২৮১টি ভিপিএন অ্যাপ্লিকেশনের নিরাপত্তা বিশ্লেষণ Android

মিশিগান বিশ্ববিদ্যালয়ের গবেষকরা তথ্য ফাঁস শনাক্তকরণ এবং ভিপিএন-এর কার্যকারিতা বিশ্লেষণের জন্য MVPNalyzer নামক একটি টুল তৈরি করেছেন এবং প্ল্যাটফর্মটির জন্য ২৮১টি ভিপিএন অ্যাপ্লিকেশন পরীক্ষা করতে এটি ব্যবহার করেছেন। Androidগবেষণার জন্য গুগল প্লে-এর মাধ্যমে বিতরণ করা সবচেয়ে জনপ্রিয় ভিপিএন অ্যাপগুলো নির্বাচন করা হয়েছিল। বিভিন্ন নিরাপত্তা ও গোপনীয়তার সমস্যাযুক্ত ভিপিএন অ্যাপগুলো সম্মিলিতভাবে ২.৪ বিলিয়ন বার ইনস্টল করা হয়েছে। মূল ফলাফল:

• প্রতিষ্ঠিত টানেলের বাইরে এনক্রিপ্টবিহীন ডেটা স্থানান্তর ৬১টি অ্যাপে (২২%) শনাক্ত করা হয়েছে। এই বিভাগের বেশিরভাগ অ্যাপই জনপ্রিয়, যেগুলোর গড় ইনস্টল সংখ্যা ১১ মিলিয়ন। অবস্থান নির্ধারণের জন্য আঠারোটি অ্যাপ সরাসরি ip-api.com পরিষেবাতে কল করেছিল। আইপি ঠিকানা ক্লায়েন্ট।

  পাঁচটি ক্ষেত্রে, ভিপিএন সার্ভার সংযোগের প্যারামিটার সম্বলিত কনফিগারেশন ফাইলগুলো এনক্রিপশন ছাড়াই ক্লায়েন্টের কাছে পাঠানো হয়েছিল। গবেষকরা একটি পরীক্ষা চালিয়ে ম্যান-ইন-দ্য-মিডল অ্যাটাকের সম্ভাবনা নিশ্চিত করেছেন, যার ফলে ট্র্যাফিককে নিজের সার্ভারেই পুনঃনির্দেশিত করা সম্ভব হয়। সার্ভার, যার মাধ্যমে ভুক্তভোগীর যোগাযোগ চ্যানেল আটকানো যায়, উদাহরণস্বরূপ, আক্রমণকারীর দ্বারা নিয়ন্ত্রিত কোনো পাবলিক ওয়্যারলেস নেটওয়ার্কের সাথে সংযুক্ত চ্যানেল। সমস্যাযুক্ত অ্যাপ্লিকেশনসমূহ (শনাক্ত সমস্যাযুক্ত সমস্ত অ্যাপ্লিকেশনের একটি সম্পূর্ণ তালিকা পিডিএফ প্রতিবেদনের ১৭ পৃষ্ঠায় দেওয়া আছে):

  • BambooVPN: টার্বো ফাস্ট ভিপিএন (free.vpn.unblock.proxy.bamboovpn);
  • ভিপিএন প্রো (com.nebulatech.voocvpnpro);
  • ফ্রি ভিপিএন (com.appoxide.freevpn);
  • হেক্সা ভিপিএন (com.secure.vpn.proxy);
  • 101 VPN (com.shwe.vpn101).

