Oracle gaat code in Amerikaanse versie TikTok goedkeuren voor die live gaat

Oracle gaat wijzigingen in de code van de Amerikaanse versie van socialemedia-app TikTok digitaal ondertekenen. Dat moet de Amerikaanse overheid zekerheid geven dat moederbedrijf ByteDance geen achterdeurtjes in de code inbouwt.

Behalve Oracle gaat ook een derde partij, aangewezen door een Amerikaanse overheidsorganisatie, de code inspecteren voor die live gaat, meldt Lawfareblog. De site was bij een presentatie van Project Texas, het plan waarmee TikTok een verbod op zijn app in de VS wil voorkomen. Eerder kwamen al diverse details van de plannen van TikTok naar buiten.

Lawfareblog meldt ook dat TikTok dispensatie gaat aanvragen om gegevens uit het datacenter van Oracle in de VS naar andere landen te verplaatsen. Daardoor blijft het mogelijk voor kijkers in bijvoorbeeld Europa om video's van Amerikaanse makers te kijken en omgekeerd. Als alle gegevens in de VS hadden moeten blijven, had dat niet gekund. Oracle en de inspectie zullen samples van de data nemen die TikTok naar andere landen stuurt om te kijken of ze voldoen aan de voorwaarden.

Eerder was al duidelijk dat ByteDance Oracle tijdens een inspectie de code en algoritmes van TikTok laat controleren. Daarnaast gaat ByteDance een nieuw bedrijfsonderdeel in de VS optuigen om dit te beheren, TikTok US Data Security. Daar komen 2500 mensen te werken en de overheid van de VS mag eisen stellen aan die medewerkers. Zo komen er vermoedelijk geen Chinese medewerkers te werken.

ByteDance stuurt het voorstel om te voorkomen dat de Amerikaanse overheid TikTok verbiedt of aan ByteDance opdraagt om TikTok in de VS te verkopen. TikTok is al verboden op veel overheidstelefoons in de VS en er ligt een wetsvoorstel om de app te verbieden. De Indiase overheid verbood TikTok al enkele jaren geleden en ook in Europa is er discussie over dit onderwerp.

Reacties (67)

Waarom zou je ‘achterdeurtjes’ in de broncode van de app bouwen? Als je met het algoritme langzaam een mensen massa kan sturen naar andere denkbeelden. Bijvoorbeeld doordat ze steeds filmpjes te zien krijgen waarin word gezegd. Dat gras blauw van kleur is, en door de overheid iedere nacht groen word geverfd?

Het effect van desinformatie word de laatste jaren steeds zichtbaarder. Kijk maar naar de vele complotten rondom Corona. Of recenter de oorlog door Rusland in Oekraïne. Dat lijkt mij deze tijden een machtiger wapen dan het afluisteren, volgen of meelezen bij een individu.

Het lijkt mij niet dat Oracle ook inzicht krijgt in het algoritme wat bepaald welk filmpje je krijgt voorgeschoteld. Dan geeft TikTok hun verdien (verslavings) model bloot.

Waarom zou je ‘achterdeurtjes’ in de broncode van de app bouwen? Als je met het algoritme langzaam een mensen massa kan sturen naar andere denkbeelden. Bijvoorbeeld doordat ze steeds filmpjes te zien krijgen waarin word gezegd. Dat gras blauw van kleur is, en door de overheid iedere nacht groen word geverfd?

Daarom is dit ook een goede zet van Tik Tok, zo halen ze de attentie weg van het grotere plaatje en kunnnen ze toch verder gaan met de app. Want de code is geen probleem. Het algorithme is het belangrijkste, en als de app verboden word kunnen ze mensen niet meer "influencen".

Algoritme is toch ook code? Dus dat gaan ze dan ook inzien?

Algoritme is gewoon een hype-woord.

Inderdaad 😂🤣

Yup hahahaha

Dat was XML ooit ook, maar het zijn van een hype verandert het beestje niet.

laat maar

[Reactie gewijzigd door snollygoster op 27 januari 2023 19:46]

Een staartdeling is ook een algoritme

Zit niet in de app.

