Бесплатные ВПН-приложения под угрозой: данные 2,4 миллиарда пользователей оказались под угрозой

Группа международных исследователей выявила серьезные проблемы с безопасностью в бесплатных ВПН-приложениях для операционной системы Android. Проведенный анализ показывает, что многие сервисы, обещающие конфиденциальность, на самом деле могут раскрывать данные пользователей, передавать их рекламным компаниям и даже позволять перехватывать интернет-трафик. Самое тревожное то, что приложения с выявленными уязвимостями на сегодняшний день были скачаны более 2,4 миллиарда раз. Об этом сообщает Иксбт.ком.

В исследовании, проведенном специалистами Мичиганского университета, Университета Нью-Мексико и Индийского технологического института в Дели, было проанализировано 281 приложение. Ученые протестировали устройства под управлением Android 14 с помощью разработанного ими инструмента МВПНалйзер. Результаты были представлены на авторитетной конференции по кибербезопасности НДСС.

Риск перенаправления трафика

В ходе исследования выяснилось, что пять крупных ВПН-приложений загружают файлы конфигурации в незашифрованном виде. Эти файлы определяют параметры подключения и сервер, через который проходит трафик пользователя. Такая ситуация особенно опасна в публичных сетях Wi-Fi. Хакеры могут подделать соединение и перенаправить весь трафик на свои серверы, в то время как пользователь будет продолжать думать, что VPN работает в обычном режиме.

Утечка данных не ограничивается только трафиком. Было установлено, что 29 из 281 проверенного приложения не способны полностью защитить трафик. Кроме того, исследователи отметили следующие тревожные факты:

• в 76 приложениях обнаружен механизм передачи рекламного идентификатора (ИД) устройства;
• 246 программ подключаются к рекламным и аналитическим платформам, отправляя такие данные, как модель смартфона, размер экрана и версия Android;
• в некоторых случаях приложения передавали сторонним лицам даже точные ГПС-координаты пользователя.

Устаревшие технологии и слабая защита

Специалисты также уделили особое внимание настройкам ОпенВПН, одного из самых популярных ВПН-протоколов. Из 108 приложений, использующих этот протокол, только одно соответствовало всем требованиям безопасности. Около 89 процентов программ вместо комбинации надежного сертификата и пароля использовали только один метод аутентификации, что резко снижает уровень защиты.

Также каждое пятое приложение использует алгоритмы шифрования Бловфиш и Трипле ДЭС, которые сегодня считаются устаревшими и слабыми. По данным иксбт.ком, проблема усугубляется тем, что многие бесплатные сервисы не обновляются вовремя. Даже отметка Верифиед в магазине Google Play не может гарантировать абсолютную безопасность приложения, так как автоматические проверки не всегда способны выявить такие сложные уязвимости.

Эксперты рекомендуют пользователям с осторожностью относиться к бесплатным ВПН-сервисам, предлагающим агрессивную рекламу. Для пользователей из Узбекистана это также актуальная тема, так как многие используют именно такие бесплатные приложения для доступа к социальным сетям. Самый надежный путь — выбирать платные или авторитетные сервисы, которые прошли независимый аудит безопасности и доказали защиту данных на практике.