Pubblicato originariamente nella newsroom di TikTok.

Accogliamo con favore la revisione legittima della nostra piattaforma e sappiamo che per stare al passo con le minacce informatiche di prossima generazione dobbiamo rafforzare continuamente la sicurezza della nostra piattaforma e collaborare con esperti leader del settore per testare le nostre difese. Ecco perché collaboriamo con leader del settore come HackerOne ed è anche il motivo per cui apriamo le porte dei nostri centri di trasparenza e responsabilità globali affinché le persone possano conoscere il codice sorgente e come funziona l'algoritmo della nostra applicazione.

Il 13 febbraio, il team Malcore di Internet 2.0, che si descrive come una società di sicurezza informatica congiunta statunitense e australiana, ha pubblicato un'analisi del settore che è nella migliore delle ipotesi fuorviante e nel peggiore dei casi un'analisi gravemente imperfetta e parziale. Secondo il rapporto, Malcore è uno strumento di analisi automatizzato progettato per scansionare file e programmi, rilevare malware e valutare i rischi. Tuttavia, per sua stessa ammissione, il team di Malcore ha utilizzato lo strumento per eseguire un'analisi inconcludente che non includeva una revisione dettagliata del codice sorgente. I loro risultati contenevano una serie di imprecisioni che avrebbero dovuto mettere in dubbio la validità delle loro scoperte.

In risposta, abbiamo chiesto ai nostri ricercatori di condurre un'analisi tecnica dei risultati di Malcore e di seguito è riportato ciò che abbiamo scoperto.

Le nostre pratiche di raccolta dati

TikTok non raccoglie l'IMEI del dispositivo dell'utente, il numero di serie della SIM o il numero di identificazione della scheda a circuito integrato. La versione attuale dell'app TikTok non utilizza indirizzi MAC. Incoraggiamo gli utenti a scaricare la versione più recente dell'app, che include importanti aggiornamenti di sicurezza.
TikTok non raccoglie tutti gli account su un dispositivo.
In alcune aree geografiche come Stati Uniti, Australia e Corea del Sud, le versioni attuali dell'app TikTok non raccolgono informazioni GPS precise o approssimative dagli utenti. In altre aree geografiche in cui un utente è in grado di concedere, e concede, l'autorizzazione a TikTok per raccogliere informazioni sulla posizione GPS, TikTok raccoglie informazioni sulla posizione in base ai dati GPS del dispositivo dell'utente.
In alcuni casi, laddove gli utenti statunitensi utilizzano una versione precedente dell'app TikTok che consentiva la raccolta di informazioni GPS precise o approssimative (ultima versione nell'agosto 2020) e ha concesso a TikTok il permesso di farlo, potremmo raccogliere tali informazioni. Le persone possono sempre impedire al proprio dispositivo di condividere tali informazioni con TikTok o revocare l'autorizzazione precedentemente concessa in qualsiasi momento tramite le impostazioni del proprio dispositivo.
Utilizziamo le informazioni sulla posizione per migliorare l'esperienza dell'app e per i motivi indicati nella nostra Informativa sulla privacy, ad esempio, per mostrare agli utenti video e contenuti popolari nella loro zona e, ove applicabile, annunci più pertinenti.
Inoltre, gli utenti possono scegliere di consentire alla piattaforma l'accesso a foto, elenchi di contatti, microfono e fotocamera del dispositivo. Descriviamo in dettaglio le informazioni che raccogliamo nelle nostre informative sulla privacy e nel nostro centro assistenza.

Software Development Kit (SDK)

Un SDK è un insieme di strumenti che aiutano gli sviluppatori di software a creare applicazioni per una piattaforma specifica. Abbiamo un processo per valutare il rischio complessivo per la sicurezza di qualsiasi SDK integrato con TikTok. In tre casi, il team di Malcore ha identificato erroneamente le integrazioni dell'SDK. TikTok non utilizza gli SDK di Pangle, Google CrashLytics o Facebook Analytics. Utilizziamo il resto degli SDK citati nell'analisi Malcore nei seguenti modi:

Facebook Login SDK e VKontakte SDK (disponibili solo in 8 paesi) vengono utilizzati per consentire agli utenti di accedere utilizzando le proprie credenziali Facebook o VK. Facebook Share consente agli utenti di condividere contenuti da TikTok a Facebook.
Facebook Bolts è un SDK open source per aiutare gli ingegneri a sviluppare app mobili. Appsflyer e Google Firebase Analytics sono strumenti di misurazione e analisi dei dati.

Punteggio e ponderazione

Il team di Malcore non ha offerto alcuna spiegazione del sistema di punteggio che ha assegnato a TikTok il punteggio più alto (peggiore) con 63,1, rispetto allo standard del settore di 34 per tutte le altre principali app di social media e al punteggio medio di 28,8 per tutte le 21 app.

Il report elenca arbitrariamente i pesi dei punteggi assegnati per cinque fattori: tracker/SDK, autorizzazione pericolosa, avviso di gravità elevata per i risultati dell'analisi del codice, autorizzazione sospetta e avviso di gravità per i risultati dell'analisi del codice. Non vi è alcuna spiegazione riguardo alle motivazioni o alle modalità in cui sono stati scelti questi cinque fattori.

Inoltre, non c'è alcuna spiegazione o giustificazione esterna per cui a ogni fattore viene assegnato il punteggio che gli è stato assegnato, con tracker/SDK che hanno il punteggio più alto di 2,5 rispetto al secondo fattore a 0,25 (10 volte inferiore) o al quinto fattore (50 volte inferiore). Cambiare il modo in cui viene valutata una categoria modificherebbe radicalmente i punteggi di rischio per TikTok e le altre app.

In particolare, il rapporto stesso riconosce che "i tracker normalmente sono un kit di sviluppo software (SDK) legittimo progettato per aiutare gli sviluppatori a capire come vengono utilizzate le loro app, risolvere potenziali problemi e migliorare il loro software". La ponderazione distorta degli SDK non tiene conto, ad esempio, del fatto che alcune aziende utilizzano un SDK master, il che renderebbe il numero di SDK un fattore ancora meno significativo per valutare il rischio. Insomma, il sistema di punteggio di Malcore è semplicemente insensato.

In TikTok, la privacy e la sicurezza delle persone che utilizzano la nostra piattaforma sono tra le nostre massime priorità. Ci assumiamo seriamente la responsabilità di salvaguardare la privacy e la sicurezza delle persone e dedichiamo notevoli risorse al raggiungimento di questo obiettivo. Abbiamo intenzione di continuare a fornire aggiornamenti sulle nostre pratiche nella nostra newsroom, nel centro assistenza e nelle nostre informative sulla privacy.

Blog