Milioni di persone utilizzano VPN mobili per nascondere il proprio traffico, aggirare i blocchi e navigare sul web in sicurezza. Una ricerca di Zimperium zLabs ha rivelato che un numero significativo di app gratuite non solo non fornisce una protezione efficace, ma crea anche nuovi rischi. Il team ha analizzato quasi 800 VPN gratuite per Android e iOS e ha osservato un comportamento coerente in molte app.

Offrono poca privacy, richiedono autorizzazioni inutili e pericolose, perdono dati e utilizzano codice obsoleto. Con le politiche BYOD, questo non è più un evento comune, ma una vulnerabilità della sicurezza aziendale, poiché anche un client popolare può diventare un anello debole e far trapelare dati sensibili.

Una VPN dovrebbe crittografare il canale tra il dispositivo e il server remoto. Questo nasconde il vero indirizzo IP e rende l’intercettazione del traffico molto più difficile. Idealmente, dovrebbe essere come una lettera in una busta sigillata, non una cartolina. Il problema è che alcune applicazioni presentano delle fessure nella busta e alcune vengono persino manomesse durante la consegna.

L’osservazione più allarmante riguarda le librerie di terze parti. Gli sviluppatori continuano a integrare vecchi componenti con bug critici noti da tempo. È stato scoperto che tre applicazioni contenevano una vecchia build di OpenSSL con la vulnerabilità Heartbleed, identificata come CVE-2014-0160. Questa vulnerabilità consente l’accesso remoto alla memoria e l’esfiltrazione di chiavi di crittografia, password e altri segreti. È passato più di un decennio, esistono patch, eppure queste versioni vengono ancora rilasciate. Ciò è indicativo di scarsa igiene nello sviluppo e di disattenzione per i dati degli utenti.

Anche il canale di comunicazione non è dei migliori. Circa l’1% dei client verificati era vulnerabile ad attacchi man-in-the-middle. Questo comporta una convalida impropria dei certificati. L’applicazione accetta un certificato falso, stabilisce una connessione apparentemente sicura con l’aggressore e quindi inoltra il traffico per ulteriori analisi. L’utente è sicuro che tutto vada bene, il server non se ne accorge, eppure i dati riescono comunque a passare nelle mani sbagliate.

Un problema separato relativo alla trasparenza è emerso su iOS. Apple richiede che la raccolta e l’utilizzo dei dati siano divulgati in modo trasparente nel profilo dell’app e tramite il manifesto della privacy. Le ricerche dimostrano che le dichiarazioni formali spesso non sono in linea con la logica operativa effettiva. Un quarto delle app non contiene nemmeno un manifesto della privacy adeguato. Per i software che promettono anonimato e riservatezza, tale opacità rappresenta di per sé un rischio. L’utente non può fornire un consenso informato, l’azienda non può verificare correttamente il fornitore e flussi di telemetria e identificativi nascosti possono essere facilmente trasformati in profili utente.

Poi ci sono le autorizzazioni che l’app richiede al sistema. Negli ecosistemi Android e iOS, ci sono richieste completamente inutili per lo scopo previsto di una VPN. Su Android, ad esempio, si tratta di AUTHENTICATE_ACCOUNTS, che consente la gestione di account e token, e READ_LOGS, che consente la lettura dei log di sistema. La prima apre le porte al furto di identità, mentre la seconda trasforma l’app in una spia con accesso alle azioni dell’utente e all’attività di altre app. Su iOS, ci sono richieste di accesso costante alla geolocalizzazione e alla rete locale. La prima fornisce una cronologia completa dei movimenti, mentre la seconda consente la scansione silenziosa dei dispositivi di casa e ufficio e la ricerca di obiettivi di attacco. Gli sviluppatori spiegano queste autorizzazioni citando la selezione automatica dei nodi o i controlli di sicurezza della rete, ma per una VPN si tratta di funzionalità eccessive e pericolose.

Un altro dato allarmante riguarda i permessi privati in iOS. Oltre il sei percento delle app, trenta in totale, ha richiesto permessi che garantiscono un accesso approfondito alle funzionalità di sistema. Una richiesta del genere è un campanello d’allarme. Anche se la piattaforma non li concede, il solo fatto di tentare di farlo indica l’intenzione di andare oltre le API pubbliche. Con questi permessi, è possibile eseguire chiamate di sistema, recuperare dati sensibili dalla memoria e aumentare i privilegi.

La conclusione è semplice e spiacevole.

Non tutte le VPN sono ugualmente utili, soprattutto se gratuite. Per gli utenti domestici, questo rappresenta un rischio per la privacy, mentre per le aziende che utilizzano dispositivi sia proprietari che personali nello stesso ambiente, rappresenta anche un rischio aziendale.

L'articolo La tua VPN ti protegge o ti spia? Analizzate 800 VPN gratuite con risultati inquetanti proviene da il blog della sicurezza informatica.