Анализ на сигурността на 281 VPN приложения за Android.

Изследователи от Университета на Мичиган разработиха инструмента MVPNalyzer за откритие на изтичания на информация и анализ на работата на VPN и провериха 281 VPN приложение за платформата Android. За проучването бяха избрани най-популярните VPN приложения, разпространявани през каталога на Google Play. VPN приложенията, в които бяха установени различни проблеми със сигурността и личната информация, в сумата сумарно достигат 2.4 милиарда инсталации. Основни изводи:

• В 61 приложение (22%) беше установено предаване на данни без използване на криптиране, извършващо се извън установения тунел. Повечето приложения от тази категория са популярни и в средно имат 11 милиона инсталации. В 18 приложения се е извършвало директно обаждане до услугата ip-api.com за определяне на местоположението по IP адрес клиента.

  В 5 случая без криптиране на клиента са били предавани конфигурационни файлове, съдържащи параметри за свързване с VPN сървъра. Изследователите проведоха експеримент и потвърдиха възможността за провеждане на MITM атака, позволяваща пренасочване на трафика на своя сървър, имайки възможността да се намеси в комуникационния канал на жертвата, например, свързала се с контролирана от атакуващия публична безжична мрежа. Проблемите приложения (пълен списък на всички приложения, в които са установени проблеми, се предоставя на 17 страница от PDF отчета):

  • BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
  • VPN Pro (com.nebulatech.voocvpnpro);
  • Free VPN (com.appoxide.freevpn);
  • Hexa VPN (com.secure.vpn.proxy);
  • 101 VPN (com.shwe.vpn101).

  Изследователите уведомиха за проблемите авторите на тези приложения и след известно време проведоха последваща проверка на най-новите версии, която показа, че уязвимостта е отстранена само в две приложения — VPN Pro и Hexa VPN.
• При работа на 29 приложения (10%) се появи изтичане на трафик извън установения тунел. В 24 приложения, които имат 360 милиона инсталации, се наблюдаваше изтичане на информация за посещавани сайтове поради пряко изпращане на DNS запитвания (20 изпращаха DNS запитвания през локален резолвер, а 6 чрез публични DNS услуги, включително Google, Cloudflare, AliDNS и DNSPod). В 6 приложения, които имат 54 милиона инсталации, беше установена изпращане извън тунела на трафик свързан с действията на потребителя в уеб браузъра. В 4 приложения данните се предаваха през некриптиран тунел.
• В 169 приложения (60%) не е използвана обфускация на трафика, използвани са стандартни мрежови портове и следими в общия поток протоколи. Такова поведение не отговаря на очакванията на потребителите — според проучване, проведено миналата година, 82% от потребителите на VPN смятат, че VPN им осигурява анонимност.
• В 76 приложения (27%) се предаваха уникални за устройствата идентификатори AAID (Android Advertising ID), които позволяват проследяване на устройства и потребители. В 246 приложения (87%) е регистрирано взаимодействие с известни рекламни мрежи и услуги за проследяване на потребители (общо регистрирано взаимодействие по 3714 различни URL адреса). Едно приложение изпрати точни GPS координати на устройството.
• В 107 приложения (38%) бяха приложени настройки, които не осигуряват оптимално ниво на сигурност. В 20 приложения, които общо имат 40 млн. инсталации, бяха използвани несигурни методи за криптиране. В 96 приложения, с общо 728 млн. инсталации, бяха използвани ненадеждни механизми за автентификация.

  В 3 приложения в настройките на OpenVPN параметърът data-ciphers беше зададен на 'none', позволяващ установяване на комуникационни канали без криптиране. В 8 приложения параметърът 'cipher' беше зададен на 'none', деактивирайки криптирането при използването на OpenVPN 2.4 и по-стари версии. В 12 приложения бяха използвани директиви, обявени за остарели. В 61 приложение в конфигурацията на OpenVPN не бяха включени директиви за блокиране на известни методи на атака.

Източник: opennet.ru