Upphaflega birt á fréttastofu TikTok.

Við fögnum lögmætri endurskoðun á verkvangi okkar og vitum að til þess að vera á undan netógnunum næstu kynslóðar krefst þess að við styrkjum stöðugt öryggi verkvangsins okkar og vinnum með leiðandi sérfræðingum til að prófa varnir okkar. Þess vegna erum við í samstarfi við leiðtoga iðnaðarins eins og HackerOne og það er líka ástæðan fyrir því að við opnum dyr okkar alþjóðlegum Gagnsæis- og ábyrgðarmiðstöðum fyrir fólk til að fræðast um frumkóðann og hvernig reiknirit forritsins okkar virkar.

Þann 13. febrúar birti Malcore teymið hjá Internet 2.0, sem lýsir sér sem bandarísku og áströlsku netöryggisfyrirtæki, greiningu á iðnaði sem er í besta falli villandi og í versta falli mjög gölluð og hlutdræg greining. Samkvæmt skýrslunni er Malcore sjálfvirkt greiningartæki sem hannað er til að skanna skrár og forrit, greina spilliforrit og meta áhættu. Samt sem áður, að eigin sögn, notaði Malcore teymið tólið til að framkvæma ófullnægjandi greiningu sem innihélt ekki nákvæma yfirferð frumkóða. Niðurstöður þeirra innihéldu ýmiss konar rangfærslur sem ætti að vekja efasemdir um réttmæti niðurstaðna þeirra.

Til að bregðast við fengum við okkar eigið rannsóknarfólk til að framkvæma tæknilega greiningu á niðurstöðum Malcore og hér að neðan ber að líta niðurstöðu okkar.

Gagnasöfnunaraðferðir okkar

TikTok safnar ekki IMEI notendatæki, raðnúmeri SIM-korts eða auðkennisnúmeri samrásakorta. Núverandi útgáfa af TikTok appinu notar ekki MAC-vistföng. Við hvetjum notendur til að sækja nýjustu útgáfu appsins, sem inniheldur mikilvægar öryggisuppfærslur.
TikTok safnar ekki öllum reikningum á tæki.
Á ákveðnum svæðum eins og Bandaríkjunum, Ástralíu og Suður-Kóreu safna núverandi útgáfur af TikTok appinu ekki nákvæmum eða áætluðum GPS-upplýsingum frá notendum. Á öðrum svæðum þar sem notandi getur veitt, og veitir, TikTok leyfi til að safna GPS-staðsetningarupplýsingum, safnar TikTok staðsetningarupplýsingum byggðum á GPS-gögnum notandans.
Í sumum tilvikum, þar sem bandarískir notendur nota eldri útgáfu af TikTok appinu sem gerði kleift að safna nákvæmum eða áætluðum GPS-upplýsingum (síðasta útgáfa í ágúst 2020), og veitt TikTok leyfi til þess, gætum við safnað slíkum upplýsingum. Fólk getur alltaf komið í veg fyrir að tækið þeirra deili slíkum upplýsingum með TikTok eða afturkallað áður veitt leyfi hvenær sem er í gegnum tækisstillingarnar.
Við notum staðsetningarupplýsingar til að hjálpa okkur að bæta upplifun appsins og af ástæðum sem settar eru fram í persónuverndarstefnu okkar, svo sem til að sýna notendum myndbönd og efni sem er vinsælt á þeirra svæði, og þar sem við á, viðeigandi auglýsingar.
Að auki getur fólk valið að veita verkvanginum aðgang að myndum, tengiliðalistum og hljóðnema tækisins og myndavélinni. Við gerum grein fyrir upplýsingum sem við söfnum í persónuverndarstefnu okkar og í hjálparmiðstöðinni okkar.

Hugbúnaðarþróunarsett (SDK)

SDK er sett af verkfærum sem hjálpa hugbúnaðarsmiðum að búa til app fyrir ákveðinn verkvang. Við höfum ferli til að meta heildaröryggisáhættu hvers kyns SDK sem er samþætt við TikTok. Í þremur tilvikum greindi Malcore teymið SDK samþættingar rangt. TikTok notar ekki Pangle, Google CrashLytics eða Facebook Analytics SDK. Við notum afganginn af SDK sem vitnað er í í Malcore greiningunni á eftirfarandi hátt:

Facebook Login SDK og VKontakte SDK (fáanlegt í aðeins 8 löndum) eru notuð til að leyfa notendum að skrá sig inn með Facebook eða VK skilríkjum sínum. Facebook Share gerir notendum kleift að deila efni af TikTok á Facebook.
Facebook Bolts er opið SDK til að hjálpa verkfræðingum að þróa farsímaforrit. Appsflyer og Google Firebase Analytics eru mælitæki og gagnagreiningartæki.

Stigagjöf og vægi

Malcore teymið hefur ekki veitt neina skýringu á stigakerfinu sem veitti TikTok hæstu (verstu) einkunnina 63,1, samanborið við iðnaðarstaðalinn 34 fyrir öll önnur helstu samfélagsmiðlaforrit og meðaleinkunn 28,8 fyrir öll 21 forritin.

Skýrslan sýnir eftir geðþótta úthlutað stigavægi fyrir fimm þætti: rakningatæki/SDK, hættulegt leyfi, viðvörun um mikla alvarleika fyrir niðurstöður kóðagreiningar, grunsamlegar heimildir og alvarleikaviðvörun fyrir niðurstöður kóðagreiningar. Engin skýring er á því hvers vegna eða hvernig þessir fimm þættir voru valdir.

Að auki er engin skýring eða utanaðkomandi rökstuðningur fyrir því hvers vegna hverjum þætti er úthlutað einkunninni sem honum hefur verið úthlutað, þar sem rakningatæki/SDK er hæsta einkunnin 2,5 samanborið við annan þáttinn 0,25 (10 sinnum lægri) eða fimmta þáttinn (50 sinnum lægri). Að breyta því hvernig einhver flokkur fær stig myndi gjörbreyta áhættustigunum fyrir TikTok og hin öppum.

Athyglisvert er að skýrslan sjálf viðurkennir að „rakningartæki eru venjulega lögmætt hugbúnaðarþróunarsett (SDK) sem er hannað til að hjálpa öppum að skilja hvernig öppin þeirra eru notuð, leysa hugsanleg vandamál og bæta hugbúnaðinn sinn.“ Skekkt vægi SDK tekur til dæmis ekki með í reikninginn að sum fyrirtæki nota master SDK, sem myndi gera fjölda SDK enn mikilvægari þátt til að meta áhættu. Í stuttu máli er einfaldlega ekkert vit í stigakerfi Malcore.

Hjá TikTok er friðhelgi einkalífs og öryggi fólks sem notar verkvang okkar í forgangi. Við tökum ábyrgð okkar á að standa vörð um friðhelgi einkalífs og öryggi fólks alvarlega og verjum töluverðu fjármagni til að ná þessu markmiði. Við ætlum að halda áfram að veita uppfærslur um starfshætti okkar á fréttastofu okkar, hjálparmiðstöð og í persónuverndarstefnu okkar.

Blogg