Eredetileg a TikTok sajtószobában tettük közzé.

Szívesen vesszük platformunk jogszerű felülvizsgálatát, és tisztában vagyunk azzal, hogy az újgenerációs kiberfenyegetések naprakész ismeretéhez folyamatosan meg kell erősítenünk platformunk biztonsági rendszerét és együtt kell működnünk azokkal az ágazatvezető szakértőkkel, akik védelmi rendszerünket tesztelik. Ezért is működünk együtt az olyan ágazatvezető szereplőkkel, mint a HackerOne, és ezért is hoztuk létre nemzetközi Átláthatósági és Elszámoltathatósági Központjainkat, hogy az emberek tájékozódni tudjanak a forráskóddal és az alkalmazásunk algoritmusának működésével kapcsolatban.

Február 13-án az önmagát közös amerikai–ausztrál kiberbiztonsági vállalatként meghatározó Internet 2.0 Malcore csapata egy olyan iparági elemzést tett közzé, amely a legnagyobb jóindulattal is félrevezető, a legrosszabb esetben pedig egy súlyos hibákkal és részrehajlásokkal teli elemzés. A jelentés szerint a Malcore egy automatizált elemzőeszköz, amelyet fájlok és programok átvizsgálására, kártékony programok észlelésére és kockázatok felmérésére terveztek. Ugyanakkor saját bevallása szerint a Malcore csapata arra használta ezt az eszközt, hogy egy olyan, nem meggyőző elemzést végezzen a segítségével, amely nem tartalmazott részletes forráskód-felülvizsgálatot. Eredményeik számos olyan pontatlanságot tartalmaztak, amelyek kétségbe vonják a következtetéseik érvényességét.

Válaszul mi is felkértük a saját kutatóinkat, hogy végezzék el a Malcore eredményeinek technikai elemzését, az alábbiakban pedig közöljük, hogy mire jutottunk.

Adatgyűjtési gyakorlataink

A TikTok nem gyűjti a felhasználók eszközeinek IMEI-számát, SIM-sorozatszámát vagy a beépített áramköri kártya azonosítószámát. A TikTok alkalmazás jelenlegi változata nem használ MAC-címeket. Arra bátorítjuk a felhasználókat, hogy az alkalmazás legfrissebb változatát töltsék le, amely tartalmazza a fontos biztonsági frissítéseket.
A TikTok nem gyűjti egy adott készülék összes fiókjának adatait.
Egyes régiókban, például az Egyesült Államokban, Ausztráliában és Dél-Koreában a TikTok alkalmazás aktuális változatai nem gyűjtenek pontos vagy hozzávetőleges GPS-adatokat a felhasználóktól. Más régiókban, ahol a felhasználó engedélyt tud adni – és engedélyt is ad – a TikToknak arra, hogy GPS-helyadatokat gyűjtsön, a TikTok a felhasználó eszközének GPS-adatai alapján gyűjt helyadatokat.
Bizonyos esetekben, amikor egyesült államokbeli felhasználók a TikTok olyan korábbi verzióját használják, amely lehetővé tette pontos vagy hozzávetőleges GPS-adatok gyűjtését (legutolsó kiadás: 2020. augusztus), és erre engedélyt is adtak a TikToknak ezen felhasználók, akkor előfordulhat, hogy ilyen adatokat gyűjtünk. Az emberek az eszközbeállításaikon keresztül bármikor meg tudják akadályozni, hogy eszközük ilyen információkat osszon meg a TikTokkal, illetve vissza is vonhatják a korábban adott, erre vonatkozó hozzájárulásukat.
Azért használunk helyadatokat, hogy tökéletesíteni tudjuk az alkalmazás által kínált élményt, valamint az Adatkezelési tájékoztatónkban részletezett célokra is, például hogy olyan videókat és tartalmakat mutassunk a felhasználóknak, amelyek népszerűek a saját térségükben, és hogy adott esetben relevánsabb hirdetéseket jelenítsünk meg.
Ezenkívül az emberek dönthetnek arról is, hogy engedélyezik-e a platformnak a fotókhoz, a névjegyekhez, valamint az eszköz mikrofonjához és kamerájához való hozzáférést. Adatkezelési tájékoztatóinkban és Súgóközpontunkban részletesen ismertetjük, milyen adatokat gyűjtünk.

