Анализ 281 VPN-приложения для Android: 22% передают данные без шифрования, 10% допускают утечку DNS-запросов

Исследователи из Мичиганского университета разработали инструментарий MVPNalyzer и проанализировали 281 популярное VPN-приложение из Google Play (суммарно 2,4 миллиарда установок). В 61 приложении (22%) выявлена передача данных без шифрования вне установленного туннеля, включая прямые обращения к ip-api.com для определения местоположения. В пяти случаях без шифрования передавались файлы конфигурации с параметрами подключения — исследователи подтвердили возможность MITM-атаки для перенаправления трафика на подконтрольный сервер. Проблемные приложения: BambooVPN, VPN Pro, Free VPN, Hexa VPN, 101 VPN (уязвимости устранены только в VPN Pro и Hexa VPN).

В 29 приложениях (10%) происходит утечка трафика за пределы туннеля: в 24 приложениях (360 млн установок) DNS-запросы отправлялись через локальный резолвер или публичные DNS (Google, Cloudflare, AliDNS, DNSPod), в 6 приложениях (54 млн установок) утекал браузерный трафик. В 169 приложениях (60%) не применялась обфускация трафика, что противоречит ожиданиям 82% пользователей, считающих VPN гарантом анонимности.

В 76 приложениях (27%) передавался Android Advertising ID, в 246 приложениях (87%) зафиксировано обращение к рекламным сетям и трекерам (3714 уникальных URL), одно приложение отправляло точные GPS-координаты. В 107 приложениях (38%) применялись небезопасные настройки: в 20 (40 млн установок) — небезопасные методы шифрования, в 96 (728 млн установок) — ненадёжные механизмы аутентификации. В трёх приложениях параметр data-ciphers был выставлен в "none" (отключение шифрования в OpenVPN), в восьми — cipher=none для OpenVPN 2.4, в 61 не были включены директивы для блокировки известных атак.

Linux / Линукс 🥸