT и увеличить нагрузку на хост-устройство. Если замена изображения выполняется в драйвере, обратите внимание на то, что реальные данные изображения не передаются в ОС, когда переключатель отключения находится в активированном состоянии, это требование по-прежнему соблюдается.

Реализация аварийного выключателя

Состояние аварийного переключателя не должно контролироваться программным обеспечением, иначе вредоносное приложение может записать управление для активации или деактивации аварийного переключателя. Они должны контролироваться коммутатором, подключенным к GPIO в ISP.

Важно, чтобы когда переключатели отключения камеры выключены, камера по-прежнему отображалась в системе, и приложения по-прежнему могли транслировать с нее, просто изображение становится черным. Кадры продолжают доставляться в ОС, и камера продолжает реагировать на элементы управления; приложения не знают, что переключатель находится в состоянии kill, если приложение не использует API CameraOcclusionInfo . Это позволяет отключать камеру с помощью аппаратного элемента управления, не вводя запутанные сообщения "камера не найдена" или рискуя сбоем некоторых приложений при переворачивании переключателя.

Как описано в затворах с несколькими камерами на панели, устройства с отдельными инфракрасными и RGB камерами на одной панели должны быть отключены одновременно при активации аварийного выключателя.

Требования к светодиодным индикаторам HLK

Для HLK требуется, чтобы индикатор LED был ВКЛЮЧЕН, когда ISP захватывает данные датчика. Активация kill switch означает, что ISP должен прекратить захват реальных данных с датчика, поэтому светодиодный индикатор также должен отключиться. Это позволяет избежать путаницы или нарушения доверия. Если клиент видит горящий индикатор или светодиод инфракрасной подсветки, они знают, что программное обеспечение в данный момент осуществляет захват их изображения. Если же светодиод не горит, они знают, что их изображение не захватывается.

Отчёт о состоянии аварийного выключателя

Состояние выключателя аварийного отключения должно быть сообщено через CT_PRIVACY_CONTROL (в случае устройств UVC) или KSPROPERTY_CAMERACONTROL_PRIVACY (если происходит из драйвера AVStream или DMFT). Состояние выключателя камеры должно сообщаться всякий раз, когда ISP выходит из D3.

Дополнительные сведения см. в уведомлении о закрытии и переключении конфиденциальности .

Сводная таблица поведения «аварийного выключателя»

В следующей таблице описано ожидаемое поведение камеры с переключателем отключения камеры:

(*) Подробности о требованиях к светодиодным индикаторам можно найти в разделах "Требования к светодиодному индикатору конфиденциальности затвора камеры" и "Механизмы переключения состояния затвора".

Руководство по ISV для событий затвора/переключателя

Если камера с шторкой конфиденциальности или выключателем следует рекомендациям в этой документации, состояние шторки или переключателя сообщается операционной системе, когда камера передает видео. Приложения с помощью камеры затем могут отслеживать события изменения состояния затвора и реагировать соответствующим образом, например, создавая полезное уведомление о том, что камера заблокирована с помощью затвора или переключателя.

Дополнительные сведения см. в следующих API:

Класс CameraOcclusionInfo

Класс CameraOcclusionState

Свойство VideoDeviceController.CameraOcclusionInfo