במקור פורסם בחדר החדשות של TikTok.

אנחנו שמחים לקבל ביקורת מוצדקת על הפלטפורמה שלנו ויודעים שכדי להקדים את הדור הבא של איומי סייבר נצטרך באופן קבוע להגביר את האבטחה של הפלטפורמה שלנו ולשתף פעולה עם מומחים מובילים בענף כדי לבחון את אמצעי ההגנה שלנו. זו הסיבה שאנו משתפים פעולה עם מובילים בתעשייה כמו HackerOne וזו גם הסיבה לכך שאנחנו פותחים את דלתות של מרכזי האחריות והשקיפותהגלובליים שלנו לאנשים שילמדו על קוד המקור ואיך האלגוריתם של האפליקציה שלנו פועל.

ב-13 בפברואר, צוות Malcore ב-Internet 2.0, המגדירים את עצמם כחברה אמריקאית ואוסטרלית משותפת לאבטחת סייבר, פרסמו ניתוח של הענף, שהוא במקרה הטוב מטעה ובמקרה הגרוע הוא פגום ומוטה. על פי הדו״ח, Malcore הוא כלי ניתוח אוטומטי שנועד לסרוק קבצים ותוכניות, לזהות תוכנות זדוניות ולהעריך סיכונים. עם זאת, על פי הודאתם, צוות Malcore השתמש בכלי לביצוע ניתוח לא חד משמעי שלא כלל סקירת קוד מקור מפורטת. התוצאות שלהם הכילו מספר אי דיוקים שאמורים להטיל ספק בתקפות הממצאים שלהם.

בתגובה לכך, ביקשנו מהחוקרים שלנו לבצע ניתוח טכני של הממצאים של Malcore, ולהלן מה שהתגלה.

נוהלי איסוף הנתונים שלנו

TikTok לא אוספת את ה-IMEI של המכשיר, את המספר הסידורי של כרטיס ה-SIM או את מספר הזיהוי של כרטיס המעגל המשולב של המשתמש. הגרסה הנוכחית של אפליקציית TikTok אינה משתמשת בכתובות MAC. אנחנו מעודדים משתמשים להוריד את הגרסה האחרונה של האפליקציה, אשר כוללת עדכוני אבטחה חשובים.
TikTok אינה אוספת את כל החשבונות במכשיר.
באזורים מסוימים, כגון ארצות הברית, אוסטרליה ודרום קוריאה, הגרסאות הנוכחיות של אפליקציית TikTok אינן אוספות פרטי GPS מדויקים או משוערים של המשתמשים. באזורים אחרים שבהם המשתמש יכול להעניק (ומעניק) ל-TikTok הרשאה לאסוף פרטי מיקום GPS, אפליקציית TikTok אוספת פרטי מיקום על סמך נתוני ה-GPS של מכשיר המשתמש.
במקרים מסוימים, שבהם משתמשים בארה״ב משתמשים בגרסה ישנה יותר של אפליקציית TikTok, שאפשרה איסוף של פרטי GPS מדויקים או משוערים (שוחררה לאחרונה באוגוסט 2020), והעניקה ל-TikTok הרשאה לעשות זאת, אנחנו עשויים לאסוף פרטים כאלה. אנשים יכולים בכל עת למנוע מהמכשיר שלהם לשתף פרטים כאלה עם TikTok או לבטל הרשאה שניתנה בעבר דרך ההגדרות של מכשירם.
אנחנו משתמשים בפרטי מיקום כדי לעזור לשפר את חווית השימוש באפליקציה ומהסיבות המפורטות במדיניות הפרטיות שלנו, כגון הצגה למשתמשים סרטונים ותוכן שהם פופולריים באזורם, ובמידת האפשר, פרסומות רלוונטיות יותר.
בנוסף לכך, אנשים יכולים לבחור לאפשר לפלטפורמה לגשת לתמונות, לרשימות אנשי הקשר, למיקרופון ולמצלמה של המכשיר. אנחנו מפרטים את המידע שאנחנו אוספים במדיניות הפרטיות ובמרכז העזרה שלנו.

