Un récent rapport met en lumière des risques potentiels liés à certaines applications de VPN populaires, révélant que de nombreuses options partagent des failles de sécurité alarmantes. Les utilisateurs doivent donc faire preuve de prudence lorsqu’ils choisissent leurs outils de confidentialité en ligne.
Qui n’a jamais téléchargé une application de VPN pour naviguer en toute confidentialité ou contourner des restrictions géographiques ? Si vous avez utilisé l’une des 20 applications considérées dans une étude intitulée “Enlaces ocultos: análisis de familias secretas de aplicaciones VPN”, vous pourriez avoir un souci, car beaucoup de ces VPN ne sont pas ce qu’ils semblent.
Cet étude, que vous pouvez lire à ce lien, a révélé que plus de 20 des applications VPN les plus populaires partagent tant d’éléments (code, serveurs et propriétaires cachés) que le risque d’attaque augmente considérablement pour chacune d’elles.
Mêmes caractéristiques, mêmes risques
L’étude, publiée par des chercheurs du Citizen Lab (Université de Toronto) et de l’Université d’État de l’Arizona, a analysé les 100 applications VPN les plus téléchargées sur Google Play Store. Ils ont découvert que 21 d’entre elles appartenaient à trois grandes familles de fournisseurs, tout en se présentant comme des entreprises distinctes. Voici ces familles :
- Famille A : entreprises telles qu’Innovative Connecting, Autumn Breeze et Lemon Clove, responsables des applications Turbo VPN, VPN Proxy Master et Snap VPN. Elles partagent des failles de sécurité, y compris des mots de passe codés pour Shadowsocks, un protocole utilisé pour contourner la censure en Chine, mais pas conçu pour protéger l’anonymat.
- Famille B : six fournisseurs derrière des applications comme XY VPN, Global VPN et Super Z VPN, qui utilisent les mêmes serveurs et mots de passe préconfigurés. Beaucoup d’entre eux seraient liés à l’entreprise chinoise Qihoo 360, sanctionnée aux États-Unis pour ses liens avec l’Armée populaire de libération.
- Famille C : Fast Potato et Free Connected Limited, responsables de Fast Potato VPN et X-VPN, également vulnérables à des attaques comme l’“attaque aveugle sur le réseau”, permettant de manipuler le trafic si l’attaquant se trouve sur le même réseau.
Au total, ces applications totalisent plus de 700 millions de téléchargements, ce qui signifie qu’il y a de fortes chances que vous ayez déjà utilisé certaines d’entre elles.
Cependant, plus préoccupant que leur large diffusion est le fait qu’elles présentent les mêmes failles de sécurité. Et nous ne parlons pas seulement de l’exposition à des attaques similaires, mais bien de vulnérabilités identiques : cryptages obsolètes, mots de passe statiques et collecte discrète de données de localisation, même lorsque leurs politiques de confidentialité l’affirment le contraire.
En conséquence, la controverse dépasse la simple perception des utilisateurs, qui croient choisir des concurrents indépendants, alors qu’ils téléchargent en réalité des produits pratiquement clonés. Ce n’est pas seulement un problème de transparence, mais un risque de sécurité sérieux, car quiconque possède des compétences de base en ingénierie inverse peut déchiffrer les mots de passe ou manipuler le trafic qu’elles gèrent.
Cette étude souligne qu’il est essentiel de faire preuve de prudence dans le choix de nos applications de confiance, car souvent, ce qui semble pas cher peut coûter cher. Ainsi, opter immédiatement pour une VPN gratuite et populaire sur la boutique ne garantit pas la meilleure protection de la vie privée. De plus, des plateformes comme Google Play Store devraient intensifier leurs efforts pour détecter ce type d’applications et les risques qui leur sont associés.