Navorsers van die Universiteit van Michigan het 'n instrument genaamd MVPNalyzer ontwikkel vir die opsporing van inligtinglekkasies en die ontleding van VPN-prestasie, en dit gebruik om 281 VPN-toepassings vir die platform te toets. AndroidDie gewildste VPN-programme wat deur Google Play versprei word, is vir studie gekies. VPN-programme wat verskeie sekuriteits- en privaatheidsprobleme het, het 'n gekombineerde totaal van 2.4 miljard installasies. Belangrike bevindinge:
- Ongeënkripteerde data-oordragte buite die gevestigde tonnel is in 61 toepassings (22%) opgespoor. Die meeste toepassings in hierdie kategorie is gewild, met 'n gemiddeld van 11 miljoen installasies. Agtien toepassings het direkte oproepe na die ip-api.com-diens gemaak om ligging te bepaal. IP adres kliënt.
In vyf gevalle is konfigurasielêers wat VPN-bedienerverbindingsparameters bevat, sonder enkripsie na die kliënt oorgedra. Navorsers het 'n eksperiment uitgevoer en die moontlikheid van 'n man-in-die-middel-aanval bevestig, wat verkeer toelaat om na 'n mens se eie bediener herlei te word. bediener, met die vermoë om 'n slagoffer se kommunikasiekanaal te onderskep, byvoorbeeld een wat gekoppel is aan 'n openbare draadlose netwerk wat deur die aanvaller beheer word. Problematiese toepassings (’n volledige lys van alle toepassings met geïdentifiseerde probleme word op bladsy 17 van die PDF-verslag verskaf):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Gratis VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
Die navorsers het die ontwikkelaars van hierdie toepassings oor die probleme in kennis gestel en na 'n rukkie die nuutste weergawes weer getoets, wat getoon het dat die kwesbaarheid in slegs twee toepassings – VPN Pro en Hexa VPN – reggestel is.
- Nege-en-twintig toepassings (10%) het verkeer buite die gevestigde tonnel gelek. Vier-en-twintig toepassings, met 360 miljoen installasies, het inligting oor besoekte webwerwe gelek as gevolg van direkte DNS-versoeke (20 het DNS-versoeke deur 'n plaaslike resolver gestuur, en ses deur openbare DNS-dienste soos Google, Cloudflare, AliDNS en DNSPod). Daar is gevind dat ses toepassings, met 54 miljoen installasies, webblaaierverwante verkeer buite die tonnel stuur. Vier toepassings het data deur 'n ongeënkripteerde tonnel oorgedra.
- 169 toepassings (60%) het nie verkeersverduistering gebruik nie, maar standaard netwerkpoorte en protokolle wat in die algemene verkeersvloei gemonitor word, gebruik. Hierdie gedrag is in stryd met gebruikersverwagtinge – volgens 'n opname wat verlede jaar gedoen is, glo 82% van VPN-gebruikers dat VPN'e hulle anonimiteit bied.
- 76 toepassings (27%) het toestel-unieke AAID's oorgedra (Android Advertensie-ID (Advertensie-ID) laat toe dat toestelle en gebruikers opgespoor kan word. Daar is gevind dat 246 toepassings (87%) toegang tot bekende advertensienetwerke en gebruikersopsporingsdienste het (’n totaal van 3 714 verskillende URL'e is gebruik). Een toepassing het die toestel se presiese GPS-koördinate gestuur.
- 107 programme (38%) het instellings gebruik wat nie 'n optimale vlak van sekuriteit gebied het nie. Twintig programme, met 'n gekombineerde totaal van 40 miljoen installasies, het onveilige enkripsiemetodes gebruik. Ses-en-negentig programme, met 'n gekombineerde totaal van 728 miljoen installasies, het swak verifikasiemeganismes gebruik.
In 3 programme in instellings OpenVPN Die data-ciphers-parameter is op "geen" gestel, wat kommunikasiekanale sonder enkripsie toelaat. In 8 toepassings is die "cipher"-parameter op "geen" gestel, wat enkripsie deaktiveer wanneer dit gebruik word. OpenVPN 2.4 en vroeër. 12 toepassings het verouderde riglyne gebruik. 61 toepassings het verouderde riglyne in hul konfigurasie gehad. OpenVPN Riglyne om bekende aanvalmetodes te blokkeer, is nie ingesluit nie.
Bron: opennet.ru
