Некоторые не обеспечивают шифрование, другие пропускают трафик мимо VPN
Сети и серверы752 минуты назад
Международная команда исследователей обнаружила серьезные уязвимости в бесплатных VPN-приложениях для Android. Анализ 281 приложения показал, что многие сервисы, обещающие защиту личной информации, на самом деле могут раскрывать данные пользователей, передавать информацию рекламным компаниям и даже допускать перехват интернет-трафика.
Всего приложения с выявленными уязвимостями были скачаны более 2,4 миллиардов раз. Исследование было проведено специалистами Университета Мичигана, Университета Нью-Мексико и Индийского технологического института в Дели. Для анализа ученые использовали собственный инструмент MVPNalyzer, а тестирование проходило на устройствах с Android 14. Результаты работы были представлены на конференции по компьютерной безопасности NDSS.
Пять VPN-приложений загружали конфигурационные файлы без шифрования. Такой файл определяет параметры подключения и сервер, через который проходит пользовательский трафик. Это создает серьезный риск в публичных сетях Wi-Fi. Злоумышленник, находящийся в той же сети, может изменить конфигурацию и перенаправить весь интернет-трафик через свой сервер. При этом само приложение продолжит показывать пользователю, что VPN функционирует нормально. Исследователи подтвердили такую атаку на практике. Из пяти разработчиков только два сообщили о намерении исправить уязвимость.
Не менее серьезной проблемой стали утечки информации через сам VPN-туннель. Из 281 протестированного приложения 29 не обеспечивали полную защиту трафика. В частности:
- 24 приложения допускали утечку DNS-запросов, что позволяло определить посещаемые пользователем сайты;
- 6 приложений пропускали часть или весь интернет-трафик в обход VPN;
- 4 приложения использовали туннель без полноценного шифрования.
- Исследователи также обнаружили, что многие бесплатные VPN активно собирают информацию о пользователях, несмотря на заявления о конфиденциальности.
У 76 приложений был обнаружен механизм передачи рекламного идентификатора устройства — уникального номера, который используется рекламными сетями для отслеживания активности пользователя в различных сервисах.
Еще 246 приложений соединялись с рекламными и аналитическими платформами, отправляя информацию о смартфоне: модель устройства, версию Android, разрешение экрана и другие параметры. По словам ученых, даже такие на первый взгляд незначительные данные позволяют создать достаточно точный цифровой отпечаток устройства. В одном случае приложение передавало точные GPS-координаты пользователя.
Отдельное внимание специалисты уделили настройкам OpenVPN — одного из самых популярных протоколов VPN-подключения. Из 108 приложений, использующих OpenVPN, только одно соответствовало всем предъявленным требованиям безопасности.
Около 89% программ применяли лишь один метод аутентификации, вместо более надежной комбинации сертификата и пароля. Более того, почти каждое пятое приложение использовало устаревшие алгоритмы шифрования, включая Blowfish и Triple DES, которые сегодня считаются недостаточно защищенными.
Авторы исследования отмечают, что проблема усугубляется отсутствием регулярных обновлений многих бесплатных VPN-сервисов. При этом автоматические проверки Google Play не всегда способны выявлять подобные уязвимости, поэтому отметка Verified сама по себе не гарантирует высокий уровень безопасности.
По мнению исследователей, пользователям следует более осторожно относиться к бесплатным VPN с агрессивной рекламой и внимательно изучать политику конфиденциальности сервисов. Более надежным вариантом остаются решения, которые регулярно проходят независимые аудиты безопасности и могут подтвердить свои заявления о защите данных.
Главный вывод исследования: VPN не является автоматической гарантией приватности. Некачественное приложение может не только не защищать пользователя, но и стать дополнительным источником утечек.
DexterИсточники:NotebookcheckСети и серверы7VPN52 минуты назад
Источник