Австралийская организация CSIRO (Commonwealth Scientific and Industrial Research Organisation) предупредила пользователей виртуальных частных сетей (VPN), что их безопасность часто не соответствует названию этой технологии.

CSIRO недавно проверила 283 приложения Android, использующих VPN-полномочия этой ОС, исследовав широкий круг их функций безопасности и приватности, и опубликовала отчет «An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps».

Исследователи этой организации обнаружили, что 18% просмотренных приложений в реальности не шифруют пользовательский трафик, 38% внедряют прямо на пользовательское устройство вредоносные программы или навязчивую рекламу и больше 80% запрашивают доступ к секретным данным, таким как данные пользовательских аккаунтов и текстовые сообщения.

16% проанализированных VPN-приложений задействуют непрозрачные прокси, которые модифицируют пользовательский HTTP-трафик, вставляя и удаляя заголовки или используя такие методы, как перекодирование изображений.

Кроме того, обнаружено, что два VPN-приложения активно внедряют в пользовательский трафик код JavaScript для распространения рекламы и слежения за действиями пользователя, а одно из них перенаправляет трафик, связанный с интернет-торговлей, внешним рекламным партнерам.

«Основная причина инсталляции десятками миллионов пользователями этих приложений — защита своих данных, но как раз данную функцию эти приложения не выполняют», — гласит отчет.

Хотя большинство исследованных приложений предлагают «определенную форму» онлайновой анонимности, CSIRO сообщает, что некоторые разработчики приложений сознательно ставят целью сбор персональной информации пользователей, которую можно было бы продавать внешним партнерам. Однако лишь меньше 1% пользователей проявляют какое-то беспокойство относительности безопасности и приватности использования этих приложений.

18% исследованных VPN-приложения используют технологии туннелирования без шифрования и 84 и 66% приложений осуществляют утечку IPv6- и DNS-трафика соответственно. В итоге, говорится в отчете, эти приложения не защищают пользовательский трафик от устанавливаемых по пути его перемещения агентов, осуществляющих онлайновое наблюдение или слежку за пользователями.

Если же взглянуть на официальные описания приложений в Google Play, то для 94% приложений с утечкой IPv6- и DNS-данных, говорится, что они обеспечивают защиту личной информации.

Перед публикацией своего отчета CSIRO связалась с разработчиками, в приложениях которых были найдены дефекты безопасности, и в результате часть из них предприняла меры для устранения уязвимостей, а некоторые приложения были удалены из Google Play.

«Несмотря на тот факт, что VPN-приложения Android устанавливаются миллионами мобильных пользователей всего мира, их операционная прозрачность и возможное влияние на приватность и безопасность пользователей остаются терра инкогнита даже для технически продвинутых пользователей», — заключает отчет.