Tasuta VPN-rakenduste turvaanalüüs Androidi platvormile

Top10VPN väljaanne, mis tegeleb VPN-teenuste arvustamise ja kontrollimisega, viis läbi testimise 100 kõige populaarsema tasuta VPN-rakenduse seas Androidi platvormil, mille koguarv ületab 2,5 miljardi installi (katse tehti 100 tasuta VPN-rakenduse põhjal, millel on Google Play kataloogis registreeritud suurim allalaadimiste arv). Peamised järeldused:

• 88 testitud rakendusel esinevad erinevad probleemid, mis võivad põhjustada teabe leket. 83 rakenduses esines lekkeid, kuna need pöördusid kolmandate osapoolte DNS-serverite poole (mitte teenusepakkuja serverite poole), näiteks 40 juhul kasutati Google'i DNS-i ja 14 juhul Cloudflare'i. 79 rakenduses ei olnud välistatud võimalus saata liiklust VPN-ist mööda. 17 rakenduses tuvastati mitmeid lekke tüüpe (kasutaja algsete IPv4 ja IPv6 aadresside avalikustamine, lekkeid DNS-i ja WebRTC kaudu). VPN-pakkujate) näiteks kasutati 40 juhtumil Google DNS-i ja 14 juhtumil Cloudflare'i. 79 rakenduses ei olnud välistatud võimalust edastada liiklust VPN-ist mööda. 17 rakenduses tuvastati samal ajal mitu leket (kasutaja algsete IPv4 ja IPv6 aadresside avalikustamine, leeked DNS-i ja WebRTC kaudu).
• 11 rakenduses leiti vananenud juhuslike arvude generaatorite kasutamine. Ühes rakenduses ei kasutatud krüpteerimist üldse. 35 rakenduses kasutati aegunud krüptoalgoritme (ainult 20 programmis rakendati usaldusväärseid räsi meetodeid). 23 rakenduses VPN-tunneli loomise etapis lubati vanade TLS-versioonide (vanemad kui TLSv3) kasutamine ning 6 rakenduses kasutati SSLv2.
• 69 programmis nõuti liigseid volitusi; näiteks 20 rakendust nõudsid ligipääsu asukohandmetele (ACCESS_*_LOCATION), 46 – installitud programmide loetellu (QUERY_ALL_PACKAGES), 9 – telefon staatuse lugemise juurdepääsu (READ_PHONE_STATE, mis muu hulgas võimaldab saada teada IMEI ja IMSI), 82 – nõudsid unikaalseid identifikaatoreid reklaamivõrkudes (ACCESS_ADVERTISEMENTS_ID), 10 – püüdsid pääseda kaamerale.
• 53 rakenduses leiti kolmandate osapoolte omandi õiguste kasutamist, näiteks 13 programmi kasutas asukoha jälgimise koodi, 31 - reklaamivõrkude identifikaatorite hankimiseks, 22 - teiste installitud rakenduste kontrollimiseks.
  80 programmi kasutas kolmandate osapoolte raamatukogusid, neist 15 kasutas Bytedance (TikTok) raamatukogusid ja 11 Yandexi raamatukogusid.
• 84 rakendust sisaldas turundusplatvormide või sotsiaalmeedia SDK komponente, kusjuures 16 rakendust sisaldas 10 või enamat sarnast komponenti.
• 32 rakenduses leiti, et on juurdepääs riistvarale ja sensoritele, mis võivad põhjustada privaatsuse rikkumist. Näiteks pääseb 15 rakendust kaamerale, 7 mikrofonile ning 14 asukoha määramise mehhanismidele, nagu GPS, 14 sensoritele (näiteks güroskoop, lähenemisandur jm).
• 71 rakendus saatis isikuandmeid kolmandate osapoolte teenustesse, nagu Facebook (47), Yandex (13) ja VK (11). 37 programmi avaldas kolmandatele teenustele seadme identifikaatoreid, 23 - IP-aadressid, 61 — unikaalsed jälgimistunnused. 19 rakendust saatis telemeetria andmeid seadme ja süsteemi kohta VPN-teenuse pakkuja serveritesse ning 56 — kolmandate osapoolte teenustesse, nagu Google (39), Facebook (17) ja Yandex (9).
  
• 19 rakenduses tuvastati kahjulik tarkvara, kui kontrolliti teenuses VirusTotal, mis kasutab rohkem kui 70 viirusetõrjet. 18 rakenduses tuvastati ühendus domeenidega ja 13 — IP-aadressidega, mis on mustadesse loenditesse kantud kahjulike hostide ja aadresside.
• 93 rakenduses tuvastati avaldatud privaatsuse järgimise siltide ja tegeliku seisukorra vahelised lahknevused. 75 rakendust
  valetasid kasutaja andmete kogumise meetodite kohta, 64 — kolmandatele teenustele andmete edastamise kohta, 32 — kasutatavate turvameetodite kohta. 65 rakendusest, millel oli silt «No Data Sharing», ei luba ainult 20 andmete edastamist kolmandatele teenustele, ja 32 rakendusest, millel oli silt «No Data Collection», vastas ainult kaks seotud nõuetele.

Allikas: opennet.ru