Согласно сведениям Mullvad, система Android выполняет проверки доступности сети за пределами туннеля VPN, когда устройства подключены к беспроводным сетям. Самое интересное, что это происходит, даже когда активна функция блокировки трафика в обход VPN.
Подключения за пределами VPN-подключения инициируются определенными сервисами и функциями. Mullvad приводит пример порталов авторизации в общественных сетях, которые требуют от пользователями аутентификации, прежде чем подключение станет доступно.
Утечка информации может вызывать некоторые опасения у пользователей по поводу конфиденциальности. Когда пользователи используют VPN на устройстве Android, они могут ошибочно полагать, что их соединение защищено от утечек. А в это время сущность, управляющая сервером проверки подключения или выполняющая отслеживание сетевого трафика, может получить метаданные, которые включают в том числе исходный IP-адрес. По словам Mullvad, для этого потребуется «тщательно проработанный механизм».
Android не предлагает пользовательские параметры для отключения трафика за пределами VPN-туннеля. Mullvad опубликовал руководство по отключению проверки подключения на Android, которое требует использования инструментов разработки и носит технический характер.
Компания сообщила о проблеме в Google, но технологический гигант не планирует исправлять данную уязвимость, ссылаясь на то, что это ожидаемое поведение:
Мы рассмотрели запрос функции, о котором вы сообщили, и хотели бы сообщить вам, что все работает так, как предполагалось. Мы не думаем, что предложенный вариант будет понятен большинству пользователей и не считаем, что есть веские основания для его реализации.
Google аргументирует свое решением тем, что некоторые другие виды трафика также обходят VPN, а определенные VPN-сервисы даже используют данную информацию о подключении. Кроме того, во время данных проверок раскрывается относительно небольшое количество данных.
В свою очередь Mullvad считает, что утечка данных имеет значение для некоторых пользователей, и у них должна быть возможность блокировать любую утечку трафика при желании.
А пока у пользователей Android, которым нужна полная защита от утечек, есть только один вариант: внести изменения на устройство с помощью руководства Mullvad, чтобы заблокировать эти подключения.
Угрозы безопасности
• Менеджер паролей Proton Pass хранит пароли в открытом виде в оперативной памяти
• Бэкдор в Free Download Manager: Опасность для пользователей Linux
• Adobe исправила критическую уязвимость «нулевого дня» в Acrobat и Reader, используемую в реальных атаках
• Уязвимость Atlas VPN приводит к утечке реального IP-адреса
• В роутерах Asus обнаружены критические уязвимости: обновите свои устройства как можно скорее
• Расширения Chrome могут перехватывать пароли, передаваемые в открытом текстовом виде