Oké, dat wist ik niet. Dus het is server code? Ik heb hieronder in de comments gelezen dat Oracle daar ook bij kan en gaat goedkeuren.

Maar gaat wel gecontroleerd worden door Oracle.

Denk meer dat ze niet willen is dat bvb TikTok onder druk komt te staan van de Chinese overheid met een grapje zoals "Hier zijn de stem profielen van 100 politiek problematische Chinese burgers die nu in Amerika wonen. Zoek ff met de TikTok app out waar ze ongeveer zitten zodat we op "bezoek" kunnen gaan."

Dat was in Australië al een probleem, daar filmden Chinese burgers regelmatig andere Chinese burgers/vluchtelingen die aan het demonstreren waren met de bedoeling dat de Chinese overheid toegang had tot TikTok en ongeveer wist welke "probleem burgers" daar zit en dan familie in China onder druk zetten om ze terug te halen.

Denk verder inderdaad niet dat ze toegang krijgen tot de sourcecode van de TikTok servers.

Het lijkt mij niet dat Oracle ook inzicht krijgt in het algoritme wat bepaald welk filmpje je krijgt voorgeschoteld. Dan geeft TikTok hun verdien (verslavings) model bloot.

Dat is nou net wat het meest belangrijke is, als Oracle niet kan inzien hoe de content gestuurd wordt dan is er weinig meerwaarde aan deze audit.

Tegen het stelen van dat algoritme heb je NDA's, daar kan gewoon een persoonlijke aansprakelijkheid in de miljoenen in verwerkt worden.

Het lijkt mij niet dat Oracle ook inzicht krijgt in het algoritme wat bepaald welk filmpje je krijgt voorgeschoteld.

Dat denk ik dus wel, zie quotes:

Oracle will ensure that training of the TikTok algorithm only occurs in the Oracle Cloud
Infrastructure and will also ensure appropriate third-party security vetting and validation
of the algorithm.

is deployed through the Oracle Cloud Infrastructure in the
United States with third-party security vetting and validation of the software for the
application and platform, including the TikTok algorithm.

Tjah... dat is van alle tijden zo.
De gebroeders De Witt ring a bell?

Social Media is enkel een vehikel wat er nu voor gebruikt kan worden.
Maar dat geldt voor elke vorm van Media.
Wat denk je als RTL en Talpa (SBS) straks samen gaan, die kunnen elk persoon of merk dan maken en breken.
En een kritisch tegengeluid hoor je dan misschien van een Lubach ofzo, als die zijn toekomst bij hen wil verkwanselen.

En ondertussen wordt met belastinggeld een 'aardige' big-tech firma gespekt die dan de code mag controleren om maar te zorgen dat het niet echt verboden wordt. Dat houdt de mensen weer even zoet.
En vertrouwen die mensen dan wel allemaal in Oracle? Of zit dat al in de naam verwerkt en wordt het orakel altijd geloofd?

Wat een wondere wereld...

Dat is slecht een schijntje om het business model in stand te kunnen houden. Als ze fatsoenlijke wetgeving zouden schrijven om te verbieden waar ze zo bang voor zijn met TikTok dan worden een Alphabet en Meta ook getroffen. De overheden daar willen alleen dat het niet gedaan word door buitenlandse bedrijven en overheden. Expliciet betekend dat het verstoren van de vrije markt. Daarom wordt er ook zo gedraaid in dit hele US / TikTok gebeuren in plaats van daadwerkelijk via de wetgeving iets afgedwongen wordt .

Waarom zou je ‘achterdeurtjes’ in de broncode van de app bouwen?

De Chinese overheid kan er wel een paar bedenken:
stuur u ons maar de gegevens van alle gebruikers die filmpje X of Y hebben bekeken. Of alle gebruikers die geabonneerd zijn op gebruiker Z.

Blijkbaar heb ik *iets* gemist.

Wat moet Oracle nu met Tik Tok?

