Kostenlose VPN-Apps in Gefahr: Daten von 2,4 Milliarden Nutzern gefährdet

Eine internationale Forschergruppe hat schwerwiegende Sicherheitsprobleme bei kostenlosen VPN-Apps für das Betriebssystem Android identifiziert. Analysen zeigen, dass viele Dienste, die Privatsphäre versprechen, tatsächlich Nutzerdaten offenlegen, an Werbefirmen weitergeben und sogar das Hijacking von Internet-Traffic ermöglichen können. Am besorgniserregendsten ist, dass die Apps mit den entdeckten Schwachstellen bis heute insgesamt über 2,4 Milliarden Mal heruntergeladen wurden. Dies berichtet Ixbt.com berichtet .

In dieser Studie, die von Experten der University of Michigan, der University of New Mexico und dem Indian Institute of Technology Delhi durchgeführt wurde, wurden 281 Anwendungen analysiert. Mit dem selbst entwickelten Tool MVPNalyzer testeten die Wissenschaftler Geräte, die unter Android 14 laufen. Die Ergebnisse wurden auf der renommierten Cybersicherheitskonferenz NDSS präsentiert.

Gefahr der Traffic-Umleitung

Während der Untersuchung wurde bekannt, dass fünf große VPN-Apps Konfigurationsdateien unverschlüsselt herunterladen. Diese Dateien legen Verbindungsparameter und den Server fest, über den der Nutzer-Traffic geleitet wird. Eine solche Situation ist besonders in öffentlichen Wi-Fi-Netzwerken an öffentlichen Orten extrem gefährlich. Hacker können die Verbindung fälschen und den gesamten Traffic auf ihre eigenen Server umleiten, während der Nutzer weiterhin glaubt, dass das VPN wie gewohnt funktioniert.

Der Datenabfluss beschränkt sich nicht nur auf den Traffic. Es wurde festgestellt, dass 29 der 281 geprüften Apps den Traffic nicht vollständig schützen konnten. Darüber hinaus verzeichneten die Forscher folgende besorgniserregende Zustände:

• In 76 Apps wurde ein Mechanismus zur Übertragung der Werbe-ID des Geräts gefunden;
• 246 Programme stellten Verbindungen zu Werbe- und Analyseplattformen her und übermittelten Daten wie Smartphone-Modell, Bildschirmgröße und Android-Version;
• In einigen Fällen übermittelten die Apps sogar die genauen GPS-Koordinaten des Nutzers an Dritte.

Veraltete Technologien und schwacher Schutz

Die Experten widmeten auch den Einstellungen von OpenVPN, einem der beliebtesten VPN-Protokolle, besondere Aufmerksamkeit. Nur eine von 108 Apps, die dieses Protokoll verwenden, erfüllte alle Sicherheitsanforderungen. Fast 89 Prozent der Programme nutzten anstelle einer Kombination aus vertrauenswürdigem Zertifikat und Passwort nur eine einzige Authentifizierungsmethode, was das Schutzniveau drastisch senkt.

Zudem verwendet jede fünfte App die Verschlüsselungsalgorithmen Blowfish und Triple DES, die heute als veraltet und schwach gelten. Laut ixbt.com verschärft sich das Problem dadurch, dass viele kostenlose Dienste nicht rechtzeitig aktualisiert werden. Selbst das Verified-Abzeichen im Google Play Store kann keine absolute Sicherheit der App garantieren, da automatisierte Prüfungen solche komplexen Schwachstellen nicht immer erkennen können.

Experten raten Nutzern, bei kostenlosen VPN-Diensten, die aggressive Werbung schalten, vorsichtig zu sein. Dies ist auch für Nutzer in Usbekistan ein aktuelles Thema, da viele solche kostenlosen Apps nutzen, um auf soziale Netzwerke zuzugreifen. Der sicherste Weg ist die Wahl kostenpflichtiger oder renommierter Dienste, die unabhängige Sicherheitsaudits durchlaufen haben und ihren Datenschutz in der Praxis unter Beweis gestellt haben.