Безопасен ли бесплатный ВПН на Андроид и как проверить приложение до установки

Что такому приложению видно

Андроид даёт туннелю особое право: пропускать через себя трафик всего телефона. Перед этим система показывает отдельный запрос, а пока соединение поднято, в строке состояния горит значок ключа. С этого момента приложение стоит между телефоном и интернетом. Ему известно, к каким адресам и когда вы обращаетесь и сколько данных передаёте. Содержимое страниц, открытых по HTTPS, остаётся зашифрованным, но имена сайтов, как правило, видны.

Поэтому к туннелю требования строже, чем к игре или фонарику. Неудачная игра покажет лишнюю рекламу. Неудачный туннель знает о вас примерно столько же, сколько провайдер, только кто за ним стоит и где он находится, неизвестно.

Откуда вы берёте файл

Самый спокойный вариант — Google Play. Приложения там проверяют при публикации, а Play Защита потом сканирует и то, что уже стоит на телефоне. Гарантией это не назовёшь, но первый фильтр есть.

С APK-файлами сложнее. Сам формат обычный: так распространяют приложения, когда магазина на телефоне нет или нужного приложения в нём не найти. Вопрос в источнике. Годятся сайт разработчика, страница релизов проекта и личный кабинет сервиса, если он раздаёт клиент сам. Форумы с «модами», сборники «премиум-версий бесплатно» и ссылки из комментариев в мессенджерах не годятся: там лежит чужая программа, которую кто-то пересобрал, и что он в неё добавил, вы не узнаете.

Помогает одна особенность Андроида. Каждое приложение подписано ключом разработчика, и обновление ставится поверх старой версии, только если ключ тот же. Поставили приложение из Google Play, потом пробуете «обновить» его файлом с форума, а телефон отказывается — значит, подпись у файла чужая. Удалять оригинал ради такого файла не надо.

Издатель и страница в магазине

На странице приложения в Google Play нажмите на имя разработчика: откроется список всего, что он выпустил. Насторожиться стоит, если:

• у издателя десяток почти одинаковых «ВПН» и «ускорителей» с разными иконками;
• нет сайта, почты для связи или политики конфиденциальности, либо ссылка ведёт на пустую страницу;
• описание обещает «полную анонимность» и «военное шифрование» без единой технической подробности;
• хвалебные отзывы короткие и похожи друг на друга, а в свежих плохих пишут про рекламу поверх других приложений.

Бывает и хороший признак. У части приложений этой категории в Google Play есть отметка о независимой проверке безопасности: её получают те, кто прошёл аудит по стандарту MASA. Ошибок в коде она не исключает, зато показывает, что разработчик дал посмотреть приложение стороннему проверяющему. Если отметки нет у небольшого проекта, это ещё ничего не значит: аудит платный.

Разрешения: что нужно туннелю, а что лишнее

Для работы ему нужно немного. Доступ к сети, право запустить туннель (тот самый системный запрос) и, на свежих версиях Андроида, уведомления: постоянное уведомление показывает, что соединение активно. Иногда просят геолокацию. Без неё Андроид не сообщает приложению имя Wi-Fi сети, а имя нужно, если приложение умеет само включаться в незнакомых сетях. Когда такая функция есть и описана, запрос понятен.

Вот что туннелю ни к чему:

• СМС, контакты и журнал звонков;
• «Специальные возможности» — этим правом пользуются, чтобы читать содержимое экрана и нажимать кнопки за вас;
• права администратора устройства;
• показ поверх других приложений.

У уже установленного приложения права смотрятся в «Настройках» → «Приложения» → нужное приложение → «Разрешения». Лишнее отключается переключателем. Если без доступа к контактам туннель вдруг перестал работать, вопрос о безопасности можно считать закрытым.

«Безопасность данных» и политика конфиденциальности

В карточке каждого приложения в Google Play есть раздел «Безопасность данных». Там написано, какие данные собираются, передаются ли они третьим лицам, шифруются ли при передаче и можно ли попросить их удалить. Заполняет раздел сам разработчик, так что это заявление, а не результат проверки. И всё же полезное: если там прямо указано, что местоположение и идентификаторы устройства уходят рекламным партнёрам, условия вам хотя бы известны.

В политике конфиденциальности ищите три места. Хранятся ли журналы подключений и как долго. Кому и зачем передаются данные. Используется ли ваше устройство или его канал для чужих задач: в бесплатных приложениях это иногда прячут за словами про «ресурсы устройства», и означает это, что через ваш телефон может идти чужой трафик. Если политики нет совсем, обещаний тоже нет.

Если сомнительное приложение уже стоит

1. Выключите туннель и удалите приложение. В настройках сети, в разделе VPN (путь зависит от оболочки), проверьте, не осталось ли его профиля с включённой «Постоянной VPN».
2. Загляните в «Администраторы устройства» и «Специальные возможности»: не включено ли там то, что вы не включали сами.
3. Запустите проверку в Google Play: значок профиля → «Play Защита» → «Проверить».
4. Если с включённым приложением вы входили в почту или соцсети, смените пароли. Скорее всего, ничего не случилось, но так спокойнее.

Как с этим у нас

Своего приложения у нас нет. Клиент Karing выпускает сторонняя команда, код у него открытый, и в Google Play он есть; для телефонов без магазина в кабинете лежит APK. Серверов и зашитого доступа внутри клиента нет: адреса приходят с подпиской после регистрации. Karing у нас основной клиент: наш протокол работает поверх HTTPS через сетевой стек Chromium, который в нём есть. Запасной — INCY, для него в кабинете отдельная ссылка на серверы с VLESS, а подписка та же. Оба способа установки подробно разобраны на странице про бесплатный ВПН для Андроид, а зачем при этом нужен номер телефона — в разделе о регистрации.

Первые три дня бесплатны и без карты. Дальше подписка стоит 89 ₽ в месяц, платёж разовый, без автопродления.