تقرير: بعض أكثر تطبيقات VPN تحميلاً تتجسس على معلومات المستخدمين

⬤ سلط تقرير حديث الضوء على أن معظم تطبيقات VPN للهواتف مملوكة لمجموعة ضيقة من الشركات الصينية.

⬤ تمتلك هذه التطبيقات تشفيراً ضعيفاً، وتجمع معلومات أكثر بكثير من اللازم، كما أن التجسس عليها سهل نسبياً.

⬤ يلفت الخبراء النظر إلى أن تطبيقات VPN المجانية تمول نفسها عادة من الإتجار ببيانات وخصوصية مستخدميها.

من الناحية النظرية، يُفترض أن توفر خدمات وتطبيقات VPN (الشبكات الخاصة الافتراضية) خصوصية وأماناً أكبر للمستخدمين على الإنترنت. لكن في الواقع، يكشف تقرير جديد أن عدداً كبيراً منها لا يفي بتلك الوعود، وبعضها يجب التعامل معه كما لو أنه تهديد برمجي خطير على الخصوصية ومعلومات المستخدم.

كشف تقرير الصادر عن مبادرة الاتصالات الحرة والمفتوحة على الإنترنت (FOCI) أن العديد من تطبيقات VPN المجانية المتوفرة على نظام أندرويد، والتي تجاوزت مجتمعة 700 مليون عملية تحميل من متجر جوجل بلاي، تشترك في مشكلات أمنية خطيرة، بل ويعود معظمها في النهاية إلى نفس الشركة الصينية المثيرة للجدل Qihoo 360.

حلّل الباحثون عدداً كبيراً من هذه التطبيقات عبر مراجعة بيانات من مواقع المزودين، وصفحاتهم على جوجل بلاي، والسجلات التجارية، والمنشورات على شبكات التواصل. ووجدوا أن التطبيقات تتوزع على ثلاث مجموعات رئيسية، لكن جميعها تحمل خصائص تقنية مشتركة بشكل لافت وتُظهر ثغرات متطابقة:

• المجموعة الأولى: تتضمن Turbo VPN وSnap VPN وVPN Proxy Master وغيرها – تشترك جميعاً في كود Java، ومكتبات، وأصول برمجية متطابقة تقريباً، وتستخدم بروتوكولي IPsec وShadowsocks. جميعها تعاني من نفس العيوب مثل تتبع الموقع، والتشفير الضعيف، وكلمات مرور ثابتة مدمجة في الكود لشبكات Shadowsocks – ما يسمح نظرياً باعتراض حركة البيانات من قبل جهات خارجية حتى.
• المجموعة الثانية: مثل XY VPN وTouch VPN و3X VPN – تقتصر على بروتوكول Shadowsocks وتستخدم أيضاً كلمات مرور مدمجة مسبقاً.
• المجموعة الثالثة: X-VPN وتطبيقات أخرى – تعتمد بروتوكول أنفاق مخصص لكنه يمتلك خواصاً وصفها التقرير بأنها «مشابهة وظيفياً وبنيوياً» للمجموعات السابقة، كما تستخدم المجموعة تقنيات تمويه الكود لتفادي الهندسة العكسية.

يحذر التقرير من أن تسجيل هذه التطبيقات لمواقع المستخدمين بشكل سري يعد انتهاكاً صارخاً للثقة والخصوصية، وأن استخدام كلمات مرور مدمجة مسبقاً يلغي تماماً أي مزايا أمنية متوقعة من VPN. ويبدو الأمر بشكل أوضح من كون هذه التطبيقات مجانية، وبالتالي فهي تحتاج لمورد مالي مستمر لتشغيلها، مما يعني أنها – على الأرجح – تبيع بيانات مستخدميها كما هو شائع في المجال.

لا يفسر التقرير بشكل موسع دوافع Qihoo 360 وراء إخفاء ملكيتها لهذه التطبيقات الكثيرة، لكنه يشير إلى أن هذه الاستراتيجية ربما ساعدت على رفع معدلات التحميل وتجنب السمعة السلبية. حيث تمتلك هذه الشركة سمعة سيئة من حيث الخصوصية، ولديها تاريخ من الاستحواذ على تطبيقات شهيرة بشكل شبه سري ومن ثم تغيير كود هذه التطبيقات وجعلها أكثر خرقاً للخصوصية وأقل أماناً، كما تعرف الشركة بارتباطاتها بالحكومة الصينية.

عموماً، يحذر الباحثون من الممارسات المضللة والخارقة للخصوصية التي تمارسها العديد من خدمات VPN المتداولة اليوم. حيث إن جميع الخدمات المجانية تعتمد على بيع بيانات المستخدمين والتضحية بخصوصيتهم، وحتى أن بعض الخدمات المدفوعة تتبع سلوكاً مشابهاً وتمتلك بنى ملكية معقدة بشكل مشابه يصعب اكتشاف مالكيها ومشغليها الأساسيين.