Opprinnelig publisert i TikToks nyhetsrom.

Vi setter pris på legitime gjennomganger av plattformen vår, og vi er klar over at dersom vi skal ligge i forkant av neste generasjons cybertrusler, må vi kontinuerlig forbedre sikkerheten på plattformen og samarbeide med bransjeledende eksperter for å teste forsvarene våre. Derfor samarbeider vi med bransjeledere som HackerOne, og det er også derfor vi åpner dørene til våre globale åpenhets- og ansvarssentre for personer som ønsker å lære om kildekoder og hvordan algoritmen i appen vår fungerer.

13. februar publiserte Malcore-teamet hos Internet 2.0, som beskriver seg selv som et felles amerikansk og australsk cybersikkerhetsselskap, en bransjeanalyse som i beste fall er villedende og i verste fall er en upartisk analyse med en rekke grove feil. Ifølge rapporten er Malcore et automatisk analyseverktøy laget for å skanne filer og programmer, se etter ondsinnet programvare og vurdere risikoer. Men ifølge egne innrømmelser brukte Malcore-teamet verktøyet til å utføre en ufullstendig analyse som ikke inkluderte en detaljert oversikt over kildekoder. Resultatene deres inneholdt en rekke feil som burde så tvil om hvorvidt funnene deres er til å stole på.

Vi svarte med å få våre egne forskere til å gjennomføre en teknisk analyse av Malcores funn, og nedenfor kan du se resultatet av analysen.

Praksisen vår for innsamling av data

TikTok samler ikke inn IMEI, SIM-serienummer eller identifikasjonsnummer for integrert kretskort fra brukernes enheter. Den nåværende versjonen av TikTok-appen bruker ikke MAC-adresser. Vi oppfordrer brukere til å laste ned den nyeste versjonen av appen, som inkluderer viktige sikkerhetsoppdateringer.
TikTok samler ikke inn alle kontoene på en enhet.
De nåværende versjonene av TikTok-appen samler ikke inn nøyaktig eller omtrentlig GPS-informasjon fra brukere i visse områder, f.eks. USA, Australia og Sør-Korea. I andre områder der brukere kan gi – og velger å gi – TikTok tillatelse til å samle inn GPS-posisjonsinformasjon, samler TikTok inn informasjon basert på GPS-dataene på brukerens enhet.
I noen tilfeller der amerikanske brukere har en eldre versjon av TikTok-appen som tillater innsamling av nøyaktig og omtrentlige GPS-informasjon (sist lansert i august 2020) og har gitt TikTok tillatelse til å gjøre det, kan vi samle inn denne typen informasjon. Brukere kan alltid velge at enheten ikke skal dele slik informasjon med TikTok eller tilbakekalle tidligere tillatelser i enhetsinnstillinger.
Vi bruker posisjonsinformasjon til å forbedre appopplevelsen, samt av grunner beskrevet i retningslinjene for personvern, f.eks. for å vise brukere populære videoer og populært innhold i deres område, og når aktuelt, mer relevante annonser.
I tillegg kan brukere velge å gi plattformen tilgang til bilder, kontaktlister og enhetens mikrofon og kamera. Opplysningene vi samler inn er spesifisert i retningslinjene for personvern og i hjelpesenteret.

Programvareutviklingssett (SDK)

Et programvareutviklingssett er et sett med verktøy som hjelper programvareutviklere med å utvikle apper for en spesifikk plattform. Vi har en prosess for å evaluere den generelle sikkerheten for alle programvareutviklingssett integrert i TikTok. Malcore-teamet har ved tre tilfeller feilaktig indentifisert intregrasjoner av programvareutviklingssett. TikTok bruker ikke programvareutviklingssettene Pangle, Google CrashLytics eller Facebook Analytics. Vi bruker resten av programvareutviklingssettene nevnt i Malcores analyse på følgende måter:

Facebook Login-programvareutviklingssett og VKontakte-programvareutviklingsssett (bare tilgjengelig i 8 land) brukes for å gi brukere muligheten til å logge inn med innloggingsinformasjonen deres for Facebook eller VK. Med Facebook Share kan brukere dele innhold fra TikTok på Facebook.
Facebook Bolts er et åpen kilde-programvareutviklingssett som hjelper ingeniører med å utvikle mobilapper. Appsflyer og Google Firebase Analytics er verktøy for måling og analysering av data.

Scoring og vekttall

Malcore-teamet har ennå ikke kommet med en forklaring på scoringssystemet som rangerte TikTok høyest (verst) med en score på 63,1, sammenlignet med bransjestandarden på 34 for alle de andre store sosiale medier-appene, og en gjennomsnittsscore på 28,8 for alle 21 appene.

Rapporten lister vilkårlig opp de tilordnede vekttallene for fem ulike faktorer: sporing/programvareutviklingssett, farlig tillatelse, advarsel om høy alvorlighetsgrad for resultater av kodeanalyser, mistenkelig tillatelse og advarsel om alvorlighetsgrad for resultater av kodeanalyser. Det er ingen forklaring på hvorfor eller hvordan disse fem faktorene ble valgt ut.

I tillegg er det heller ingen forklaring eller ekstern begrunnelse for hvorfor hver faktor er tilordnet scoren den er tilordnet, der sporing/programvareutviklingssett har fått den høyeste scoren på 2,5 sammenlignet med den andre faktoren med en score på 0,25 (10 ganger mindre) eller den femte faktoren (50 ganger mindre). En endring av scoren for én annen kategori ville ført til en radikal endring av risikoscorene for TikTok og andre apper.

Rapporten erkjenner at «sporere vanligvis er et legitimt programvareutviklingssett designet for å hjelpe utviklere med å forstå hvordan appene deres brukes, løse potensielle problemer og forbedre programvaren». De forvrengte vekttallene for programutviklingssett tar f.eks. ikke hensyn til at noen bedrifter bruker et master-programvareutviklingssett, noe som gjør at antallet programvareutviklingssett blir en enda mindre relevant faktor for å vurdere risiko. Kort sagt – Malcores scoringssystem gir rett og slett ikke mening.

I TikTok er personvernet og sikkerheten til alle som bruker plattformen vår blant våre høyeste prioriteringer. Vi tar ansvaret vårt med å beskytte folks personvern og sikkerhet på alvor, og bruker betydelige ressurser for å oppnå dette målet. Vi har planer om å fortsette å komme med oppdateringer vedørende praksisene våre i nyhetsrommet, hjelpesenteret og i retningslinjene for personvern.

Blogg