Pesquisadores da Universidade de Michigan desenvolveram a ferramenta MVPNalyzer para detectar vazamentos de informações e analisar o desempenho de VPNs, testando 281 aplicativos de VPN para a plataforma Android. Foram selecionados os aplicativos de VPN mais populares, distribuídos através do catálogo Google Play. Os aplicativos de VPN que apresentaram problemas de segurança e privacidade somam 2,4 bilhões de instalações. Principais conclusões:
- Em 61 aplicativos (22%) houve transmissão de dados sem criptografia, realizada fora do túnel estabelecido. A maioria dos aplicativos dessa categoria é popular, com uma média de 11 milhões de instalações. Em 18 aplicativos, houve acesso direto ao serviço ip-api.com para determinar a localização pelo endereço IP cliente.
Em 5 casos, foram enviados arquivos de configuração ao cliente sem criptografia, contendo parâmetros de conexão ao servidor VPN. Os pesquisadores realizaram um experimento e confirmaram a possibilidade de um ataque MITM, permitindo redirecionar o tráfego para seu servidor, tendo a capacidade de intervir na comunicação da vítima, por exemplo, alguém conectado a uma rede sem fio pública controlada pelo atacante. Aplicativos problemáticos (a lista completa de todos os aplicativos com problemas está na página 17 do relatório em PDF):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Free VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
Os pesquisadores notificaram os desenvolvedores desses aplicativos sobre os problemas e, após algum tempo, realizaram uma nova verificação das versões mais recentes, a qual mostrou que a vulnerabilidade foi corrigida apenas em dois aplicativos — VPN Pro e Hexa VPN.
- Em 29 aplicativos (10%), ocorre vazamento de tráfego fora do túnel estabelecido. Em 24 aplicativos, que somam 360 milhões de instalações, informações sobre sites visitados vazaram devido ao envio direto de consultas DNS (20 enviaram consultas DNS através de resolutores locais, e 6 através de serviços DNS públicos como Google, Cloudflare, AliDNS e DNSPod). Em 6 aplicativos, com 54 milhões de instalações, foi identificado o envio de tráfego fora do túnel, relacionado ao uso do navegador web pelo usuário. Em 4 aplicativos, os dados foram transmitidos através de um túnel não criptografado.
- Em 169 aplicativos (60%), não foi utilizada a ofuscação de tráfego, foram utilizados ports de rede padrão e protocolos rastreáveis na corrente geral. Esse comportamento diverge das expectativas dos usuários — de acordo com uma pesquisa realizada no ano passado, 82% dos usuários de VPN acreditam que a VPN oferece anonimato.
- Em 76 aplicativos (27%), eram enviados identificadores AAID (Android Advertising ID) únicos para os dispositivos, permitindo rastrear dispositivos e usuários. Em 246 aplicativos (87%), foram registradas solicitações a redes de publicidade conhecidas e serviços de rastreamento de usuários (com um total de 3714 diferentes URLs registrados). Um aplicativo enviou coordenadas GPS exatas do dispositivo.
- Em 107 aplicativos (38%), foram aplicadas configurações que não garantem um nível ideal de segurança. Em 20 aplicativos, totalizando 40 milhões de instalações, foram utilizadas métodos de criptografia inseguros. Em 96 aplicativos, totalizando 728 milhões de instalações, foram empregados mecanismos de autenticação não confiáveis.
Em 3 aplicativos, nas configurações do OpenVPN, o parâmetro data-ciphers foi definido como "none", permitindo a criação de canais de comunicação sem criptografia. Em 8 aplicativos, o parâmetro "cipher" foi definido como "none", desativando a criptografia ao usar OpenVPN 2.4 e versões anteriores. Em 12 aplicativos, foram utilizadas diretrizes consideradas obsoletas. Em 61 aplicativos, as diretrizes para bloqueio de métodos de ataque conhecidos não foram incluídas na configuração do OpenVPN.
Fonte: opennet.ru
