نُشر في الأصل في غرفة TikTok الإخبارية.

نرحب بعمليات المراجعة الشرعية لمنصتنا ونعلم أن استباق الجيل التالي من التهديدات الإلكترونية يتطلب منا تعزيز أمن منصتنا باستمرار والتعاون مع الخبراء الرائدين في الصناعة لاختبار آليات دفاعنا. ولهذا السبب نعقد شراكات مع رواد الصناعة مثل HackerOne، ونرحب أيضًا في مراكز الشفافية والمساءلة العالمية لدينا بالجميع، ليتعرف الأشخاص على كود المصدر وكيفية عمل خوارزمية تطبيقنا.

في 13 فبراير، نشر فريق Malcore في Internet 2.0، الذي يصف نفسه بأنه شركة أمريكية وأسترالية مشتركة تعمل في مجال الأمن السيبراني، تحليلًا مضللًا عن المجال على أقل تقدير، بل إنه في واقع الأمر تحليلًا معيبًا ومتحيزًا للغاية. فوفقًا للتقرير، يعد برنامج Malcore أداة تحليل آلية مصممة لمسح الملفات والبرامج ضوئيًا واكتشاف البرامج الضارة وتقييم المخاطر. ومع ذلك، وباعتراف الفريق نفسه، استخدم فريق برنامج Malcore الأداة لإجراء تحليل غير حاسم لم يتضمن مراجعة مفصلة للتعليمات البرمجية المصدر. اشتملت نتائج التحليل على عدد من النتائج غير الدقيقة التي يجب أن تلقي بظلال من الشك على صحة النتائج التي توصلوا إليها.

ردًا على ذلك، طلبنا من الباحثين لدينا إجراء تحليل تقني للنتائج التي خلُص إليها فريق برنامج Malcore وما يلي هو ما وجدناه.

ممارساتنا في جمع البيانات

لا تجمع TikTok البيانات المتعلقة بجهاز المستخدم مثل رقم الهوية الدولية للأجهزة المتنقلة (IMEI) أو الرقم التسلسلي لبطاقة SIM أو رقم بطاقة الدائرة المتكاملة. ولا يستخدم الإصدار الحالي من تطبيق TikTok عناوين MAC. نحن نشجع المستخدمين على تنزيل أحدث إصدار من التطبيق، والذي يتضمن تحديثات أمنية مهمة.
لا تجمع TikTok كل الحسابات الموجودة على أي جهاز.
في مناطق معينة مثل الولايات المتحدة وأستراليا وكوريا الجنوبية، لا تجمع الإصدارات الحالية من تطبيق TikTok معلوماتٍ دقيقةً أو تقريبيةً عن بيانات GPS من المستخدمين. وفي المناطق الأخرى التي يكون المستخدم فيها قادرًا على منح إذن لـ TikTok ويمنحه الإذن بالفعل لجمع معلومات موقع GPS، يجمع TikTok معلومات الموقع بناءً على بيانات GPS الخاصة بجهاز المستخدم.
في بعض الحالات، عندما يستخدم المستخدمون الأمريكيون إصدارًا قديمًا من تطبيق TikTok يسمح بجمع معلوماتٍ دقيقة أو تقريبية عن نظام تحديد المواقع العالمي (GPS) (الإصدار الأخير في أغسطس 2020)، ويمنحون TikTok إذنًا للقيام بذلك، قد نجمع هذه المعلومات. يمكن للأشخاص دائمًا منع أجهزتهم من مشاركة مثل هذه المعلومات مع TikTok أو إلغاء الإذن الممنوح مسبقًا في أي وقت من خلال إعدادات أجهزتهم.
نستخدم معلومات الموقع لمساعدتنا في تحسين مستوى تجربة التطبيق وللأغراض الموضحة في سياسة الخصوصية لدينا، على سبيل المثال لعرض الفيديوهات والمحتوى الرائج في منطقة المستخدمين والإعلانات الأكثر صلةً بهم، حيثما يكون مناسبًا.
وبالإضافة إلى ذلك، يمكن للأشخاص اختيار السماح للمنصة بالوصول إلى الصور وقوائم جهات الاتصال والميكروفون والكاميرا في الجهاز. نسرد بالتفصيل المعلومات التي نجمعها في سياسات الخصوصية لدينا وفي مركز المساعدة أيضًا.

