100 tasuta VPN-rakenduse turvaanalüüs Android platvormile

Top10VPN, mis hindab ja kontrollib VPN-teenuseid, viis läbi testi 100 kõige populaarsema tasuta VPN-rakenduse kohta Androidi platvormil, mille installide koguarv ületab 2,5 miljardit (testimiseks valiti 100 tasuta VPN-rakendust, millel on Google Play kataloogis kõige rohkem allalaadimisi). Peamised järeldused:

• 88 testitud rakendusest on teatud probleemid, mis võivad viia teabe leketeni. 83 rakenduses toimusid lekked kolmandate osapoolte DNS-serverite tõttu (mitte teenusepakkuja serverid), näiteks 40 juhul kasutati Google'i DNS-i ja 14 juhul Cloudflare'i. 79 rakenduses ei olnud välistatud võimalus edastada liiklust VPN-ist mööda. 17 rakenduses tuvastati mitu lekke tüüpi (kasutaja originaal IPv4 ja IPv6 paljastamine saitidele, lekkeid DNS-i ja WebRTC kaudu). VPN11 rakenduses tuvastati aegunud pseudojuhuslike arvu generaatorite kasutamine. Ühes rakenduses ei olnud liikluse krüpteerimist üldse. 35 rakenduses kasutati vananenud krüptoalgoritme (ainult 20 rakenduses rakendati usaldusväärseid hajutamisviise). 23 rakenduses VPN-tunneli loomise etapis välistati vanade TLS-i versioonide (vanemad kui TLSv3) kasutamine, ning 6 rakenduses kasutati SSLv2.
• 69 rakenduses nõuti ülemääraseid õigusi, näiteks 20 rakendust nõudsid juurdepääsu asukohandmete kohta (ACCESS_*_LOCATION), 46 – installitud rakenduste nimekirja (QUERY_ALL_PACKAGES), 9 – telefoniseisundi lugemist (READ_PHONE_STATE, mis muu hulgas võimaldab teada IMEI ja IMSI), 82 – nõudsid unikaalseid identifikaatoreid reklaamivõrkude jaoks (ACCESS_ADVERTISEMENTS_ID), 10 – püüdsid pääseda kaamerale.
• 53 rakenduses tuvastati kolmandate isikute omanike funktsioonide kasutamine, näiteks 13 rakendust kasutas asukoha jälgimise koodi, 31 – reklaamivõrgustike identifikaatorite hankimise jaoks, 22 – teiste installitud rakenduste kontrollimiseks.
• 80 rakendust kasutas kolmandate osapoolte teeke, millest 15 kasutas Bytedance'i (TikTok) teeke ja 11 – Yandexi teeke.
  84 rakendusse olid integreeritud SDK komponendid turundusplatvormidelt või sotsiaalmeediast, kusjuures 16 rakenduses oli rohkem kui 10 sellist komponenti.
• 84 rakenduses sisaldasid komponentide SDK-d turundusplatvormidelt või sotsiaalmeediast, samas kui 16 rakenduses oli 10 või enamat sellist komponenti.
• 32 rakenduses tuvastati juurdepääs riistvarale ja sensoritele, mis võivad ohustada privaatsust. Näiteks 15 rakendust pääseb ligi kaamerale, 7 mikrofonile ja 14 asukoha määramise mehhanismidele, nagu GPS, 14 sensorile (giroskoop, lähedussensor jne).
• 71 rakendus edastas isikuandmeid kolmandate osapoolte teenustele, nagu Facebook (47), Yandex (13) ja VK (11). 37 programmi jagas kolmandate teenustega seadme identifikaatoreid, 23 — IP-aadressid, 61 — ainulaadseid jälgimisidentifikaatoreid. 19 rakendust edastas telemeetriat seadme ja süsteemi teabega VPN-teenuse pakkujate serveritesse, samas kui 56 edastas andmed kolmandate osapoolte teenustele, nagu Google (39), Facebook (17) ja Yandex (9).
  
• 19 rakenduses tuvastati pahavara analüüsi teenuses VirusTotal, mis kasutab rohkem kui 70 viirusetõrjet. 18 rakenduses leiti ühendus domeenidega, samas kui 13-le IP-aadresside, mis on loetletud pahatahtlike hostide ja aadresside mustades nimekirjades.
• 93 rakenduses leiti avaldatud privaatsusmärkide ja tegeliku olukorra vahelisi lahknevusi. 75 rakendust
  informis valeinformatsiooni kasutaja andmete kogumise meetoditest, 64 — andmete edastamise kohta kolmandatele teenustele, 32 — kasutatud turvameetodite kohta. 65 rakendusest, millel oli märge „No Data Sharing”, lubas vaid 20 andmete edastamist kolmandatele teenustele, ning 32 rakendusest, millel oli märge „No Data Collection”, vastas vaid kaks seotud nõuetele.

Allikas: opennet.ru