Được đăng lần đầu trong phòng tin tức của TikTok.

Chúng tôi hoan nghênh đánh giá chính đáng về nền tảng và hiểu rằng để ngăn chặn mối đe dọa mạng thế hệ mới, chúng tôi cần không ngừng tăng cường khả năng bảo mật của nền tảng và hợp tác với các chuyên gia đầu ngành để thử nghiệm biện pháp bảo vệ của mình. Đó là lý do chúng tôi hợp tác với các công ty đầu ngành như HackerOne và cũng là lý do Trung tâm về minh bạch và trách nhiệm giải trình toàn cầu của chúng tôi chào đón mọi người tìm hiểu về mã nguồn cũng như cách thuật toán ứng dụng của chúng tôi hoạt động.

Vào ngày 13/02, đội ngũ Malcore tại Internet 2.0 (tự nhận là công ty an ninh mạng liên hợp giữa Hoa Kỳ và Úc) đã công bố dữ liệu phân tích ngành nhẹ là gây hiểu lầm và nặng là chứa thiếu sót và thiên lệch nghiêm trọng. Theo báo cáo của họ, Malcore là công cụ phân tích tự động được thiết kế để quét tập tin và chương trình, phát hiện phần mềm độc hại và đánh giá rủi ro. Tuy nhiên, theo họ thú nhận, đội ngũ Malcore đã sử dụng công cụ này để tiến hành một phân tích không thuyết phục, không có quy trình đánh giá mã nguồn chi tiết. Kết quả của họ chứa rất nhiều thông tin không chính xác dấy lên nghi ngờ về hiệu lực của kết quả.

Đáp lại, chúng tôi đã yêu cầu các nhà nghiên cứu của mình tiến hành phân tích chuyên môn về kết quả của Malcore và dưới đây là những gì chúng tôi phát hiện được.

Biện pháp thu thập dữ liệu của chúng tôi

TikTok không thu thập IMEI thiết bị của người dùng, số sê-ri của SIM hay số nhận dạng thẻ mạch tích hợp. Phiên bản ứng dụng TikTok hiện tại không sử dụng địa chỉ MAC. Chúng tôi khuyến khích người dùng tải phiên bản ứng dụng mới nhất về, phiên bản này bao gồm nội dung cập nhật bảo mật quan trọng.
TikTok không thu thập tất cả tài khoản trên thiết bị.
Tại một số khu vực như Hoa Kỳ, Úc và Hàn Quốc, phiên bản ứng dụng TikTok hiện tại không thu thập thông tin GPS chính xác hoặc tương đối từ người dùng. Tại các khu vực khác nơi người dùng có thể cấp và đã cấp cho TikTok quyền thu thập thông tin vị trí GPS, TikTok sẽ thu thập thông tin vị trí dựa trên dữ liệu GPS trên thiết bị của người dùng.
Trong một số trường hợp khi người dùng Hoa Kỳ sử dụng phiên bản ứng dụng TikTok cũ cho phép thu thập thông tin GPS chính xác hoặc tương đối (bản phát hành cuối cùng là vào tháng 08/2020), cũng như cấp cho TikTok quyền làm như vậy, chúng tôi có thể thu thập thông tin đó. Người dùng luôn có thể ngăn chặn không cho thiết bị của mình chia sẻ thông tin như vậy với TikTok hoặc thu hồi quyền đã cấp trước đó bất cứ lúc nào qua mục cài đặt trên thiết bị.
Chúng tôi sử dụng thông tin vị trí để cải thiện trải nghiệm sử dụng ứng dụng và vì lý do đã nêu trong Chính sách quyền riêng tư của chúng tôi, chẳng hạn như hiển thị cho người dùng các video và nội dung phổ biến tại khu vực của họ, cũng như quảng cáo phù hợp hơn khi thích hợp.
Ngoài ra, người dùng cũng có thể chọn cho phép nền tảng truy cập vào ảnh, danh bạ cũng như micrô và camera của thiết bị. Chúng tôi nêu chi tiết thông tin chúng tôi sẽ thu thập trong chính sách quyền riêng tư và trung tâm trợ giúp của chúng tôi.

