La pubblicazione Top10VPN, specializzata nella recensione e verifica dei servizi VPN, ha testato 100 delle più popolari applicazioni VPN gratuite per la piattaforma Android, totalizzando oltre 2,5 miliardi di installazioni (per il test sono state selezionate 100 applicazioni VPN gratuite con il maggior numero di download nel catalogo Google Play). Risultati principali:
- 88 delle applicazioni testate presentano vari problemi che possono portare a perdite di dati. In 83 applicazioni, le perdite si sono verificate a causa dell'accesso a server DNS di terze parti (non dei server del VPN-fornitore), come nel 40% dei casi in cui è stato utilizzato DNS Google, e nel 14% Cloudflare. In 79 applicazioni non è stata esclusa la possibilità di inviare traffico bypassando la VPN. In 17 applicazioni sono stati rilevati diversi tipi di perdite (rivelazione degli indirizzi IPv4 e IPv6 originali dell'utente ai siti, perdite tramite DNS e WebRTC).
- In 11 applicazioni è stata riscontrata l'uso di generatori di numeri pseudocasuali obsoleti. In una delle applicazioni non è stata utilizzata alcuna crittografia per il traffico. In 35 applicazioni sono stati utilizzati algoritmi crittografici non aggiornati (solo 20 programmi utilizzavano metodi di hashing affidabili). In 23 applicazioni, nella fase di creazione di un tunnel VPN per accedere a un server esterno, era consentito l'uso di versioni obsolete di TLS (più vecchie di TLSv3), mentre 6 applicazioni utilizzavano SSLv2.
- In 69 programmi sono state richieste autorizzazioni eccessive; ad esempio, 20 applicazioni richiedevano accesso ai dati sulla posizione (ACCESS_*_LOCATION), 46 — all'elenco delle applicazioni installate (QUERY_ALL_PACKAGES), 9 — accesso allo stato del telefono (READ_PHONE_STATE, che consente tra l'altro di scoprire IMEI e IMSI), 82 — richiedevano identificatori unici per l'identificazione nelle reti pubblicitarie (ACCESS_ADVERTISEMENTS_ID), 10 — cercavano di ottenere accesso alla fotocamera.
- In 53 applications, the use of third-party proprietary functions has been identified; for example, 13 programs utilized code for location tracking, 31 for obtaining identifiers for advertising networks, and 22 for checking other installed applications.
80 programs used third-party libraries, among which 15 utilized libraries from Bytedance (TikTok), and 11 used libraries from Yandex. - 84 applications included components from SDKs of marketing platforms or social networks, with 16 applications incorporating 10 or more such components.
- In 32 applications, access to hardware features and sensors that may violate privacy has been identified. For example, 15 applications access the camera, 7 the microphone, and 14 mechanisms for location determination, such as GPS, and 14 sensors (gyroscope, proximity sensor, etc.).
- 71 applications sent personal data to third-party services, such as Facebook (47), Yandex (13), and VK (11). 37 programs disclosed device identifiers to third-party services, 23. Indirizzi IP, 61 — identificatori unici per il tracciamento. 19 applicazioni hanno inviato telemetria con informazioni sul dispositivo e sul sistema ai server del provider VPN, mentre 56 a servizi di terze parti, come Google (39), Facebook (17) e Yandex (9).
- In 19 applicazioni, durante il controllo con il servizio VirusTotal, che utilizza più di 70 antivirus, è stato identificato malware. In 18 applicazioni è stata riscontrata una connessione a domini e in 13 a indirizzi IP inseriti nelle blacklist di host e indirizzi malevoli.
- In 93 applicazioni è stata riscontrata una discrepanza tra le etichette dichiarate sulla privacy e lo stato reale. 75 applicazioni
hanno fornito informazioni errate sui metodi di raccolta dei dati sugli utenti, 64 sull'invio di dati a servizi di terze parti, 32 sui metodi di sicurezza utilizzati. Di 65 applicazioni con etichetta «No Data Sharing», solo 20 non consentivano l'invio di dati a servizi di terze parti, e di 32 applicazioni con etichetta «No Data Collection», solo due rispettavano i requisiti ad essa associati.
Fonte: opennet.ru
