Orihinal na na-publish sa newsroom ng TikTok.

Tinatanggap namin ang isang lehitimong review sa aming platform, at alam namin na para manatiling nangunguna sa mga umuusbong na cyber threat, dapat naming patuloy na palakasin ang seguridad ng aming platform at makipagtulungan sa mga nangungunang eksperto sa industriya para subukan ang aming mga depensa. Kaya nakikipag-partner kami sa mga nangunguna sa industriya tulad ng HackerOne at ito rin ang dahilan kung bakit namin binuksan ang mga pintuan ng aming pandaigdigang Mga Transparency at Accountability Centerpara malaman ng mga tao ang tungkol sa source code at kung paano gumagana ang algorithm ng aming application.

Noong Pebrero 13, ang team ng Malcore sa Internet 2.0, na inilalarawan ang kanilang sarili bilang isang pinagsamang kumpanya ng cybersecurity ng U.S. at Australia, ay nag-publish ng isang pagsusuri sa industriya na napakamapanlinlang at lubhang hindi tumpak at may kinikilingang pagsusuri. Ayon sa report, isang automated na tool sa pagsusuri ang Malcore na idinisenyo para mag-scan ng mga file at program, mag-detect ng malware at magsuri ng panganib. Ngunit sa pamamagitan ng pag-amin nila, ginamit ng team ng Malcore ang tool para magsagawa ng isang hindi tiyak na pagsusuri na walang kasamang detalyadong pagsusuri sa source code. May ilang kamalian ang kanilang mga resulta na nagdulot ng walang kasiguraduhan sa pagiging balido ng kanilang mga natuklasan.

Bilang tugon, inatasan namin ang aming mga mananaliksik na magsagawa ng teknikal na pagsusuri ng mga natuklasan ng Malcore at makikita sa ibaba kung ano ang natuklasan namin.

Mga Kasanayan Namin sa Pagkolekta ng Data

Hindi kinokolekta ng TikTok ang IMEI, serial number ng SIM ng device ng user, o numero ng pagkakakilanlan ng integrated circuit card nito. Hindi gumagamit ng mga MAC address ang kasalukuyang bersyon ng TikTok app. Hinihikayat namin ang mga user na i-download ang pinakabagong bersyon ng app, na may mahahalagang update sa seguridad.
Hindi kinokolekta ng TikTok ang lahat ng account sa isang device.
Sa mga partikular na rehiyon gaya ng United States, Australia, at South Korea, hindi nangongolekta ng eksakto o tinantyang impormasyon ng GPS mula sa mga user ang mga kasalukuyang bersyon ng TikTok app. Sa ibang rehiyon kung saan maaaring magbigay, at nagbibigay ang user ng pahintulot sa TikTok na kolektahin ang impormasyon ng lokasyon sa GPS, nangongolekta ang TikTok ng impormasyon ng lokasyon batay sa data ng GPS sa device ng user.
Sa ilang kaso, kung saan gumagamit ng mas lumang bersyon ng TikTok app ang mga user sa U.S. na pinapayagan ang pagkolekta ng eksakto o tinantyang impormasyon ng GPS (huling ni-release noong Agosto 2020), at nagbigay ng pahintulot sa TikTok na magawa ito, maaari naming kolektahin ang naturang impormasyon. Pwedeng palaging pigilan ng mga tao na magbahagi ang kanilang device ng naturang impormasyon sa TikTok o bawiin ang dating nabigay na pahintulot anumang oras sa pamamagitan ng mga setting ng device nila.
Gumagamit kami ng impormasyon ng lokasyon para matulungan kaming mapaganda ang karanasan sa app at para sa mga kadahilanang itinakda sa aming Patakaran sa Privacy. Halimbawa, para magpakita sa mga user ng mga video at content na sikat sa kanilang lugar, at kung naaangkop, mas may kaugnayang mga ad.
Bilang karagdagan, pwedeng piliin ng mga tao na payagan ang platform na ma-access ang mga larawan, listahan ng contact at mikropono at camera ng device. Idinedetalye namin ang kinokolekta naming impormasyon sa aming mga patakaran sa privacy at sa aming help center.