Bộ công cụ phát triển phần mềm (SDK)

SDK là một bộ công cụ giúp nhà phát triển phần mềm tạo ứng dụng cho một nền tảng cụ thể. Chúng tôi có quy trình đánh giá rủi ro bảo mật tổng thể của bất cứ SDK nào được tích hợp với TikTok. Trong ba trường hợp, đội ngũ Malcore đã xác định sai hoạt động tích hợp SDK. TikTok không sử dụng SDK Pangle, Google CrashLytics hay Facebook Analytics. Chúng tôi sử dụng các SDK còn lại được nêu trong dữ liệu phân tích của Malcore theo các cách sau đây:

SDK đăng nhập Facebook và SDK VKontakte (chỉ có ở 8 quốc gia) được sử dụng để cho phép người dùng đăng nhập bằng thông tin xác thực Facebook hoặc VK của họ. Facebook Share cho phép người dùng chia sẻ nội dung từ TikTok lên Facebook.
Facebook Bolts là SDK nguồn mở giúp kỹ sư phát triển ứng dụng di động. Appsflyer và Google Firebase Analytics là công cụ đo lường và phân tích dữ liệu.

Chấm điểm & trọng số

Đội ngũ Malcore không giải thích gì về hệ thống chấm điểm vốn chấm cho TikTok điểm cao nhất (tệ nhất) là 63,1 so với tiêu chuẩn trong ngành là 34 cho tất cả các ứng dụng mạng xã hội lớn khác và điểm trung bình là 28,8 cho tất cả 21 ứng dụng.

Báo cáo này tự ý liệt kê trọng số điểm gán cho năm yếu tố: trình theo dõi/SDK, quyền nguy hiểm, cảnh báo mức độ nghiêm trọng cao cho kết quả phân tích mã, quyền đáng ngờ và cảnh báo mức độ nghiêm trọng cho kết quả phân tích mã. Họ không giải thích lý do hay cách thức để họ chọn năm yếu tố này.

Ngoài ra, họ cũng không có giải thích hay biện minh từ bên ngoài nào về lý do mỗi yếu tố được chỉ định cho số điểm như vậy, với trình theo dõi/SDK được chấm điểm cao nhất là 2,5 so với yếu tố thứ hai được chấm 0,25 (thấp hơn gấp 10 lần) hoặc yếu tố thứ năm (thấp hơn gấp 50 lần). Việc thay đổi cách chấm điểm cho bất cứ hạng mục nào cũng đều sẽ làm thay đổi đáng kể điểm rủi ro cho TikTok và các ứng dụng khác.

Đáng chú ý, bản thân báo cáo cũng xác nhận rằng "trình theo dõi thường là bộ công cụ phát triển phần mềm (SDK) chính thống được thiết kế để giúp nhà phát triển hiểu được cách ứng dụng của họ đang được sử dụng như thế nào, giải quyết vấn đề tiềm ẩn và cải thiện phần mềm của họ". Trọng số lệch của các SDK không cân nhắc đến trường hợp một số công ty sử dụng SDK chính, điều này càng khiến cho nhiều SDK trở thành yếu tố không có mấy ý nghĩa trong việc đánh giá rủi ro. Tóm lại, hệ thống chấm điểm của Malcore đơn giản là không có ý nghĩa.

Tại TikTok, quyền riêng tư và bảo mật của người sử dụng nền tảng là hai trong số nhiều yếu tố được ưu tiên hàng đầu của chúng tôi. Chúng tôi chịu trách nhiệm nghiêm túc bảo vệ quyền riêng tư và bảo mật của người dùng, cũng như dành rất nhiều tài nguyên để đạt được mục tiêu này. Theo kế hoạch, chúng tôi sẽ tiếp tục cung cấp thông tin cập nhật về các biện pháp thực hiện trong phòng tin tức, trung tâm trợ giúp và chính sách quyền riêng tư của mình.

Blog