Nghiên cứu 281 VPN Android miễn phí phát hiện rò rỉ lưu lượng, dữ liệu không mã hóa và theo dõi
"Researchers tested 281 popular free Android VPN apps using the MVPNalyzer framework and found widespread privacy and security failures, including DNS leaks, cleartext traffic, unencrypted configuration downloads, and tracking. The study also identified weak OpenVPN setups and outdated ciphers such as Blowfish and 3DES, with some issues enabling tunnel hijacking; affected providers were notified and some promised HTTPS-based fixes."
Rủi ro cao đối với quyền riêng tư và tính toàn vẹn kết nối do rò rỉ DNS/cleartext và khả năng tunnel hijacking từ cấu hình tải không mã hóa.
Tác động gián tiếp đến người dùng và hệ sinh thái do gia tăng sự cố rò rỉ dữ liệu, làm suy giảm niềm tin và có thể kéo theo yêu cầu rà soát/tuân thủ đối với ứng dụng VPN.
Một nghiên cứu đánh giá 281 ứng dụng VPN Android miễn phí phổ biến trên Google Play bằng khung kiểm thử MVPNalyzer. Kết quả cho thấy nhiều ứng dụng không đáp ứng mục tiêu cơ bản của VPN: bảo vệ quyền riêng tư và an toàn kênh truyền. Các ứng dụng có ít nhất một lỗi đã được cài đặt hơn 2,4 tỷ lượt.
Nhóm vấn đề nghiêm trọng gồm tunnel hijacking: 5 ứng dụng tải tệp cấu hình không mã hóa, cho phép kẻ tấn công trên cùng mạng (ví dụ Wi‑Fi công cộng) sửa nội dung để chuyển hướng kết nối sang máy chủ do họ kiểm soát. Nghiên cứu cũng ghi nhận 29 ứng dụng gây rò rỉ DNS và 61 ứng dụng gửi dữ liệu ở dạng cleartext; trong đó có trường hợp cấu hình bị gửi công khai, làm tăng rủi ro bị chiếm luồng.
Ngoài rò rỉ, 76 ứng dụng gửi Advertising ID, và hơn 80% (246 ứng dụng) liên hệ máy chủ quảng cáo/theo dõi, tạo điều kiện cho việc lập “dấu vân tay” thiết bị. Về cấu hình, phân tích file OpenVPN của 108 ứng dụng cho thấy nhiều thiết lập yếu: dùng Blowfish/3DES hoặc tắt mã hóa, liên quan các điểm yếu đã biết CVE-2016-6329 và CVE-2016-2183.
Khuyến nghị: ưu tiên nhà cung cấp có báo cáo kiểm toán bảo mật độc lập gần đây, thận trọng với ứng dụng miễn phí thiên về quảng cáo, và coi các nhãn “verified/no-logs” là điểm khởi đầu chứ không phải bằng chứng kỹ thuật. Nghiên cứu dự kiến công bố MVPNalyzer để cửa hàng ứng dụng và cơ quan quản lý có thể tự kiểm tra.