Software Development Kits (SDK)

Isang set ng mga tool ang SDK na tumutulong sa mga developer ng software na gumawa ng mga application para sa isang partikular na platform. May proseso kami para suriin ang pangkalahatang panganib sa seguridad ng anumang SDK na na-integrate sa TikTok. Sa tatlong kaso, maling natukoy ng team ng Malcore ang mga pag-integrate ng SDK. Hindi gumagamit ang TikTok ng Pangle, Google CrashLytics, o mga Facebook Analytics SDK. Ginagamit namin ang natitirang SDK na binanggit sa pagsusuri ng Malcore sa mga sumusunod na paraan:

Ginagamit ang Facebook Login SDK at VKontakte SDK (available lang sa 8 bansa) para payagan ang mga user na mag-login gamit ang kanilang mga kredensyal sa Facebook o VK. Nagbibigay-daan ang Facebook Share sa mga user na magbahagi ng content mula sa TikTok patungo sa Facebook.
Isang open source SDK ang Mga Facebook Bolt para tulungan ang mga engineer na bumuo ng mga mobile app. Ang Appsflyer at Google Firebase Analytics ay mga tool sa pagsukat at pagsusuri ng data.

Pag-score at Pagtimbang

Hindi nagbigay ang team ng Malcore ng anumang paliwanag tungkol sa sistema ng pag-score na nagbigay ng score sa TikTok ng pinakamataas (pinakamasama) na 63.1, kumpara sa pamantayan ng industriya na 34 para sa lahat ng iba pang pangunahing social media app at average na score na 28.8 para sa lahat ng 21 na app.

Arbitraryong nililista ng report ang mga itinalagang pagtitimbang ng mga score para sa limang salik: mga tracker/SDK, mapanganib na pahintulot, mataas na kalubhaan ng babala para sa mga resulta sa pagsusuri ng code, kahina-hinalang pahintulot, at kalubhaan ng babala para sa mga resulta ng pagsusuri ng code. Walang paliwanag kung bakit o paano napili ang limang salik na ito.

Bilang karagdagan, walang paliwanag o external na katwiran kung bakit itinalaga sa bawat salik ang score na itinalaga dito, na binigyan ng pinakamataas na score na 2.5 ang mga tracker/SDK kumpara sa pangalawang salik na 0.25 (10 beses na mas mababa) o ang ikalimang salik (50 beses mas mababa). Ang pagbabago sa kung paano binibigyan ng score ang alinmang kategorya ay lubos na makakapagpabago sa mga score ng panganib ng TikTok at iba pang app.

Kapansin-pansin, na kinikilala mismo ng report na "karaniwang isang lehitimong software development kit (SDK) ang mga tracker na idinisenyo para tulungan ang mga developer na maunawaan kung paano ginagamit ang kanilang mga app, malutas ang mga potensyal na isyu at pagbutihin ang kanilang software." Halimbawa, gumagamit ng master SDK ang ilang negosyo, na ginagawang hindi gaanong makabuluhang salik ang bilang ng mga SDK para masuri ang panganib dahil hindi isinasaalang-alang ang skewed weighting ng mga SDK. Sa madaling salita, walang katuturan ang sistema ng pag-score ng Malcore.

Sa TikTok, kabilang sa aming pinaka-priyoridad ang privacy at seguridad ng mga taong gumagamit ng aming platform. Sineseryoso namin ang aming responsibilidad sa pangangalaga ng privacy at seguridad ng mga tao at naglalaan ng maraming bilang ng mga sanggunian para makamit ang layuning ito. Plano naming patuloy na magbigay ng mga update sa aming mga kagawian sa aming newsroom, help center at mga patakaran sa privacy namin.

Blog