De meest controversiële functie van Microsoft is praktischer dan ik had verwacht

Ik ben een grote criticus geweest van Microsoft Recall, samen met het grootste deel van de rest van de wereld. Recall maakt periodiek screenshots van je bureaublad en slaat ze op je apparaat op, waardoor een doorzoekbare geschiedenis van alles wat je doet wordt opgebouwd.

Op het eerste gezicht is het een gruwelijk privacyprobleem. Sinds de oprichting in 2024 is Recall voortdurend onder vuur komen te liggen; het voortdurend maken van screenshots van alles wat op het scherm staat, zal nooit de harten en geesten van de meeste mensen winnen, laat staan van degenen die bewust zijn van veiligheid en privacy.

Maar misschien, heel misschien, is Recall niet zo slecht als je denkt. En, durf ik te zeggen, het zou zelfs praktisch kunnen zijn.

Al mijn vrienden haten Microsoft Recall

Waarom zou je iets je leven permanent laten vastleggen in een screenshot?

Ik was een van die critici... maar tot het inschakelen ervan op de Asus Zenbook A14 had ik het niet echt lang genoeg de kans gegeven om echt te werken. Ik had het kort ingeschakeld op mijn Asus Zenbook S14, maar drukte net zo snel weer op de uitknop.

Het blijkt dat er nogal veel veranderd is met Recall sinds het voor het eerst op Copilot-pc's en laptops werd geïnstalleerd.

Toen het voor het eerst werd onthuld in 2024, presenteerde Microsoft Recall als een "fotografisch geheugen" voor je pc; je zult nooit meer iets vergeten, omdat Windows 11 altijd aanwezig is, altijd foto's maakt en een afmelding vereist.

De tegenreactie was niet mooi, en mensen wezen onmiddellijk op de gebreken in de vermeende beveiligings- en privacyfuncties. De on-device encryptie van Recall werkte helemaal niet, sloeg gegevens in platte tekst op en werd op grote schaal belachelijk gemaakt.

Vervolgens keerde Recall later in 2024 terug met enkele serieuze verbeteringen. Belangrijker nog, het was nu een opt-in service (hier komen we later op terug), en het gebruikte nu AES-256 encryptie om afbeeldingen lokaal te beveiligen, werkte correct met Windows Hello biometrische authenticatie, en had daadwerkelijk app- en sitefiltering.

De weerstand was nog steeds sterk, maar Microsoft luisterde op zijn minst een beetje naar de critici. In ieder geval overwoog het hoe een functie die niemand had gevraagd veiliger gemaakt kon worden, ook al negeerde het de bredere boodschap.

En dan waren er de daadwerkelijke beveiligingsproblemen buiten wat er op je scherm wordt vastgelegd. Beveiligingsonderzoeker Alexander Hagenah ontdekte dat je Recall kon forceren om schermafbeeldingen en andere gegevens te onthullen, in een aanval die TotalRecall Reloaded werd genoemd.

Wanneer je Recall normaal gebruikt, houdt TotalRecall Reloaded stilletjes de deur open achter je en haalt vervolgens alles op wat Recall ooit heeft vastgelegd. Dat is precies het scenario dat de architectuur van Microsoft zou moeten beperken.

Bezorgdwekkend zei Microsoft ook dat dit opzettelijk is, een uitdrukking die we de laatste tijd vaker van Redmond hebben gehoord terwijl werd uitgelegd waarom de Edge-browser wachtwoorden tijdens normale bewerkingen in platte tekst blijft opslaan.

Eerlijk gezegd verandert Microsoft dat gedrag nu het is aangekaart. Maar we zouden slechte beveiligingsontwerpen niet hoeven aan te kaarten om ze in eerste instantie te laten repareren. Hoe dan ook, ik sla af.

Microsoft-terugroepactie is niet zo verschrikkelijk als je denkt

Ik zeg niet dat iedereen Recall moet gebruiken, hoor

Denk alsjeblieft niet dat ik opsta en zeg dat iedereen Recall moet gaan gebruiken. Dat is niet wat ik denk. Maar ik geloof wel dat een deel van de haat gericht op Recall misplaatst is en gebaseerd is op de oorspronkelijke, sterk farce-achtige lancering.

