Un nuevo estudio de seguridad ha revelado graves problemas de privacidad y seguridad en 281 aplicaciones de VPN populares para Android disponibles en la Google Play Store. Los investigadores descubrieron que decenas de estas apps transfieren datos sin cifrado, filtran el tráfico del usuario fuera del túnel de la VPN y envían identificadores del dispositivo a servicios de seguimiento y publicidad.

Un nuevo estudio de seguridad ha encontrado graves problemas de privacidad y seguridad en 281 populares aplicaciones VPN de Android disponibles en la Google Play Store.

Los investigadores descubrieron que docenas de estas aplicaciones transfieren datos sin cifrado, filtran el tráfico del usuario fuera del túnel VPN y envían identificadores del dispositivo a servicios de publicidad y rastreo.

El equipo de investigación de múltiples universidades desarrolló un marco llamado MVPNalyzer para probar cómo las aplicaciones VPN de Android gestionan el tráfico de red, los archivos de configuración y los datos del usuario. Las aplicaciones VPN ocupan una posición privilegiada en los smartphones porque pueden interceptar y enrutar el tráfico de otras aplicaciones.

A menudo las instalas para evitar la vigilancia, saltarte la censura o proteger tu actividad en redes Wi-Fi no confiables. Sin embargo, el estudio muestra que muchas aplicaciones ni siquiera proporcionan las protecciones básicas.

Aplicaciones VPN de Google Play Expuestas

Los investigadores analizaron 281 aplicaciones VPN gratuitas operativas recopiladas de los resultados de búsqueda de Google Play y de la categoría VPN Proxy & Tools.

Las aplicaciones afectadas suman colectivamente miles de millones de instalaciones, lo que demuestra que el comportamiento inseguro de las VPN puede afectar a un número muy elevado de usuarios.

El problema más preocupante implicaba comunicaciones no cifradas. El estudio encontró 61 aplicaciones VPN que transmitían datos en texto claro a través de 10,552 flujos observados.

Estos datos incluían contenido web, JavaScript, archivos JSON y recursos relacionados con la VPN. Un atacante de red posicionado entre tú y la conexión a internet podría potencialmente leer o alterar este tráfico.

Cinco aplicaciones transfirieron archivos de configuración de VPN a través de conexiones no cifradas. Estos archivos le indican al cliente cómo conectarse a un servidor VPN.

Si un atacante modifica un archivo de configuración mientras está en tránsito, podría redirigirte a un servidor VPN controlado por el atacante y potencialmente interceptar tu tráfico de internet.

Según el informe del Simposio NDSS, los investigadores demostraron el secuestro de túneles en dispositivos controlados y encontraron problemas de fuga de tráfico en 29 aplicaciones VPN.

Veinticuatro aplicaciones filtraron solicitudes DNS fuera del túnel cifrado, exponiendo los dominios que intentabas visitar. Seis aplicaciones filtraron tráfico del navegador, mientras que cuatro utilizaron túneles no cifrados que exponían los dominios visitados en los paquetes de red.

Tales fallos socavan el propósito principal de una VPN, que es evitar que las redes locales, los proveedores de internet y otros observadores en la ruta vean tu actividad.

Las preocupaciones sobre la privacidad también fueron generalizadas. Los investigadores identificaron 246 aplicaciones que contactaban con URLs de publicidad o rastreo. Además, 76 aplicaciones transmitieron IDs publicitarios de Android, que pueden usarse para un rastreo persistente entre aplicaciones.

Muchas aplicaciones también expusieron detalles del dispositivo como el modelo, la versión del sistema operativo, el nivel de API, el idioma, información de la pantalla, el país y la dirección IP. Combinados, estos detalles pueden ayudar a los anunciantes a crear una huella digital de tu dispositivo.

El estudio también identificó prácticas débiles de configuración de VPN. De 108 aplicaciones que contenían archivos de configuración de OpenVPN, solo una cumplió con todas las mejores prácticas de seguridad evaluadas.

Las 107 restantes mostraron al menos un problema, incluyendo criptografía débil, autenticación débil, directivas obsoletas o falta de ajustes de endurecimiento diseñados para evitar la suplantación del servidor y ataques al canal de control.

Deberías tratar los servicios de VPN gratuitos con cautela, especialmente cuando hacen afirmaciones contundentes sobre la privacidad o la elusión de la censura. Antes de instalar una VPN, revisa la reputación del desarrollador, la política de privacidad, las auditorías independientes y el historial de actualizaciones de seguridad.

Los hallazgos también resaltan la necesidad de una aplicación más estricta por parte de las tiendas de aplicaciones y de auditorías independientes continuas de los proveedores de VPN móviles.

Fuentes:
https://cybersecuritynews.com/vpn-apps-from-the-google-play-leaks/