Forscher der Universität Michigan haben das Tool MVPNalyzer entwickelt, um Datenlecks zu identifizieren und die Leistung von VPNs zu analysieren. Dabei wurden 281 VPN-Anwendungen für die Android-Plattform getestet. Die Auswahl umfasste die beliebtesten VPN-Apps, die über den Google Play-Katalog vertrieben werden. VPN-Anwendungen, die verschiedene Sicherheits- und Datenschutzprobleme aufwiesen, haben insgesamt 2,4 Milliarden Installationen. Die wichtigsten Ergebnisse:
- In 61 Anwendungen (22%) wurde eine Datenübertragung ohne Verschlüsselung festgestellt, die außerhalb des festgelegten Tunnels erfolgt. Die meisten Anwendungen aus dieser Kategorie sind populär und haben im Durchschnitt 11 Millionen Installationen. In 18 Anwendungen wurde direkt auf den Dienst ip-api.com zugegriffen, um den Standort zu bestimmen. die IP-Adresse gebunden sind des Kunden.
In 5 Fällen wurden unverschlüsselt Konfigurationsdateien an den Kunden übermittelt, die Parameter für die Verbindung zum VPN-Server enthielten. Die Forscher führten ein Experiment durch und bestätigten die Möglichkeit eines MITM-Angriffs, der es ermöglicht, den Verkehr auf ihren eigenen der Server, zu leiten, wobei sie in den Kommunikationskanal des Opfers eindringen konnten, beispielsweise wenn dieses sich mit einem öffentlichen WLAN-Netzwerk verbunden hat, das unter Kontrolle des Angreifers steht. Die problematischen Anwendungen (eine vollständige Liste aller Anwendungen mit Problemen ist auf Seite 17 des PDF-Berichts angegeben):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Free VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
Forscher haben die Entwickler dieser Anwendungen auf Probleme hingewiesen und nach einiger Zeit eine erneute Prüfung der neuesten Versionen durchgeführt, die gezeigt hat, dass die Schwachstelle nur in zwei Anwendungen – VPN Pro und Hexa VPN – behoben wurde.
- Bei der Nutzung von 29 Anwendungen (10%) tritt ein Datenleck außerhalb des etablierten Tunnels auf. In 24 Anwendungen, die insgesamt 360 Millionen Installationen verzeichneten, kam es zu einem Leak von Informationen über besuchte Websites aufgrund direkter DNS-Anfragen (20 Anwendungen sendeten DNS-Anfragen über den lokalen Resolver, während 6 über öffentliche DNS-Dienste wie Google, Cloudflare, AliDNS und DNSPod gingen). In 6 Anwendungen mit insgesamt 54 Millionen Installationen wurde der Datenverkehr, der mit der Nutzung des Webbrowsers des Nutzers zusammenhängt, außerhalb des Tunnels gesendet. In 4 Anwendungen wurden Daten über einen unverschlüsselten Tunnel übertragen.
- In 169 Anwendungen (60%) wurde keine Verkehrsoffuscierung angewendet, es wurden Standard-Netzwerkports und allgemein nachvollziehbare Protokolle verwendet. Dieses Verhalten entspricht nicht den Erwartungen der Nutzer – laut einer Umfrage aus dem vergangenen Jahr sind 82% der VPN-Nutzer der Meinung, dass ein VPN ihnen Anonymität bietet.
- In 76 Anwendungen (27%) wurden gerätespezifische AAID (Android Advertising ID) übertragen, die die Nachverfolgung von Geräten und Nutzern ermöglichen. In 246 Anwendungen (87%) wurde auf bekannte Werbenetzwerke und Nutzerverfolgungsdienste zugegriffen (insgesamt wurden 3714 verschiedene URLs registriert). Eine Anwendung sendete präzise GPS-Koordinaten des Geräts.
- In 107 Anwendungen (38%) wurden Einstellungen verwendet, die keinen optimalen Sicherheitslevel gewährleisten. In 20 Anwendungen mit insgesamt 40 Millionen Installationen wurden unsichere Verschlüsselungsmethoden angewendet. In 96 Anwendungen mit 728 Millionen Installationen wurden unzuverlässige Authentifizierungsmechanismen verwendet.
In 3 Anwendungen war in den OpenVPN-Einstellungen der Parameter data-ciphers auf "none" gesetzt, was die Einrichtung von Verbindungen ohne Verschlüsselung erlaubt. In 8 Anwendungen wurde der Parameter "cipher" auf "none" gesetzt, was die Verschlüsselung bei Verwendung von OpenVPN 2.4 und früheren Versionen deaktiviert. In 12 Anwendungen wurden Direktiven verwendet, die als veraltet gelten. In 61 Anwendungen waren die Direktiven zur Blockierung bekannter Angriffsarten in der OpenVPN-Konfiguration nicht aktiviert.
Quelle: opennet.ru