TikTok laat al het netwerkverkeer van Amerikaanse gebruikers via de Oracle Cloud lopen. Ze zijn ook bezig om hun data daar onder te brengen:

Today, 100% of US user traffic is being routed to Oracle Cloud Infrastructure. We still use our US and Singapore data centers for backup, but as we continue our work we expect to delete US users' private data from our own data centers and fully pivot to Oracle cloud servers located in the US.

Zie https://newsroom.tiktok.c...on-our-us-data-governance

Dit is een bericht van juni 2022, dus ik weet niet hoever die data-transitie inmiddels gevorderd is.

[Reactie gewijzigd door wildhagen op 27 januari 2023 09:36]

Misschien moet de EU dat ook doen voor de Europese Meta apps. Dat een instantie de code controleert op allerlei achterdeurtjes voor de inlichtingendiensten van de VS en dat ze dan de code signen voordat het uitgerold kan worden naar de EU burgers.

Ik weet niet wat ik hiervan moet denken eigenlijk. Wat gaat de volgende stap worden?

Je kaart een goed punt aan, ook als we puur en alleen naar TikTok kijken. Wat weerhoudt de Chinese overlords ervan om een variant op TikTok te maken (bijvoorbeeld PoesPas) en deze wereldwijd beschikbaar te stellen? Niemand kan TikTok nog downloaden, maar plots wordt PoesPas heel populair en zitten we weer met hetzelfde riedeltje opgescheept.

Gaat de overheid dan opnieuw maandenlang nadenken over hoe en wat qua verbieden? Of is het wellicht handiger om gewoon meteen een verbod op te stellen voor het soort app en/of de algoritmes die ervoor gebruikt worden? Met laatstgenoemde kunnen we wellicht ook Meta apps en die van andere duivels meenemen.

Dergelijke procedure zouden door overheden vereist mogen worden, als die dan ook een net signature scheme maken, kunnen we in ieder geval een net gemanagede 'trusted application' cluster bijhouden.

Ook operating systems zouden dan door dergelijke controlesluizen mogen gaan. Op die manier krijgen we een sterke basis van betrouwbaardere software. (bug-finding bounties zouden dergelijke programma's kunnen opjutten, en zo kunnen controlebedrijven ook een reputatie opbouwen van het niet passeren van slechte code)

Je hoeft de code niet te controleren op achterdeurtjes, die zitten er gewoonweg niet in. Ook niet in Windows en MacOS, iOS of android. nee. Want achterdeuren wordt namelijk vroeg of laat gezien en je bent als fabrikant aardig de pineut.
Het zijn naar mijn mening opzettelijk ingebrachte bugs. Hier kan je niemand voor aanschrijven en jaarlijks worden ze nog steeds gevonden, of nooit. Ik zou het zomaar obscure access path willen noemen.

Nou denk je vast, dit is ver gezocht… Als dat zo is, dan hadden hackers geen bestaansrecht.

Uiteraard zal een bedrijf altijd zeggen dat het een bug was en geen achterdeurtje. Maar het feit dat een instantie (of in dit geval oracle) de code mag bekijken en anders geen toegang tot de markt in de VS is toch wel iets nieuws lijkt mij (of is dit iets waar vaker wordt gedaan?). Daarom vraag ik me ook af, wat wordt de volgende stap? Waarom doet de EU dat niet met software uit de VS? Wie gaan we wel vertrouwen en wie niet?

Allemaal een politiek spelletje, dat weet ik ook wel. Zoals ik al zei, ik weet niet wat ik hiervan moet denken.

Dit is inderdaad een vreemd verhaal. Krijgen wij straks pre-audit van software voordat het de Amerikaanse markt op mag....

We moeten alles controleren en goedkeuren wat zij maken. Tot het normaal is. En dan, beste burgers, is het duidelijk dat het slechts een opstap was naar alles controleren en goedkeuren wat wij hier maken. Ze willen controle over alles. Geef ze de lengte niet.

Dat een instantie de code controleert op allerlei achterdeurtjes voor de inlichtingendiensten van de VS en dat ze dan de code signen voordat het uitgerold kan worden naar de EU burgers.

