Издание Thebestvpn, специализирующееся на сравнении различных VPN-провайдеров, провело (https://thebestvpn.com/android-vpn-permissions/) анализ полномочий, запрашиваемых приложениями для организации работы через VPN, поставляемыми в каталоге Google Play. Исследование показало, что большинство (https://docs.google.com/spreadsheets/d/1SWfuh5JQQv7Yv7APIUoi...) из проверенных Android-приложений запрашивали полномочия, не имеющие отношения к функциональности VPN.50 из 81 протестированных VPN-приложений запрашивали доступ к пользовательским данным. Несмотря на то, что для работы VPN-приложения достаточно полномочий INTERNET и ACCESS_NETWORK_STATE, во многих
приложениях запрашивался доступ к следующим API:- Чтение и запись на внешние носители: Betternet, Free VPN org, OneVPN, X-VPN, StarVPN, VPN One Click, Yoga VPN, AppVPN, ProXPN, Seed4me VPN, oVPNSpider, Goose VPN, SpyOFF, TouchVPN, SwitchVPN, Trust Zone, McAfee VPN, SurfEasy, Psiphon, TigerVPN, Dash VPN, Hotspot Shield, NordVPN, Hola VPN, SurfShark, VPN Secure, Zoog VPN;
- Получение сведений о точном местоположении пользователя: Yoga VPN, VPN Unlimited, ProXPN, Seed4me VPN, oVPNSpider, SwitchVPN, Dash VPN, Hola VPN, Zoog VPN;
- Получение сведений о приблизительном местоположении (WindScribe, Free VPN org, Yoga VPN, HideMyAss, Avast VPN, AVG VPN, iVPN, ProXPN, oVPNSpider, TouchVPN, SwitchVPN, Kaspersky VPN, Psiphon VPN, Speedify, Dash VPN, Zoog VPN);
- Загрузка информации о состоянии телефона (телефонный номер, сотовый оператор, статус исходящих вызовов): Avira VPN, Free VPN org, Norton Secure VPN, VPN One Click, Yoga VPN, HideMyAss, AVG VPN, ProXPN, Goose VPN, Touch VPN, McAfee VPN, SurfEasy, Kaspersky VPN, Speedify, Dash VPN, Hotspot Shield, ibVPN, Hola VPN;
- Возможность изменения системных настроек: Hide.me, Speedify, Yoga VPN;
- Доступ к системным логам: TigerVPN, oVPNSpider;
- Доступ к пользовательским документам: TigerVPN;
- Возможность загрузки дампа с состоянием системных сервисов: PureVPN.По числу опасных полномочий лидирует приложение Yoga VPN (запрос доступа к 6 расширенным API), насчитывающее 5 млн установок. На втором месте proXPN VPN (5). Третье место разделили Hola Free VPN (4), Seed4.Me VPN (4), OvpnSpider (4), SwitchVPN (4) и Zoog VPN (4).
Напомним, что проведённое (https://www.opennet.dev/opennews/art.shtml?num=45940) в 2017 году исследование 283 мобильных приложений с реализаций функций VPN, показало, что в 18% не используется шифрование (трафик отправлялся в открытом виде), 84% пропускали IPv6-трафик в обход создаваемого туннеля, 66% напрямую отправляли запросы к DNS, 16% с целью оптимизации модифицировали транзитный HTTP-трафик пользователя (например, для перекодирования изображений), два приложения подставляли свою рекламу в транзитный трафик, одно приложение сливало запросы к интернет-магазинам в партнёрский сервис, четыре приложения устанавливали в систему свои корневые сертификаты для перехвата HTTPS-соединений.
URL: https://thebestvpn.com/android-vpn-permissions/
Новость: https://www.opennet.dev/opennews/art.shtml?num=50250
Можно подумать, что это относится к приложениям типа VPN.
Это они еще фонарики не анализировали. :)
Фонарику нужно писать в системные логи: в такое-то фремя фонарик был включен. И возможность отрывать управляющий порт для удалённого включения/отключеия фонарика.
Хрень оказалась все эти разрешения, не говорится в них что для чего и можно использовать как во благо так и во вред. Вон tinc'у камера нужна, full mesh VPN'у камера, дичь какая, казалось бы. Вообще-то очень многим ведроид-приложениям нужна, я не хочу руками вбивать, я хочу QR-Code.
А логи куда писать, а конфиги откуда читать? Короче надо что-то в консерватории менять.
> А логи куда писать, а конфиги откуда читать?В нормальной ситуации в /data/data/{package.name}/
Но вот экспортировать/импортировать их без доступа к хранилищу проблематично.> я хочу QR-Code
а тут модель разрешений ведроида страдает. Здесь нужно бы отдельное API для работы с QR-кодами или хотя бы вариант однократного разрешения доступа к камере.
> для чего и можно использовать как во благо так и во вред
Именно. Поэтому следует по умолчанию считать, что во вред. Особенно с тем, что разрешения автоматически при обновлении не отзываются, а с политиками автообновления и возможностью продать приложение на сторону вероятность в очередной версии получить зловреда, использующего эти разрешения в своих целях весьма велика.