Daarin was het origineel duidelijk verschrikkelijk. Maar er zijn aanzienlijke verbeteringen aangebracht.

Bijvoorbeeld, een van de grootste misvattingen over Recall is dat alles wat je doet naar Microsoft of Copilot wordt gestuurd voor cloudgebaseerde analyse. Maar Recall doet niets dergelijks; in plaats daarvan verwerkt en catalogueert het je informatie met behulp van de NPU op je apparaat. Daarom is het alleen beschikbaar voor Copilot+-pc's en laptops; andere apparaten hebben niet de technologie om de gegevens te verwerken of te beveiligen.

Microsoft heeft ook het versleutelingsproces dat voor Recall wordt gebruikt, verbeterd. Het gebruikt een VBS-enclave om de Recall-functie te isoleren, beveiligt gegevens met AES-256, en heeft een door TPM ondersteund opslagmodule (ja, dezelfde TPM die de installatie van Windows 11 vereiste). Zelfs Hagenah, de onderzoeker achter de TotalRecall-aanval, erkende dat dit een veilige en privacygerichte stack is, maar dat er implementatieproblemen waren.

Bij uitbreiding vereisen de aanvallen op Recall directe toegang tot het apparaat omdat alles lokaal wordt opgeslagen. Nu, als je op afstand toegang zou kunnen krijgen, ben ik er zeker van dat het resultaat vergelijkbaar zou zijn, maar je hebt nog steeds aanzienlijke toegang tot de machine om Recall te benaderen. Op dat moment, als iemand toegang heeft tot je apparaat, heb je een heleboel problemen, samen met de mogelijkheid dat Recall-afbeeldingen worden geschonden.

De andere grote verandering was de overstap van opt-out naar opt-in. Dit is misschien wel de grootste verandering van allemaal, en is de belangrijkste. Toen Recall werd gelanceerd als een opt-out dienst, was het duidelijk kapot en achterhaald. In geen enkele wereld zouden gewone mensen zich moeten afmelden voor het laten vastleggen van hun scherm elke vijf seconden, zelfs met alle beveiliging en bescherming die ik hierboven heb uitgelegd, op hun plaats.

Het was een krankzinnige, bizarre zet, en Microsoft werd terecht gecrossificeerd daarvoor.

Maar sindsdien heeft Recall filteropties voor websites, apps en meer, en herkent het bepaalde schermen als zijnde privé-informatie, zoals je bankportaal, betaalpagina's, enzovoort. Je kunt ook snel alle apps of URL's verwijderen die aan Recall zijn toegevoegd en die je niet wilt; Recall zal elke instantie van een webpagina verwijderen, bijvoorbeeld, zoals ik ontdekte.

Je praat groot, maar wat gebeurde er toen je het gebruikte?

Meestal goed, maar soms ook niet

Ik heb eindelijk Recall ingeschakeld op deze Asus Zenbook A14 die ik gebruik, en het is over het algemeen een goede ervaring geweest, met hier en daar wat kleine problemen.

Dagelijks zou Recall in feite gewoon bijhouden wat ik doe. Dat betekent dat het soms een reeks screenshots zou maken van mij terwijl ik mijn artikelen voor de dag schrijf en het onderzoek dat ik naast het schrijven doe. Ik werk vaak met een gesplitst scherm, met VS Code aan de ene kant en een browser aan de andere kant.

Maar er zijn nog steeds sites die ik niet wil dat Recall registreert, zoals windows.day's CMS, onze backend analytics, gegevens, enzovoort. Maar dat oplossen was net zo eenvoudig als het toevoegen van de top-level URL voor elke site, en Recall stopt gewoon met activeren wanneer ze geopend zijn. Ik zag geen van die sites in mijn Recall-geschiedenis, dus het laat zien dat de functie die beperkingen daadwerkelijk respecteert.

Evenzo heb ik geen apps die ik niet wil dat Recall ziet, dus koos ik er willekeurig één: Paint.net, die ik meestal gebruik voor snelle afbeeldingenbewerkingen. Maar opnieuw, eenmaal toegevoegd aan de lijst, vermijdde Recall het. Alles dat geopend wordt in een Incognito- of Privémodus-venster in een browser wordt ook automatisch genegeerd, wat ik ook juist vond.

