Безплатните VPN услуги се присмиват на сигурността ви: тъмната страна на популярните услуги

Почти 90% от VPN приложенията застрашават поверителността на потребителите.

Според наскоро публикувано проучване на Top10VPN почти всички популярни безплатни VPN приложения в магазина на Google Play имат потенциала да застрашат личните ни данни. Почти 90% от тези приложения са склонни към изтичане на данни, повече от две трети споделят личната информация на потребителите с трети страни, а една пета от тестваните приложения са отбелязани като подозрителен зловреден софтуер от антивирусните скенери.

Това са само някои от тревожните констатации на доклада, в който са анализирани изходният код и мрежовият трафик на 100-те най-популярни безплатни VPN услуги за Android в магазина на Google Play. Саймън Миглиано, ръководител на изследователския отдел на Top10VPN , е прекарал месеци в проучване и събиране на данни за пропуските в сигурността и защитата на личните данни.

VPN услугите работят, като скриват IP адреса на потребителя и маскират неговата онлайн дейност от външните лица (доставчици на интернет услуги, мрежи и други трети страни). VPN мрежите осигуряват защитен тунел от устройството до техния сървър и след това до отворения интернет с криптиране от край до край. От решаващо значение е доставчикът на VPN услуги да е надежден, тъй като всичките данни на клиентите преминават през неговите сървъри.

Най-надеждните платени VPN услуги използват усъвършенствани технологии за сигурност, като сървъри, работещи само с оперативна памет, и криптиране от военен клас. Те също така редовно ангажират независими одиторски компании, за да докажат, че данните и трафикът на потребителите не се записват. За съжаление при безплатните приложения това се случва много рядко.

Според Миглиано броят на потребителите на безплатни VPN услуги се е увеличил драстично през последните няколко години: „100-те най-популярни безплатни VPN услуги за Android са били инсталирани около 260 милиона пъти през 2018 г. Днес този брой надхвърля 2,5 милиарда.“

Въпреки че все още съществуват няколко надеждни безплатни приложения, повечето други служат единствено като начин за генериране на рекламни приходи за разработчиците. Бизнес моделът на тези услуги ги принуждава да разчитат на средства от рекламодатели и други трети страни. Обикновено това става под формата на вграждане на различни реклами и маркетингово съдържание в приложенията, често в ущърб на потребителите.

Обезпокоително е, че 71% от безплатните VPN услуги предоставят на рекламодателите достъп до личните данни на потребителите. Близо една трета от тях дори сами събират тези данни и ги продават с цел печалба.

Очаква се популярността на тези услуги да продължи да расте през следващите години на фона на експоненциалния растеж на целия пазар. Тъй като броят на потребителите, които търсят безплатна алтернатива, се увеличава, има нужда от надеждни алгоритми. Това е особено вярно за тези, които изпитват остра нужда поради зачестилите случаи на блокиране на интернет в последно време.

Въпреки че експертите традиционно съветват да се използват доказани комерсиални VPN услуги с абонамент, ако по някаква причина е необходим некомерсиален вариант, за предпочитане е да се избере „безплатната“ версия на платено приложение (freemium). Надеждните доставчици на VPN услуги предоставят повечето от функциите на основния си платен продукт в такива версии, но с някои ограничения по отношение на броя на наличните сървъри и броя на свързаните устройства.

Някои първокласни VPN услуги предлагат и напълно безплатни извънредни абонаменти за определени рискови лица: журналисти, неправителствени организации и политически активисти.

Ето как изглеждат основните изводи от проверката на Top10VPN:

• 88 от тестваните приложения имат един или друг проблем, водещ до изтичане на информация. В 83 приложения изтичането на информация се дължи на достъп до DNS сървъри на трети страни (а не на сървъри на доставчиците на VPN услугите), например в 40 случая е използван Google DNS, а в 14 случая е използван Cloudflare DNS. В 79 приложения не е изключена възможността за изпращане на трафик, заобикалящ VPN мрежата. В 17 приложения бяха открити няколко вида изтичания (разкриване на оригиналните IPv4 и IPv6 на потребителя пред сайтове, изтичане чрез DNS и WebRTC).
• В 11 приложения беше открито използването на остарели генератори на псевдослучайни числа. В едно приложение изобщо не е използвано криптиране на трафика. В 35 приложения са използвани неуместни криптографски алгоритми (само в 20 приложения са използвани надеждни методи за хеширане). В 23 приложения на етапа на създаване на VPN тунел за достъп до външен сървър е било разрешено да се използват стари версии на TLS (TLSv1, TLSv2), а в 6 приложения е използван SSLv2.
• В 69 приложения са били поискани прекомерни разрешения, например 20 приложения са поискали достъп до данните за местоположението (ACCESS_*_LOCATION), 46 – до списъка с инсталираните програми (QUERY_ALL_PACKAGES), 9 – достъп до състоянието на телефона (READ_PHONE_STATE, наред с други неща позволява да се разберат IMEI и IMSI), 82 – поискали са уникални идентификатори за идентификация в рекламните мрежи (ACCESS_ADVERTISEMENTS_ID), 10 – опитали са се да получат достъп до камерата.

• При 53 приложения е установено използване на собствени функции на трети страни, например 13 програми са използвали код за проследяване на местоположението, 31 – за получаване на идентификатори за рекламните мрежи, 22 – за проверка на други инсталирани приложения. 80 програми са използвали библиотеки на трети страни, сред които 15 са използвали библиотеки от Bytedance (TikTok), а 11 – библиотеки на Yandex.
• 84 приложения са включвали SDK компоненти от маркетингови платформи или социални мрежи, като 16 приложения са включвали 10 или повече такива компоненти.
• Установено е, че 32 приложения използват хардуерни функции и сензори, които могат да доведат до нарушаване на поверителността. Така например 15 приложения са имали достъп до камерата, 7 – до микрофона, а 14 – до механизмите за определяне на местоположението, като GPS, 14 – до сензорите (жироскоп, сензор за близост и др.).
• 71 приложения изпращат лични данни към услуги на трети страни, като например Facebook (47), Yandex (13) и VK (11). 37 приложения разкриват идентификационните номера на устройствата на услуги на трети страни, 23 разкриват IP адреси, а 61 разкриват уникалните идентификатори за целите на проследяването. 19 приложения изпращат телеметрия с информация за устройството и системата към сървърите на доставчика на VPN, а 56 изпращат телеметрия към услуги на трети страни, като Google (39), Facebook (17) и Yandex (9).