首页 > 传媒 > 关键词 > TikTok最新资讯 > 正文

TikTok 修复 Check Point Research 发现的隐私安全问题

2021-01-28 10:48 · 稿源:站长之家用户投稿

      近几个月来,Check Point Research 团队在 TikTok 移动应用(抖音国际版)的“朋友查找”功能中发现了一个漏洞:该漏洞一旦被利用,攻击者便可以访问用户的个人资料信息以及帐户相关联的电话号码, 进而建立相关数据库,发起恶意活动。

  Check Point Research 已向 TikTok 的开发人员和安全团队通报此漏洞,TikTok 负责任地部署了解决方案,以确保用户可以继续安全地使用应用。

  背景

  2020 年 1 月,Check Point Research 发表 了一份有关 TikTok 漏洞的报告。报告称该漏洞可使攻击者访问保存在用户帐户中的个人信息,并操纵用户帐户信息或未经授权地代表用户执行操作。TikTok 主动负责任地部署了解决方案。2020 年 4 月,TikTok 启动一项隐私漏洞奖励计划,并于同年 10 月份与 HackerOne 就此建立全球性公共伙伴关系,鼓励安全研究人员查找并负责任地披露安全漏洞,以便 TikTok 团队及时消除漏洞风险,让攻击者无机可乘。

  TikTok 用户隐私受到威胁

  由于Check Point Research 的主要目的是调查 TikTok 的隐私安全性,团队将注意力放在了与用户数据有关的所有应用操作上。为了方便参考,Check Point Research 密切关注并比对了 2019 年有关 Instagram 的一份 报告 ,该报告证实 Instagram 存在可能导致用户帐户信息和电话泄露的安全问题。 经调查发现,TikTok具有联系人同步功能,这意味着用户可以同步手机中的联系人,从而在 TikTok 上轻松找到可能认识的人。简而言之,这可以将用户的个人资料信息关联到他们的电话号码。如果被利用,此漏洞将会影响那些选择将电话号码与帐户关联(并非强制要求)或使用电话号码登录的用户。

  攻击者可以通过这些电话号码和个人资料信息获取用户在 TikTok 以外的更多信息,比如搜索其他帐户或可用数据。

  Check Point Research采用三步法深入研究了正在调查的操作:

  第一步 — 创建设备列表(注册物理设备)。每次启动时,TikTok 应用都会执行设备注册程序,以确保用户未切换设备。

  第二步 — 创建有效期为 60 天的会话令牌列表。在移动设备的短信登录过程中,TikTok 服务器通过生成令牌和会话 cookie 来验证数据。研究期间我们发现会话 cookie 和令牌数值在 60 天后过期,这意味着我们可以使用同一 cookie 登录数周。

  第三步 — 绕过 TikTok 的 HTTP 消息签名。我们提出的主要研究问题是:用户能否查询 TikTok 数据库并因此导致隐私受到侵犯? 答案是肯定的:我们发现攻击者可以通过绕过 TikTok 的 HTTP 消息签名来操纵登录过程,从而自动大规模上载和同步联系人,最终建立一个用户信息及其电话号码数据库,以待随时发起攻击。

  结语

  报告指出,TikTok 每月用户增加 1 亿,全球下载量已超过 20 亿,其规模自 2018 年以来几近翻到三倍。 据移动数据和分析公司 App Annie 预测,2012 年 TikTok 不仅将加入 Facebook 、 Instagram、Messenger、WhatsApp、YouTube 和微信 10 亿月活用户 (MAU) 的行列,而且还将突破这一大关,达到平均每月 12 亿活跃用户。

  这种惊人的受欢迎程序加上有关该应用隐私安全问题的持续 报告 ,是推动Check Point Research 执行这项隐私安全研究的重要因素。 我们很高兴能够与 TikTok 团队携手解决这些问题,为用户享受安全有趣的使用体验贡献力量。

免责声明:“站长之家”的传媒资讯页面文章、图片、音频、视频等稿件均为自媒体人、第三方机构发布或转载。如稿件涉及版权等问题,请与我们联系删除或处理。稿件内容仅为传递更多信息之目的,不代表本网观点,亦不代表本网站赞同其观点或证实其内容的真实性,更不对您的投资构成建议。我们不鼓励任何形式的投资行为、购买使用行为。

  • 相关推荐
  • 大家在看
  • 谷歌测试新搜索功能,可聚合TikTok和Instagram短视频

    随着短视频在国外越来越受欢迎,谷歌搜索也正进行调整以满足用户搜索需求。据悉,谷歌正在测试一项新功能,让谷歌移动APP聚合Instagram和TikTok视频,此举可能有助于该公司留住搜索社交视频娱乐的用户,避免他们完全离开谷歌的平台。

  • 老匡:普通人如何通过TikTok赚钱?

