Asalnya diterbitkan dalamBilik Berita TikTok.

Kami mengalu-alukan ulasan yang berasas terhadap platform kami dan memahami bahawa untuk berada satu langkah di hadapan ancaman siber generasi berikutnya, kami perlu sentiasa mengukuhkan keselamatan platform kami dan bekerjasama dengan pakar terkemuka industri, untuk menguji pertahanan kami. Itulah sebabnya kami bekerjasama dengan pakar terkemuka industri seperti HackerOne dan sebab kami membuka pintu Pusat Ketelusan dan Kebertanggungjawapan global kami kepada pengguna agar mereka dapat mengetahui tentang kod sumber dan cara algoritma aplikasi kami berfungsi.

Pada 13 Februari, pasukan Malcore di Internet 2.0, yang menggelarkan pasukan mereka sebagai sebuah syarikat keselamatan siber usahasama A.S. dan Australia, telah menerbitkan analisis industri yang sangat mengelirukan dan dalam keadaan yang teruk serta pincang dan berat sebelah. Menurut laporan tersebut, Malcore ialah alat analisis automatik yang direka bentuk untuk mengimbas fail dan program, mengesan perisian hasad dan menilai risiko. Namun mengikut pengakuan mereka sendiri, pasukan Malcore menggunakan alat tersebut untuk menjalankan analisis tanpa kesimpulan dan tidak menyertakan semakan kod sumber yang terperinci. Keputusan mereka mengandungi beberapa ketidaktepatan yang diragui kesahan bagi penemuan mereka.

Sebagai respons, penyelidik kami sendiri telah menjalankan analisis teknikal terhadap penemuan Malcore dan yang berikut ialah kesimpulan yang kami temukan.

Amalan Pengumpulan Data Kami

TikTok tidak mengumpulkan IMEI peranti pengguna, nombor siri SIM atau nombor pengenalan kad litar bersepadu. Versi semasa apl TikTok tidak menggunakan alamat MAC. Kami menggalakkan pengguna supaya memuat turun versi terkini apl, yang mengandungi kemaskinian keselamatan penting.
TikTok tidak mengumpulkan semua akaun pada satu peranti.
Di sesetengah rantau seperti Amerika Syarikat, Australia dan Korea Selatan, versi semasa apl TikTok tidak mengumpulkan maklumat GPS yang tepat atau anggaran daripada pengguna. Di rantau lain yang membolehkan pengguna memberikan kebenaran atau tidak memberikan kebenaran kepada TikTok untuk mengumpulkan maklumat GPS, TikTok mengumpulkan maklumat lokasi berdasarkan data GPS peranti pengguna.
Dalam sesetengah keadaan, apabila pengguna A.S. menggunakan versi apl TikTok lebih lama yang membolehkan pengumpulan maklumat GPS yang tepat atau anggaran (keluaran terakhir dalam bulan Ogos 2020) dan memberikan kebenaran kepada TikTok untuk berbuat demikian, kami mungkin mengumpulkan maklumat sedemikian. Pengguna sentaisa boleh mencegah peranti mereka daripada berkongsi maklumat sedemikian dengan TikTok atau membatalkan kebenaran yang diberikan sebelum ini pada bila-bila masa melalui tetapan peranti mereka.
Kami menggunakan maklumat lokasi untuk membantu kami meningkatkan pengalaman apl dan untuk sebab yang ditetapkan dalam Dasar Privasi kami, seperti memaparkan video dan kandungan yang popular kepada pengguna di kawasan mereka, dan jika berkenaan, iklan yang lebih berkaitan.
Selain itu, pengguna boleh memilih untuk membenarkan platform mengakses gambar, senarai kenalan dan mikrofon serta kamera peranti. Kami memperincikan maklumat yang kami kumpulkan dalam dasar privasi kami dan dalam pusat bantuan kami.

Kit Pembangunan Perisian (SDK)

SDK ialah set alat yang membantu pembangun perisian mencipta aplikasi untuk platform tertentu. Kami mempunyai proses untuk menilai keseluruhan risiko keselamatan bagi mana-mana SDK yang disepadukan dengan TikTok. Dalam ketiga-tiga keadaan, pasukan Malcore telah silap mengenal pasti penyepaduan SDK. TikTok tidak menggunakan SDK Pangle, Google CrashLytics atau Facebook Analytics. Kami menggunakan SDK selebihnya yang dinyatakan dalam analisis Malcore dengan cara yang berikut:

SDK Log masuk Facebook dan SDK VKontakte (tersedia hanya di 8 negara) digunakan untuk membolehkan pengguna log masuk menggunakan kelayakan Facebook atau VK. Facebook Share membolehkan pengguna berkongsi kandungan daripada TikTok kepada Facebook.
Facebook Bolts ialah SDK sumber terbuka untuk membantu jurutera membangunkan apl mudah alih. Appsflyer dan Google Firebase Analytics ialah alat pengukuran dan analisis data.

Pemarkahan & Penimbang

Pasukan Malcore tidak menawarkan apa-apa penjelasan tentang sistem pemarkahan yang telah memberikan markah tertinggi kepada TikTok (paling teruk) pada 63.1, berbanding dengan standard industri 34 bagi semua apl media sosial utama yang lain dan markah purata 28.8 untuk semua 21 apl.

Laporan tersebut sewenang-wenangnya menyenaraikan penimbang markah yang diuntukkan bagi lima faktor: penjejak/SDK, kebenaran berbahaya, amaran teruk yang tinggi untuk hasil analisis kod, kebenaran yang meragukan dan amaran teruk untuk hasil analisis kod. Tiada penjelasan tentang sebab atau cara lima faktor ini dipilih.

Selain itu, tiada penjelasan atau justifikasi luaran diberikan terhadap sebab setiap faktor diberi markah yang telah ditetapkan, dengan penjejak/SDK diberi markah tertinggi 2.5 berbanding dengan faktor kedua pada 0.25 (10 kali kurang) daripada faktor kelima (50 kali kurang). Pertukaran cara mana-mana satu kategori diberi markah akan mengubah markah risiko untuk TikTok dan apl yang lain secara ketara.

Laporan tersebut juga, terutamanya, mengakui bahawa "penjejak biasanya merupakan kit pembangunan perisian (SDK) yang sah, direka bentuk untuk membantu pembangun memahami cara apl mereka digunakan, menyelesaikan masalah yang mungkin berlaku dan meningkatkan perisian mereka." Penimbang SDK yang terpencong tidak diambil kira, contohnya bahawa sesetengah syarikat menggunakan SDK induk, yang akan membuat bilangan SDK faktor yang kurang bermakna untuk menilaikan risiko. Secara ringkasnya, sistem pemarkahan Malcore tidak masuk akal.

Di TikTok, privasi dan keselamatan pengguna yang menggunakan platform kami merupakan keutamaan kami yang paling tinggi. Kami mengambil berat tanggungjawab kami untuk melindungi privasi dan keselamatan pengguna serta memperuntukkan sumber yang banyak untuk mencapai matlamat ini. Kami merancang untuk terus menyediakan kemaskinian pada amalan kami dalam bilik berita kami, pusat bantuan dan dasar privasi kami.

Blog