Check Point Research采用三步法深入研究了正在調(diào)查的操作：

第一步 — 創(chuàng)建設(shè)備列表（注冊(cè)物理設(shè)備）。每次啟動(dòng)時(shí)，TikTok 應(yīng)用都會(huì)執(zhí)行設(shè)備注冊(cè)程序，以確保用戶未切換設(shè)備。

第二步 — 創(chuàng)建有效期為 60 天的會(huì)話令牌列表。在移動(dòng)設(shè)備的短信登錄過程中，TikTok 服務(wù)器通過生成令牌和會(huì)話 cookie 來驗(yàn)證數(shù)據(jù)。研究期間我們發(fā)現(xiàn)會(huì)話 cookie 和令牌數(shù)值在 60 天后過期，這意味著我們可以使用同一 cookie 登錄數(shù)周。

第三步 — 繞過 TikTok 的 HTTP 消息簽名。我們提出的主要研究問題是：用戶能否查詢 TikTok 數(shù)據(jù)庫并因此導(dǎo)致隱私受到侵犯？  答案是肯定的：我們發(fā)現(xiàn)攻擊者可以通過繞過 TikTok 的 HTTP 消息簽名來操縱登錄過程，從而自動(dòng)大規(guī)模上載和同步聯(lián)系人，最終建立一個(gè)用戶信息及其電話號(hào)碼數(shù)據(jù)庫，以待隨時(shí)發(fā)起攻擊。 

結(jié)語

報(bào)告指出，TikTok 每月用戶增加 1 億，全球下載量已超過 20 億，其規(guī)模自 2018 年以來幾近翻到三倍。? 據(jù)移動(dòng)數(shù)據(jù)和分析公司 App Annie 預(yù)測(cè)，2012 年 TikTok 不僅將加入 Facebook、Instagram、Messenger、WhatsApp、YouTube 和微信 10 億月活用戶 (MAU) 的行列，而且還將突破這一大關(guān)，達(dá)到平均每月 12 億活躍用戶。

這種驚人的受歡迎程序加上有關(guān)該應(yīng)用隱私安全問題的持續(xù)報(bào)告，是推動(dòng)Check Point Research 執(zhí)行這項(xiàng)隱私安全研究的重要因素。 我們很高興能夠與 TikTok 團(tuán)隊(duì)攜手解決這些問題，為用戶享受安全有趣的使用體驗(yàn)貢獻(xiàn)力量。

有關(guān)此研究的完整技術(shù)信息，請(qǐng)?jiān)L問：https://research.checkpoint.com/

songjy