Die Top10VPN-Redaktion, die sich mit der Bewertung und Überprüfung von VPN-Diensten beschäftigt, hat 100 der beliebtesten kostenlosen VPN-Anwendungen für die Android-Plattform getestet, die insgesamt über 2,5 Milliarden Installationen zählen (für die Überprüfung wurden 100 kostenlose VPN-Anwendungen ausgewählt, die im Google Play-Katalog die meisten Downloads verzeichneten). Die wichtigsten Ergebnisse:
- 88 der getesteten Anwendungen weisen verschiedene Probleme auf, die zu Informationslecks führen. Bei 83 Anwendungen traten Lecks aufgrund der Verwendung von externen DNS-Servern auf (nicht den Servern des VPN-Anbieters), beispielsweise wurde in 40 Fällen der Google DNS verwendet, und in 14 der Cloudflare. In 79 Anwendungen blieb die Möglichkeit bestehen, den Datenverkehr am VPN vorbei zu leiten. In 17 Anwendungen wurden mehrere Arten von Lecks festgestellt (Offenlegung der ursprünglichen IPv4- und IPv6-Adressen des Benutzers, Lecks über DNS und WebRTC).
- In 11 Anwendungen wurde die Verwendung veralteter Zufallszahlengeneratoren festgestellt. In einer der Anwendungen wurde überhaupt keine Verschlüsselung des Datenverkehrs verwendet. In 35 Anwendungen kamen veraltete Kryptografie-Algorithmen zum Einsatz (nur in 20 Anwendungen wurden zuverlässige Hash-Methoden verwendet). In 23 Anwendungen war es während der Erstellung des VPN-Tunnels zu einem externen Server erlaubt, ältere Versionen von TLS (älter als TLSv3) zu verwenden, und in 6 Anwendungen wurde SSLv2 verwendet.
- In 69 Anwendungen wurden übermäßige Berechtigungen angefordert, zum Beispiel benötigten 20 Anwendungen Zugriff auf Standortdaten (ACCESS_*_LOCATION), 46 auf die Liste der installierten Anwendungen (QUERY_ALL_PACKAGES), 9 auf den Telefonstatus (READ_PHONE_STATE, unter anderem ermöglicht dies die Abfrage von IMEI und IMSI), 82 forderten eindeutige Kennungen zur Identifizierung in Werbenetzwerken (ACCESS_ADVERTISEMENTS_ID), 10 versuchten, auf die Kamera zuzugreifen.
- In 53 Anwendungen wurde die Verwendung von proprietären Funktionen Dritter festgestellt, beispielsweise verwendeten 13 Anwendungen Code zur Standortverfolgung, 31 zur Beschaffung von Identifikatoren für Werbenetzwerke, 22 zur Überprüfung anderer installierter Anwendungen.
80 Anwendungen verwendeten Drittanbieter-Bibliotheken, darunter verwendeten 15 Bibliotheken von Bytedance (TikTok) und 11 Bibliotheken von Yandex. - 84 Anwendungen beinhalteten Komponenten des SDK von Marketingplattformen oder sozialen Netzwerken, wobei 16 Anwendungen 10 oder mehr solcher Komponenten enthielten.
- In 32 Anwendungen wurde der Zugriff auf hardwarebasierte Funktionen und Sensoren festgestellt, die zu einem Verlust der Privatsphäre führen können. Zum Beispiel greifen 15 Anwendungen auf die Kamera zu, 7 auf das Mikrofon und 14 auf Standortbestimmungsmechanismen wie GPS, sowie 14 auf Sensoren (Gyroskop, Näherungssensor usw.).
- 71 Anwendungen sendeten persönliche Daten an Drittanbieter wie Facebook (47), Yandex (13) und VK (11). 37 Programme gaben den Drittanbietern Gerätekennungen weiter, 23 — IP-Adressen, 61 — eindeutige Kennungen zur Nachverfolgung. 19 Anwendungen sendeten Telemetriedaten mit Informationen über das Gerät und das Betriebssystem an die Server von VPN-Anbietern, während 56 an Drittanbieter wie Google (39), Facebook (17) und Yandex (9) sendeten.
- Bei der Überprüfung von 19 Anwendungen im VirusTotal-Dienst, der mehr als 70 Antivirusprogramme verwendet, wurde Malware festgestellt. In 18 Anwendungen wurde eine Verbindung zu Domains hergestellt und in 13 zu IP-Adressen, die in schwarze Listen von bösartigen Hosts und Adressen eingetragen sind.
- In 93 Anwendungen wurde eine Diskrepanz zwischen den angegebenen Datenschutz-Merkmalen und dem tatsächlichen Zustand festgestellt. 75 Anwendungen
informierten falsch über die Methoden der Sammlung von Nutzerdaten, 64 — über die Weitergabe von Daten an Drittanbieter, 32 — über die verwendeten Sicherheitsmethoden. Von 65 Anwendungen mit dem Etikett „No Data Sharing“ erlaubten nur 20 die keine Weitergabe von Daten an Drittanbieter, und von 32 Anwendungen mit dem Etikett „No Data Collection“ erfüllten nur zwei die damit verbundenen Anforderungen.
Quelle: opennet.ru