Bij het woordje "kan" schrik ik. Vrijwillig ok, maar ik wil niet dat je geen software mag draaien zonder het stempeltje van de EU. Niet omdat ik anti-EU ben, in tegendeel, maar omdat ik denk dat het verlammend zou zijn voor de software-industrie, 90% zou volgens mij niet eens aan controle beginnen als dat een beetje goed wordt gedaan. Al is het maar omdat het verschikkelijk duur is, niet in het minst omdat je niet kán bewijzen dat er geen backdoors zijn. Alleen dat jij ze nóg niet gevonden hebt. Net zoals de dokter niet kan bewijzen dat jij geen enkele ziekte hebt maar alleen kan aantonen dat jij bepaalde bekende ziektes niet hebt.
Zo'n onderzoek zal dus nooit oppervlakkig zijn maar altijd heel diep moeten gaan en dus heel duur worden.

Ook vrees ik voor de macht van de software lobby. Ik denk dat zo'n keurmerk snel overheerst zou worden door big tech die de regels zo sturen dat niemand er aan kan voldoen behalve zij zelf en waarbij het nog maar de vraag is hoe nuttig ze zijn. Zo zag ik ooit een aanbesteding van een Amerikaans bedrijf dat om een gewapende bewaker voor de deur van het datacenter vroeg en kluisjes om de wapens van bezoekers in te bewaren. Daarmee valt 99% van de Europese bedrijven al af en kom je bijna automatisch in de VS terecht.

Dan is het ook maar de vraag hoe veel die grote bedrijven zich er van aantrekken. Als ik zie hoe het gaat rond de GDPR en "privacy shield" (of hoe die leugen nu ook heet) dan maak ik me grote zorgen. Er wordt net zo lang om heen gekletst tot ze weer verder kunnen met wat ze toch al deden. Het levert de ene na de andere rechtszaak op maar het is allemaal zo lucratief dat dit voor lief wordt genomen. Aan de andere kant zijn Europese bedrijven (en landen) zo afhankelijk dat ze niet echt hard "nee" durven te zeggen.

Een ander problematisch punt is het tempo waarop moderne software veranderd, zeker als die via het web wordt aangeboden. Bedrijven als Google en MS voeren iedere dag veranderingen door. Geen enkele vorm van controle vooraf kan dat tempo aan, niet in het minst omdat je de veranderingen niet in isolatie kan bekijken maar altijd de interactie met alle andere software mee moet nemen.

Dat gaan we onmogelijk snel genoeg kunnen doen, zeker niet door mensen. Misschien wel met automatische tools maar op een bepaalde manier is dat het probleem verplaatsen als we die tools niet kunnen controleren.

Mij lijkt het beter om alle code open te maken (liefst zelfs vrij) zodat iedereen zelf controles kan (laten) doen met verschillende tools en vanuit verschillende invalshoeken.


Ik zie dus niks in een stempeltje van de EU dat nodig is voordat je software kan draaien.
Wel zie ik nut in een vrijwillig stempeltje voor bepaalde producten maar ik zou het systeem niet op één "stempel" willen baseren maar er een raamwerk van maken zodat verschillende instanties software kunnen beoordelen volgens hun eigen standaarden en ik dat makkelijk kan zien. BV dat een stuk software is gecontroleerd door het nationale testinstituut van Frankrijk, Nederland en Duitsland of door de consumentenbond of door een privacy instantie of door een anti-malware club.

Ik zie niet hoe dit kan werken. Er zijn ontelbare manieren om toch data te exfilteren. Het hoogst haalbare is dat je het TikTok net wat moeilijker maakt. Tegen welke kosten? En waar stopt dit? Welke app is de volgende?
En waarom Oracle? Als je iets doe, doe het dan met een partij die iets weet van security, niet Oracle, die kunnen uitstekend factureren per CPU core, maar what else...?

Dit is dan ook een plan van TikTok zelf. Ze willen zich laten controleren om zo een verbod te voorkomen. Misschien weet TikTok wel dat zo'n controle nooit helemaal dekkend en volledig zal zijn, en misschien leggen ze wel specifieke nadrukken zodat andere zaken onderbelicht blijven.

