Анализ безопасности 100 бесплатных VPN-приложений для платформы Android

Издание Top10VPN, занимающееся рецензированием и проверкой VPN-сервисов, провело тестирование 100 самых популярных бесплатных VPN-приложений для платформы Android, суммарно насчитывающих более 2.5 миллиарда установок (для проверки были взяты 100 бесплатных VPN-приложений, для которых в каталоге Google Play зафиксировано наибольшее число загрузок).


Основные выводы:

• 88 из протестированных программ имеют те или иные проблемы, приводящие к утечке информации. В 83 приложениях утечки происходили из-за обращения к сторонним DNS-серверам (не серверам VPN-провайдера), например в 40 случаях использовался DNS Google, а в 14 - Cloudflare. В 79 приложениях не была исключена возможность отправки трафика в обход VPN. В 17 приложениях выявлено сразу несколько типов утечек (раскрытие сайтам исходных IPv4 и IPv6 пользователя, утечки через DNS и WebRTC).
  
• В 11 приложениях выявлено использование устаревших генераторов псевдослучайных чисел. В одном из приложений вообще не использовалось шифрование трафика. В 35 приложениях использовались неактуальные криптоалгоритмы (только в 20 программах применялись надёжные методы хэширования). В 23 приложениях на стадии создании VPN-туннеля для обращения к внешнему серверу допускалось использование старых версий TLS (старее TLSv3), а в 6 приложениях использовали SSLv2.
  
• В 69 программах запрашивались избыточные полномочия, например, 20 приложений требовали доступа к данным о местоположении (ACCESS_*_LOCATION), 46 - к списку установленных программ (QUERY_ALL_PACKAGES), 9 - доступ к состоянию телефона (READ_PHONE_STATE, среди прочего позволяет узнать IMEI и IMSI), 82 - запрашивали уникальные идентификаторы для идентификации в рекламных сетях (ACCESS_ADVERTISEMENTS_ID), 10 - пытались получить доступ к камере.
  
• В 53 приложениях выявлено использование сторонних проприетарных функций, например, 13 программ использовало код для отслеживания местоположения, 31 - для получения идентификаторов для рекламных сетей, 22 - для проверки других установленных приложений. 80 программ использовали сторонние библиотеки, среди которых 15 использовали библиотеки компаний Bytedance (TikTok), а 11 - библиотеки Yandex.
  
• 84 приложения включали компоненты SDK от маркетинговых платформ или социальных сетей, при этом 16 приложений включало 10 и более подобных компонентов.
  
• В 32 приложениях выявлено обращение к аппаратным возможностям и датчикам, которые могут привести к нарушению конфиденциальности. Например, 15 приложений обращаются к камере, 7 - к микрофону, а 14 к механизмам определения местоположения, таким как GPS, 14 к датчикам (гироскоп, датчик приближения и т.п.).
  
• 71 приложение отправляло персональные данные в сторонние сервисы, такие как Facebook (47), Yandex (13) и VK (11). 37 программ раскрывали сторонним сервисам идентификаторы устройств, 23 - IP-адреса, 61 - уникальные идентификаторы для отслеживания. 19 приложений отправляли телеметрию с информацией об устройстве и системе на серверы VPN-провайдера, а 56 - в сторонние сервисы, такие как Google (39), Facebook (17) и Yandex (9).
  
  
  
  
• В 19 приложениях при проверке в сервисе VirusTotal, использующем более 70 антивирусов, было определено вредоносное ПО. В 18 приложениях выявлено подключение к доменам, а в 13 к IP-адресам, занесённым в чёрные списки вредоносных хостов и адресов.
  
• В 93 приложениях выявлено расхождение заявленных меток соблюдения конфиденциальности с фактическим состоянием. 75 приложений неверно информировали о методах сбора данных о пользователе, 64 - об отправке данных сторонним сервисам, 32 - об используемых методах обеспечения безопасности. Из 65 приложений с меткой "No Data Sharing" только 20 не допускали отправку данных сторонним сервисам, а из 32 приложений с меткой "No Data Collection" лишь два соответствовали связанным с ней требованиям.

Источник

Поэтому только собственный VPN на собственном VDS.
Бесплатный сыр только в мышеловке.

Безопасность это иллюзия, если сам пользователь, может отдать ключи от "квартиры" своей надеждой на "авось"...

MURM000 писал(а):

Первых 6 в рейтинге из статьи по убыванию: Cleaner Antivirus VPN Cleaner Thunder VPN - Fast, Safe VPN Turbo VPN Lite - VPN Proxy Phone Guardian VPN: Safe WiFi VPN Proxy Master - Safer Vpn Secure VPN－Safer Internet

Cleaner Antivirus VPN Cleaner второй снизу по рейтингу, т.е. практически худший. Остальные пункты уже не проверял..