>Здесь нужно бы отдельное API для работы с QR-кодами или хотя бы вариант однократного разрешения доступа к камере.Приложениям, которым нужна картинка, непосредственный доступ к камере не нужен. Можно запросить приложение, имеющее доступ к камере, дать картинку. При этом человек во-первых увидит, что был запрос к камере, во-вторых сможет, например, у фотографии лишние края обрезать и перегнать её в чёрно-белый формат при поможи приложения, специально предназначенного для работы с камерой. Человек вообще сможет выбрать картинку с QR-кодом из какого-нибудь хранилища, в которое эта картинка была сохранена из мессенджера, в который эту фотку прислал другой человек со своего устройства.
Всякие фильтры и операции над катинками, операции персылки фоток с другого устройства в каждое приложение встраивать не нужно. В андройде для этого есть механизм интентов.
В андройде фанарик включается только включением модуля камеры.
Ага, особенно фонарики категории «целиком белый экран».
грустно конечно.
покупайте за копейки vps-ку, ставьте туда vpn l2tp и везде будете иметь свое теплое, ламповое, универсальное.
Покупайте <какое-то странное слово>, ставьте туда <хз что вообще, какой-то набор букв явно случайных> и будете иметь своё теплое, ламповое, универсальное.Так видит подавляющее большинство пользоветелей VPN твою фразу. Не удивлюсь, если даже не все анонимусы поняли суть фразы. Ну а в целом - да. Самый лучший провайдер - ты сам.
кому надо - те поймут
кто не понял тот поймёт
Но не сразу ;)
лыко для плетения лаптей - в лесу тоже самому драть?(тут вон специальный ботинок для некоего вида спорта взял и скосплеил слиппер - подошва отвалилась, следов клея нет - видимо, потому и отвалилась, что для по жизни вечномокрой обуви выбрали водорастворимый клей - и это не невезение, так у большинства производителей)
но, боюсь, воспроизвести на коленке натуральным хозяйством все современное производство и все сервисы немножечко безнадежная затея.
вот может если вместо этого ввести показательные порки кнутом...
Нежданчик от hideme, однако. Надо отключаться.
Я бы сказал подляночка. :(
А вы куда, простите, смотрели при установке?
A ничего, что многие, если не все, хостеры в договоре прописывают запрет ВПН и проксирования?.. ;)
Ничего. Читайте внимательнее, какое именно проксирование запрещают: публичное без пароля. Для личного пользования — пожалуйста.
Во всяком случае, у тех дешманских тарифов, с которыми я имел дело.
в GooglePlay знаю лишь 2 VPN приложения - OpenVPN Connect и strongSwan VPN Client. остальное всё от лукавого
А как же wireguard?
И tinc.
Cisco AnyConnect?
Где скачать? На Mi A1 норм запустится?
>>> Где скачатьПроще всего на внутреннем сайте своего или друга работодателя. В инете найти тоже можно, но гораздо дольше.
ProtonVPN вроде бы как относительно доверяемое
ProtonVPN классная вещь, но на моем старом андроеде 4й версии приходится юзать обычный OpenVPN-клиент с серверами ProtonVPN. А так да, приложение они классное сделали.
Там щас активно тестят поддержку WireGuard.
> приходится юзать обычный OpenVPN-клиентЯ не выдержал его вида на Windows 10 и iOS. Прям жёстко.
На Linux и macOS GnomeVPN и Tunnelblick вполне нормальные.
>приходитсяпо-моему юзать клиент, не привязаный к сервису - это единственный разумный выбор в данном случае.
Вот вы палите и палите, а загрузка бесплатных серверов всё растёт и растёт. Не рубите сук, так сказать.
Пользуюсь OpenVPN, с недавнего времени стал просить доступ к местоположению и медиафайлам на устройстве, отключил обновление, ибо и так работает.
Попробуй OpenVPN из F-Droid, сильно удивишься, что приложению не требуется никаких разрешений =)
Доступ к носителю понять еще можно. Экспорт конфигураций, импорт сертификатов и всякое такое.
Если он запрашивается по API23+, конечно
Если у вас есть возможность обхода блокировок, это не ваша заслуга, а наша недоработка.
Так делом занимайся , а не по карманам тырь
> Возможность изменения системных настроек
> Hide.meВот дeрьмо! Годами юзал этот трeш. Интересно, что он мне там наизменял? В любом случае, через неделю подписка закончится, больше не продлю.
Познавательно. OneVPN второпях прочёл как OpenVPN, поудивлялся. Значит, ProtonVPN, говорите..?
>ZOG VPNНичего удивительного.
>Kaspersky VPNкто этим пользуется и зачем?
Сексоты Касперского
UltraSurf и Астриll всех победили?)))
OpenVPN для Андроид из FDroid работает не пыхтит никаких лишних прав не требует
+ 100500