Publicat originalment a la sala de premsa de TikTok.

Aplaudim la revisió legítima de la nostra plataforma i sabem que per anticipar-nos a les ciberamenaces de la futura generació hem d'enfortir contínuament la seguretat de la nostra plataforma i col·laborar amb experts capdavanters en la indústria per posar a prova les nostres defenses. Per això, col·laborem amb líders en la indústria com ara HackerOne, i també obrim les portes als nostres Centres de transparència i responsabilitat globals perquè la gent aprengui sobre el codi font i com funciona l'algoritme de la nostra aplicació.

El 13 de febrer, l'equip de Malcore a Internet 2.0, que es descriu com a una empresa de ciberseguretat conjunta estatunidenca i australiana, va publicar una anàlisi industrial que és, en el millor dels casos, enganyosa, i en el pitjor, una anàlisi greument errònia i esbiaixada. D'acord amb l'informe, Malcore és una eina d'anàlisi automatitzada que ha estat dissenyada per escanejar arxius i programes, detectar programari maliciós i avaluar el risc. Tot i això, segons han admès ells mateixos, l'equip de Malcore va fer servir l'eina per conduir una anàlisi inconclusa que no va incloure cap revisió detallada del codi font. Els seus resultats contenien un nombre d'inexactituds que haurien de posar en dubte la validesa de les seves troballes.

Com a resposta, vam fer que els nostres propis investigadors conduïssin una anàlisi tècnica dels resultats de Malcore i, a continuació, això és el que vam trobar.

Les nostres pràctiques per a la recollida de dades

TikTok no recull l'IMEI del dispositiu de l'usuari, el número de sèrie SIM o el número d'identificació de la targeta del circuit integrat. La versió actual de l'aplicació TikTok no fa servir adreces MAC. Animem els usuaris a baixar l'última versió de l'aplicació, que inclou actualitzacions de seguretat importants.
TikTok no recull tots els comptes en un dispositiu.
En determinades regions, com ara els Estats Units, Austràlia i Corea del Sud, les versions actuals de l'aplicació TikTok no recullen dades GPS precises o aproximades dels usuaris. En altres regions on un usuari pot atorgar, i atorga, permís a TikTok per recopilar dades d'ubicació GPS, TikTok recull informació de la ubicació en base amb les dades GPS del dispositiu de l'usuari.
En alguns casos, on els usuaris dels Estats Units fan servir una versió més antiga de l'aplicació TikTok que permetia la recopilació de dades GPS precises o aproximades (últim llançament l'agost de 2020), i han donat permís a TikTok per fer-ho, podem recopilar aquesta informació. Els usuaris sempre poden impedir que el seu dispositiu comparteixi aquesta informació amb TikTok o revocar el permís prèviament atorgat en qualsevol moment a través de la configuració del dispositiu.
Fem servir la informació d'ubicació per ajudar-nos a millorar l'experiència de l'aplicació i per motius establerts a la nostra Política de privadesa, com ara mostrar vídeos i contingut als usuaris que són populars a la seva àrea i, si escau, anuncis més rellevants.
A més, els usuaris poden escollir permetre a la plataforma l'accés a les fotos, les llistes de contactes i al micròfon i la càmera del dispositiu. Detallem la informació que recopilem a les nostres polítiques de privadesa i al nostre centre d'ajuda.

Equip de desenvolupament de programari

Un equip de desenvolupament de programari és un conjunt d'eines que ajuda els desenvolupadors de programari a crear aplicacions per a una plataforma específica. Tenim un procés per avaluar el risc de seguretat general de qualsevol equip de desenvolupament de programari integrat amb TikTok. En tres casos, l'equip de Malcore va identificar integracions d'equip de desenvolupament de programari de manera incorrecta. TikTok no fa servir els equips de desenvolupament de programari de Pangle, Google CrashLytics o Facebook Analytics. Fem servir la resta dels equips de desenvolupament de programari citats a l'anàlisi de Malcore de les següents maneres:

Els equips de desenvolupament de programari de Facebook Login i de VKontakte (disponibles només a 8 països) s'utilitzen per permetre que els usuaris iniciïn la sessió mitjançant les seves credencials de Facebook o VK. Facebook Share permet que els usuaris comparteixin contingut de TikTok a Facebook.
Facebook Bolts és un equip de desenvolupament de programari de codi obert que ajuda els enginyers a desenvolupar aplicacions per a mòbils. Appsflyer i Google Firebase Analytics són eines de mesura i anàlisi de dades.

Puntuació i ponderació

L'equip de Malcore no ha ofert cap explicació del sistema de puntuació que va atorgar a TikTok la puntuació més alta (pitjor) amb 63,1, en comparació amb l'estàndard industrial de 34 per a totes les altres aplicacions de les principals xarxes socials i la puntuació mitjana de 28,8 de les altres 21 aplicacions.

L'informe enumera arbitràriament les ponderacions de les puntuacions assignades segons cinc factors: rastrejadors/equips de desenvolupament de programari, permisos perillosos, advertència d'alta gravetat per als resultats de l'anàlisi del codi, permisos sospitosos i advertència greu per als resultats de l'anàlisi del codi. No hi ha cap explicació de per què o com s'han escollit aquests cinc factors.

A més, no hi ha cap explicació o justificació externa sobre per què cada factor ha obtingut la puntuació que se li ha assignat, amb una puntuació de 2,5 per als rastrejadors/equips de desenvolupament de programari en comparació amb la puntuació de 0,25 del segon factor (10 vegades menys) o del cinquè factor (50 vegades menys). En canviar la manera en què cada una de les categories s'ha puntuat, les puntuacions de risc per a TikTok i les altres aplicacions canviaria radicalment.

En particular, el mateix informe reconeix que "els rastrejadors normalment són un equip de desenvolupament de programari legítim dissenyat per ajudar els desenvolupadors a entendre com s'estan fent servir les seves aplicacions, resoldre possibles problemes i millorar el seu programari." La ponderació esbiaixada dels equips de desenvolupament de programari no té en compte, per exemple, que algunes empreses fan servir un equip de desenvolupament de programari principal, que faria que el nombre d'equips de desenvolupament de programari fos un factor encara menys important a l'hora d'avaluar el risc. En resum, el sistema de puntuació de Malcore simplement no té sentit.

A TikTok, la privadesa i la seguretat dels usuaris que fan servir la nostra plataforma són una de les nostres prioritats principals. Ens fem responsables de salvaguardar la privadesa i la seguretat dels usuaris de manera seriosa i dediquem recursos considerables per assolir aquest objectiu. Planegem continuar proporcionant actualitzacions sobre les nostres pràctiques a la nostra sala de premsa, el centre d'ajuda i les nostres polítiques de privadesa.

Blog