Російські застосунки стежать за тим, чи використовуєте ви VPN

Нове розслідування організації захисту свободи інтернету RKS Global виявило тривожну практику стеження, вбудовану в деякі з найпопулярніших російських застосунків. З 30 досліджених великих російських застосунків 22 було виявлено як такі, що активно визначають та реєструють, чи увімкнений VPN на пристрої користувача. До списку входять застосунки таких відомих компаній, як Сбербанк, Яндекс і ВКонтакте. За даними розслідування, ці дані зберігаються на серверах, до яких мають доступ державні спецслужби, що є значною ескалацією у способах відстеження користувачів VPN з боку урядів.

Йдеться не просто про блокування VPN. Йдеться про встановлення особи тих, хто намагається ними користуватися.

Як застосунки виявляють використання VPN

Ви можете припускати, що VPN робить вашу інтернет-активність невидимою. На мережевому рівні VPN дійсно шифрує ваш трафік і приховує вашу IP-адресу. Але застосунки, встановлені безпосередньо на вашому пристрої, працюють на зовсім іншому рівні, і ця відмінність має надзвичайно важливе значення.

Коли застосунок запускається на вашому смартфоні, він може спостерігати певні характеристики середовища вашого пристрою. Кілька технічних методів дозволяють застосункам встановлювати факт використання VPN без будь-якого інспектування вашого зашифрованого трафіку:

  • Перевірка мережевих інтерфейсів: Застосунки можуть запитувати, які мережеві інтерфейси активні на пристрої. VPN зазвичай створює віртуальний мережевий адаптер із характерними іменами, що робить його присутність виявленою для будь-якого застосунку з базовими мережевими дозволами.
  • Перехресна перевірка IP-адреси: Застосунки, які знають ваше приблизне місцезнаходження (через GPS, дані стільникових веж або позиціонування Wi-Fi), можуть порівняти це місцезнаходження з IP-адресою, з якої, здається, надходить ваш трафік. Розбіжність є переконливим свідченням використання VPN.
  • Виявлення витоку DNS: Якщо застосунок надсилає DNS-запити та виявляє, що відповіді надходять від неочікуваних серверів, він може позначити потенційну активність VPN.
  • Аналіз затримки та маршрутизації: VPN-з'єднання часто вносять вимірювану затримку. Складні застосунки можуть виявляти незвичайні схеми маршрутизації, які свідчать про те, що трафік передається через тунель.

Жоден із цих методів не вимагає збою або витоку VPN. Виявлення відбувається на рівні застосунку, а не на мережевому рівні, саме тому цю форму стеження особливо складно протидіяти лише за допомогою звичайного використання VPN.

Глобальні наслідки стеження на рівні застосунків

Росія діє тут не ізольовано. Описані вище методи не є виключною власністю російських розробників. Будь-який уряд, який може змусити розробників застосунків вбудовувати код виявлення, або будь-який розробник, готовий зробити це добровільно, може відтворити цей підхід.

Це важливо для користувачів за межами Росії з кількох причин. По-перше, багато людей у всьому світі користуються застосунками, розробленими в країнах з обмежувальною інтернет-політикою, іноді навіть не підозрюючи про походження чи власника цих застосунків. По-друге, нормалізація журналювання виявлення VPN створює прецедент, якому інші уряди можуть наслідувати або вже тихо наслідують. По-третє, будь-хто, хто подорожує до країн з обмеженим доступом до інтернету та використовує знайомі застосунки на своєму пристрої, може розкривати своє використання VPN без жодних ознак того, що це відбувається.

Результати розслідування RKS Global також підкреслюють більш широку істину про цифрову конфіденційність: шифрування захищає ваші дані під час передачі, але не захищає вас від програмного забезпечення, яке працює безпосередньо на вашому пристрої.

Що це означає для вас

Якщо ви покладаєтеся на VPN для забезпечення конфіденційності або доступу до обмеженого контенту, розуміння меж цього захисту є вкрай важливим. Ось конкретні кроки, які ви можете зробити:

Перевірте дозволи своїх застосунків. Перегляньте, які застосунки на вашому пристрої мають доступ до даних про місцезнаходження, стан мережі та інформацію про пристрій. Як на Android, так і на iOS ви можете обмежити ці дозволи окремо. Застосунок, який не може зчитати ваш мережевий інтерфейс або місцезнаходження, не може легко співвіднести ці дані з вашою IP-адресою.

Будьте вибірковими щодо того, які застосунки ви встановлюєте. Застосунки від розробників у країнах із вимогами державного стеження несуть вищий ризик вбудованого коду відстеження. Це не означає, що всі такі застосунки так роблять, але правове середовище в цих країнах означає, що розробники можуть мати мало вибору, якщо їх примушують влади.

Розгляньте окремий пристрій для чутливих дій. Деякі захисники конфіденційності рекомендують використовувати окремий пристрій з мінімальною кількістю встановлених застосунків для дій, де захист VPN має найбільше значення. Менше застосунків означає менше потенційних векторів виявлення.

Використовуйте відкриті або перевірені засоби зв'язку. Для чутливих комунікацій застосунки, які пройшли незалежний аудит безпеки, дають більше впевненості в тому, що вони не вбудовують приховане виявлення або функції журналювання.

Розумійте, що жоден окремий інструмент не є повним рішенням. VPN — це один рівень стратегії конфіденційності, а не всеосяжний щит. Поєднання захисту на мережевому рівні з ретельним керуванням застосунками та пристроєм забезпечує значно кращий захист.

Розслідування RKS Global нагадує, що можливості стеження розвиваються, і застосунки на головному екрані вашого смартфона можуть бути учасниками цієї системи. Бути поінформованим про те, як працюють ці механізми, — це перший крок до більш усвідомленого вибору щодо вашої цифрової конфіденційності.