Forscher der Universität Michigan haben das Werkzeug MVPNalyzer entwickelt, um Datenlecks zu identifizieren und die Funktionsweise von VPNs zu analysieren. Damit wurden 281 VPN-Anwendungen für die Android-Plattform getestet. Für die Untersuchung wurden die beliebtesten VPN-Anwendungen ausgewählt, die über den Google Play-Katalog verbreitet werden. VPN-Anwendungen, bei denen verschiedene Sicherheits- und Datenschutzprobleme festgestellt wurden, haben insgesamt 2,4 Milliarden Installationen. Die wichtigsten Ergebnisse:
- In 61 Anwendungen (22 %) wurde eine Datenübertragung ohne Verwendung von Verschlüsselung festgestellt, die außerhalb des festgelegten Tunnels stattfand. Die meisten Anwendungen in dieser Kategorie sind populär und verzeichnen im Durchschnitt 11 Millionen Installationen. In 18 Anwendungen erfolgte ein direkter Zugriff auf den Dienst ip-api.com zur Bestimmung des Standorts anhand IP-Adresse des Kunden.
In 5 Fällen wurden Konfigurationsdateien ohne Verschlüsselung an den Kunden übermittelt, die Verbindungsparameter zum VPN-Server enthielten. Die Forscher führten ein Experiment durch und bestätigten die Möglichkeit eines MITM-Angriffs, der es ermöglicht, den Datenverkehr auf ihren Server, wobei sie in den Kommunikationskanal des Opfers eindringen könnten, beispielsweise wenn sich das Opfer mit einem öffentlichen WLAN verbindet, das unter Kontrolle des Angreifers steht. Die problematischen Anwendungen (eine vollständige Liste aller Anwendungen, in denen Probleme festgestellt wurden, ist auf Seite 17 des PDF-Berichts aufgeführt):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Free VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
Die Forscher informierten die Entwickler dieser Anwendungen über die Probleme und führten nach einiger Zeit eine erneute Überprüfung der neuesten Versionen durch, die zeigte, dass die Schwachstelle nur in zwei Anwendungen – VPN Pro und Hexa VPN – behoben wurde.
- Bei 29 Anwendungen (10 %) tritt ein Datenleak außerhalb des festgelegten Tunnels auf. In 24 Anwendungen mit insgesamt 360 Millionen Installationen kam es zu einem Leck von Informationen über besuchte Websites aufgrund der direkten Übermittlung von DNS-Anfragen (20 von ihnen sendeten DNS-Anfragen über lokale Resolver, und 6 über öffentliche DNS-Dienste wie Google, Cloudflare, AliDNS und DNSPod). In 6 Anwendungen mit 54 Millionen Installationen wurde das Senden von Datenverkehr außerhalb des Tunnels festgestellt, das mit der Nutzung des Webbrowsers des Benutzers verbunden war. In 4 Anwendungen wurden Daten über einen unverschlüsselten Tunnel übertragen.
- In 169 Anwendungen (60%) wurde keine Verkehrsoffusierung angewendet, es wurden gängige Netzwerkports und allgemein überwachte Protokolle verwendet. Ein solches Verhalten weicht den Erwartungen der Nutzer ab — gemäß einer Umfrage aus dem letzten Jahr glauben 82% der VPN-Nutzer, dass VPN ihnen Anonymität gewährt.
- In 76 Anwendungen (27%) wurden gerätespezifische Identifikatoren AAID (Android Advertising ID) übertragen, die es ermöglichen, Geräte und Nutzer zu verfolgen. In 246 Anwendungen (87%) wurde auf bekannte Werbenetzwerke und Nutzerdatenverfolgungsdienste zugegriffen (insgesamt wurden Anfragen an 3714 verschiedene URLs registriert). Eine Anwendung übermittelte präzise GPS-Koordinaten des Geräts.
- In 107 Anwendungen (38%) wurden Einstellungen verwendet, die kein optimales Sicherheitsniveau gewährleisten. In 20 Anwendungen mit insgesamt 40 Millionen Installationen wurden unsichere Verschlüsselungsmethoden eingesetzt. In 96 Anwendungen mit insgesamt 728 Millionen Installationen wurden unzuverlässige Authentifizierungsmechanismen verwendet.
In 3 Anwendungen war in den OpenVPN-Einstellungen der Parameter data-ciphers auf „none“ gesetzt, was die Einrichtung von Verbindungen ohne Verschlüsselung zulässt. In 8 Anwendungen war der Parameter „cipher“ auf „none“ gesetzt, wodurch die Verschlüsselung bei der Verwendung von OpenVPN 2.4 und früheren Versionen deaktiviert wurde. In 12 Anwendungen wurden als veraltet deklarierte Direktiven verwendet. In 61 Anwendungen wurden in der OpenVPN-Konfiguration keine Direktiven zur Blockierung bekannter Angriffsarten aktiviert.
Quelle: opennet.ru
