Izvorno objavljeno u TikTok redakciji.

Pozdravljamo legitiman pregled naše platforme i znamo da držanje koraka s kibernetičkim prijetnjama sljedeće generacije zahtijeva da kontinuirano jačamo sigurnost naše platforme i surađujemo s vodećim stručnjacima u industriji kako bismo testirali našu obranu. Zato smo partneri s vodećima u industriji kao što je HackerOne i to je također razlog zašto ljudima otvaramo vrata naših globalnih Centara za transparentnost i odgovornost kako bi naučili o izvornom kodu i načinu funkcioniranja algoritma naše aplikacije.

Tim tvrtke Malcore, koji sebe opisuje kao zajedničku američku i australsku tvrtku za kibernetičku sigurnost, 13. veljače objavio je na Internetu 2.0 industrijsku analizu koja je u najboljem slučaju obmanjujuća, a u najgorem slučaju vrlo netočna i pristrana analiza. Prema izvješću, Malcore je automatizirani alat za analizu dizajniran za skeniranje datoteka i programa, otkrivanje zlonamjernog softvera i procjenu rizika. No prema vlastitom priznanju, tim tvrtke Malcore upotrebljavao je alat za izvođenje neuvjerljive analize koja nije uključivala detaljan pregled izvornog koda. Njihovi rezultati sadržavali su brojne netočnosti koje bi trebale dovesti u sumnju valjanost njihovih nalaza.

Kao odgovor, naši su istraživači proveli tehničku analizu Malcoreovih nalaza i u nastavku je ono što smo pronašli.

Naše prakse prikupljanja podataka

TikTok ne prikuplja IMEI korisničkog uređaja, serijski broj SIM kartice ili identifikacijski broj kartice s integriranim krugom. Trenutačna verzija aplikacije TikTok ne upotrebljava MAC adrese. Potičemo korisnike da preuzmu najnoviju verziju aplikacije, koja uključuje važna sigurnosna ažuriranja.
TikTok ne prikuplja sve račune na uređaju.
U određenim regijama kao što su Sjedinjene Države, Australija i Južna Koreja, trenutne verzije aplikacije TikTok ne prikupljaju precizne ili približne GPS informacije od korisnika. U drugim regijama u kojima korisnik može dati, i daje, dopuštenje TikToku za prikupljanje informacija o GPS lokaciji, TikTok prikuplja informacije o lokaciji na temelju GPS podataka korisnikovog uređaja.
U nekim slučajevima, kada korisnici iz SAD-a upotrebljavaju stariju verziju aplikacije TikTok koja je omogućila prikupljanje preciznih ili približnih GPS informacija (posljednje izdanje u kolovozu 2020.), i dali su TikToku dopuštenje za to, možemo prikupljati takve podatke. Ljudi uvijek mogu na svojem uređaju onemogućiti dijeljenje takvih informacija s TikTokom ili opozvati prethodno dano dopuštenje u bilo kojem trenutku putem postavki uređaja.
Podatke o lokaciji upotrebljavamo kako bismo poboljšali iskustvo aplikacije i iz razloga navedenih u našoj Politici privatnosti, kao što je prikazivanje videozapisa i sadržaja koji su popularni u području korisnika i, gdje je primjenjivo, relevantnijih oglasa.
Osim toga, ljudi mogu odlučiti dopustiti platformi pristup fotografijama, popisima kontakata te mikrofonu i kameri uređaja. Informacije koje prikupljamo detaljno opisujemo u našim politikama privatnosti i u našem centru za podršku.

Kompleti za razvoj softvera (SDK)

SDK je skup alata koji programerima softvera pomažu u stvaranju aplikacija za određenu platformu. Imamo postupak za procjenu ukupnog sigurnosnog rizika bilo kojeg SDK-a integriranog s TikTokom. U tri slučaja, tim tvrtke Malcore netočno je identificirao SDK integracije. TikTok ne upotrebljava SDK-ove Pangle, Google CrashLytics ili Facebook Analytics. Upotrebljavamo ostale SDK-ove navedene u Malcore analizi na sljedeće načine:

SDK za Facebook prijavu i SDK VKontakte (dostupno u samo 8 država) upotrebljavaju se kako bi se korisnicima omogućila prijava pomoću njihovih vjerodajnica za Facebook ili VK. Dijeljenje s Facebookom korisnicima omogućuje dijeljenje sadržaja s TikToka na Facebook.
Facebook Bolts je SDK otvorenog koda za pomoć inženjerima u razvoju mobilnih aplikacija. Appsflyer i Google Firebase Analytics alati su za mjerenje i analizu podataka.

Bodovanje i ponderiranje

Tim tvrtke Malcore nije ponudio nikakvo objašnjenje sustava bodovanja koji je TikToku dao najvišu (najgoru) ocjenu od 63,1, u usporedbi s industrijskim standardom od 34 za sve druge glavne aplikacije društvenih medija i prosječnom ocjenom od 28,8 za svih 21 aplikacija.

Izvješće proizvoljno navodi dodijeljene težine bodova za pet faktora: alat za praćenje/SDK, opasno dopuštenje, upozorenje visoke ozbiljnosti za rezultate analize koda, sumnjivo dopuštenje i upozorenje o ozbiljnosti za rezultate analize koda. Ne postoji objašnjenje zašto i kako je odabrano ovih pet faktora.

Osim toga, nema objašnjenja ili vanjskog opravdanja zašto je svakom faktoru dodijeljen rezultat koji mu je dodijeljen, s programom za praćenje/SDK-om koji je dobio najvišu ocjenu od 2,5 u usporedbi s drugim faktorom od 0,25 (10 puta manje) ili petim faktorom (50 puta manje). Promjena načina bodovanja bilo koje kategorije radikalno bi promijenila rezultate rizika za TikTok i druge aplikacije.

Značajno je da samo izvješće priznaje da su „alati za praćenje obično legitiman komplet za razvoj softvera (SDK) dizajniran da pomogne programerima da razumiju kako se njihove aplikacije upotrebljavaju, da riješe potencijalne probleme i poboljšaju svoj softver.” Iskrivljeno ponderiranje SDK-ova ne uzima u obzir, na primjer, da neke tvrtke upotrebljavaju glavni SDK, što bi broj SDK-ova učinilo još manje značajnim faktorom za procjenu rizika. Ukratko, Malcoreov sustav bodovanja jednostavno nema smisla.

U TikToku su privatnost i sigurnost ljudi koji upotrebljavaju našu platformu među najvećim prioritetima. Ozbiljno shvaćamo svoju odgovornost za zaštitu privatnosti i sigurnosti ljudi i posvećujemo značajna sredstva za postizanje ovog cilja. Planiramo nastaviti pružati ažuriranja o našim praksama u našoj redakciji, centru za podršku i našim politikama privatnosti.

Blog