Nous connaissons bien les avantages d'un VPN, mais sa sécurité est aussi solide que l'honnêteté du fournisseur. Cela dit, à quel point les applications mobiles VPN pour Android sont-elles robustes ? Selon un groupe de chercheurs issus de quatre institutions internationales, nous devons être très prudents. En plus de laisser l'utilisateur sans protection, certaines d'entre elles utilisent des logiciels malveillants pour suivre son activité, demandent des autorisations excessives et interceptent le trafic TLS, entre autres.
Le fait qu'un logiciel ne tienne pas ses promesses et aille exactement dans la direction opposée est l'un des plus grands actes de trahison que puisse subir l'utilisateur. Nous confions nos vies numériques à ces applications, mais il y a de nombreux éléments sans scrupules là-bas qui se font passer pour des protecteurs, alors qu'en réalité ils sont tout le contraire. L'un des exemples les plus frappants est ce qui se passe avec les applications VPN pour Android. Google a lancé sur le marché l'édition 4.0 Ice Cream Sandwich en octobre 2011, et plusieurs développeurs ont profité de la présence du module VPN natif dans le système d'exploitation pour créer des clients. S'ils faisaient du bon travail, nous recommanderions probablement l'un d'eux, mais selon une étude menée par le CSIRO australien, l'Université de Nouvelle-Galles du Sud, l'ICSI américain et l'Université de Californie à Berkeley, nous devons prendre le plus de distance possible avec ces applications.
Des résultats alarmants
Sur un total de 283 applications VPN analysées, plus d'un tiers (38 % pour être exact) présentait au moins une identification positive de logiciel malveillant, qu'il s'agisse de chevaux de Troie, d'adware ou de spyware. 67 % prétendent offrir des mécanismes de sécurité comparables à ceux d'un VPN traditionnel, mais il est vrai que 75 % de ces 67 % disposent d'un tracker intégré développé par un tiers, et il faut ajouter que 82 % demandent des autorisations d'accès à des données privées, comme les comptes d'utilisateur et les messages texte. Attendez, ça devient encore pire : 18 % des applications n'appliquent aucun type de chiffrement. 84 % ne font pas passer le trafic IPv6 par leurs tunnels, et 66 % commettent la même infraction avec le trafic DNS. 18 % n'informent pas l'utilisateur sur l'entité responsable de l'hébergement du serveur VPN, et 16 % utilisent essentiellement le P2P pour rediriger le trafic entre leurs utilisateurs.
Malheureusement, l'étude n'inclut pas la liste complète des applications traitées, mais elle nous donne suffisamment d'informations pour conclure que la grande majorité d'entre elles n'en vaut pas la peine. Une autre suggestion des chercheurs est que Google doit réévaluer son modèle de permissions VPN, car ils mettent en danger les utilisateurs. Certaines applications enregistrent plus d'un million de téléchargements sur le magasin...
