Международная группа экспертов провела масштабное исследование безопасности бесплатных VPN-сервисов, доступных на платформе Android. Результаты анализа 281 приложения оказались тревожными: сервисы, которые обещают пользователям полную приватность, зачастую сами становятся источником утечек данных, тесно сотрудничают с рекламными сетями и в критических случаях позволяют перехватывать интернет-трафик.
Исследование охватило программы, которые в совокупности были установлены на устройства пользователей более 2,4 млрд раз. В работе приняли участие специалисты из Университета Мичигана, Университета Нью-Мексико и Индийского технологического института в Дели. Для проведения тестов авторы разработали специальный инструмент MVPNalyzer, а все проверки осуществлялись на базе ОС Android 14. Отчет о результатах был представлен на профильной конференции по кибербезопасности NDSS.
Одной из наиболее критических проблем стала небезопасная обработка конфигурационных файлов. Было выявлено, что пять приложений загружали такие файлы без шифрования. Поскольку файл конфигурации управляет параметрами подключения, злоумышленник, находящийся в той же сети Wi-Fi, может легко подменить его и перенаправить трафик пользователя через свои серверы. При этом внешне приложение будет отображать корректную работу VPN. Исследователи успешно подтвердили возможность проведения такой атаки на практике, однако лишь двое из пяти разработчиков ответили на сообщения о найденной уязвимости.
Кроме того, эксперты зафиксировали массовые утечки через VPN-туннель. Из 281 протестированного приложения 29 не обеспечивали должный уровень защиты трафика:
- 24 программы допускали утечку DNS-запросов, позволяя сторонним лицам видеть, какие сайты посещает пользователь;
- 6 приложений в ряде случаев пускали трафик в обход VPN-туннеля;
- 4 программы работали без полноценного шифрования данных.
Особое внимание в работе уделено скрытому сбору информации. Даже при наличии деклараций о конфиденциальности, многие бесплатные VPN активно собирают пользовательские данные. У 76 приложений был обнаружен механизм передачи рекламного идентификатора, который используется для «слежки» за поведением пользователя в различных приложениях. Еще 246 программ отправляли на аналитические платформы сведения о модели смартфона, версии Android и даже разрешении экрана, что позволяет составить уникальный цифровой отпечаток. В одном из зафиксированных случаев приложение передавало точные GPS-координаты устройства.
Аудит популярного протокола OpenVPN также показал плачевные результаты: из 108 приложений, использующих эту технологию, лишь одно соответствовало всем стандартам безопасности. Около 89% сервисов применяли упрощенную аутентификацию, а почти каждое пятое приложение полагалось на устаревшие и уязвимые алгоритмы шифрования, такие как Blowfish и Triple DES.
Эксперты подчеркивают, что ситуация усугубляется отсутствием обновлений в большинстве бесплатных сервисов. Поскольку инструменты проверки Google Play не всегда способны выявить подобные архитектурные недостатки, наличие отметки Verified в магазине не является гарантией безопасности. Специалисты призывают с осторожностью относиться к VPN-сервисам с агрессивной рекламой и отдавать предпочтение решениям, которые регулярно проходят независимые аудиты безопасности.
