Анализ на сигурност 281 VPN-приложение за Android

Изследователи от Университета в Мичиган разработиха инструмента MVPNalyzer за идентифициране на изтичания на информация и анализ на работата на VPN, и провериха 281 VPN-приложение за платформата Android. За изследването бяха избрани най-популярните VPN-приложения, разпространявани през каталога на Google Play. VPN-приложенията, в които бяха установени проблеми с сигурността и поверителността, общо имат 2.4 милиарда инсталации. Основните заключения:

• При 61 приложение (22%) беше установен пренос на данни без използване на шифриране, извършван извън установения тунел. Повечето приложения от тази категория са популярни и средно имат 11 млн инсталации. В 18 приложения имаше директен достъп до услугата ip-api.com за определяне на местоположението по IP-адресу клиента.

  В 5 случая без шифроване на клиента се предаваха конфигурационни файлове, съдържащи параметри за свързване с VPN-сървъра. Изследователите проведоха експеримент и потвърдиха възможността за MITM атака, позволяваща пренасочване на трафика на своя сървър, имайки възможност да се намесват в канала на връзката на жертвата, например, свързала се с контролирана от атакуващия публична безжична мрежа. Проблемните приложения (пълният списък на всички приложения, в които са установени проблеми, е представен на 17 страница от PDF-отчета):

  • BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
  • VPN Pro (com.nebulatech.voocvpnpro);
  • Free VPN (com.appoxide.freevpn);
  • Hexa VPN (com.secure.vpn.proxy);
  • 101 VPN (com.shwe.vpn101).

  Изследователите уведомиха авторите на тези приложения за проблемите и след известно време направиха повторна проверка на най-новите версии, която показа, че уязвимостта е отстранена само в две приложения — VPN Pro и Hexa VPN.
• При работата на 29 приложения (10%) възниква изтичане на трафик извън установения тунел. В 24 приложения, с общо 360 млн инсталации, се наблюдаваше изтичане на информация относно посещаваните сайтове заради директно изпращане на DNS-запитвания (20 изпращат DNS-запитвания чрез локален резолвер, а 6 чрез публични DNS услуги на Google, Cloudflare, AliDNS и DNSPod). В 6 приложения, с 54 млн инсталации, беше установено изпращане на трафик извън тунела, свързан с работата на потребителя в уеб браузър. В 4 приложения данните се предават през нешифрован тунел.
• В 169 приложения (60%) не е приложено затъмняване на трафика, използвани са стандартни мрежови портове и следени в общия поток протоколи. Такова поведение е в разрез с очакванията на потребителите — според проучване, проведено миналата година, 82% от потребителите на VPN смятат, че VPN им осигурява анонимност.
• В 76 приложения (27%) са предавани уникални за устройствата идентификатори AAID (Android Advertising ID), позволяващи проследяване на устройства и потребители. В 246 приложения (87%) е установен достъп до известни рекламни мрежи и услуги за проследяване на потребители (общо е установен достъп до 3714 различни URL адреса). Едно приложение е изпращало точни GPS координати на устройството.
• В 107 приложения (38%) са били използвани настройки, които не осигуряват оптимално ниво на сигурност. В 20 приложения, които общо имат 40 млн. инсталации, са били използвани ненадеждни методи на криптиране. В 96 приложения, с общо 728 млн. инсталации, са били използвани ненадеждни механизми за удостоверяване.

  В 3 приложения в настройките на OpenVPN параметърът data-ciphers е бил зададен на „none“, допускащ установяването на комуникационни канали без криптиране. В 8 приложения параметърът „cipher“ е бил зададен на „none“, деактивирайки криптирането при използването на OpenVPN 2.4 и по-стари версии. В 12 приложения са били използвани директиви, обявени за остарели. В 61 приложение в конфигурацията на OpenVPN не са били включени директиви за блокиране на известни методи на атака.

Източник: opennet.ru