Android 16 omija VPN i ujawnia IP użytkownika. Google umywa ręce

Użytkownicy Androida 16 mogli zakładać, że aktywna sieć VPN skutecznie ukrywa ich lokalizację i zabezpiecza ruch internetowy przed podglądem. Okazuje się jednak, że najnowszy system Google ma lukę, która potrafi ominąć tunel VPN i ujawnić prawdziwy adres IP urządzenia. Co gorsza, problem nie dotyczy jednej konkretnej aplikacji, lecz całej architektury Androida 16.

Badacze alarmują, że dowolna aplikacja zainstalowana na smartfonie może wysyłać dane poza połączeniem VPN, nawet wtedy, gdy użytkownik ma włączone najbardziej restrykcyjne ustawienia ochrony. Największe kontrowersje budzi jednak reakcja Google. Firma miała otrzymać zgłoszenie dotyczące błędu, ale ostatecznie uznała problem za niewymagający naprawy.

VPN może nie chronić tak, jak myślisz

O luce jako pierwszy poinformował specjalista ds. bezpieczeństwa z Zurychu działający pod pseudonimem @cybaqkebm. Niedługo później problem potwierdził także Mullvad, jeden z najbardziej znanych dostawców usług VPN na świecie. Według ustaleń badaczy błąd znajduje się w systemowej usłudze Androida 16 o nazwie ConnectivityManager. Mechanizm odpowiada za zarządzanie połączeniami sieciowymi i komunikacją aplikacji z internetem.

W systemie Android 16 występuje błąd, który umożliwia aplikacjom omijanie sieci VPN i ujawnianie prawdziwego adresu IP użytkownika.

To właśnie tutaj pojawia się problem. Android pozwala aplikacjom wysyłać końcowe komunikaty do serwerów po zamknięciu połączenia. W określonych sytuacjach dane te omijają tunel VPN i trafiają do internetu bez szyfrowania. W praktyce oznacza to możliwość ujawnienia prawdziwego adresu IP użytkownika. Dla osób korzystających z VPN do ochrony prywatności, pracy zdalnej albo omijania ograniczeń regionalnych to wyjątkowo niepokojąca sytuacja.

Problem dotyczy wszystkich VPN-ów na Androidzie 16

Najbardziej alarmujący jest fakt, że luka nie ogranicza się do jednej aplikacji VPN. Mullvad potwierdził, że problem występuje na poziomie systemowym i może dotknąć praktycznie każdej usługi działającej na Androidzie 16. Nie ma więc znaczenia, czy użytkownik korzysta z popularnego VPN-u komercyjnego, firmowego rozwiązania korporacyjnego czy aplikacji nastawionej na prywatność. Jeżeli urządzenie działa na Androidzie 16, istnieje ryzyko wycieku prawdziwego adresu IP.

Badacze zwracają uwagę, że użytkownik może nawet nie zauważyć problemu. Wszystko dzieje się w tle, a połączenie VPN nadal wygląda na aktywne i poprawnie działające.

Google nie zamierza naprawiać błędu

Sytuację dodatkowo zaostrzyła reakcja Google. Badacz zgłosił problem w ramach programu Google Vulnerability Reward Program, czyli oficjalnego systemu zgłaszania luk bezpieczeństwa. Według relacji zgłoszenie zostało zamknięte z adnotacją „nie do naprawienia”. Google uznało, że problem wykracza poza model zagrożeń przyjęty dla Androida.

Firma tłumaczy, że luka wymaga obecności złośliwej aplikacji na urządzeniu użytkownika. Rzecznik Google przekazał mediom, że system Play Protect chroni użytkowników przed znanymi zagrożeniami oraz podejrzanym oprogramowaniem. Eksperci od bezpieczeństwa odpowiadają jednak, że takie wyjaśnienie nie rozwiązuje problemu. Historia Sklepu Play wielokrotnie pokazywała, że złośliwe aplikacje potrafiły przez długi czas pozostawać niewykryte i zdobywać miliony pobrań przed usunięciem przez Google.

Użytkownicy mają bardzo ograniczone możliwości

Na razie nie istnieje proste rozwiązanie problemu. Odkrywca luki opublikował techniczne obejście wykorzystujące polecenia debugowania Androida, ale sam ostrzegł, że metoda wymaga dużej wiedzy technicznej i może prowadzić do problemów z działaniem systemu.

Część ekspertów sugeruje ostrożniejsze podejście do instalowania aplikacji oraz ograniczenie liczby programów posiadających dostęp do internetu. Nie daje to jednak pełnej ochrony przed wyciekiem danych.

Interesująco wygląda sytuacja z GrapheneOS, czyli alternatywną wersją Androida skupioną na bezpieczeństwie i prywatności. Twórcy systemu poinformowali, że problem został już załatany. Dla większości użytkowników przejście na GrapheneOS pozostaje jednak mało realnym rozwiązaniem.