Szoftverfejlesztő készletek (SDK)

Az SDK olyan eszközök gyűjteménye, amelyek segítségével a szoftverfejlesztők alkalmazásokat tudnak létrehozni egy adott platform számára. Rendelkezünk egy olyan folyamattal, amely felméri a TikTokba beépített esetleges SDK-k jelentette általános biztonsági kockázatot. A Malcore csapata három esetben helytelenül azonosított SDK-integrációkat. A TikTok nem használja sem a Pangle, sem a Google CrashLytics, sem pedig a Facebook Analytics SDK-it. A Malcore elemzésében szereplő többi SDK-t az alábbi módokon használjuk:

A Facebook Login SDK és a VKontakte SDK (csak 8 országban áll rendelkezésre) arra szolgál, hogy a felhasználók be tudjanak jelentkezni a Facebook vagy VK hitelesítési adataikkal. A Facebook Share lehetővé teszi a felhasználóknak, hogy a TikTokról a Facebookra osszanak meg tartalmakat.
A Facebook Bolts egy nyílt forráskódú SDK, amelynek segítségével a mérnökök mobilalkalmazásokat tudnak kifejleszteni. Az Appsflyer és a Google Firebase Analytics mérő- és adatelemző eszközök.

Pontozás és súlyozás

A Malcore csapata nem adott semmilyen magyarázatot arra a pontozási rendszerre, amely a TikToknak a legmagasabb (legrosszabb), 63.1-es pontszámot ítélte meg az összes többi főbb közösségioldal-alkalmazás alapján ágazati normának tekintett 34 ponthoz képest, illetve az összes 21 alkalmazásnak adott 28,8-as átlagpontszámhoz képest.

A jelentés önhatalmúlag öt tényező alapján ismerteti a hozzárendelt ponszámok súlyozását: nyomkövető/SDK-k, veszélyes engedély, kódelemzési eredményekre vonatkozó kiemelt súlyosságú figyelmeztetés, gyanús engedély és kódelemzési eredményekre vonatkozó nagy súlyosságú figyelmeztetés. Nem adnak magyarázatot arra, hogy miért vagy hogyan választották ki ezt az öt tényezőt.

Ráadásul arra sincs magyarázat vagy külső igazolás, hogy az egyes tényezőkhöz mi alapján rendelték hozzá az adott pontszámot. Például a nyomkövető/SDK-k miért kapták a legnagyobb, 2,5-ös pontszámot, mikor a második tényező csak tizedannyi, 0,25 lett, az ötödik tényező pedig ötvenedannyi. Ha bármelyik kategória pontozási módja változna, ez radikálisan más kockázati pontszámot jelentene a TikTok és az egyéb alkalmazások számára.

Arra is fel kell hívni a figyelmet, hogy maga a jelentés is elismeri, hogy „a nyomkövetők normál esetben olyan jogszerű szoftverfejlesztő készletek (SDK), amelyeket arra terveztek, hogy segítségükkel a fejlesztők megértsék, az általuk kifejlesztett alkalmazásokat hogyan használják az emberek, hogy megoldódjanak az esetleges problémák, és hogy tökéletesebb legyen a szoftver.” Az SDK-k torz súlyozása nem veszi figyelembe például azt, hogy egyes vállalatok master SDK-t használnak, ezáltal az SDK-k száma még kevésbé jelentős tényező tud lenni a kockázatértékelésben. Röviden: a Malcore pontozási rendszerének egyszerűen semmi értelme.

A TikToknál a platformunkat használó emberek adatainak védelme és biztonsága az egyik legfőbb prioritásunk. Komolyan vesszük az emberek adatainak védelmére és biztonságára vonatkozó felelősségvállalásunkat, és jelentős erőforrásokat fordítunk e cél elérésére. Tervezzük, hogy a Sajtószobánkon, a Súgóközpontunkon és az Adatkezelési tájékoztatóinkon keresztül a jövőben is friss információkkal szolgálunk a gyakorlatainkat illetően.

Blog