Большое количество приложений Android VPN небезопасны

Виртуальные частные сети (VPN) превратились из технологии, используемой в основном предприятиями, в технологию, которую также используют все больше и больше домашних пользователей.

Причин множество, но улучшенная конфиденциальность и безопасность, безусловно, являются двумя ключевыми особенностями, которые заставляют все большее число домашних пользователей использовать службы и приложения VPN.

Не вдаваясь в подробности; VPN защищает IP-адрес устройства, когда трафик проходит через него, а не напрямую в систему пользователя.

Операционная система Android от Google поддерживает собственные клиенты VPN с момента выпуска Android 4.0 в октябре 2011 года через класс Android VPN Service.

Если этот параметр включен, приложения VPN на Android перехватывают и полностью контролируют трафик устройства.

Команда исследователей проанализировала более 280 приложений Android VPN на предмет проблем конфиденциальности и безопасности. Результаты, представленные в Научно-исследовательская работа, показывают, что многие бесплатные и платные приложения VPN на Android небезопасны.

Основные выводы включают

• 67% приложений Android VPN обещали защитить конфиденциальность пользователей. 75% из них использовали сторонние библиотеки отслеживания, а 82% запрашивали разрешения на доступ к пользовательской информации, такой как текстовые сообщения.
• 37% приложений Android VPN имели более 500 000 загрузок, а 25% имели рейтинг не менее 4 звезд. Более 38% этих приложений показали признаки вредоносного ПО на Virustotal.
• 18% всех приложений VPN реализуют протоколы туннелирования без шифрования.
• 84% приложений VPN не туннелируют трафик IPv6.
• 66% приложений VPN не туннелируют трафик DNS.
• 18% приложений VPN не раскрывают «объект, на котором размещается оконечный сервер VPN», а 16% приложений могут пересылать трафик с помощью одноранговой пересылки.
• 16% приложений VPN используют непрозрачные прокси-серверы, которые изменяют HTTP-трафик, например, путем введения или удаления заголовков. 2 из них используют JavaScript для рекламы и отслеживания.
• 4 из проанализированных VPN-приложений выполняют перехват TLS.

В исследовательский документ не включен полный список протестированных приложений Android VPN и проблемы, выявленные в каждом из них. Это прискорбно, поскольку это помогло бы пользователям принять обоснованное решение о том, какое приложение Android VPN установить на свое устройство, и убедиться, что установленные приложения VPN работают нормально.

Однако упоминаются некоторые приложения VPN. В исследовательском документе перечислены все приложения VPN, которые были помечены Virustotal как потенциально вредоносные, а также приложения, которые имеют «точки выхода в домашних интернет-провайдерах».

Исследователи предполагают, что Google необходимо переосмыслить модель разрешений VPN, поскольку текущая модель подвергает риску пользователей, которые в большинстве своем ничего не знают.

Способность разрешения BIND_VPN_SERVICE нарушить «песочницу» Android и наивное представление большинства пользователей о сторонних приложениях VPN наводят на мысль, что он настоятельно призывает пересмотреть модель разрешений VPN в Android, чтобы усилить контроль над VPN-клиентами. Наш анализ отзывов пользователей и рейтингов приложений VPN показал, что подавляющее большинство пользователей не подозревают о таких методах, даже если они рассматривают относительно популярные приложения.

Теперь ваша очередь : вы используете приложение VPN на своем мобильном устройстве?