Die Top10VPN-Ausgabe, die VPN-Dienste bewertet und überprüft, hat 100 der beliebtesten kostenlosen VPN-Apps für die Android-Plattform getestet, die insgesamt über 2,5 Milliarden Installationen zählen (es wurden die 100 kostenlosen VPN-Apps ausgewählt, die im Google Play-Katalog die meisten Downloads verzeichneten). Die wichtigsten Ergebnisse:
- 88 der getesteten Programme haben verschiedene Probleme, die zu Datenlecks führen. Bei 83 Apps traten Lecks aufgrund der Verwendung von externen DNS-Servern auf (nicht den Servern des VPNAnbieters), beispielsweise in 40 Fällen wurde der DNS von Google verwendet, in 14 Fällen von Cloudflare. In 79 Apps wurde die Möglichkeit, den Datenverkehr am VPN vorbei zu leiten, nicht ausgeschlossen. In 17 Apps wurden mehrere Arten von Lecks festgestellt (Offenlegung der ursprünglichen IPv4- und IPv6-Adressen des Benutzers, Lecks über DNS und WebRTC).
- In 11 Anwendungen wurde die Verwendung veralteter Pseudozufallszahlengeneratoren festgestellt. In einer der Anwendungen wurde überhaupt keine Verschlüsselung des Datenverkehrs verwendet. In 35 Anwendungen kamen nicht aktuelle Krypto-Algorithmen zum Einsatz (nur in 20 Programmen wurden zuverlässige Hash-Verfahren angewendet). In 23 Anwendungen wurde während der Erstellung eines VPN-Tunnels zum Zugriff auf einen externen Server die Verwendung älterer TLS-Versionen (älter als TLSv3) erlaubt, und in 6 Anwendungen wurde SSLv2 verwendet.
- In 69 Programmen wurden übermäßige Berechtigungen angefordert, beispielsweise benötigten 20 Anwendungen Zugriff auf Standortdaten (ACCESS_*_LOCATION), 46 auf die Liste der installierten Programme (QUERY_ALL_PACKAGES), 9 auf den Telefonstatus (READ_PHONE_STATE, ermöglicht unter anderem das Abfragen von IMEI und IMSI), 82 forderten einzigartige Identifikatoren zur Identifizierung in Werbenetzwerken (ACCESS_ADVERTISEMENTS_ID) an, und 10 versuchten auf die Kamera zuzugreifen.
- In 53 Anwendungen wurde die Verwendung von Drittanbieter-Proprietärfunktionen festgestellt, wobei zum Beispiel 13 Programme Code zur Standortverfolgung und 31 zur Erfassung von Identifikatoren für Werbenetzwerke verwendeten.
80 Programme nutzten externe Bibliotheken, darunter 15, die Bibliotheken von Bytedance (TikTok) und 11, die Bibliotheken von Yandex verwendeten. - 84 Anwendungen enthielten SDK-Komponenten von Marketingplattformen oder sozialen Netzwerken, wobei 16 Anwendungen 10 oder mehr solcher Komponenten beinhalteten.
- In 32 Anwendungen wurde der Zugriff auf Hardwarefunktionen und Sensoren festgestellt, die die Privatsphäre gefährden können. So greifen beispielsweise 15 Anwendungen auf die Kamera zu, 7 auf das Mikrofon und 14 auf Standortbestimmungssysteme wie GPS sowie 14 auf Sensoren (Gyroskop, Näherungssensor usw.).
- 71 Anwendungen übermittelten persönliche Daten an Drittanbieterdienste wie Facebook (47), Yandex (13) und VK (11). 37 Programme gaben Drittanbieterdiensten Geräteidentifikatoren preis, 23 — IP-Adressen, 61 — einzigartige Identifikatoren zur Verfolgung. 19 Anwendungen sendeten Telemetrie mit Informationen über Gerät und System an die Server des VPN-Anbieters, während 56 an Drittanbieter-Dienste wie Google (39), Facebook (17) und Yandex (9) sendeten.
- Bei 19 Anwendungen wurde durch den Dienst VirusTotal, der über 70 Antivirenprogramme nutzt, Malware identifiziert. Bei 18 Anwendungen wurde eine Verbindung zu Domains festgestellt, und bei 13 zu IP-Adressen, die auf den schwarzen Listen von schädlichen Hosts und Adressen stehen.
- In 93 Anwendungen gab es Diskrepanzen zwischen den angegebenen Datenschutzkennzeichnungen und dem tatsächlichen Zustand. 75 Anwendungen
informierten falsch über die Methoden zur Datensammlung der Nutzer, 64 über die Datenübermittlung an Drittanbieter, 32 über die verwendeten Sicherheitsmethoden. Von 65 Anwendungen mit der Kennzeichnung „No Data Sharing“ erlaubten nur 20 die Datenübermittlung an Drittanbieter, und von 32 Anwendungen mit der Kennzeichnung „No Data Collection“ erfüllten lediglich zwei die damit verbundenen Anforderungen.
Quelle: opennet.ru
