Het Top10VPN-tijdschrift, dat zich bezighoudt met het beoordelen en testen van VPN-diensten, heeft 100 van de populairste gratis VPN-apps voor het Android-platform getest, die in totaal meer dan 2,5 miljard installaties hebben (de test omvatte 100 gratis VPN-apps die het meeste zijn gedownload in de Google Play-winkel). Belangrijkste bevindingen:
- 88 van de geteste programma's hebben verschillende problemen die kunnen leiden tot informatielekken. In 83 apps deden zich lekken voor door het aanspreken van externe DNS-servers (geen servers van de VPN-provider), bijvoorbeeld in 40 gevallen werd Google's DNS gebruikt, en in 14 gevallen Cloudflare. In 79 apps is de mogelijkheid om verkeer om VPN heen te sturen niet uitgesloten. In 17 apps zijn verschillende soorten lekken gedetecteerd (onthulling van de oorspronkelijke IPv4- en IPv6-adressen van de gebruiker, lekken via DNS en WebRTC).
- In 11 apps is vastgesteld dat verouderde generateurs voor pseudo-willekeurige getallen worden gebruikt. In één app werd helemaal geen gegevensversleuteling gebruikt. In 35 apps werden verouderde cryptografie-algoritmen gebruikt (slechts in 20 programma's werden betrouwbare hashmethoden toegepast). In 23 apps werd tijdens de fase van het opzetten van de VPN-tunnel voor toegang tot een externe server het gebruik van oudere versies van TLS (ouder dan TLSv3) toegestaan, en in 6 apps werd SSLv2 gebruikt.
- In 69 programma's werden overmatige machtigingen aangevraagd, bijvoorbeeld vereiste 20 apps toegang tot locatiegegevens (ACCESS_*_LOCATION), 46 - toegang tot de lijst met geïnstalleerde apps (QUERY_ALL_PACKAGES), 9 - toegang tot de telefoontoestand (READ_PHONE_STATE, onder andere waarmee IMEI en IMSI kunnen worden achterhaald), 82 - vroegen unieke identificatoren voor identificatie in advertentienetwerken (ACCESS_ADVERTISEMENTS_ID), 10 - probeerde toegang tot de camera te krijgen.
- In 53 apps is vastgesteld dat eigen functies van derden werden gebruikt, bijvoorbeeld 13 programma's gebruikten code voor het volgen van locaties, 31 - voor het verkrijgen van identificaties voor advertentienetwerken, 22 - voor het controleren van andere geïnstalleerde apps.
80 programma's gebruikten externe bibliotheken, waaronder 15 die bibliotheken van Bytedance (TikTok) gebruikten, en 11 die bibliotheken van Yandex gebruikten. - 84 apps bevatten SDK-componenten van marketingplatforms of sociale netwerken, waarbij 16 apps 10 of meer van dergelijke componenten bevatten.
- In 32 applicaties zijn er verzoeken geconstateerd naar hardwarecapaciteiten en sensoren die de privacy kunnen schenden. Bijvoorbeeld, 15 applicaties gebruiken de camera, 7 de microfoon, en 14 maken gebruik van locatiebepalingsmechanismen zoals GPS, terwijl 14 toegang hebben tot sensoren (versnellingsmeter, nabijheidssensor, enz.).
- 71 applicaties verstuurden persoonlijke gegevens naar externe diensten, zoals Facebook (47), Yandex (13) en VK (11). 37 programma's onthulden externe diensten identificatiecodes van apparaten, 23 — IP-adressen, 61 — unieke identificatoren voor tracking. 19 applicaties verstuurden telemetrie met informatie over het apparaat en het systeem naar de servers van de VPN-provider, terwijl 56 dat deden naar externe diensten zoals Google (39), Facebook (17) en Yandex (9).
- In 19 applicaties werd kwaadaardige software vastgesteld tijdens de controle met de VirusTotal-service, die meer dan 70 antivirusprogramma's gebruikt. In 18 applicaties werd verbinding gevonden met domeinen, en in 13 met IP-adressen die op de blacklist van kwaadwillige hosts en adressen staan.
- In 93 applicaties werd een discrepantie vastgesteld tussen de opgegeven privacylabels en de feitelijke staat. 75 applicaties
informeerden onjuist over de methoden voor het verzamelen van gebruikersgegevens, 64 over het verzenden van gegevens naar externe diensten, en 32 over de gebruikte beveiligingsmethoden. Van de 65 applicaties met het label "No Data Sharing" hebben slechts 20 de verzending van gegevens naar externe diensten voorkomen, terwijl van de 32 applicaties met het label "No Data Collection" er slechts twee aan de bijbehorende eisen voldeden.
Bron: opennet.ru
