Анализ на сигурността на 100 безплатни VPN приложения за платформата Android

Изданието Top10VPN, което се занимава с рецензии и проверка на VPN услуги, проведе тест на 100 от най-популярните безплатни VPN приложения за платформата Android, които имат над 2.5 милиарда инсталации (за теста бяха избрани 100 безплатни VPN приложения, които имат най-голям брой изтегляния в каталога на Google Play). Основните изводи:

• 88 от тестваните приложения имат различни проблеми, водещи до изтичане на информация. В 83 приложения изтичанията се дължат на заявки към външни DNS сървъри (не на сървъри на провайдера), например, в 40 случая е използван DNS Google, а в 14 — Cloudflare. В 79 приложения не е изключена възможността за заобикаляне на VPN трафика. В 17 приложения бяха установени различни видове изтичания (разкриване на оригиналните IPv4 и IPv6 адреси на потребителите, изтичания чрез DNS и WebRTC). VPNВ 11 приложения беше установено използването на остарели генератори на случайни числа. В едно от приложенията абсолютно не беше използвано криптиране на трафика. В 35 приложения се използваха остарели криптоалгоритми (само в 20 приложения бяха приложени надеждни методи за хеширане). В 23 приложения по време на създаването на VPN тунел за достъп до външен сървър беше позволено използването на стари версии на TLS (по-стари от TLSv3), а в 6 приложения се използваше SSLv2.
• В 69 програми се поискаха излишни разрешения, например, 20 приложения изискваха достъп до данни за местоположението (ACCESS_*_LOCATION), 46 — до списък с инсталирани програми (QUERY_ALL_PACKAGES), 9 — достъп до състоянието на телефона (READ_PHONE_STATE, което позволява да се разбере IMEI и IMSI), 82 — изискваха уникални идентификатори за идентификация в рекламни мрежи (ACCESS_ADVERTISEMENTS_ID), 10 — се опитваха да получат достъп до камерата.
• В 53 приложения беше установено използването на външни проприетарни функции, например, 13 приложения използваха код за проследяване на местоположението, 31 — за получаване на идентификатори за рекламни мрежи, 22 — за проверка на други инсталирани приложения.
• 80 приложения използваха външни библиотеки, от които 15 използваха библиотеки на компанията Bytedance (TikTok), а 11 — библиотеки на Yandex.
  80 приложения използваха външни библиотеки, от които 15 използваха библиотеки на компанията Bytedance (TikTok), а 11 — библиотеки на Yandex.
• 84 приложения включват компоненти SDK от маркетингови платформи или социални мрежи, като 16 приложения съдържат 10 или повече подобни компоненти.
• В 32 приложения е установен достъп до хардуерни възможности и сензори, които могат да доведат до нарушаване на конфиденциалността. Например, 15 приложения имат достъп до камерата, 7 — до микрофона, а 14 до механизми за определяне на местоположението, като GPS; 14 до сензори (гироскоп, сензор за близост и т.н.).
• 71 приложение изпраща лични данни до трети услуги, като Facebook (47), Yandex (13) и VK (11). 37 програми разкриват на трети услуги идентификатори на устройства, 23 — IP адреси, 61 — уникални идентификатори за проследяване. 19 приложения изпращат телеметрия с информация за устройството и системата на сървъри на VPN доставчика, а 56 — до трети услуги, като Google (39), Facebook (17) и Yandex (9).
  
• В 19 приложения при проверка в сервиза VirusTotal, използващ над 70 антивируса, е установено злонамерено софтуер. В 18 приложения е открита свързаност с домейни, а в 13 с IP адреси, добавени в черни списъци на злонамерени хостове и адреси.
• В 93 приложения е установено разминаване между декларираните етикети за спазване на конфиденциалността и фактическото състояние. 75 приложения
  неверно информираха за методите на събиране на данни за потребителите, 64 — за изпращане на данни до трети услуги, 32 — за използваните методи за осигуряване на сигурност. От 65 приложения с етикет 'No Data Sharing' само 20 не допускаха изпращане на данни до трети услуги, а от 32 приложения с етикет 'No Data Collection' само две отговаряха на свързаните с тях изисквания.

Източник: opennet.ru