Dit is dus om erger te voorkomen, vanuit de TikTok-aandeelhouder gezien dan: het alternatief is dat TikTok verdwijnt van Amerikaanse en andere westerse markten. Het platform weigeren zou wat mij betreft een goede stap zijn, maar dan ook de meeste andere socials want ze maken onze levens per saldo niet beter en hebben allemaal een waslijst aan nadelen en risico's.

Maar geld spreekt meestal luider; het zou me niets verbazen als de Amerikaanse beslissers hierover maximaal worden beïnvloed door TikTok om slechts beperkte stappen te nemen, in plaats van de stappen die misschien eigenlijk nodig zijn.

Leuk, client-side code controleren, maar de server-side code dan?

Jaja. En dan geven ze de volledige broncode door ter controle? Anders is het niet te controleren.

Je krijgt een min maar aangezien het een app is met een server die ook code draait, dan heb je toch een punt?
En als er data heen en weer wordt gestuurd over waar data heen moet dan heb je toch niet voldoende aan de broncode? Of bevat de broncode dan filters die zorgen dat data niet 'naar buiten' wordt gestuurd? Dat is ook kansloos want dan zet je er toch een relay-server tussen?

En al bevat de broncode geen directe verwijzing naar 'foute acties'; zodra bepaalde delen uit configuratie-data komt; dan moet je toch ook het 'live' systeem controleren?

Ik verwacht dat ze met backdoors hier expliciet duiden op het op afstand kunnen meeluisteren op het device. Zowel in hardware toegang (mic, locatie, camera) als in volledige inzage van device gebruik d.m.v. geavanceerde tracking; keylogging buiten de app en clipboard uitlezen b.v.
Dat mijn post zo wordt gemind doet mij vermoeden dat er een (externe) gedachtepolitie actief is op Tweakers.

Verbied het in elk geval eerst maar eens op scholen, of die hele mobieltjes wat dat aangaat:
En nou is het afgelopen met telefoons in de klas | De Avondshow met Arjen Lubach (S3)

[Reactie gewijzigd door Jogai op 26 januari 2023 21:46]

En rekenmachines dan? De jeugd kan niet eens meer rekenen tegenwoordig.

Een rekenmachine buzzt niet om de haverklap over een statusupdate van Jordy die met Dylano, Saturnusan en Quantummechanicanja naar de Mac zijn gegaan in hun tussenuur om zichzelf te stuffen met een broodje vet met extra vet.

Laat het nou net om de niet-functionele zaken gaan waar mobieltjes zo kut om zijn. Rekenmachines daarentegen zijn puur funtioneel bedoeld, in het kader van wat in bepaalde klassen relevant is.

Sssssst! Zodadelijk leest mn vader dit nog!

Waarom is dat een probleem? Ik denk dat scholen beter proberen om mee te gaan in die nieuwe technologieetjes van de laatste jaren, zoals smartphones, ChatGPT en andere AI-voorlopers, enzovoort. Beter dat ze nu leren hoe die tech te gebruiken en ermee om te gaan dan dat ze daarover een blind gat in hun kennis hebben en op kantoor niet verder kunnen.

Wel mee met techniek, maar dan zonder apps die zeer geraffineerd in elkaar zitten om je aandacht constant af te leiden. Kijk de gelinkte video even. Het punt is dat ze juist met een minder kennis en vaardigheden van school komen.

Bij een rekenmachine moet je tenminste nog snappen met wat je bezig bent.

het probleem is dat telefoons voor afleiding zorgen; het concentratie niveau omlaag halen en meetbaar zorgen voor slechtere prestaties van leerlingen; om over het sociale aspect nog maar niet te spreken. Dat heeft allemaal weinig te maken met "wat is AI?" of "Wat is SEO?" of "basiscursus 'hoe werkt het internet'" of "wat zijn social media algoritmes?"; dat kan je prima inhoudelijk bespreken zonder dat de leerling continu een telefoon in de buurt moet hebben. Zoals in het stukje van Lubach ook wordt aangehaald; zelfs de telefoon in dezelfde ruimte hebben (dus niet eens op/bij de persoon maar gewoon in een tas aan de muur) zorgt al voor een afname in de concentratie. Het gaat hier evident niet om "wat zijn mogelijkheden van moderne techniek", maar om het feit dat de smartphone (ontzettend) verslavend werkt voor kinderen en dat dat in combinatie met klassikaal onderwijs simpelweg verneukeratief is.

