I ricercatori dell'Università del Michigan hanno sviluppato lo strumento MVPNalyzer per identificare perdite di informazioni e analizzare il funzionamento delle VPN, testando 281 app VPN per la piattaforma Android. Sono state selezionate le app VPN più popolari, distribuite tramite il catalogo di Google Play. Le app VPN che hanno mostrato vari problemi di sicurezza e privacy contano complessivamente 2,4 miliardi di installazioni. Le principali conclusioni:
- In 61 applicazioni (22%) è stata riscontrata la trasmissione di dati senza crittografia, effettuata al di fuori del tunnel stabilito. La maggior parte delle applicazioni in questa categoria sono popolari e contano in media 11 milioni di installazioni. In 18 applicazioni è avvenuto un accesso diretto al servizio ip-api.com per determinare la posizione tramite indirizzo IP il client.
In 5 casi, file di configurazione contenenti parametri di connessione al server VPN sono stati inviati al client senza crittografia. I ricercatori hanno condotto un esperimento e hanno confermato la possibilità di effettuare un attacco MITM, che consente di reindirizzare il traffico verso il proprio un server, avendo la possibilità di infiltrarsi nel canale di comunicazione della vittima, ad esempio, connessa a una rete wireless pubblica controllata dall'attaccante. Le applicazioni problematiche (l'elenco completo di tutte le applicazioni in cui sono stati identificati problemi è riportato a pagina 17 del rapporto PDF):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Free VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
I ricercatori hanno avvisato gli autori di queste applicazioni e, dopo un certo periodo, hanno effettuato un nuovo controllo delle versioni più recenti, che ha mostrato che la vulnerabilità è stata corretta solo in due applicazioni: VPN Pro e Hexa VPN.
- Tra il lavoro di 29 applicazioni (10%) si verifica una fuoriuscita di traffico oltre il tunnel stabilito. In 24 applicazioni, che ammontano a 360 milioni di installazioni, si è registrata la fuga di informazioni sui siti visitati a causa dell'invio diretto di richieste DNS (20 hanno inviato richieste DNS tramite un risolutore locale, e 6 tramite i servizi DNS pubblici di Google, Cloudflare, AliDNS e DNSPod). In 6 applicazioni, con 54 milioni di installazioni, è stata rilevata l'invio di traffico fuori dal tunnel relativo all'attività dell'utente nel web browser. In 4 applicazioni i dati sono stati trasmessi tramite un tunnel non crittografato.
- In 169 applicazioni (60%) non è stata utilizzata l'oscuramento del traffico, sono stati impiegati porta di rete standard e protocolli tracciabili nel flusso generale. Tale comportamento va contro le aspettative degli utenti: secondo un sondaggio condotto l'anno scorso, l'82% degli utenti VPN ritiene che il VPN garantisca loro anonimato.
- In 76 applications (27%), unique device identifiers AAID (Android Advertising ID) were transmitted, allowing for tracking of devices and users. In 246 applications (87%), access to known advertising networks and user tracking services was recorded (a total of 3714 different URLs were accessed). One application sent precise GPS coordinates of the device.
- In 107 applications (38%), settings were applied that did not ensure an optimal level of security. Unsafe encryption methods were used in 20 applications, totaling 40 million installations. Unreliable authentication mechanisms were utilized in 96 applications, which accounted for 728 million installations.
In 3 applications, the OpenVPN setting for the data-ciphers parameter was configured to "none", allowing unencrypted communication channels. In 8 applications, the cipher parameter was set to "none", disabling encryption when using OpenVPN 2.4 and earlier versions. In 12 applications, directives that have been deprecated were used. In 61 applications, the OpenVPN configuration did not include directives to block known attack methods.
Fonte: opennet.ru
