I ricercatori dell'Università del Michigan hanno sviluppato lo strumento MVPNalyzer per identificare perdite di informazioni e analizzare il funzionamento delle VPN, testando 281 applicazioni VPN per la piattaforma Android. Sono state selezionate le applicazioni VPN più popolari distribuite attraverso il catalogo Google Play. Le applicazioni VPN che hanno mostrato vari problemi di sicurezza e privacy hanno totalizzato complessivamente 2,4 miliardi di installazioni. Risultati principali:
- In 61 applicazioni (22%) è stata identificata la trasmissione di dati senza utilizzo di crittografia, effettuata al di fuori del tunnel stabilito. La maggior parte delle applicazioni di questa categoria è popolare e conta in media 11 milioni di installazioni. In 18 applicazioni si è verificato un accesso diretto al servizio ip-api.com per determinare la posizione tramite indirizzo IP cliente.
In 5 casi, sono stati trasmessi al cliente file di configurazione senza crittografia, contenenti parametri di connessione al server VPN. I ricercatori hanno condotto un esperimento e confermato la possibilità di eseguire un attacco MITM, che consente di reindirizzare il traffico su un proprio server, avendo la possibilità di infiltrarsi nel canale di comunicazione della vittima, ad esempio, collegata a una rete wireless pubblica controllata dall'attaccante. Le applicazioni problematiche (l'elenco completo di tutte le applicazioni che presentano problemi è riportato a pagina 17 del rapporto PDF):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Free VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
I ricercatori hanno informato gli sviluppatori di queste applicazioni riguardo ai problemi e, dopo un certo periodo, hanno effettuato un nuovo controllo delle versioni più recenti, il quale ha mostrato che la vulnerabilità era stata corretta solo in due applicazioni: VPN Pro e Hexa VPN.
- Nell'operare di 29 applicazioni (10%) si verifica una perdita di traffico oltre il tunnel stabilito. In 24 applicazioni, che contano 360 milioni di installazioni, si è verificata una fuga di informazioni sui siti visitati a causa dell'invio diretto di richieste DNS (20 hanno inviato richieste DNS attraverso il resolver locale, mentre 6 attraverso i servizi DNS pubblici di Google, Cloudflare, AliDNS e DNSPod). In 6 applicazioni, che contano 54 milioni di installazioni, è stata identificata l'invio di traffico connesso all'attività dell'utente nel browser web, al di fuori del tunnel. In 4 applicazioni, i dati venivano trasmessi attraverso un tunnel non crittografato.
- In 169 applicazioni (60%) non è stata applicata l'offuscazione del traffico, sono stati utilizzati porti di rete standard e protocolli tracciabili nel flusso generale. Questo comportamento si discosta dalle aspettative degli utenti: secondo un sondaggio condotto lo scorso anno, l'82% degli utenti VPN ritiene che le VPN garantiscano loro anonimato.
- In 76 applicazioni (27%) sono stati trasmessi identificatori unici per i dispositivi, gli AAID (Android Advertising ID), che consentono di tracciare i dispositivi e gli utenti. In 246 applicazioni (87%) è stato registrato l'accesso a noti reti pubblicitarie e servizi di tracciamento degli utenti (sono stati registrati accessi a un totale di 3714 URL diversi). Un'applicazione ha inviato le coordinate GPS precise del dispositivo.
- In 107 applicazioni (38%) sono state utilizzate impostazioni che non garantiscono un livello ottimale di sicurezza. In 20 applicazioni, per un totale di 40 milioni di installazioni, sono stati utilizzati metodi di crittografia non sicuri. In 96 applicazioni, che totalizzano 728 milioni di installazioni, sono stati utilizzati meccanismi di autenticazione non affidabili.
In 3 applicazioni, nelle impostazioni di OpenVPN, il parametro data-ciphers è stato impostato su "none", consentendo la creazione di canali di comunicazione non crittografati. In 8 applicazioni il parametro "cipher" è stato impostato su "none", disattivando la crittografia quando si utilizza OpenVPN 2.4 e versioni precedenti. In 12 applicazioni sono state utilizzate direttive dichiarate obsolete. In 61 applicazioni, nella configurazione di OpenVPN, non sono state incluse direttive per bloccare noti metodi di attacco.
Fonte: opennet.ru