    据了解,TikTok主流盈利模式有10种:创作者激励、短视频带货、直播带货、直播打赏、引流油管赚CPM收益、接广告、音乐推广、星图任务、知识付费(割老外韭菜)、账号交易等。

  • Reddit收购TikTok竞争对手,入局短视频市场

    Instagram今年推出了新的Reels功能,目的是可以在短视频市场中分一杯羹。现在,国外知名社交新闻社区Reddit也想通过收购TikTok的竞争对手Dubsmash进入短视频市场。

  • 作挡箭牌?Instagram高管直呼TikTok是史上最强对手

    随着“抖音海外版”TikTok越来越强大,照片分享社区Instagram的危机感加重,推出的一些举措也都在对标TikTok。

  • 能成?沃尔玛与TikTok合作,将在美国首次尝试“直播带货”

    直播带货在我国已经不是什么新鲜事,不过在美国似乎还尚未流行起来。现在,“抖音海外版”终于开窍了,决定联手美国零售巨头沃尔玛搞一场购物直播活动。

  • Facebook全新音乐视频应用Collab上线App Store,灵感来自TikTok

    Collab从短视频平台 TikTok 身上获取灵感,旨在为用户提供新的音乐制作平台。Collab应用允许用户通过组合多达三个独立的视频来创建简短的音乐视频,例如三个人可以分别播放一首歌的不同部分,并将它们组合成一个视频。Collab 可以选择多个短视频,使其同步播放,创建一个合拍视频。Collab 还支持用户使用音频接口,自行将键盘、吉他和鼓组等电子乐器的音乐带入录音中。

  • 沃尔玛将在抖音国际版TikTok平台上直播带货

    站长之家(ChinaZ.com)12月18日 消息:据国外媒体报道,本周五,全球最大的零售商沃尔玛将在其合作直播平台TikTok上进行直播带货。沃尔玛将于TikTok上开展一个小时的直播,用户可以在TikTok上购买沃尔玛商品。在首次合作直播中,沃尔玛将推荐Champion、Jordache、Kendall + Kylie等品牌商品,和Free Assembly、Scoop 和Sofia Jeans等自有品牌的商品。通过合作,沃尔玛和TikTok都可以增强其电子商务业务,以实现共赢:TikTok为沃尔玛

  • TikTok:新订阅用户将获得4个月Apple Music免费试用

    尽管在美国引起争议,但TikTok依然是美国最流行的社交应用之一。短视频的风靡不短吸引了成千上万的用户,也吸引了广告赞助商,比如苹果。最近,苹果与TikTok达成了合作,提供四个月的Apple Music免费试用期。

  • 消息称 TikTok 正在测试三分钟长视频功能

    据 engadget 报道,社交媒体顾问(前Next网络记者)mattnavarra发布的一条推文称,TikTok开始为一些用户提供长达3分钟的上传视频的服务,目前TikTok的视频时间一直被限制在60秒内。

  • 苹果与 TikTok 合作,提供四个月的 Apple Music 免费试用

    日前Shazam将为新用户提供长达五个月的免费Apple Music订阅,但是苹果现在似乎在其营销策略上变得更加积极。据9to5mac报道,苹果将与短视频社交软件TikTok合作,提供四个月的Apple Music免费试用期。

  • 11月全球热门移动应用收入榜:抖音及TikTok再次蝉联冠军

    今天,Sensor Tower公布了2020年11月全球热门移动应用收入TOP10榜单。榜单数据显示,2020年11月,抖音及海外版TikTok在全球App Store和Google Play吸金超过1.23亿美元,是去年11月的3.7倍,再次蝉联全球移动应用(非游戏)收入榜冠军。

