Articol publicat inițial în Secțiunea de știri TikTok.

Salutăm revizuirea legitimă a platformei noastre și știm că pentru a ne putea apăra de cele mai noi amenințări cibernetice se impune să ne consolidăm în mod continuu securitatea platformei și să colaborăm cu experți de top din industrie pentru a ne testa metodele de apărare. De aceea, colaborăm cu lideri din industrie precum HackerOne și, de asemenea, punem la dispoziție Centrele noastre de transparență și responsabilitate la nivel global pentru ca oamenii să învețe despre codul sursă și despre cum operează algoritmul aplicației noastre.

Pe 13 februarie, echipa Malcore de la Internet 2.0, care se descrie ca fiind o companie de securitate cibernetică în participațiune din SUA și Australia, a publicat o analiză de specialitate, care este în cel mai bun caz înșelătoare și în cel mai rău caz o analiză extrem de incorectă și părtinitoare. Potrivit raportului, Malcore este un instrument de analiză automatizat conceput pentru a scana fișiere și programe, a detecta malware și a evalua riscuri. Cu toate acestea, echipa de la Malcore a recunoscut că a folosit instrumentul pentru a efectua o analiză neconcludentă, care nu a inclus o revizuire detaliată a codului sursă. Rezultatele lor au conținut o serie de inexactități, care pun la îndoială validitatea constatărilor.

Ca răspuns, am solicitat cercetătorilor noștri să efectueze o analiză tehnică a constatărilor Malcore, iar mai jos prezentăm ceea ce au descoperit aceștia.

Practicile noastre de colectare a datelor

TikTok nu colectează codul IMEI al dispozitivului utilizatorului, numărul de serie al cartelei SIM sau numărul de identificare al plăcii cu circuite integrate. Versiunea curentă a aplicației TikTok nu folosește adrese MAC. Încurajăm utilizatorii să descarce cea mai recentă versiune a aplicației, care include actualizări importante de securitate.
TikTok nu colectează toate conturile de pe un dispozitiv.
În anumite regiuni, cum ar fi Statele Unite, Australia și Coreea de Sud, versiunile curente ale aplicației TikTok nu colectează informații despre locația GPS precisă sau aproximativă de la utilizatori. În alte regiuni în care un utilizator poate acorda și acordă permisiunea TikTok de a colecta informații despre locația GPS, TikTok colectează informații despre locație pe baza datelor GPS ale dispozitivului utilizatorului.
În unele cazuri în care utilizatorii din SUA folosesc o versiune mai veche a aplicației TikTok, care a permis colectarea de informații despre locația GPS precisă sau aproximativă (ultima lansare din august 2020) și care au acordat TikTok permisiunea de a face acest lucru, este posibil să colectăm astfel de informații. Oamenii pot alege întotdeauna ca dispozitivul să nu partajeze astfel de informații cu TikTok sau pot revoca oricând permisiunea acordată anterior din setările dispozitivului.
Folosim informații despre locație pentru a putea să îmbunătățim experiența de utilizare a aplicației și din motive stabilite în Politica noastră de confidențialitate, cum ar fi pentru a afișa utilizatorilor videoclipuri și conținut popular în zona lor și, dacă este cazul, reclame mai relevante.
În plus, oamenii pot alege să permită platformei accesul la fotografii, la lista de contacte, precum și la microfonul și camera dispozitivului. Detaliem informațiile pe care le colectăm în politicile noastre de confidențialitate și în centrul nostru de asistență.

Kituri de dezvoltare software (SDK)

Un SDK este un set de instrumente care îi ajută pe dezvoltatorii de software să creeze aplicații pentru o anumită platformă. Avem un anumit proces pentru evaluarea riscului general de securitate al oricărui SDK integrat în platforma TikTok. În trei cazuri, echipa Malcore a identificat incorect integrările de SDK-uri. TikTok nu folosește SDK-uri Pangle, Google CrashLytics sau Facebook Analytics. Utilizăm restul SDK-urilor menționate în analiza Malcore în următoarele moduri:

SDK-urile Facebook Login și VKontakte (disponibile doar în 8 țări) sunt utilizate pentru a permite utilizatorilor să se conecteze folosind acreditările lor pentru Facebook sau VK. Facebook Share permite utilizatorilor să distribuie conținut TikTok pe Facebook.
Facebook Bolts este un SDK open source conceput pentru a-i ajuta pe programatori să dezvolte aplicații mobile. Appsflyer și Google Firebase Analytics sunt instrumente de măsurare și analiză a datelor.

Sistemul de punctare și ponderea punctajelor

Echipa Malcore nu a oferit nicio explicație cu privire la sistemul de punctare, prin care a oferit aplicației TikTok cel mai mare (cel mai nefavorabil) punctaj de 63,1, în comparație cu standardul industriei de 34 pentru toate celelalte aplicații importante de rețele de socializare și un scor mediu de 28,8 pentru toate cele 21 de aplicații.

Raportul precizează în mod arbitrar ponderile punctajelor acordate pentru cinci factori: trackere/SDK-uri, permisiuni periculoase, avertismente de severitate ridicată pentru rezultatele analizei codului, permisiuni suspecte și avertismente de severitate pentru rezultatele analizei codului. Nu există nicio explicație despre motive sau modul în care au fost aleși acești cinci factori.

În plus, nu există nicio explicație sau justificare externă pentru motivele pentru care fiecărui factor i se atribuie punctajul care i-a fost atribuit, trackerele/SDK-urile având cel mai mare scor, de 2,5 în comparație cu al doilea factor de 0,25 (de 10 ori mai puțin) sau al cincilea factor (de 50 de ori mai puțin). Schimbarea modului în care se punctează oricare dintre categorii ar modifica radical scorurile de risc pentru TikTok și celelalte aplicații.

În special, raportul în sine recunoaște că „trackerele sunt în mod normal un kit de dezvoltare software (SDK) legitim, conceput pentru a ajuta dezvoltatorii să înțeleagă modul în care sunt utilizate aplicațiile lor, să rezolve potențialele probleme și să-și îmbunătățească software-ul”. Ponderea distorsionată a SDK-urilor din sistemul de punctare nu ține cont, de exemplu, de faptul că unele companii folosesc un SDK principal, ceea ce ar face din numărul de SDK-uri un factor și mai puțin semnificativ pentru evaluarea riscului. Pe scurt, sistemul de punctare de la Malcore pur și simplu nu are sens.

La TikTok, confidențialitatea și securitatea persoanelor care folosesc platforma noastră sunt printre prioritățile noastre cele mai înalte. Ne luăm în serios responsabilitatea de a proteja confidențialitatea și securitatea oamenilor și dedicăm resurse considerabile pentru a atinge acest obiectiv. Intenționăm să oferim în continuare actualizări cu privire la practicile noastre în secțiunea noastră de știri, în centrul de asistență și în politicile noastre de confidențialitate.

Blog