Attention : ce VPN Android gratuit divulgue vos données sans que vous vous en rendiez compte
Si vous faites partie de ceux qui pensent qu’un VPN gratuit vaut mieux que rien pour protéger vos informations, nous avons de mauvaises nouvelles. Une étude récente a passé à la loupe certaines des applications Android les plus populaires. Les résultats montrent que des centaines de millions d’utilisateurs sont vulnérables aux pannes qui compromettent leur vie privée.
Selon L’actualité des hackersdes chercheurs de l’Université du Michigan, de l’Université du Nouveau-Mexique et de l’IIT Delhi ont analysé 281 des VPN gratuits les plus populaires du Play Store. Après avoir appliqué plusieurs tests, les scientifiques ont constaté que certains d’entre eux sont victimes d’erreurs fondamentales que toute application de ce type devrait éviter par définition.
Le constat le plus grave concerne cinq applications qui téléchargent leur fichier de configuration en clair. Ce fichier indique à l’application à quel serveur se connecter, donc s’il circule en texte brut, tout attaquant sur le même réseau pourrait le modifier et rediriger la connexion. Par exemple, si vous vous connectez à un réseau Wi-Fi public à l’aide d’un VPN, un pirate informatique interceptera facilement votre connexion et vous ne le saurez jamais.
Les cinq applications concernées sont BambooVPN, VPN Pro, Free VPN, Hexa VPN et 101 VPN. Après que les chercheurs leur ont signalé les failles, certains d’entre eux ont promis de protéger la connexion en déplaçant les fichiers vers HTTPS. Cependant, un deuxième test a montré que seuls VPN Pro et Hexa VPN résolvaient le problème.
Les VPN gratuits vous suivent aussi
En plus d’échouer dans un problème aussi élémentaire que le chiffrement de la configuration, 29 applications fuient le trafic en dehors du tunnel chiffré. Parmi eux, 24 filtrent les requêtes DNS qui révèlent les pages visitées par l’utilisateur. Six laissent échapper l’intégralité du trafic de navigation sans protection et quatre ne chiffrent rien du tout, bien qu’ils se présentent comme des VPN fonctionnels.
Le plus ironique est peut-être que de nombreuses personnes installent un VPN pour protéger leurs données du suivi publicitaire. Les chercheurs ont découvert que 76 de ces applications envoient l’identifiant publicitaire de l’appareil, ce code unique que les entreprises utilisent pour vous suivre d’une application à l’autre. C’est plus que délicat sachant que plus de 80% des applications, 246 au total, se connectent à des serveurs de publicité et de tracking connus.
Si ce qui précède ne vous convainc pas d’arrêter de leur faire confiance, beaucoup partagent le modèle de votre téléphone mobile, la version du système d’exploitation et la taille de l’écran, des informations qui, combinées, vous permettent d’identifier un appareil presque aussi précisément qu’une empreinte digitale. L’une des applications a même envoyé la position GPS exacte de l’utilisateur.
Les chercheurs ont également examiné les fichiers de configuration de 108 applications et une seule était conforme à toutes les meilleures pratiques de sécurité évaluées. Environ 89 % s’appuyaient sur une seule méthode d’authentification plutôt que d’en combiner plusieurs, et près d’une personne sur cinq utilisait un cryptage obsolète avec des vulnérabilités documentées depuis des années.
Comment savoir si un VPN gratuit divulgue vos informations ?
En tant qu’utilisateur, le plus difficile est que ces erreurs sont invisibles à l’œil nu, puisqu’il n’existe aucun moyen de les détecter. La meilleure défense est de se méfier des applications gratuites chargées de publicités et de ne prendre aucune promesse pour acquise sans la vérifier au préalable.
Les chercheurs ont révélé qu’ils publieraient ouvertement l’outil MVPNalyzer, avec son code source. Grâce à cela, les magasins d’applications et les régulateurs pourront appliquer ces contrôles pour exposer les VPN gratuits qui exposent les données de leurs utilisateurs.
