新しい研究によると、7億回以上ダウンロードされている18の人気のAndroid VPNアプリは、独立していると主張しているにもかかわらず、秘密裏に3つの異なるファミリーに接続されているとのことです。Turbo VPNやX-VPNなどの有名なサービスを含むこれらのVPNは、裏での関係性を開示していませんでした。Privacy Enhancing Technologies Symposiumで発表されたこの研究は、共有インフラストラクチャ内の深刻なセキュリティ上の欠陥も明らかにしました。具体的には、特定されたVPNは、ユーザーの閲覧アクティビティを露出し、悪意のあるデータを注入する可能性のある攻撃に対して脆弱です。この研究は、VPN会社が接続を明らかにせずに複数のアプリを販売していることに対する事前の調査に触発されました。研究者は、主にコードの類似性を通じて、ビジネス書類、ウェブプレゼンス、およびコードベースを体系的に分析し、これらの隠れたリンクを特定しました。ファミリーAには、中国企業である「中国軍事企業」に指定されているQihoo 360に関連するプロバイダーにリンクされているTurbo VPNとVPN Proxy Masterが含まれます。ファミリーBは、単一のホスティング会社から同じIPアドレスを共有する8つのVPNで構成されています。ファミリーCは、プロバイダーが異なっても、非常に類似したコードとカスタムVPNプロトコルを使用しているX-VPNとFast Potato VPNで構成されています。所有権と出所に関するこの透明性の欠如は、Shadowsocksプロトコルにハードコードされたパスワードなどの重要なセキュリティ脆弱性と相まって、ユーザーの安全よりもデータ収集を優先する設計を示唆しています。この研究は、無料VPNを徹底的に審査することの必要性を強調し、有料サブスクリプションでサポートされているものを選択することを推奨しています。