emuxa писал(а):

binx писал(а): emuxa писал(а): DikAll писал(а): а где результаты то? и через впн возможна кража с банковских приложений, счетов? если грубо очень грубо расписать как работает VPN: клиент тоесть ваш пк подключается к другому пк весь контент который вы видите в своем браузере проходит через тот пк к которому вы подключены есть понятие логирование можно просматривать что человек делал на определенном сайте и какие данные отправлял и получал если кратко и без деталей как то так. НЕ совсем так, ВПН принимает данные с сайта которые посещает пользователь, в зашифрованном виде, если конечно вы подключаетесь к сайту с шифрованием, а это на сегодняшний момент 99% процентов всех сайтов в интернете и 100% банковских сайтов. ВПН может собирать информацию о пользователе во первых в качестве приложения на телефоне о телефоне местоположение и прочее и как сетевой посредник к каким сайтам подключается, на какие страницы переходит это важно особенно что касается онлайн магазинов, сколько времени проводит на сайте - то есть ту информацию которая может быть полезна. Думаю что информация скорее всего обезличенная, поэтому угрозы конфиденциальности особой не предоставляет. Другое дело как выяснилось приложения написаны из рук вон плохо, так что все может быть. шифрование тоесть SSL как работает есть ключ и есть зашифрованный трафик когда вы подключаетесь через сторонний сервис что бы получить доступ вы должны передать данные ключа либо трафик не получите раньше были так называемые туннели через которые вы могли подключатся к запрещенным сайтам и поскольку ключ не передавался возникала проблема с HTTPs и сайты открывались через HTTP опять же я стараюсь объясняю доступно если есть желание советую по читать литературу насчет сертификации шифрования если хотите избежать подобных передач ключей или утечки просто арендуете доступный сервер ставите на него OpenVPN и будет у вас частный VPN а если пользуетесь сервисом платным бесплатным всегда есть вероятность того что данные могут уйти в сторону моря.

VPN ни в коем случае не получает распакованные данные защифрованные с использованием tls. Задача vpn создать защищённое соединение поверх сети. Задача буквы "S" в HTTPS - Secure (безопасность). Обмен ключами, рукопожатия, шифрование происходит исключительно на клиенте и сервере к которому обращается клиент, vpn тут никаким боком не прилеплен, ибо он - транспортная сеть и шифрует уже зашифрованные данные от клиент/сервер.

Motif писал(а):

Так какой VPN лучше? Не понятно.

короче гугл первое место по слежке

MURM000 писал(а):

Первых 6 в рейтинге из статьи по убыванию: Cleaner Antivirus VPN Cleaner Thunder VPN - Fast, Safe VPN Turbo VPN Lite - VPN Proxy Phone Guardian VPN: Safe WiFi VPN Proxy Master - Safer Vpn Secure VPN－Safer Internet

Как-то странно с рейтингом, на третьем месте Turbo VPN Lite - VPN Proxy, рейтинг 4,79, как и у Thunder VPN.
При этом у него полный набор "бяк": и encryption-leaks (IPv6 Leak, DNS Google IPv4/IPv6 Leaks, WebRTC Leak, SNI Visible, Encryption Issues - Uses AES_128_CBC for PRF rather than HMAC-SHA2-256 и т.п.), High Risk Permissions, 3P Data Recipients (Flurry, Google, keysuccess.site (tracker), Inmobi, UnityAds, Yandex, Adjust), PII Shared (+ Recipients) - (Google Advertising ID Device fingerprinting (very detailed for Flurry, Unity Ads), Basic telemetry), 11 трекеров, сканирование на вирусы - Malware Flagged by 1 vendor as Win32.Troj.Admob.a, 9 контактных доменов трекеров...

Такое впечатление, что чем выше рейтинг - тем хуже. Хотя у Psiphon рейтинг 4,33, у Proton VPN рейтинг 4,51.

Ruroni-SPb
кто ж лучший, по-вашему, и почему?

Aswerd996969 писал(а):

Motif писал(а): Так какой VPN лучше? Не понятно. Свой, созданный на VPS, только за это придется платить, а бесплатный сыр бывает только в мышеловке.

И то сыр и мышеловку надо купить. Если не весь этот идиотизм " мы решаем, что вам можно" и в впне не было бы нужды... (для обходов)

Использую на телефоне и на компе Psiphone, доволен этим сервисом на все 100%

Пользуюсь Orbot, https://orbot.app/ru/faqs/ .
Перепробовал несколько VPN для android понял, что Orbot самый лучший.

Извините, но сама формулировка весьма странная их что 1 000 000 и тогда действительно 100 это совсем мало!!! и всего может 200 нужен обзор максимум 10 ну 15...
а если вдруг всё же 759315-й самый самый!!! как быть простому пользователю

блин тут и с 3..4 не можешь разобраться,
поэтому откровенная ерунда!!!

Да чёрт с ним этим вэпээном - а вот дверцу я обязательно куплю!

Orbot. Попробывал сегодня на работе. Сначало понравился, как все работает. Во 2-й раз - он что-то не очень работал сегодня.
Это заставило меня усомниться в его полезности. Было подозрение, что раз с интернетом у нас там Г полное, то Орбот все-таки должен иметь выход через этот же интернет в сеть, отсюда и не стабильная его работа.
Вообщем, понаблюдаю еще за ним. В заначке оставлю.

Psiphon. Попробую его глянуть. Что-то мне подсказывает, что с ним будет, как с Орбот. Раз интернет Г полное, то сифон наверное тоже не справится с заданием. Короче, попробую его. Посмотрим, как он выдержит позиции в 2 захода.

nord vpn

Orbot.Так и есть. Вчера он один сайт открывал, а сегодня - он не захотел его открывать. Печаль.
Psiphon. Отпадает из-за передачи данных.
nord vpn. Тоже мимо проходит из-за передачи данных.
NotVPN. Вначале пользовался им и думал, что отличный, но... на работе понаблюдал и пришел к выводу, что он есть, что его нет. Да и добавить софт в него тоже нельзя, а так возможно это решило бы проблему.
М-да. Грусть, тоска, выбрать нечего. Я в печали...