美安全專家認為Oracle-沃爾瑪-TikTok交易不夠安全
責編：gltian ｜2020-11-11 11:01:12Oracle-沃爾瑪-TikTok三方交易引起了安全從業人員的極大興趣，這種史無前例的合作模式，引發了關于最佳安全實踐的廣泛探討。
近日網絡安全專家Jimmy Tom撰文指出，Oracle-沃爾瑪-TikTok三方交易并沒有看起來那么安全，甚至制造了虛假的安全感。
Tom認為，最初業界預計字節跳動將把TikTok在美國的業務全部出售給一家美國公司，但現在代之以某種程度不那么令人滿意的“可信技術合作伙伴關系”，字節跳動將繼續保留其人工智能推薦算法和源代碼，而甲骨文將擁有“檢查TikTok美國源代碼的權限”。Tom認為這并不意味著完全的可見性：“不幸的是，這與TikTok軟件或其基礎推薦算法的任何新版本的源代碼編譯，部署和實現的完全可見性都相去甚遠。因為此交易的初衷是保護Tiktok美國用戶的數據安全，所以現在所謂對源代碼的完全可見性似乎有些跑偏，這使人們懷疑誰將從這種安排中受益。”
除了對安全可見性的質疑外，Tom還認為因為目前的三方交易程序缺乏（完整的）監管鏈。在安全界，這是一個巨大的漏洞。
“監管鏈”是指圍繞信息控制展開的時序事件。在執法部門犯罪現場的證據處理中經常見到，但在日常生活中并不鮮見。例如當您在一家餐廳點了一瓶葡萄酒后，服務員會將密封的瓶子帶給您進行檢查，將瓶子打開，由您現場完成對樣品的最初嗅探和品嘗工作，瓶子永遠不會離開您的桌子或您的視線。
Tom認為Oracle的加入并不能形成完整的“監管鏈”，Oracle是否可以絕對確定所檢查的源代碼與TikTok更新中已編譯并發布的生產環境代碼相同？在不完全了解實際開發過程的情況下，如何100％確定？TikTok代碼中引用的其他庫呢？Oracle可以確保對外部庫的函數調用與它已審查的函數相同嗎？在軟件開發過程中定期進行的增量代碼修訂又如何解決調試過程中發現的問題，進行了較小的更正呢？
“沒有這種級別的可見性和審查，Oracle將無法證明所檢查的Tiktok代碼是可信任的，并且其中沒有任何貓膩。”Tom指出：“雖然我同意甲骨文作為美國數據保管人是一個良好的開端，但這還遠遠不夠。Oracle需要知道數據在由軟件處理時會發生什么，并且該數據只能流向規定的地方。”