A Top10VPN, amely VPN-szolgáltatások értékelésével és tesztelésével foglalkozik, tesztelte a legnépszerűbb 100 ingyenes VPN-alkalmazást Android platformon, amelyek összesen több mint 2,5 milliárd telepítéssel rendelkeznek (a Google Play katalógusában a legnagyobb letöltési számú 100 ingyenes VPN-alkalmazás került a vizsgálat alá). Főbb megállapítások:
- A tesztelt programok 88-a különböző problémákkal küzd, amelyek információszivárgáshoz vezetnek. 83 alkalmazás esetében az információszivárgások a külső DNS-szerverekhez való kapcsolódás miatt következtek be (nem a szolgáltató szervereihez), például 40 esetben a Google DNS-t, 14 esetben pedig a Cloudflare-t használták. 79 alkalmazás nem zárta ki annak lehetőségét, hogy a forgalom kikerül a VPN-en. 17 alkalmazás többféle szivárgást tárt fel (az IPv4 és IPv6 címek nyilvánosságra hozatala, DNS és WebRTC szivárgások). VPN11 alkalmazásnál elavult véletlenszám-generátorok használatát állapították meg. Az egyik alkalmazás egyáltalán nem használt forgalom titkosítást. 35 alkalmazás elavult kriptográfiai algoritmusokat használt (csak 20 program használt megbízható hash-elési módszereket). 23 alkalmazás esetében a VPN-alagút létrehozása során a külső szerverhez való kapcsolódás során régi TLS-verziók használatát engedélyezték (TLSv3-nál régebbiek), míg 6 alkalmazás az SSLv2-t használta.
- 69 program túlzott jogosultságokat igényelt, például 20 alkalmazás kérést indított a helymeghatározás adataihoz (ACCESS_*_LOCATION), 46 a telepített programok listájához (QUERY_ALL_PACKAGES), 9 - a telefon állapotához (READ_PHONE_STATE, többek között lehetővé teszi az IMEI és IMSI megismerését), 82 - egyedi azonosítók kérése a hirdetési hálózatokban való azonosításhoz (ACCESS_ADVERTISEMENTS_ID), 10 - megpróbálta megszerezni a kamerához való hozzáférést.
- 53 alkalmazás esetében külső, szabadalmaztatott funkciók használatát állapították meg, például 13 program a helymeghatározás követésére használt kódot, 31 az hirdetési hálózatok azonosítóihoz, 22 pedig a más telepített alkalmazások ellenőrzésére.
- 80 program külső könyvtárakat használt, ezek közül 15 a Bytedance (TikTok) könyvtárait, míg 11 a Yandex könyvtárait alkalmazta.
84 alkalmazás marketingplatformokhoz vagy közösségi hálózatokhoz kapcsolódó SDK komponenseket tartalmazott, ebből 16 alkalmazás 10 vagy annál több hasonló komponenst tartalmazott. - A tesztelt alkalmazások 84%-a tartalmazott marketingplatformok vagy közösségi hálózatok SDK komponenst, köztük 16 alkalmazás 10 vagy annál több ilyen komponenst is magában foglalt.
- 32 alkalmazásban a hardveres lehetőségekkel és érzékelőkkel való hozzáférést azonosították, amelyek magánéleti problémákhoz vezethetnek. Például 15 alkalmazás hozzáfér a kamerához, 7 a mikrofonhoz, 14 pedig a helymeghatározó mechanizmusokhoz, például a GPS-hez, 14 a szenzorokhoz (giroszkóp, közelségérzékelő stb.).
- 71 alkalmazás küldött személyes adatokat harmadik fél szolgáltatókhoz, mint a Facebook (47), Yandex (13) és VK (11). 37 program felfedte a készülék azonosítóit, 23— IP address, 61—egyedi nyomkövetési azonosítókat. 19 alkalmazás telemetriát küldött a készülékről és rendszerről a VPN-szolgáltató szerverére, míg 56 harmadik fél szolgáltatókhoz, mint a Google (39), Facebook (17) és Yandex (9).
- A VirusTotal szolgáltatásban végzett ellenőrzés során, amely több mint 70 víruskeresőt használ, 19 alkalmazásban kártevőt azonosítottak. 18 alkalmazásban kapcsolatot találtak domainokkal, míg 13 kapcsolódó IP-címekkel, amelyek felkerültek a rosszindulatú gazdagépek és címek feketelistájára.
- 93 alkalmazásban eltérést találtak az állított adatvédelmi címkék és a tényleges állapot között. 75 alkalmazás
helytelenül tájékoztatta a felhasználó adatgyűjtési módszereiről, 64 a harmadik fél szolgáltatókhoz küldött adatokra vonatkozóan, 32 pedig a biztonsági intézkedések alkalmazott módszereiről. Az 65 "No Data Sharing" címkével rendelkező alkalmazásból csak 20 nem engedte meg, hogy adatokat küldjenek harmadik fél szolgáltatókhoz, míg a 32 "No Data Collection" címkével rendelkező alkalmazásból csak kettő felelt meg az ehhez kapcsolódó követelményeknek.
Forrás: opennet.ru
