31-01-2017, 12:56
Ongeveer vier op vijf apps die de ingebouwde Android VPN gebruiken, zijn mogelijk onveilig. Dat betekent niet per se dat ze je veiligheid in gevaar brengen, maar wel dat ze minsten persoonlijke gegevens kunnen lekken. Dat ontdekten onderzoekers van de universiteiten van New South Wales (Australië) en Berkeley (VS) wanneer ze 283 Android-apps onderzochten uit de Play Store.
Aangezien de meeste gebruikers zich wenden tot VPN-apps om hun veiligheid en anonimiteit te garanderen, zijn de cijfers zorgwekkend. Vele van de app-ontwikkelaars die gecontacteerd werden door de onderzoekers negeerden bovendien de waarschuwingen; zij die wel reageerden pasten hun app ondertussen aan of verwijderden hem uit de Play Store.
Veilig, maar toch niet
Het gevaar situeert zich in het gebruik van de ingebouwde VPN-dienst in Android. Om een versleutelde verbinding te genereren, zou je normaal gesproken toegang moeten hebben tot de root van Android. Sinds Android 4.0 zit er echter ondersteuning voor VPN ingebouwd in Android, waardoor gebruikers zonder al te veel risico’s toch gebruik kunnen maken van een versleutelde verbinding, door de apps toegang te geven tot deze component.
Op deze manier blijft het grootste deel van je toestel uit de gevarenzone, maar dat betekent niet dat er geen enkel gevaar is. Je identiteit kan nog makkelijk worden opgeslagen, terwijl het eveneens mogelijk is om je te belegeren met advertenties terwijl je via de ‘versleutelde’ verbinding op het web surft. Het zou volgens de onderzoekers eveneens mogelijk zijn om via de slechtst beveiligde apps malware te laten injecteren op je smartphone.
Schaduwen
Zo’n 67 procent van de onderzochte apps zou beloven je privacy en beveiliging een boost te geven. Van dat getal zou 75 procent echter tracking libraries gebruiken: een register dat je doen en laten bijhoudt. Volgens ontwikkelaars is dit de beste manier om een gratis app toch geld te laten opbrengen.
Twee van de onderzochte apps, HotspotShield en Wifi Protector VPN zouden daarnaast je internetverbinding injecteren met JavaScriptcode om je op die manier eigen advertenties te kunnen tonen. Miljoenen gebruikers blijken deze apps te gebruiken zonder zich bewust te zijn van de gevaren; dat concluderen de gebruikers uit de vele, veelal positieve, reviews die in de Play Store te vinden zijn.
Risico lopen
Uit het rapport blijkt overigens nog dat 18 procent van alle apps zichzelf wel het label ‘VPN’ toe-eigenen, maar dat ze je verbinding niet encrypteren. Daardoor krijg je alleen het effect alsof je surft vanuit het buitenland, maar zijn je gegevens op te pikken in een ‘man-in-the-middle’-aanval.
De onderzoekers raden gebruikers aan om steeds na te gaan welke toestemmingen de apps vragen en daar voorzichtig mee om te gaan. Ze stellen ook dat het steeds loont om de kleine lettertjes van een gebruiksovereenkomst te lezen en die indien nodig te verwerpen. Natuurlijk beseffen ze dat mensen liever het risico lopen dan de app op te geven en te verwijderen.
Aangezien de meeste gebruikers zich wenden tot VPN-apps om hun veiligheid en anonimiteit te garanderen, zijn de cijfers zorgwekkend. Vele van de app-ontwikkelaars die gecontacteerd werden door de onderzoekers negeerden bovendien de waarschuwingen; zij die wel reageerden pasten hun app ondertussen aan of verwijderden hem uit de Play Store.
Veilig, maar toch niet
Het gevaar situeert zich in het gebruik van de ingebouwde VPN-dienst in Android. Om een versleutelde verbinding te genereren, zou je normaal gesproken toegang moeten hebben tot de root van Android. Sinds Android 4.0 zit er echter ondersteuning voor VPN ingebouwd in Android, waardoor gebruikers zonder al te veel risico’s toch gebruik kunnen maken van een versleutelde verbinding, door de apps toegang te geven tot deze component.
Op deze manier blijft het grootste deel van je toestel uit de gevarenzone, maar dat betekent niet dat er geen enkel gevaar is. Je identiteit kan nog makkelijk worden opgeslagen, terwijl het eveneens mogelijk is om je te belegeren met advertenties terwijl je via de ‘versleutelde’ verbinding op het web surft. Het zou volgens de onderzoekers eveneens mogelijk zijn om via de slechtst beveiligde apps malware te laten injecteren op je smartphone.
Schaduwen
Zo’n 67 procent van de onderzochte apps zou beloven je privacy en beveiliging een boost te geven. Van dat getal zou 75 procent echter tracking libraries gebruiken: een register dat je doen en laten bijhoudt. Volgens ontwikkelaars is dit de beste manier om een gratis app toch geld te laten opbrengen.
Twee van de onderzochte apps, HotspotShield en Wifi Protector VPN zouden daarnaast je internetverbinding injecteren met JavaScriptcode om je op die manier eigen advertenties te kunnen tonen. Miljoenen gebruikers blijken deze apps te gebruiken zonder zich bewust te zijn van de gevaren; dat concluderen de gebruikers uit de vele, veelal positieve, reviews die in de Play Store te vinden zijn.
Risico lopen
Uit het rapport blijkt overigens nog dat 18 procent van alle apps zichzelf wel het label ‘VPN’ toe-eigenen, maar dat ze je verbinding niet encrypteren. Daardoor krijg je alleen het effect alsof je surft vanuit het buitenland, maar zijn je gegevens op te pikken in een ‘man-in-the-middle’-aanval.
De onderzoekers raden gebruikers aan om steeds na te gaan welke toestemmingen de apps vragen en daar voorzichtig mee om te gaan. Ze stellen ook dat het steeds loont om de kleine lettertjes van een gebruiksovereenkomst te lezen en die indien nodig te verwerpen. Natuurlijk beseffen ze dat mensen liever het risico lopen dan de app op te geven en te verwijderen.
