Oorspronkelijk gepubliceerd in de TikTok-perskamer.

We verwelkomen legitieme beoordeling van ons platform en weten dat we, om de volgende generatie cyberdreigingen voor te blijven, voortdurend de beveiliging van ons platform moeten versterken en moeten samenwerken met toonaangevende experts in de sector om onze verdediging te testen. Daarom werken we samen met marktleiders als HackerOne en openen we de deuren van onze wereldwijde Transparantie- en verantwoordelijkheidscentra voor mensen om meer te weten te komen over de broncode en hoe het algoritme van onze app werkt.

Op 13 februari publiceerde het Malcore-team van Internet 2.0, dat zichzelf beschrijft als een gezamenlijk Amerikaans en Australisch cybersecuritybedrijf, een sectoranalyse die in het beste geval misleidend is en in het slechtste geval een ernstig gebrekkige en bevooroordeelde analyse. Volgens het rapport is Malcore een geautomatiseerde analysetool die is ontworpen om bestanden en programma's te scannen, malware te detecteren en risico's te beoordelen. Toch gaf het Malcore-team zelf toe dat het de tool gebruikte om een onvolledige analyse uit te voeren, die geen gedetailleerde beoordeling van de broncode omvatte. Hun resultaten bevatten een aantal onnauwkeurigheden waardoor men kan twijfelen aan de geldigheid van hun bevindingen.

In reactie hierop hebben wij onze eigen onderzoekers een technische analyse laten uitvoeren op de bevindingen van Malcore en hieronder staat wat we hebben gevonden.

Onze gegevensverzamelingspraktijken

TikTok verzamelt geen IMEI-nummers, SIM-serienummers of identificatienummers van chipkaarten. De huidige versie van de TikTok-app maakt geen gebruik van MAC-adressen. We raden gebruikers aan de nieuwste versie van de app te downloaden . Deze bevat belangrijke beveiligingsupdates.
TikTok verzamelt niet alle accounts op een apparaat.
In bepaalde regio's, zoals de Verenigde Staten, Australië en Zuid-Korea, verzamelen de huidige versies van de TikTok-app geen nauwkeurige of geschatte gps-gegevens van gebruikers. In andere regio's waar een gebruiker TikTok toestemming kan geven en dat ook doet om gps-locatiegegevens te verzamelen, verzamelt TikTok locatiegegevens op basis van de gps-gegevens van het apparaat van de gebruiker.
In sommige gevallen, wanneer Amerikaanse gebruikers een oudere versie van de TikTok-app gebruiken die het verzamelen van nauwkeurige of geschatte gps-gegevens toestaat (laatste release in augustus 2020) en ze TikTok hiervoor toestemming hebben gegeven, kunnen we dergelijke gegevens verzamelen. Mensen kunnen altijd voorkomen dat hun apparaat dergelijke gegevens met TikTok deelt en kunnen eerder gegeven toestemming op elk moment intrekken via hun apparaatinstellingen.
We gebruiken locatiegegevens om de appervaring te verbeteren en om redenen die worden uiteengezet in ons Privacybeleid, zoals om gebruikers video's en content te tonen die populair zijn in hun omgeving en, indien van toepassing, relevantere advertenties.
Daarnaast kunnen mensen ervoor kiezen om het platform toegang te geven tot foto's, contacten en de microfoon en camera van het apparaat. We geven gedetailleerd aan welke gegevens we verzamelen in ons Privacybeleid en in ons Hulpcentrum.

Software development kits (SDK)

Een SDK is een verzameling hulpmiddelen waarmee softwareontwikkelaars toepassingen kunnen maken voor een specifiek platform. We hebben een procedure om het algehele beveiligingsrisico te beoordelen van elke SDK die is geïntegreerd met TikTok. In drie gevallen heeft het Malcore-team ten onrechte SDK-integraties geïdentificeerd. TikTok maakt geen gebruik van de Pangle-, Google CrashLytics- of Facebook Analytics-SDK. We gebruiken de overige SDK's die in de Malcore-analyse worden genoemd op de volgende manieren:

De Facebook Login-SDK en de VKontakte-SDK (beschikbaar in slechts 8 landen) worden gebruikt om gebruikers te laten inloggen met hun Facebook- of VK-inloggegevens. Met Facebook Share kunnen gebruikers content van TikTok delen op Facebook.
Facebook Bolts is een opensource SDK om ontwikkelaars te helpen bij het ontwikkelen van mobiele apps. Appsflyer en Google Firebase Analytics zijn meet- en gegevensanalysetools.

Score en gewicht

Het Malcore-team heeft geen uitleg gegeven over het scoresysteem dat TikTok met 63,1 de hoogste (slechtste) score gaf, vergeleken met de branchestandaard van 34 voor alle andere grote socialemedia-apps en de gemiddelde score van 28,8 voor alle 21 apps.

Het rapport geeft een willekeurige lijst van de toegekende scoregewichten voor vijf factoren: trackers/SDK's, gevaarlijke toestemming, zeer ernstige waarschuwing voor codeanalyseresultaten, verdachte toestemming en ernstige waarschuwing voor codeanalyseresultaten. Er wordt niet uitgelegd waarom of hoe deze vijf factoren zijn gekozen.

Bovendien is er geen uitleg of externe rechtvaardiging waarom elke factor de score krijgt die deze heeft gekregen, waarbij trackers/SDK's de hoogste score van 2,5 krijgt in vergelijking met de tweede factor van 0,25 (10 keer minder) of de vijfde factor (50 keer minder). Het aanpassen van hoe zwaar een categorie meetelt, kan de risicoscores voor TikTok en de andere apps drastisch veranderen.

Opvallend is dat het rapport zelf erkent dat "trackers normaal gesproken een legitieme software development kit (SDK) zijn, bedoeld om ontwikkelaars te helpen begrijpen hoe hun apps worden gebruikt, om mogelijke problemen op te lossen en om hun software te verbeteren." De scheve weging van SDK's houdt er bijvoorbeeld geen rekening mee dat sommige bedrijven een master-SDK gebruiken, wat het aantal SDK's een nog minder zinvolle factor maakt om risico's te beoordelen. Kortom, het scoresysteem van Malcore is niet zinvol.

Voor TikTok hebben de privacy en veiligheid van de mensen die het platform gebruiken de hoogste prioriteit. We nemen onze verantwoordelijkheid om de privacy en veiligheid van mensen te waarborgen serieus en zetten aanzienlijke middelen in om dat doel te bewerkstelligen. We zijn van plan om updates over onze praktijken te blijven geven in onze Perskamer, ons Hulpcentrum en ons Privacybeleid.

Blog