حزم أدوات تطوير البرمجيات (SDK)

تُعد حزمة أدوات تطوير البرمجيات مجموعةً من الأدوات التي تساعد مطوري البرمجيات على إنشاء التطبيقات لمنصة معنية. ولدينا عملية لتقييم المخاطر الأمنية الإجمالية لأي حزمة أدوات تطوير برمجيات مدمجة مع TikTok. ففي ثلاث حالات، حدد فريق برنامج Malcore عمليات دمج حزم أدوات تطوير البرمجيات بشكل غير صحيح. لا يستخدم TikTok مجموعات حزم أدوات تطوير البرمجيات مثل Pangle أو Google CrashLytics أو Facebook Analytics. ونستخدم ما تبقى من حزم أدوات تطوير البرمجيات المذكورة في تحليل برنامج Malcore بالطرق التالية:

تُستخدم حزمة أدوات تطوير البرمجيات الخاصة بتسجيل الدخول على فيسبوك وحزمة أدوات تطوير برمجيات VKontakte (متوفرة في 8 بلاد فقط) للسماح للمستخدمين بتسجيل الدخول باستخدام بيانات اعتماد حسابهم على Facebook أو VK. وتتيح ميزة Facebook Share للمستخدمين مشاركة المحتوى من TikTok على Facebook.
يعد Facebook Bolts حزمة أدوات تطوير برمجيات مفتوحة المصدر لمساعدة المهندسين في تطوير تطبيقات الجوال. وكل من Appsflyer وGoogle Firebase Analytics أدوات للقياس وتحليل البيانات.

الدرجات والتقدير

لم يقدم فريق برنامج Malcore أي تفسير لنظام الدرجات الذي سجل لـ TikTok أعلى درجة (الأسوأ) عند 63.1، مقارنةً بمعيار المجال البالغ 34 لجميع تطبيقات شبكات التواصل الاجتماعي الرئيسية الأخرى ومتوسط الدرجة 28.8 لجميع التطبيقات البالغ عددها 21 تطبيقًا.

يسرد التقرير بشكل عشوائي تقدير الدرجات بناءً على خمسة عوامل: أداة التتبع/حزم أدوات تطوير البرمجيات، والإذن الخطِر، والتحذير العالي الشدة لنتائج تحليل الرموز، والإذن المريب، والتحذير من الشدة لنتائج تحليل الرموز. ولا يوجد تفسير لسبب أو كيفية اختيار هذه العوامل الخمسة.

بالإضافة إلى ذلك، لا يوجد تفسير أو مبرر خارجي لسبب تعيين الدرجة التي تم تخصيصها لكل عامل، مع إعطاء أداة التتبع/حزم أدوات تطوير البرمجيات أعلى درجة وهى 2.5 مقارنةً بالعامل الثاني عند 0.25 (10 مرات أقل) أو العامل الخامس (50 مرة أقل). إن تغيير كيفية تسجيل درجة أي فئة من شأنه أن يغير درجات المخاطر لـ TikTok والتطبيقات الأخرى بشكل جذري.

والجدير بالذكر أن التقرير نفسه يقر بأن "أدوات التتبع عادةً ما تكون مجموعة تطوير برمجيات مشروعة (SDK) صممت لمساعدة المطورين على فهم كيفية استخدام تطبيقاتهم، وحل المشكلات المحتملة وتحسين برامجهم". لا يأخذ التقدير الخاطئ لحزم أدوات تطوير البرمجيات في الاعتبار، على سبيل المثال، أن بعض الشركات تستخدم حزم أساسيةً لأدوات تطوير البرمجيات، مما يجعل عدد الحزم عاملاً أقل أهمية لتقييم المخاطر. وبعبارة موجزة، فإن نظام درجات برنامج Malcore ليس منطقيًا ولا معنى له.

في TikTok، تعد خصوصية وأمن الأشخاص الذين يستخدمون منصتنا بين أهم أولوياتنا. ونحن ملتزمون بمسؤوليتنا تجاه حماية خصوصية الناس وأمنهم بجدية ونخصص موارد كبيرة لتحقيق هذا الهدف. كما نخطط لمواصلة تقديم تحديثات حول ممارساتنا في غرفة الأخبار ومركز المساعدة وسياسات الخصوصية لدينا.

مدونة