Добавь сайт в закладки нажми CTRL+D
Некоторые не обеспечивают шифрование, другие позволяют обходить трафик через VPN
Сети и серверы754 минуты назад
Группа международных исследователей обнаружила серьезные уязвимости в бесплатных VPN-приложениях для Android. Анализ 281 приложения показал, что многие сервисы, которые обещают защиту конфиденциальности, на самом деле могут раскрывать данные пользователей, передавать информацию рекламным компаниям и даже давать возможность перехватывать интернет-трафик.
В совокупности приложения с выявленными уязвимостями были загружены более 2,4 миллиарда раз. Исследование было проведено специалистами из Университета Мичигана, Университета Нью-Мексико и Индийского технологического института в Дели. Для анализа ученые использовали собственный инструмент MVPNalyzer, а тестирование происходило на устройствах с операционной системой Android 14. Результаты исследования были представлены на конференции по компьютерной безопасности NDSS.
Пять VPN-приложений загружали конфигурационные файлы без шифрования. Эти файлы определяют параметры подключения и сервер, через который проходит пользовательский трафик, что создает серьезные риски в публичных Wi-Fi сетях. Злоумышленник, находящийся в той же сети, может изменить конфигурацию и перенаправить весь интернет-трафик через свой собственный сервер, при этом само приложение будет продолжать показывать пользователю, что VPN работает нормально. Исследователи подтвердили такую атаку на практике. Из пяти разработчиков только два сообщили о намерении устранить уязвимость.
Не менее серьезной проблемой стали утечки данных через сам VPN-туннель. Из 281 протестированного приложения 29 не обеспечивали полноценную защиту трафика. В частности:
- 24 приложения допускали утечку DNS-запросов, что позволяло определить посещаемые пользователем сайты;
- 6 приложений пропускали часть или весь интернет-трафик в обход VPN;
- 4 приложения использовали туннель без полноценного шифрования.
- Исследователи также обнаружили, что многие бесплатные VPN активно собирают данные о пользователях, несмотря на их заявления о конфиденциальности.
У 76 приложений был найден механизм передачи рекламного идентификатора устройства — уникального номера, используемого рекламными сетями для отслеживания активности пользователя в различных сервисах.
Еще 246 приложений подключались к рекламным и аналитическим платформам, отправляя информацию о смартфоне: модель устройства, версию Android, разрешение экрана и другие параметры. По словам ученых, даже такие, казалось бы, незначительные данные позволяют создать достаточно точный цифровой отпечаток устройства. В одном случае приложение передавало точные GPS-координаты пользователя.
Специалисты также обратили внимание на настройки OpenVPN — одного из наиболее распространенных протоколов VPN-подключения. Из 108 приложений, использующих OpenVPN, только одно соответствовало всем предъявленным требованиям безопасности.
Около 89% программ применяли лишь один способ аутентификации вместо более надежной комбинации сертификата и пароля. Более того, почти каждое пятое приложение использовало устаревшие алгоритмы шифрования, включая Blowfish и Triple DES, которые в настоящее время считаются недостаточно защищенными.
Авторы исследования подчеркивают, что проблема усугубляется отсутствием регулярных обновлений у многих бесплатных VPN-сервисов. При этом автоматические проверки Google Play не всегда могут выявить подобные уязвимости, поэтому отметка Verified сама по себе не гарантирует высокий уровень безопасности.
По мнению исследователей, пользователям стоит быть осторожнее с бесплатными VPN, которые активно рекламируются, и внимательно изучать политику конфиденциальности этих сервисов. Более надежным вариантом остаются решения, которые регулярно проходят независимые аудиты безопасности и могут подтвердить свои заявления о защите данных.
Главный вывод исследования: VPN не является автоматической гарантией приватности. Некачественное приложение может не только не защищать пользователя, но и служить дополнительным источником утечек.
DexterИсточники:NotebookcheckСети и серверы7VPN54 минуты назад
ИсточникПоделись видео: