Как бесплатные VPN, которыми пользуются во всем мире, связаны с армией Китая

Американский проект Open Technology Fund, выступающий за свободный интернет, опубликовал исследование, в ходе которого стало известно, что восемь популярных VPN-сервисов с общей аудиторией более 700 миллионов человек скрывают реальных владельцев и содержат серьезные уязвимости.

Часть этих сервисов связана с Народно-освободительной армией Китая, и все восемь принадлежат одному гражданину КНР.

Исследоваткли проанализировали 32 популярных VPN с более чем миллиардом установок. Они проверили политику конфиденциальности, исходный код и инфраструктуру приложений, а также создали «индекс прозрачности» — чтобы показать, какие сервисы открыто раскрывают свои связи и технологии, а какие — намеренно их скрывают.

Исследование выделяет два кластера уязвимых компаний.

Innovative Connecting Limited, Autumn Breeze Pte. Limited и Lemon Clove Pte. Limited — уже ранее связывалась с китайской компанией Qihoo 360 и Народно-освободительной армией Китая. Теперь выяснилось, что их приложения используют общий код и инфраструктуру, что подтверждает их единую структуру.

Среди продуктов этих компаний — TurboVPN, VPN Proxy Master и Snap VPN.

Matrix Mobile Pte. Ltd., ForeRaya Technologies, Wildlook Tech, Hong Kong Silence Technology и Yolo Technology. Официальных связей с Qihoo 360 у них не нашли, но приложения устроены аналогично: те же формулировки в политике конфиденциальности и общий код. Фактически это «двойники» первой группы, просто под другими вывесками.

Вот главные находки исследователей — уязвимости бесплатных VPN:

одинаковые для всех пользователей пароли, «зашитые» прямо в код сервисов;
возможность перехвата и подмены данных на пути от клиента к серверу;
скрытый сбор данных о геолокации, хотя в политиках конфиденциальности заявлено обратное;

«Первый отдел» напоминает: бесплатные VPN-сервисы почти всегда опаснее платных. Их бизнес-модель строится на монетизации пользовательских данных и показе рекламы. В условиях авторитарных режимов это превращается в угрозу для самих пользователей: люди думают, что защищаются, а на деле отдают свои данные сервисам с непрозрачной структурой.