  • TikTok宣布与索尼音乐娱乐公司达成协议

    DoNews 11月3日消息(记者 程梦玲)据外媒报道,10月2日晚,TikTok已经与索尼音乐娱乐公司签署协议,让其所有用户都能访问索尼的音乐,同时,索尼音乐也将使用TikTok的平台来推广自己的音乐人。根据协议,TikTok创作者社区将可以从Sony Music的海量曲目中获取声音片段,以用于其TikTok内容。今年早些时候,TikTok与英国非营利机构梅林(Merlin)签署了类似的协议,以扩大其音乐库,并于7月与巴黎的独立艺术家音乐平台creve建立了多

  • TikTok与索尼音乐签署协议 扩大音乐库资源

    短视频分享应用TikTok表示,它已与索尼音乐娱乐公司(Sony Music Entertainment)签署了一项协议,该公司的所有用户将能够访问索尼的音乐产品,包括碧昂斯(Beyonce)、马丁•加里克斯等全球数千名艺术家的音乐版权。

  • 美国将字节跳动旗下TikTok出售令期限再次延长7天

    根据一份法律文件显示,特朗普政府同意将TikTok剥离在美业务的期限再次延长7天。TikTok方面表示,该行政令的最新期限为12月4日。8月5日,美国国务卿蓬佩奥曾以“国家安全”为由,宣称美国正在敦促苹果、谷歌等手机应用商店下架TikTok和微信等所谓“不可信任的”中国应用程序。

  • 抖音及TikTok蝉联全球移动应用(非游戏)收入榜冠军

    ​今日,据Sensor Tower 商店情报数据显示,2020年10月抖音及海外版TikTok在全球App Store和Google Play吸金超过1.15亿美元,是去年10月的6.2倍,再次蝉联全球移动应用(非游戏)收入榜冠军。其中,大约86%的收入来自中国版本抖音;美国市场排名第二

  • 美商务部决定暂不执行TikTok禁令 原定于12日生效

    【美商务部决定暂不执行TikTok禁令】据央视援引美国《华尔街日报》报道,当地时间 11 月 12 日美国商务部暂时不会执行针对TikTok的禁令。《华尔街日报》称这成为美国政府在TikTok禁令问题上麻烦重重的又一反映。

  • AppAnnie:预计到2021年TikTok活跃用户数将突破12亿

    今日,AppAnnie发布预测称,2020年,TikTok 实现大幅度增长,在全球范围内积累了大量活跃用户,与2018年相比,其活跃用户数量达到原来的三倍。预计到2021年,TikTok 活跃用户数将直接突破12亿。

  • App Annie预测:2021年TikTok的月活跃用户将突破12亿

    根据移动数据和分析公司AppAnnie的一项新预测,TikTok的上升轨迹有望在2021年继续,该公司估计这款短视频应用明年的月活跃用户将突破10亿大关。扩大的预测还研究了围绕移动广告支出的未来趋势,以及由移动推动的“居家”活动的增长,例如电子商务和在线会议。

  • TikTok全球招3000名工程师 还要与电商Shopify合作

    DoNews10月28日消息(记者程梦玲)美国当地时间周二,短视频平台TikTok(抖音海外版)宣布,该公司计划在未来三年内招聘约3000名工程师,他们主要分布在欧洲、加拿大和新加坡。与此同时,TikTok周二还宣布与电商平台Shopify建立新的全球合作伙伴关系,进一步投资于社交商务。这笔交易旨在让Shopify的100多万个商家更容易接触到TikTok的年轻受众,并提振销售。两家公司表示,合作关系最终将扩大到包括其他应用内购物等功能。按照合?

  • TikTok数周未与特朗普政府对话命运未卜 要求法院干预禁令

    抖音海外版TikTok曾经因为受到美国政府的国家安全禁令成为关注的热点,但是现在,特朗普政府似乎把它忘记了。知情人士称,TikTok已经好几周没有与特朗普政府的外国投资委员会(CFIUS)进行过有意义的对话了。TikTok高管仍有意完成与甲骨文公司的技术合作以解决美国的国家安全顾虑,即便美国当选总统拜登不关心TikTok的安全风险。根据特朗普此前发布的行政令,CFIUS要求TikTok母公司?

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议
  • 热门标签

热文

  • 3 天
  • 7天