ערכות פיתוח תוכנה (SDK)

SDK כוללת כלים המסייעים למפתחי תוכנה ליצור אפליקציות עבור פלטפורמה ספציפית. יש לנו תהליך להערכת סיכון האבטחה הכולל של כל SDK המשולבת עם TikTok. בשלושה מקרים, צוות Malcore באופן שגוי זיהה שילובים של SDK. TikTok לא משתמשת בערכות פיתוח תוכנה של Pangle, Google CrashLytics או Facebook Analytics. אנחנו משתמשים בשאר ערכות פיתוח התוכנה שצוטטו בניתוח של Malcore בדרכים הבאות:

Facebook Login SDK ו-VKontakte SDK (זמינה רק ב-8 מדינות) מאפשרות למשתמשים להיכנס באמצעות פרטי הזיהוי שלהם עבור Facebook או VK. Facebook Share מאפשרת למשתמשים לשתף תוכן מ-TikTok ב-Facebook.
Facebook Bolts היא SDK של קוד פתוח שנועדה לעזור למהנדסים לפתח אפליקציות לנייד. Appsflyer ו-Google Firebase Analytics הם כלי מדידה וניתוח נתונים.

צינון ושקלול

צוות Malcore לא הציע שום הסבר למערכת הצינון שהעניקה את הציון הגבוה (הגרוע) ביותר של 63.1 ל-TikTok, בהשוואה לתקן של 34 הקיים בענף עבור כל שאר האפליקציות של הרשתות החברתיות הגדולות וציון ממוצע של 28.8 עבור כל 21 האפליקציות.

הדו״ח מפרט באופן שרירותי את משקלות הציונים שהוקצו עבור חמישה גורמים: מעקב/SDK, הרשאה מסוכנת, אזהרה חמורה מאוד עבור תוצאות ניתוח קוד, הרשאה חשודה ואזהרה חמורה עבור תוצאות ניתוח קוד. לא מוסבר מדוע או כיצד נבחרו חמשת הגורמים האלה.

בנוסף לכך, אין הסבר או הצדקה חיצונית לכך מדוע כל גורם קיבל את הציון שהוקצה לו, כאשר לגורם מעקב/SDK ניתן הציון הגבוה ביותר של 2.5 בהשוואה לגורם השני שקיבל ציון 0.25 (פי 10 פחות) או הגורם החמישי (פי 50 פחות). שינוי אופן הניקוד של קטגוריה אחת ישנה באופן מהותי את ציוני הסיכון של TikTok ושאר האפליקציות.

יש לציין שהדו״ח עצמו מכיר בכך ש״כלי מעקב בדרך כלל מהווים ערכות פיתוח תוכנה (SDK) לגיטימיות שנועדו לעזור למפתחים להבין כיצד משתמשים באפליקציות שלהם, לפתור בעיות אפשריות ולשפר את התוכנה שלהם״. השקלול המוטה של ערכות פיתוח התוכנה אינו לוקח בחשבון, למשל, שחברות מסוימות משתמשות ב-SDK ראשית, מה שיהפוך את המספר של ערכות פיתוח התוכנה לגורם פחות משמעותי להערכת סיכונים. בקיצור, שיטת הצינון של Malcore היא פשוט לא הגיונית.

ב-TikTok, הפרטיות והאבטחה של האנשים שמשתמשים בפלטפורמה שלנו עומדים בראש סדר העדיפויות שלנו. אנחנו לוקחים על עצמנו את האחריות לשמור על פרטיותם ואבטחתם של אנשים ומקדישים משאבים רבים לשם השגת מטרה זו. אנחנו מתכננים להמשיך לספק במרכז החדשות, במרכז העזרה ובמדיניות הפרטיות שלנו עדכונים על הנהלים שלנו.

בלוג