La pubblicazione Top10VPN, specializzata nella revisione e test dei servizi VPN, ha condotto un'analisi di 100 delle app VPN gratuite più popolari per la piattaforma Android, totalizzando oltre 2,5 miliardi di installazioni (per il test sono state selezionate 100 app VPN gratuite con il maggior numero di download nel catalogo Google Play). Risultati principali:
- 88 delle app testate hanno presentato vari problemi che portano a perdite di informazioni. In 83 app, le perdite si sono verificate a causa dell'accesso a server DNS di terze parti (non server del VPN-fornitore), per esempio, in 40 casi è stato utilizzato DNS Google, mentre in 14 è stato utilizzato Cloudflare. In 79 app non è stata esclusa la possibilità di inviare traffico bypassando la VPN. In 17 app sono stati riscontrati diversi tipi di perdite (rivelazione degli indirizzi IPv4 e IPv6 di origine dell'utente, perdite tramite DNS e WebRTC).
- In 11 app è stato riscontrato l'uso di generatori di numeri pseudocasuali obsoleti. In una delle app non è stata utilizzata affatto la crittografia del traffico. In 35 app sono stati utilizzati algoritmi crittografici obsoleti (solo in 20 app sono stati impiegati metodi di hashing affidabili). In 23 app, nella fase di creazione di un tunnel VPN per accedere a un server esterno, è stato consentito l'uso di versioni obsolete di TLS (più vecchie di TLSv3), e in 6 app è stato utilizzato SSLv2.
- In 69 app sono stati richiesti permessi eccessivi, ad esempio, 20 app richiedevano accesso a dati sulla posizione (ACCESS_*_LOCATION), 46 a un elenco di app installate (QUERY_ALL_PACKAGES), 9 a informazioni sullo stato del telefono (READ_PHONE_STATE, che consente tra l'altro di conoscere IMEI e IMSI), 82 richiedevano identificatori unici per l'identificazione nelle reti pubblicitarie (ACCESS_ADVERTISEMENTS_ID), 10 tentavano di accedere alla fotocamera.
- In 53 app è stato riscontrato l'uso di funzioni proprietarie di terze parti, ad esempio, 13 app utilizzavano codice per il tracciamento della posizione, 31 per ottenere identificatori per le reti pubblicitarie, 22 per verificare altre app installate.
80 app utilizzavano librerie di terze parti, di cui 15 usavano librerie della società Bytedance (TikTok) e 11 librerie di Yandex. - 84 applicazioni includevano componenti SDK da piattaforme di marketing o social network, di cui 16 applicazioni includevano 10 o più di tali componenti.
- In 32 applicazioni è stata rilevata l'interazione con le capacità hardware e i sensori, che possono compromettere la privacy. Ad esempio, 15 applicazioni accedono alla fotocamera, 7 al microfono e 14 ai meccanismi di localizzazione, come GPS, 14 ai sensori (giroscopio, sensore di prossimità, ecc.).
- 71 applicazione inviava dati personali a servizi di terze parti, come Facebook (47), Yandex (13) e VK (11). 37 programmi rivelavano agli servizi esterni identificatori di dispositivi, 23 — Indirizzi IP, 61 — identificatori unici per il tracciamento. 19 applicazioni inviavano telemetria con informazioni sul dispositivo e sul sistema ai server del fornitore VPN, e 56 — a servizi di terze parti, come Google (39), Facebook (17) e Yandex (9).
- In 19 applicazioni, durante il controllo nel servizio VirusTotal, che utilizza oltre 70 antivirus, è stato identificato malware. In 18 applicazioni è stata riscontrata una connessione a domini, e in 13 a indirizzi IP segnalati sulle blacklist di host e indirizzi dannosi.
- In 93 applicazioni è stata riscontrata una discrepanza tra le etichette dichiarate di conformità alla privacy e lo stato reale. 75 applicazioni
informavano erroneamente sui metodi di raccolta dei dati degli utenti, 64 — sull'invio di dati a servizi di terze parti, 32 — sui metodi di sicurezza utilizzati. Di 65 applicazioni con etichetta "No Data Sharing", solo 20 non permettevano l'invio di dati a servizi di terze parti, mentre delle 32 applicazioni con etichetta "No Data Collection", solo due soddisfacevano i requisiti correlati.
Fonte: opennet.ru
