Asline diterbitake ing Ruang Pawarta TikTok.

Kita nyambut kanthi apik tinjoan sing sah marang platform kita, lan kasadharan yen kudu tetep sak langkah luwih maju tinimbang ancaman siber generasi paling anyar ndadekake kita tansah nguwatake keamanan platform lan kerja bareng karo para ahli pangarsane industri kanggo nguji pananggulangan kita. Kuwi alasane kenangapa kita memitran karo para pangarsane industri kayata HackerOne lan kenangapa kita mbukak Pusat Transparansi lan Akuntabilitas global kita kanggo wong-wong supaya sinau babagan kode sumber lan cara lumakune algoritme aplikasi kita.

Ing tanggal 13 Februari, tim Malcore ing Internet 2.0, sing njelasake yen dheweke perusahaan keamanan siber gabungan AS lan Australia, nerbitake sawijine analisis industri sing paling mblasukake lan dadi analisis paling cacad lan mlenceng. Miturut lapuran kasebut, Malcore yaiku alat analisis otomatis sing didesain kanggo mindai file lan program, sarta ndeteksi malware lan mbiji risiko. Nanging, miturut pangakuane dheweke, tim Malcore nggunakake alat kasebut kanggo nindakake analisis sing ora konklusif sing ora ngatutake tinjoan kode sumber sing princi. Asile ngandhut saperangan bab sing ora akurat sing nyebabake ora yakin marang valid orane apa sing ditemokake dheweke.

Akibate, para paneliti kita dhewe sing nglakokake analisis teknis marang sing ditemokake Malcore lan sing kita temokake ana ing ngisor iki.

Praktik Panggumpulan Data Kita

TikTok ora ngumpulake IMEI, nomer seri SIM, utawa nomer identifikasi kertu sirkuit gabungan ing pirantine pangguna. Versi apl TikTok sing saiki ora nggunakake alamat MAC. Kita ngajak pangguna supaya ngundhuh versi apl sing paling anyar, sing ngandhut panganyaran keamanan sing wigati.
TikTok ora ngumpulake kabeh akun sing ana ing piranti.
Ing wilayah tartamtu, kayata Amerika Serikat, Australia, lan Korea Kidul, versi apl TikTok sing saiki ora ngumpulake informasi GPS sing persis utawa teksiran saka pangguna. Ing wilayah liya sing pangguna bisa menehake, utawa wis menehake idin menyang TikTok kanggo ngumpulake informasi lokasi GPS, TikTok ngumpulake informasi lokasi adhedhasar data GPS pirantine pangguna.
Ing sawetara kasus, nalika pangguna AS nggunakake versi apl TikTok sing luwih lawas, sing ngidinake pangumpulan informasi GPS sing persis utawa teksiran (pungkasan dirilis ing Agustus 2020), lan menehake idin menyang TikTok supaya nindakake kuwi, kita bisa wae ngumpulake informasi kasebut. Wong-wong bisa tansah nyegah pirantine mbage informasi kasebut karo TikTok utawa njabut kapan wae idin sing maune diwenehake liwat setelan pirantine.
Kita nggunakake informasi lokasi kanggo mbantu ngapikake pangalaman apl lan kanggo alasan sing ditetepake ing Kebijakan Privasi kita, kayata kanggo nuduhake marang pangguna video lan konten sing populer ing areane, lan yen bisa ditrapake, kanggo iklan sing luwih relevan.
Saliyane iku, wong-wong bisa milih ngidinake platform ngakses foto, dhaftar kontak, uga mikrofon, lan kamera piranti. Kita njlentrehake informasi sing kita kumpulake ing kebijakan privasi lan ing pusat pitulungan.

Software Development Kits (SDK)

SDK yaiku sawetara alat sing mbantu pangembang perangkat lunak nggawe aplikasi kanggo platform khusus. Kita nduweni proses kanggo njajagi sakabehe risiko keamanane SDK apa wae sing diintegrasi karo TikTok. Ing telung kasus, tim Malcore kleru anggone ngidentifikasi integrasi SDK. TikTok ora nggunakake SDK Analitik saka Pangle, Google CrashLytics, utawa Facebook. Kita nggunakake SDK liyane sing katulis ing analisis Malcore kanthi cara-cara ing ngisor iki:

SDL Login Facebook lan SDK VKontakte (sumadhiya mung ing 8 negara) digunakake kanggo ngidinake pangguna login nggunakake kredensial Facebook utawa VK nggone dheweke. Facebook Share ngidinake pangguna mbage konten saka TikTok menyang Facebook.
Facebook Bolts yaiku SDK sumber kabukak kanggo mbantu insinyur ngembangake apl seluler. Appsflyer lan Google Firebase Analytics yaiku alat pangukuran lan analisis data.

Carane Mbiji & Nimbang

Tim Malcore ora menehi katrangan apa-apa bagagan sistem carane mbiji sing ndadekake TikTok entuk biji paling dhuwur (paling ala) yaiku 63,1, dibandhingake karo standar industrine yaiku 34 kanggo kabeh apl media sosial utama liyane lan skor rata-rata yaiku 28,8 kanggo sakabehe 21 apl.

Lapuran iku sageleme dhewe nulis skor sing ditetepake kanggo nimbang limang faktor: tracker/SDK, idin sing mbebayani, panyaruwe kanemenan dhuwur kanggo asil analisis kode, idin sing nyalawadi, lan panyaruwe kanemenan kanggo asil analisis kode. Ora ana katrangan babagan kenangapa utawa kepiye limang faktor iki dipilih.

Saliyane iku, ora ana katrangan utawa justifikasi eksternal kenangapa saben faktor diwenehi biji kaya sing ditetepake, kanthi tracker/SDK diwenehi skor paling dhuwur yaiku 2,5 dibandhingake karo faktor kaloro yaiku 0,25 (luwih asor tikel 10) utawa faktor nomer lima (luwih asor tikel 50). Ngowahi carane salah sijine kategori dibiji bakal ngowahi banget skor risiko kanggo TikTok lan apl liyane.

Utamane, lapuran iku ngakoni yen "tracker umume arupa software development kit (SDK) sing valid sing didesain kanggo nulungi pangembang supaya paham carane aplikasine digunakake, nangani potensi masalah, lan ngapikake perangkat lunake." Carane nimbang SDK sing mlenceng uga ora dianggep, contone, sawetara perusahaan nggunakake SDK master, sing bakal nyebabake sawetara SDK dadi faktor sing luwih ora genah kanggo mbiji risiko. Cekake, sistem cara mbijine Malcore ora klebu nalar.

Ing TikTok, privasi lan keamanane wong sing nggunakake platform kita iku dadi prioritas kita sing paling dhuwur. Kita ngugemi tanggung jawab kanggo njaga privasi lan keamanane wong-wong kanthi tenanan lan nyedhiyakake sumber daya sing nyukupi kanggo nggayuh sasaran iki. Kita nduweni rencana kanggo terus nyedhiyakake panganyaran ing praktik kita ing ruang kabar, pusat pitulungan, lan kebijakan privasi kita.

Blog