Международная команда специалистов обнаружила серьезные проблемы с безопасностью в бесплатных VPN-приложениях для Android.

Исследование охватило 281 VPN-приложение, которые суммарно были установлены более 2,4 млрд раз. Работу выполнили ученые из Университета Мичигана, Университета Нью-Мексико и Индийского технологического института в Дели. Для анализа они использовали собственный инструмент MVPNalyzer, а испытания проводились на устройствах с Android 14. Результаты были представлены на конференции по компьютерной безопасности NDSS.

Некоторые VPN позволяют перехватывать интернет-трафик

Одной из самых опасных находок стало отсутствие шифрования при загрузке конфигурационных файлов в пяти приложениях. Именно эти файлы определяют параметры VPN-подключения и сервер, через который проходит весь интернет-трафик пользователя.

При подключении к общественной сети Wi-Fi злоумышленник может подменить такой файл и перенаправить весь трафик через собственный сервер. При этом приложение продолжит работать как обычно, не сообщая пользователю о компрометации соединения. Исследователи успешно воспроизвели подобную атаку на практике. После уведомления разработчиков лишь две компании заявили, что намерены устранить проблему.

Утечки данных оказались массовыми

Проверка также показала, что далеко не все VPN обеспечивают полноценную защиту интернет-соединения. Из 281 протестированного приложения сразу 29 имели критические недостатки.

Среди наиболее распространенных проблем:

• 24 приложения допускали утечку DNS-запросов, что позволяло определить, какие сайты посещает пользователь;
• 6 сервисов пропускали часть или весь интернет-трафик в обход VPN;
• 4 приложения использовали VPN-туннель без полноценного шифрования.

Не менее тревожной оказалась ситуация со сбором пользовательских данных. Несмотря на заявления о защите конфиденциальности, многие бесплатные VPN активно передают информацию сторонним компаниям.

Так, у 76 приложений специалисты обнаружили передачу рекламного идентификатора устройства — уникального номера, который позволяет рекламным сетям отслеживать активность пользователя в разных сервисах.

Кроме того, 246 приложений взаимодействовали с рекламными и аналитическими платформами, отправляя сведения о смартфоне, включая модель устройства, версию Android, разрешение экрана и другие технические параметры. По словам авторов исследования, даже такой набор данных позволяет сформировать достаточно точный цифровой отпечаток устройства. В одном из случаев приложение передавало еще и точные GPS-координаты владельца смартфона.

Даже OpenVPN часто настроен небезопасно

Исследователи отдельно изучили приложения, использующие популярный протокол OpenVPN. Из 108 протестированных программ только одна полностью соответствовала современным требованиям безопасности.

Специалисты выяснили, что около 89% таких приложений применяют лишь один метод аутентификации вместо более надежного сочетания сертификата и пароля. Помимо этого, почти каждое пятое приложение продолжает использовать устаревшие алгоритмы шифрования, включая Blowfish и Triple DES, которые уже не считаются достаточно защищенными.

По мнению авторов исследования, проблему усугубляет то, что многие бесплатные VPN редко получают обновления. При этом автоматические проверки Google Play не всегда способны обнаружить подобные недостатки, поэтому наличие отметки Verified еще не означает высокий уровень безопасности.

Исследователи советуют с осторожностью относиться к бесплатным VPN-сервисам с навязчивой рекламой, внимательно изучать их политику конфиденциальности и по возможности выбирать решения, которые регулярно проходят независимые аудиты безопасности и могут документально подтвердить защиту пользовательских данных.