VPN-приложения для Android: скрытые связи и угроза конфиденциальности

Исследователи из Аризонского государственного университета и Citizen Lab обнаружили скрытые связи между тремя семействами приложений VPN для Android, которые вместе насчитывают более 700 миллионов загрузок в Google Play. Эти приложения позиционируются как инструменты для повышения конфиденциальности, защиты интернет-трафика и экранирования от наблюдения, однако исследование выявило серьезные уязвимости и нарушения конфиденциальности.

Выявление скрытых связей

Исследователи проанализировали Android VPN-приложения, чьи разработчики намеренно скрывают свое владение. Они собрали информацию о поставщиках из их веб-сайтов, страниц Google Play, документов, социальных сетей и провели статический и динамический анализ APK-файлов.

В результате были выявлены три отчетливо отличающихся семейства VPN-провайдеров:

• Группа A: Восемь приложений от трех поставщиков демонстрируют почти идентичный Java-код, библиотеки и ресурсы; поддерживают протоколы IPsec и Shadowsocks (используя одни и те же библиотеки); имеют общие файлы и уязвимости безопасности.

  • Сбор данных о местоположении (несмотря на заявления о неприкосновенности этих данных в политике конфиденциальности).
  • Использование слабого/устаревшего шифрования.
  • Встроенные пароли Shadowsocks, которые, если их извлечь, могут позволить злоумышленникам расшифровать трафик пользователя.

• Группа B: Восемь приложений, предположительно разработанных пятью разными поставщиками, поддерживают только протокол Shadowsocks (используя одни и те же библиотеки для этого), некоторые подключаются к одному и тому же сервису Shadowsocks, используют одни и те же механизмы защиты и также используют один и тот же встроенный пароль для подключения к серверам Shadowsocks (на разных портах). Все VPN-серверы Family B размещены одной компанией — GlobalTeleHost Corp.

• Группа C: Два провайдера распространяют по одному мобильному VPN-приложению. Оба используют собственный протокол туннелирования; имеют «структурно и функционально похожий» исходный код; реализуют одинаковую маскировку и меры защиты от обратной разработки; подвержены атакам вывода связи с использованием слепых атак типа «внутри/на пути».

Опасность для пользователей

Встроенные пароли Shadowsocks позволяют злоумышленнику расшифровать все коммуникации всех клиентов, использующих приложения. Эти слабости нивелируют гарантии конфиденциальности и безопасности, которые обещают провайдеры.

Еще более тревожным является тот факт, что эти провайдеры, по-видимому, принадлежат и управляются китайской компанией Qihoo 360, которая приложила все усилия, чтобы скрыть этот факт от своих более чем 700 миллионов пользователей. Исследователи предполагают, что компания могла стремиться ограничить репутационный ущерб, который может возникнуть у одного провайдера, сохраняя при этом низкие затраты и простое управление.

VPN-приложения могут представлять серьезную опасность, поскольку компании, которые их предоставляют, могут читать весь интернет-трафик, направляемый через них. Этот риск усугубляется в случае с китайскими приложениями, учитывая строгие законы Китая, которые могут заставить компании в этой стране тайно предоставить доступ к данным своих пользователей правительству.

Анализ популярных VPN-приложений для Android выявил серьезные проблемы безопасности и скрытые связи, ставящие под сомнение их заявления о конфиденциальности.

Три семейства приложений, насчитывающие сотни миллионов загрузок, продемонстрировали поразительное сходство в коде, библиотеках и уязвимостях, что указывает на общую инфраструктуру и, возможно, единое управление. Несмотря на заявления о защите данных, эти приложения собирают информацию о местоположении пользователей и используют слабые протоколы шифрования, подвергая риску конфиденциальность коммуникаций.

Наиболее тревожным является тот факт, что эти VPN-приложения, по всей видимости, связаны с китайской компанией Qihoo 360, известной своими связями с правительством Китая. Это поднимает серьезные опасения о том, что данные пользователей могут быть переданы государственным органам.

Скрытие истинной принадлежности и использование обманчивых заявлений о конфиденциальности свидетельствуют о недобросовестных практиках со стороны разработчиков VPN-приложений. Пользователи, полагающиеся на эти приложения для защиты своей онлайн-деятельности, подвергаются серьезной угрозе.

Ситуация подчеркивает необходимость тщательной проверки VPN-провайдеров, а также важность использования надежных и проверенных решений для защиты конфиденциальности в интернете.