281 VPN აპლიკაციის უსაფრთხოების ანალიზი Android

მიჩიგანის უნივერსიტეტის მკვლევარებმა შეიმუშავეს ინსტრუმენტი სახელწოდებით MVPNalyzer, რომელიც ინფორმაციის გაჟონვის აღმოსაჩენად და VPN-ის მუშაობის გასაანალიზებლად გამოიყენება და ის პლატფორმისთვის 281 VPN აპლიკაციის შესამოწმებლად გამოიყენეს. Androidკვლევისთვის შეირჩა Google Play-ს მეშვეობით გავრცელებული ყველაზე პოპულარული VPN აპლიკაციები. უსაფრთხოებისა და კონფიდენციალურობის სხვადასხვა პრობლემის მქონე VPN აპლიკაციებს ჯამში 2.4 მილიარდი ინსტალაცია აქვს. ძირითადი დასკვნები:

• დადგენილი გვირაბის გარეთ დაუშიფრავი მონაცემთა გადაცემა 61 აპლიკაციაში (22%) დაფიქსირდა. ამ კატეგორიის აპლიკაციების უმეტესობა პოპულარულია, საშუალოდ 11 მილიონი ინსტალაციით. თვრამეტი აპლიკაციამ ip-api.com სერვისზე პირდაპირი ზარი განახორციელა მდებარეობის დასადგენად. IP მისამართი კლიენტი.

  ხუთ შემთხვევაში, VPN სერვერის კავშირის პარამეტრების შემცველი კონფიგურაციის ფაილები კლიენტს დაშიფვრის გარეშე გადაეცა. მკვლევარებმა ჩაატარეს ექსპერიმენტი და დაადასტურეს შუამავალი ადამიანის შეტევის შესაძლებლობა, რაც ტრაფიკის საკუთარ სერვერზე გადამისამართების საშუალებას იძლეოდა. სერვერზე, მსხვერპლის საკომუნიკაციო არხის ჩაჭრის შესაძლებლობით, მაგალითად, ისეთის, რომელიც დაკავშირებულია თავდამსხმელის მიერ კონტროლირებულ საჯარო უკაბელო ქსელთან. პრობლემური აპლიკაციები (გამოვლენილი პრობლემების მქონე ყველა აპლიკაციის სრული სია მოცემულია PDF ანგარიშის 17-ე გვერდზე):

  • BambooVPN: ტურბო სწრაფი VPN (free.vpn.unblock.proxy.bamboovpn);
  • VPN Pro (com.nebulatech.voocvpnpro);
  • უფასო VPN (com.appoxide.freevpn);
  • Hexa VPN (com.secure.vpn.proxy);
  • 101 VPN (com.shwe.vpn101).

  მკვლევრებმა ამ აპლიკაციების დეველოპერებს პრობლემების შესახებ აცნობეს და გარკვეული დროის შემდეგ, უახლესი ვერსიები ხელახლა გამოსცადეს, რამაც აჩვენა, რომ დაუცველობა მხოლოდ ორ აპლიკაციაში იყო გამოსწორებული — VPN Pro-სა და Hexa VPN-ში.
• ოცდაცხრამეტი აპლიკაცია (10%) ავრცელებდა ტრაფიკს დადგენილი გვირაბის გარეთ. ოცდაოთხმა აპლიკაციამ, 360 მილიონი ინსტალაციით, გაჟონა ინფორმაცია მონახულებული ვებსაიტების შესახებ პირდაპირი DNS მოთხოვნების გამო (20-მა DNS მოთხოვნა გააგზავნა ლოკალური რეზოლვერის მეშვეობით, ხოლო ექვსმა საჯარო DNS სერვისების მეშვეობით, როგორიცაა Google, Cloudflare, AliDNS და DNSPod). აღმოჩნდა, რომ ექვსი აპლიკაცია, 54 მილიონი ინსტალაციით, გვირაბის გარეთ ვებ ბრაუზერთან დაკავშირებულ ტრაფიკს აგზავნიდა. ოთხმა აპლიკაციამ მონაცემები გადასცა დაუშიფრავი გვირაბის მეშვეობით.
• 169 აპლიკაციამ (60%) არ გამოიყენა ტრაფიკის დაბნევა და გამოიყენა სტანდარტული ქსელური პორტები და პროტოკოლები, რომლებიც მონიტორინგს უწევდა ზოგად ტრაფიკის ნაკადს. ეს ქცევა ეწინააღმდეგება მომხმარებლის მოლოდინებს - გასულ წელს ჩატარებული გამოკითხვის თანახმად, VPN მომხმარებელთა 82% თვლის, რომ VPN-ები მათ ანონიმურობას უზრუნველყოფს.
• 76 აპლიკაციამ (27%) გადასცა მოწყობილობაზე უნიკალური AAID-ები (Android სარეკლამო ID (სარეკლამო ID) მოწყობილობებისა და მომხმარებლების თვალყურის დევნების საშუალებას იძლევა. 246 აპლიკაციამ (87%) წვდომა მოიპოვა ცნობილ სარეკლამო ქსელებსა და მომხმარებლების თვალყურის დევნების სერვისებზე (სულ გამოყენებული იქნა 3714 სხვადასხვა URL). ერთმა აპლიკაციამ გააგზავნა მოწყობილობის ზუსტი GPS კოორდინატები.
• 107 აპლიკაცია (38%) იყენებდა პარამეტრებს, რომლებიც არ უზრუნველყოფდა უსაფრთხოების ოპტიმალურ დონეს. ოცი აპლიკაცია, რომელთა საერთო რაოდენობა 40 მილიონი იყო, იყენებდა დაუცველ დაშიფვრის მეთოდებს. ოთხმოცდაექვსი აპლიკაცია, რომელთა საერთო რაოდენობა 728 მილიონი იყო, იყენებდა სუსტ ავტორიზაციის მექანიზმებს.

  პარამეტრებში 3 აპლიკაციაში OpenVPN მონაცემთა შიფრების პარამეტრი დაყენებული იყო „none“-ზე, რაც საკომუნიკაციო არხების დამყარების საშუალებას იძლეოდა დაშიფვრის გარეშე. 8 აპლიკაციაში „cipher“ პარამეტრი დაყენებული იყო „none“-ზე, რაც დაშიფვრას გამორთავდა გამოყენებისას. OpenVPN 2.4 და უფრო ადრეული ვერსიები. 12 აპლიკაცია იყენებდა მოძველებულ დირექტივებს. 61 აპლიკაციას კონფიგურაციაში ჰქონდა მოძველებული დირექტივები. OpenVPN ცნობილი შეტევის მეთოდების დაბლოკვის დირექტივები არ იყო გათვალისწინებული.

წყარო: opennet.ru