Raziskovalci z Univerze v Michiganu so razvili orodje MVPNalyzer za odkrivanje uhajanja informacij in analizo delovanja VPN ter s pomočjo tega preverili 281 VPN aplikacij za platformo Android. Za študijo so izbrali najbolj priljubljene VPN aplikacije, ki so na voljo v katalogu Google Play. VPN aplikacije, v katerih so bile ugotovljene določene težave z varnostjo in zasebnostjo, skupaj dosegajo 2,4 milijarde prenosov. Glavni zaključki:
- Pri 61 aplikacijah (22%) so ugotovili prenos podatkov brez uporabe šifriranja, ki je potekal zunaj nameščenega tunela. Večina aplikacij iz te kategorije je priljubljenih in povprečno dosega 11 milijonov prenosov. Pri 18 aplikacijah je bilo neposredno dostopano do storitve ip-api.com za določanje lokacije po IP adresom klientu.
V 5 primerih so bili brez šifriranja stranki posredovani konfiguracijski datoteke, ki vsebujejo parametre povezave z VPN strežnikom. Raziskovalci so izvedli poskus in potrdili možnost izvedbe MITM napada, ki omogoča preusmeritev prometa na svoj strežnik, s sposobnostjo vstopa v komunikacijski kanal žrtve, na primer, ko se povezuje na javno brezžično omrežje, ki ga nadzira napadalec. Težavne aplikacije (popoln seznam vseh aplikacij, v katerih so bile ugotovljene težave, je naveden na 17. strani PDF poročila):
- BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn);
- VPN Pro (com.nebulatech.voocvpnpro);
- Free VPN (com.appoxide.freevpn);
- Hexa VPN (com.secure.vpn.proxy);
- 101 VPN (com.shwe.vpn101).
Raziskovalci so opozorili avtorje teh aplikacij na težave in po določenem času izvedli ponovno preverjanje najnovejših različic, ki je pokazalo, da je bila ranljivost odpravljena le v dveh aplikacijah — VPN Pro in Hexa VPN.
- Pri delovanju 29 aplikacij (10%) pride do uhajanja prometa izven namešenega tunela. Pri 24 aplikacijah, ki so dosegle 360 milijonov prenosov, je prišlo do uhajanja podatkov o obiskovanih spletnih straneh zaradi neposredne pošiljke DNS poizvedb (20 jih je poslalo DNS poizvedbe prek lokalnega rezolutorja, 6 pa prek javnih DNS storitev Google, Cloudflare, AliDNS in DNSPod). Pri 6 aplikacijah, ki so dosegle 54 milijonov prenosov, je bilo ugotovljeno pošiljanje prometa zunaj tunela, povezanega z delom uporabnika v spletnih brskalnikih. V 4 aplikacijah so se podatki prenašali prek nešifriranega tunela.
- V 169 aplikacijah (60%) ni bila uporabljena obfuskacija prometa, uporabljali so se standardni omrežni porti in protokoli, ki so jih mogoče spremljati v splošnem toku. Takšno vedenje odstopa od pričakovanj uporabnikov — v skladu z anketami, ki so bile izvedene lani, 82% uporabnikov VPN meni, da jim VPN zagotavlja anonimnost.
- V 76 aplikacijah (27%) so se prenašali edinstveni identifikatorji AAID (Android Advertising ID), ki omogočajo sledenje napravam in uporabnikom. V 246 aplikacijah (87%) je bilo zabeleženo dostopanje do znanih oglaševalskih omrežij in storitev za sledenje uporabnikom (skupaj je bilo zabeleženih 3714 različnih URL-jev). Ena aplikacija je posredovala natančne GPS koordinate naprave.
- V 107 aplikacijah (38%) so bile uporabljene nastavitve, ki ne zagotavljajo optimalne ravni varnosti. V 20 aplikacijah, ki skupaj obsegajo 40 milijonov namestitev, so bile uporabljene nezanesljive metode šifriranja. V 96 aplikacijah z 728 milijoni namestitev so bili uporabljeni nezanesljivi mehanizmi za avtentikacijo.
V 3 aplikacijah je bil parameter data-ciphers v nastavitvah OpenVPN nastavljen na vrednost „none“, kar omogoča vzpostavitev komunikacijskih kanalov brez šifriranja. V 8 aplikacijah je bil parameter „cipher“ nastavljen na vrednost „none“, kar onemogoča šifriranje pri uporabi OpenVPN 2.4 in starejših različic. V 12 aplikacijah so bile uporabljene direktive, ki so bile razglašene za zastarele. V 61 aplikaciji v konfiguraciji OpenVPN direktive za blokiranje znanih metod napadov niso bile vključene.
Izvor: opennet.ru
