Wydanie Top10VPN, zajmujące się recenzowaniem i weryfikowaniem usług VPN, przeprowadziło badania 100 najpopularniejszych darmowych aplikacji VPN na platformę Android, które łącznie mają ponad 2,5 miliarda instalacji (zbadano 100 darmowych aplikacji VPN, które w katalogu Google Play miały najwyższą liczbę pobrań). Główne wnioski:
- 88 z testowanych programów ma różne problemy prowadzące do wycieków informacji. W 83 aplikacjach wycieki występowały z powodu korzystania z zewnętrznych serwerów DNS (nie dostawcy) VPN-na przykład w 40 przypadkach użyto DNS Google, a w 14 - Cloudflare. W 79 aplikacjach nie wykluczono możliwości przesyłania ruchu omijającego VPN. W 17 aplikacjach stwierdzono kilka typów wycieków (ujawnianie stronom zewnętrznym oryginalnych adresów IPv4 i IPv6 użytkownika, wycieki przez DNS i WebRTC).
- W 11 aplikacjach stwierdzono użycie przestarzałych generatorów liczb losowych. W jednej z aplikacji nie używano w ogóle szyfrowania ruchu. W 35 aplikacjach zastosowano nieaktualne algorytmy kryptograficzne (tylko w 20 programach zastosowano niezawodne metody haszowania). W 23 aplikacjach w trakcie tworzenia tunelu VPN do zdalnego serwera dopuszczono użycie starszych wersji TLS (starszych niż TLSv3), a w 6 aplikacjach użyto SSLv2.
- W 69 programach żądano nadmiarowych uprawnień, na przykład 20 aplikacji wymagało dostępu do danych o lokalizacji (ACCESS_*_LOCATION), 46 - do listy zainstalowanych aplikacji (QUERY_ALL_PACKAGES), 9 - dostęp do stanu telefonu (READ_PHONE_STATE, między innymi pozwala na uzyskanie IMEI i IMSI), 82 - żądały unikalnych identyfikatorów dla celów identyfikacji w sieciach reklamowych (ACCESS_ADVERTISEMENTS_ID), 10 - próbowały uzyskać dostęp do kamery.
- W 53 aplikacjach stwierdzono użycie zewnętrznych funkcji własnościowych, na przykład 13 programów używało kodu do śledzenia lokalizacji, 31 - do uzyskania identyfikatorów dla sieci reklamowych, 22 - do weryfikacji innych zainstalowanych aplikacji.
80 programów używało zewnętrznych bibliotek, w tym 15 korzystało z bibliotek firm Bytedance (TikTok), a 11 - bibliotek Yandex. - 84 aplikacje zawierały komponenty SDK z platform marketingowych lub mediów społecznościowych, przy czym 16 aplikacji zawierało 10 lub więcej takich komponentów.
- W 32 aplikacjach zidentyfikowano korzystanie z funkcji sprzętowych i czujników, które mogą prowadzić do naruszenia prywatności. Na przykład, 15 aplikacji uzyskuje dostęp do kamery, 7 - do mikrofonu, a 14 do mechanizmów określania lokalizacji, takich jak GPS, 14 do czujników (żyroskop, czujnik zbliżeniowy itd.).
- 71 aplikacja wysyłała dane osobowe do zewnętrznych serwisów, takich jak Facebook (47), Yandex (13) i VK (11). 37 programów ujawniało zewnętrznym serwisom identyfikatory urządzeń, 23 — adresy IP, 61 — unikalne identyfikatory do śledzenia. 19 aplikacji wysyłało telemetrykę z informacjami o urządzeniu i systemie na serwery dostawcy VPN, a 56 — do zewnętrznych serwisów, takich jak Google (39), Facebook (17) i Yandex (9).
- W 19 aplikacjach podczas sprawdzania w serwisie VirusTotal, korzystającym z ponad 70 antywirusów, zidentyfikowano wirusy. W 18 aplikacjach wykryto połączenie z domenami, a w 13 z adresami IP, które znalazły się na czarnych listach złośliwych hostów i adresów.
- W 93 aplikacjach stwierdzono niespójność pomiędzy zgłoszonymi znacznikami przestrzegania prywatności a rzeczywistym stanem. 75 aplikacji
nieprawidłowo informowało o metodach zbierania danych o użytkownikach, 64 — o wysyłaniu danych do zewnętrznych serwisów, 32 — o stosowanych metodach zabezpieczeń. Z 65 aplikacji z oznaczeniem „No Data Sharing” tylko 20 nie pozwalało na przesyłanie danych do zewnętrznych serwisów, a z 32 aplikacji z oznaczeniem „No Data Collection” tylko dwie spełniały z tym związane wymagania.
Źródło: opennet.ru
