🥇Анализ на сигурността на 100 безплатни VPN приложения за платформата Android

Издание Top10VPN, занимаващо се с рецензиране и проверка на VPN услуги, проведе тестове на 100 от най-популярните безплатни VPN приложения за платформата Android, които общо имат над 2.5 милиарда инсталации (за проверката бяха избрани 100 безплатни VPN приложения, които имат най-много изтегляния в каталога на Google Play). Основни изводи:

88 от тестваните приложения имат различни проблеми, водещи до изтичане на информация. В 83 приложения изтичанията са възникнали заради използването на външни DNS сървъри (не на доставчика), например в 40 случая е използван DNS на Google, а в 14 — на Cloudflare. В 79 приложения не е изключена възможността за изпращане на трафика извън VPN. VPNВ 17 приложения са открити няколко типа изтичания (разкриване на истинските IPv4 и IPv6 адреси на потребителя, изтичания през DNS и WebRTC).
В 11 приложения е открито използване на остарели генератори на псевдослучайни числа. В едно от приложенията не е използвано криптиране на трафика. В 35 приложения са използвани остарели криптографски алгоритми (в само 20 програми са приложени надеждни методи за хеширане). В 23 приложения, при създаването на VPN тунел за достъп до външен сървър, е допуснато използването на стари версии на TLS (по-стари от TLSv3), а в 6 приложения е използван SSLv2.
В 69 програми се изискват излишни привилегии, например 20 приложения изискват достъп до данни за местоположение (ACCESS_*_LOCATION), 46 — до списъка с инсталирани приложения (QUERY_ALL_PACKAGES), 9 — достъп до състоянието на телефона (READ_PHONE_STATE, между другото позволи да се разбере IMEI и IMSI), 82 — изискват уникални идентификатори за идентификация в рекламни мрежи (ACCESS_ADVERTISEMENTS_ID), 10 — се опитват да получат достъп до камерата.
В 53 приложения е установено използване на външни проприетарни функции, например 13 програми са използвали код за проследяване на местоположението, 31 — за получаване на идентификатори за рекламни мрежи, 22 — за проверка на други инсталирани приложения.
80 програми използват външни библиотеки, сред които 15 използват библиотеки на компаниите Bytedance (TikTok), а 11 — библиотеки на Yandex.
84 приложения съдържат компоненти на SDK от маркетингови платформи или социални мрежи, като 16 приложения включват 10 и повече подобни компонента.
В 32 приложения са открити искания за достъп до хардуерни функции и сензори, които могат да нарушат конфиденциалността. Например, 15 приложения имат достъп до камерата, 7 — до микрофона, а 14 — до механизми за определяне на местоположението, като GPS, 14 — до сензори (гироскоп, сензор за наближаване и т.н.).
71 приложение е изпращало лични данни към външни услуги, като Facebook (47), Yandex (13) и VK (11). 37 приложения разкриха на външни услуги идентификатори на устройства, 23 — IP адреси, 61 — уникални идентификатори за проследяване. 19 приложения изпращаха телеметрия с информация за устройството и системата на сървъри на VPN доставчици, а 56 — към външни услуги, като Google (39), Facebook (17) и Yandex (9).
В 19 приложения при проверка в сървиса VirusTotal, който използва над 70 антивирусни програми, беше открито злонамерено софтуер. В 18 приложения е установен достъп до домейни, а в 13 — до IP адреси, включени в черни списъци на злонамерени хостове и адреси.
В 93 приложения беше установено разминаване между декларираните етикети за спазване на конфиденциалността и фактическото състояние. 75 приложения
неверно информираха за методите на събиране на данни за потребителя, 64 — за изпращането на данни на външни услуги, 32 — за използваните методи за осигуряване на сигурност. От 65 приложения с етикет "No Data Sharing", само 20 не допускаха изпращане на данни на външни услуги, а от 32 приложения с етикет "No Data Collection" само две отговаряха на свързаните с тях изисквания.

Източник: opennet.ru