Huiswerk kan prima met chatgpt of rekenmachines, examens dan wel zonder!

Ik zou liever hebben dat mensen zelfstandig kunnen nadenken dan op technologie moeten vertouwen.
Want als die Chatgpt weg is bijvoorbeeld dan zijn het oermensen die helemaal geen bal kunnen.

Als we allemaal op technologie gaan leunen voor de meest simpele dingetjes dan gaat de mensheid ten onder.

Leer ze eerst normale dingen op school en dan later met de kennis die ze al hebben de technologie te gebruiken.

En als de Albert Heijn weg is kunnen we ook niet meer eten, heel onze samenleving is gebouwd op technologie.

Ja maar we weten wel nog hoe we vakken moeten vullen. ik bedoel dat we niet alles moeten laten doen door technologie. Al helemaal niet de basics van school. Anders kun je net zo goed heel school afschaffen.

Ik wil niet dat iedereen dom word en niemand meer iets kan. Je moet wel nog zelf na kunnen denken.

Het zou wel mooi zijn als we gewoon info konden uploaden naar ons brein en we helemaal geen school meer nodig hebben .

[Reactie gewijzigd door Milanobrotchen op 27 januari 2023 14:36]

Je kan de social media toch wel verbieden in een soort school/werk/prive profiel, of verbieden is misschien niet de weg, maar een algemene afspraak dat je op school alleen je prive account gebruikt/activeert. Waar alleen bellen en sms en facetime en agenda's en office en schoolzaken op kan. dat zou al veel schelen mijns inzien.

En hoe ga je dat handhaven dan?

Staat ook op je laptop

Gaan ze hiermee de code aan de client kan controleren?
Volgens laatste aanpassingen konden de Chinezen in China de data inzien van alle TikTokers. Gaat het anders werken voor de burgers in VS?

Beetje onduidelijk inderdaad. Als ze alleen inzicht krijgen in de front-end zegt dat eigenlijk lang niet alles.

Ook de backend, volgens de bron.

Volgens de bron gaat de USDS dit doen (opgericht door TikTok, en bemand door TikTok teams) maar niet per se Oracle toch ? Die lijkt alleen de dataflow die bij de USDS naar binnen en buiten gaat te monitoren. En dat kan prima omdat ze TikTok hosten.

In het artikel en bron staat dat Oracle en een derde partij de code/software gaat controleren.

Behalve Oracle gaat ook een derde partij, aangewezen door een Amerikaanse overheidsorganisatie, de code inspecteren voor die live gaat

Oracle will also lead a security review process that will examine all TikTok software. Oracle will conduct its own assessment of all TikTok code, alongside a third-party inspector who must be approved by CFIUS. Once the code passes this inspection, it is digitally signed by Oracle. After that, the software is permitted to run. If Oracle does not provide a digital signature, the software cannot run. Oracle will also be responsible for delivering updates to the Google and Apple app stores.

Zodat de VS zelf ook een achterdeurtje heeft?


Ik vraag me af in hoeverre dit een werkbare oplossing is,
en in hoeverre partijen als Facebook en Google dit ook hebben, al dan niet voor andere landen.

Er wordt in principe een commerciële politieagent aangesteld.

Dat vind ik nog best mild van de Amerikanen met alle restricties die Westerse apps & diensten krijgen opgelegd in China. De CCP zou nooit toestaan dat ook maar enig Westerse dienst zo groot zou zijn in China, als TikTok dat is in de VS.

Oracle beheert gigantische hoeveelheden data die allemaal onder Amerikaanse wetgeving vallen.
Misschien willen ze dat niet kwijt?

Security theater dit.