Ücretsiz VPN uygulamaları risk altında: 2,4 milyar kullanıcının verileri sızdı

Uluslararası bir araştırmacı grubu, Android işletim sistemi için tasarlanmış ücretsiz VPN uygulamalarında ciddi güvenlik sorunları tespit etti. Yapılan analizler, gizlilik vaat eden birçok servisin aslında kullanıcı verilerini ifşa edebileceğini, reklam şirketlerine aktarabileceğini ve hatta internet trafiğinin çalınmasına olanak tanıyabileceğini gösteriyor. En endişe verici olanı ise, tespit edilen güvenlik açıklarına sahip uygulamaların bugüne kadar toplam 2,4 milyar kereden fazla indirilmiş olması. Bu konuda Ixbt.com haber veriyor.

Michigan Üniversitesi, New Mexico Üniversitesi ve Delhi'deki Hindistan Teknoloji Enstitüsü uzmanları tarafından yürütülen bu araştırmada 281 uygulama analiz edildi. Bilim insanları, geliştirdikleri MVPNalyzer aracı yardımıyla Android 14 sisteminde çalışan cihazları test ettiler. Sonuçlar, siber güvenlik alanındaki prestijli NDSS konferansında sunuldu.

Trafiği başka bir adrese yönlendirme riski

Araştırma sırasında, beş büyük VPN uygulamasının yapılandırma dosyalarını şifrelenmemiş bir şekilde indirdiği ortaya çıktı. Bu dosyalar, bağlantı parametrelerini ve kullanıcı trafiğinin geçtiği sunucuyu belirler. Böyle bir durum, özellikle halka açık Wi-Fi ağlarında son derece tehlikelidir. Hackerlar bağlantıyı taklit ederek tüm trafiği kendi sunucularına yönlendirebilir, kullanıcı ise VPN'in normal şekilde çalıştığını düşünmeye devam eder.

Veri sızıntısı sadece trafikle sınırlı değil. İncelenen 281 uygulamadan 29'unun trafiği tam olarak koruyamadığı tespit edildi. Ayrıca araştırmacılar şu endişe verici durumları kaydetti:

• 76 uygulamada cihazın reklam tanımlayıcısını (ID) iletme mekanizması bulundu;
• 246 uygulama reklam ve analiz platformlarına bağlanarak akıllı telefon modeli, ekran boyutu ve Android sürümü gibi verileri gönderdi;
• Bazı durumlarda uygulamalar, kullanıcının tam GPS koordinatlarını da üçüncü taraflara aktardı.

Eski teknolojiler ve zayıf koruma

Uzmanlar, en popüler VPN protokollerinden biri olan OpenVPN ayarlarına da özel dikkat gösterdi. Bu protokolü kullanan 108 uygulamadan sadece biri tüm güvenlik gereksinimlerini karşıladı. Programların yaklaşık yüzde 89'u, güvenilir sertifika ve parola kombinasyonu yerine yalnızca tek bir kimlik doğrulama yöntemi kullandı, bu da koruma seviyesini ciddi oranda düşürüyor.

Ayrıca her beş uygulamadan biri, günümüzde eski ve zayıf kabul edilen Blowfish ve Triple DES şifreleme algoritmalarını kullanıyor. ixbt.com'un verilerine göre, birçok ücretsiz servisin zamanında güncellenmemesi nedeniyle sorun daha da derinleşiyor. Google Play mağazasındaki Verified rozeti bile uygulamanın mutlak güvenliğini garanti edemez, çünkü otomatik kontroller bu tür karmaşık güvenlik açıklarını her zaman tespit edemeyebilir.

Uzmanlar, kullanıcılara agresif reklamlar sunan ücretsiz VPN servislerine karşı dikkatli olmalarını tavsiye ediyor. Bu, sosyal ağlara erişmek için genellikle bu tür ücretsiz uygulamaları kullanan kullanıcılar için de güncel bir konudur. En güvenilir yol, bağımsız güvenlik denetiminden geçmiş ve veri korumasını pratikte kanıtlamış ücretli veya prestijli servisleri seçmektir.