Algselt avaldatud TikToki uudisteportaalis.

Ootame rõõmuga meie platvormi kohta tehtud ausaid arvustusi ja teame, et järgmise põlvkonna küberohtudest sammu võrra ees püsimiseks peame oma platvormi turvalisust pidevalt tugevdama ja kaitsemehhanismide testimiseks valdkonna juhtivate ekspertidega koostööd tegema. Seetõttu teeme koostööd turuliidritega (nt HackerOne) ja avame kasutajatele ka meie eri riikides asuvate läbipaistvus- ja aruandluskeskuste uksed, et kasutajad saaksid hankida lisateavet lähtekoodi ja meie rakenduse algoritmi tööpõhimõtete kohta.

13. veebruaril avaldas end USA ja Austraalia ühise küberturbeettevõttena kirjeldav Malcore’i Internet 2.0 meeskond tegevusvaldkonna analüüsi, mis on parimal juhul eksitav ning halvimal juhul rängalt vigane ja kallutatud analüüs. Raporti järgi on Malcore automatiseeritud analüüsivahend, mis on mõeldud failide ja programmide skannimiseks, pahavara avastamiseks ja riski hindamiseks. Kuid nende enda ülestunnistuse kohaselt kasutas Malcore’i meeskond seda vahendit selleks, et koostada ebaselge analüüs, mis ei sisaldanud üksikasjalikku lähtekoodi ülevaadet. Nende tulemused sisaldasid mitmeid ebatäpsusi, mis peaksid seadma kahtluse alla nende järelduste paikapidavuse.

Vastuseks lasime oma teadlastel teha Malcore’i leidude tehnilise analüüsi ja allpool kirjeldame selle analüüsi tulemusi.

Meie andmete kogumise tavad

• TikTok ei kogu kasutajate seadmete IMEI-koode, SIM-kaartide seerianumbreid ega integreeritud trükkplaadi identifitseerimisnumbrit. See TikToki rakenduse versioon ei kasuta MAC-aadresse. Soovitame kasutajatel alla laadida rakenduse uusim versioon, mis sisaldab olulisi turbevärskendusi.
• TikTok ei kogu teavet kõigi seadmes salvestatud kontode kohta.
• Teatud piirkondades (nt Ameerika Ühendriikides, Austraalias ja Lõuna-Koreas) ei kogu rakenduse TikTok praegused versioonid kasutajatelt täpset ega ligikaudset GPS-teavet. Muudes piirkondades, kus kasutaja saab anda ja annab TikTokile õiguse GPS-asukohateabe kogumiseks, kogub TikTok asukohateavet kasutaja seadme GPS-andmete põhjal.
• Mõnel juhul, kui USA kasutajad kasutavad rakenduse TikTok vanemat versiooni, mis võimaldas koguda täpset või ligikaudset GPS-teavet (viimane väljalase 2020. aasta augustis), ja on TikTokile asukohaandmete kogumise loa andnud, võime seda teavet koguda. Kasutajad saavad alati keelata oma seadmel sellist teavet TikTokiga jagada või tühistada varem antud õigused igal ajal oma seadme sätete kaudu.
• Kasutame asukohateavet rakenduse kasutuskogemuse täiustamiseks ja meie privaatsuspoliitikas sätestatud põhjustel, näiteks selleks, et näidata kasutajatele nende piirkonnas populaarseid videoid ja sisu ning nende jaoks asjakohasemaid reklaame.
• Lisaks saavad kasutajad anda platvormile juurdepääsu oma piltidele, kontaktiloenditele ning seadme mikrofonile ja kaamerale. Üksikasjalikku teavet selle kohta, millist infot kogume, leiate meie privaatsuspoliitikatest ja meie tugikeskusest.

Tarkvaraarenduskomplektid (SDK)

SDK on tööriistakomplekt, mis aitab tarkvaraarendajatel luua rakendusi konkreetse platvormi jaoks. Oleme loonud protsessi iga TikTokiga integreeritud SDK üldise turberiski hindamiseks. Kolmel juhul tuvastas Malcore’i meeskond SDK integratsioonid valesti. TikTok ei kasuta Pangle’i, Google CrashLyticsi ega Facebook Analyticsi SDK-sid. Ülejäänud SDK-sid, millele viidatakse Malcore’i analüüsis, kasutame järgmiselt.

• Facebook Login SDK-d ja VKontakte SDK-d (saadaval ainult 8 riigis) kasutatakse selleks, et võimaldada kasutajatel sisse logida oma Facebooki või VK identimisteabega Facebook Share võimaldab kasutajatel sisu TikTokist Facebooki jagada.
• Facebook Bolts on avatud lähtekoodiga SDK, mis aitab inseneridel mobiilirakendusi arendada. AppsFlyer ja Google Firebase Analytics on mõõtmise ja andmeanalüüsi tööriistad.

Punktiarvestus ja kaalumine

Malcore’i meeskond ei ole pakkunud mingit selgitust punktisüsteemile, mille arvutuste kohaselt saavutas TikTok kõrgeima (halvima) punktiskoori 63,1. Teiste suuremate sotsiaalmeediarakenduste keskmine skoor oli 34 ning kõigi 21 hinnatud rakenduse keskmine skoor oli 28,8.

Aruandes loetletakse meelevaldselt hindekaalud, mis on määratud viie faktori kohta: jälitajad/SDK-d, ohtlikud load, suure raskusastmega hoiatused koodianalüüsi tulemuste kohta, kahtlased load ja raskusastme hoiatus koodianalüüsi tulemuste jaoks. Puudub selgitus selle kohta, miks või kuidas valiti just need viis faktorit.

Lisaks puudub selgitus või väline põhjendus igale faktorile antud hinde kohta. Suurim punktisumma (2,5) anti jälitajate/SDK-de eest. Punktisummalt teine faktor andis 0,25 punkti ehk 10 korda vähem punkte ja viies faktor 50 korda vähem punkte. Kõigest ühe kategooria hindamisviisi muutmine muudaks radikaalselt TikToki ja teiste rakenduste riskiskoore.

On märkimisväärne, et aruandeski tunnistatakse, et „jälitajad on tavaliselt legitiimsed tarkvaraarenduskomplektid (SDK), mille eesmärk on aidata arendajatel mõista, kuidas nende rakendusi kasutatakse, lahendada võimalikke probleeme ja parendada tarkvara”. SDK-de ebaselgetel alustel kaalumisel ei arvestata näiteks sellega, et mõned ettevõtted kasutavad pea-SDK-d ja see muudab SDK-de arvu riski hindamisel veelgi vähem mõttekaks teguriks. Ühesõnaga, Malcore’i punktisüsteem pole lihtsalt loogiline.

TikToki peamisteks prioriteetideks on meie platvormi kasutavate inimeste privaatsus ja turvalisus. Suhtume tõsiselt oma kohustusse kaitsta inimeste privaatsust ja turvalisust ning pühendame selle eesmärgi saavutamiseks märkimisväärseid ressursse. Plaanime jätkata meie tavade kohta värske teabe avaldamist meie uudisteportaalis, tugikeskuses ja privaatsuspoliitikas.