Voor snelle, eenvoudige toegang tot waar ik mee bezig was geweest, sloeg Recall de spijker op de kop. Ik vond het ontzettend gemakkelijk om door de screenshots te navigeren, de informatie te vinden die ik wilde, en vervolgens verder te gaan met zoekopdrachten enzovoort. In dat opzicht doet Recall zijn werk goed. Het werkt ook als een handige tijdtracker, omdat de Recall Snapshot-overzichtspagina je een tijdsperiode laat zien waarin je de app gebruikte. Eerlijk gezegd weet ik niet precies hoe nauwkeurig het is of hoe het je tijd waardeert; ik heb zeker meer dan 58 minuten in VS Code doorgebracht met het schrijven van dit artikel, terwijl ik screenshots maakte, feiten controleerde en, weet je wel, aan het schrijven was.

Recall heeft ook een diepe integratie met een andere Microsoft-functie waar ik niet bijzonder dol op ben: Click to Do. Aan de ene kant is het nuttig dat Recall integreert met Click to Do, omdat je direct vanuit Recall kunt zoeken, informatie over je screenshots kunt opzoeken, enzovoort. Het voegt nuttige context toe aan je screenshots. Aan de andere kant is Click to Do nog steeds onderontwikkeld en levert het bij een klik niet echt veel informatie, en vertrouwt het meer op zijn Copilot-integratie dan op iets anders om nuttig te zijn, waarbij je waarschijnlijk informatie aan de Microsoft-cloud overhandigt.

Waar het interessanter wordt, is wanneer je winkelsites of andere sites opent die gevoelige informatie bevatten. Ik heb een geweldig voorbeeld van hoe dit werkt — en een nog beter voorbeeld van hoe het faalt.

Dus ik ging winkelen voor een nieuwe NVMe SSD op Amazon omdat mijn primaire schijf steeds vol raakt, en ik blijf het uitstellen om te upgraden naar Windows 11. Ik denk dat een nieuwe schijf en een frisse start precies zijn wat ik nodig heb. Wanneer ik van het Amazon-winkelmandje naar het betaalscherm ga, stopt Recall met het maken van screenshots en deactiveert zichzelf, zoals bedoeld is om persoonlijke informatie van deze aard te vermijden.

Alles goed, toch?

Gesterkt door deze ervaring, dacht ik dat ik mijn Wise-account zou controleren op een inkomende betaling waarop ik had gewacht. Maar deze keer deed Recall het tegenovergestelde. Het onderbrak mijn 2FA-scherm middenin het proces, en toen ik toegang kreeg tot mijn account, had het mijn saldo, inkomende betalingsinformatie en soortgelijke details onderbroken. Jakkes.

Maar toen ik het probeerde met mijn gewone lopende rekening in het VK, reageerde het correct en nam het geen schermopnames.

Er zijn ook een paar apps die ingebouwde anti-Recall functies hebben. Brave is een goed voorbeeld, en ik vind het fijn dat toen het op mijn scherm open stond, Recall geen schermafbeeldingen maakte. Zoals gerapporteerd door XDA-Developers, hebben Brave, Signal en AdGuard allemaal een sterke houding aangenomen tegen dit in 2024 en zijn ze sindsdien niet teruggekomen.

De haat jegens Recall is terecht

Ik begon aan deze reis in een poging mezelf ervan te overtuigen dat Recall slecht werd beoordeeld en dat we het allemaal zouden moeten gebruiken. Eerlijk gezegd ben ik daar nog niet helemaal, maar ik kan zien dat Recall nuttiger is dan ik, net als veel anderen, het krediet heb gegeven.

Maar de groene spruiten van praktisch inzicht zullen het buitengewoon moeilijk vinden om door het algemene wantrouwen te breken dat Recall altijd zal ondervinden. De mislukte lancering van Microsoft, samen met een algemeen (begrijpelijk) wantrouwen tegenover een app die screenshots maakt van alles wat je doet, betekent dat Recall waarschijnlijk nooit zal bloeien als het gereedschap dat Redmond voor ogen had.

Dus, zolang het op vrijwillige basis blijft, is iedereen blij. En als je dat niet bent, bekijk dan hoe je Recall volledig van je systeem kunt verwijderen, zodat het nooit meer terug te zien is.