  গবেষকরা এই অ্যাপগুলোর ডেভেলপারদের সমস্যাগুলো সম্পর্কে অবহিত করেন এবং কিছু সময় পর সর্বশেষ সংস্করণগুলো পুনরায় পরীক্ষা করেন, যাতে দেখা যায় যে শুধুমাত্র দুটি অ্যাপ—ভিপিএন প্রো এবং হেক্সা ভিপিএন-এ দুর্বলতাটি সমাধান করা হয়েছে।
• উনত্রিশটি অ্যাপ (১০%) প্রতিষ্ঠিত টানেলের বাইরে ট্র্যাফিক ফাঁস করেছে। ৩৬ কোটি ইনস্টলসহ চব্বিশটি অ্যাপ সরাসরি ডিএনএস অনুরোধের কারণে ভিজিট করা ওয়েবসাইট সম্পর্কিত তথ্য ফাঁস করেছে (এর মধ্যে ২০টি স্থানীয় রিজলভারের মাধ্যমে এবং ছয়টি গুগল, ক্লাউডফ্লেয়ার, আলিডিএনএস ও ডিএনএসপড-এর মতো পাবলিক ডিএনএস পরিষেবার মাধ্যমে ডিএনএস অনুরোধ পাঠিয়েছে)। ৫ কোটি ৪০ লক্ষ ইনস্টলসহ ছয়টি অ্যাপকে টানেলের বাইরে ওয়েব ব্রাউজার-সম্পর্কিত ট্র্যাফিক পাঠাতে দেখা গেছে। চারটি অ্যাপ একটি এনক্রিপ্টবিহীন টানেলের মাধ্যমে ডেটা প্রেরণ করেছে।
• ১৬৯টি অ্যাপ (৬০%) ট্র্যাফিক অবফাসকেশন ব্যবহার করেনি, বরং সাধারণ ট্র্যাফিক প্রবাহে নিরীক্ষিত স্ট্যান্ডার্ড নেটওয়ার্ক পোর্ট এবং প্রোটোকল ব্যবহার করেছে। এই আচরণ ব্যবহারকারীদের প্রত্যাশার পরিপন্থী—গত বছর পরিচালিত একটি সমীক্ষা অনুসারে, ৮২% ভিপিএন ব্যবহারকারী বিশ্বাস করেন যে ভিপিএন তাদের পরিচয় গোপন রাখে।
• ৭৬টি অ্যাপ (২৭%) ডিভাইস-নির্দিষ্ট AAID প্রেরণ করেছে (Android অ্যাডভার্টাইজিং আইডি (Advertising ID) ডিভাইস এবং ব্যবহারকারীদের ট্র্যাক করার সুযোগ দেয়। ২৪৬টি অ্যাপ (৮৭%) পরিচিত বিজ্ঞাপন নেটওয়ার্ক এবং ব্যবহারকারী ট্র্যাকিং পরিষেবা অ্যাক্সেস করতে দেখা গেছে (মোট ৩,৭১৪টি ভিন্ন ইউআরএল ব্যবহৃত হয়েছিল)। একটি অ্যাপ ডিভাইসটির সুনির্দিষ্ট জিপিএস স্থানাঙ্ক পাঠিয়েছিল।
• ১০৭টি অ্যাপ (৩৮%) এমন সেটিংস ব্যবহার করেছে যা সর্বোত্তম স্তরের নিরাপত্তা প্রদান করে না। মোট ৪০ মিলিয়ন ইনস্টল সহ বিশটি অ্যাপ অনিরাপদ এনক্রিপশন পদ্ধতি ব্যবহার করেছে। মোট ৭২৮ মিলিয়ন ইনস্টল সহ ছিয়ানব্বইটি অ্যাপ দুর্বল প্রমাণীকরণ ব্যবস্থা ব্যবহার করেছে।

  সেটিংসে ৩টি অ্যাপে OpenVPN ‘data-ciphers’ প্যারামিটারটি ‘none’ এ সেট করা ছিল, যার ফলে এনক্রিপশন ছাড়াই যোগাযোগ চ্যানেল স্থাপন করা যেত। ৮টি অ্যাপ্লিকেশনে, ‘cipher’ প্যারামিটারটি ‘none’ এ সেট করা ছিল, যা ব্যবহারের সময় এনক্রিপশন নিষ্ক্রিয় করে দিত। OpenVPN ২.৪ এবং তার পূর্ববর্তী সংস্করণ। ১২টি অ্যাপ্লিকেশন অপ্রচলিত নির্দেশাবলী ব্যবহার করেছিল। ৬১টি অ্যাপ্লিকেশনের কনফিগারেশনে অপ্রচলিত নির্দেশাবলী ছিল। OpenVPN পরিচিত আক্রমণ পদ্ধতিগুলো বন্ধ করার নির্দেশনা অন্তর্ভুক্ত করা হয়নি।

উত্স: opennet.ru