GrapheneOS закрывает лазейку в Android VPN до того, как это сделает Google.

TLDR

GrapheneOS исправила уязвимость VPN в Android 16, которую Google, по сообщениям, решила не исправлять.
Ошибка могла позволить вредоносным приложениям передавать небольшие объемы данных за пределы активного VPN-туннеля.
В крайних случаях это означает, что IP-адреса пользователей стокового Android могут быть раскрыты, даже если включены строгие настройки блокировки.

Я был довольно удивлён увидеть, что VPN потенциально может раскрыть ваше местоположение – это кажется серьёзной проблемой для технологии, особенно учитывая, что Android имеет функции безопасности, предназначенные для предотвращения именно этого. Похоже, GrapheneOS вмешался с Android 16, чтобы исправить проблему VPN, которую Google, по-видимому, не планирует решать самостоятельно.

"Просто покупай индекс", говорили они. "Это надежно". Здесь мы обсуждаем, почему это не всегда так, и как жить с вечно красным портфелем.

Поверить в рынок

Я читал TechRadar на днях и наткнулся на кое-что довольно интересное – исследователь в области безопасности по имени lowlevel/Yusuf обнаружил уязвимость, которую они назвали Tiny UDP Cannon. Очевидно, это проблема с Android 16, когда обычное приложение потенциально может выводить небольшое количество ваших данных *вне* вашего VPN-соединения. Самое главное? Это может раскрыть ваш фактический IP-адрес, что, безусловно, не идеально. Это небольшая утечка, но все же о чем стоит знать, если вы используете VPN для защиты конфиденциальности.

Хотя это и не распространённая проблема, наиболее тревожным аспектом этой ошибки является её способность обходить даже самые надёжные настройки VPN на Android. Функции, такие как Always-On VPN и блокировка подключений без VPN, предназначены для обеспечения защиты всего вашего интернет-трафика, но эта ошибка создаёт лазейку, снижая эту безопасность.

Не стоит слишком беспокоиться на данном этапе. Чтобы воспользоваться этой уязвимостью, кому-то сначала нужно будет обманом заставить вас установить вредоносное приложение. Хотя это означает, что среднему пользователю Android угроза невелика, это все еще вызывает опасения, если вы полагаетесь на функцию VPN в Android для надежной защиты конфиденциальности.

Проблема, похоже, вызвана сетевой функцией в Android 16. Исследователь в области безопасности обнаружил, что Android не всегда проверяет, должна ли небольшая часть данных, отправляемых при закрытии соединения, быть защищена VPN. Это позволяет данным потенциально обходить VPN и проходить через обычное соединение вместо этого. Если вредоносное приложение включает ваш IP-адрес в эти данные, это сводит на нет основную цель использования VPN – скрыть ваш IP-адрес и защитить вашу конфиденциальность.

https://youtube.com/watch?v=YQ8sqBbIMio

Команда безопасности Android от Google определила, что конкретную проблему слишком сложно исправить, и решила не решать её в своих регулярных обновлениях безопасности. Однако GrapheneOS, версия Android, ориентированная на безопасность и часто используемая на телефонах Pixel, пошла другим путём – они полностью отключили проблемную функцию в своём выпуске от 4 мая 2026 года.

Эта находка ещё больше доказывает, что GrapheneOS уделяет приоритетное внимание конфиденциальности способами, которые недоступны другим операционным системам. Хотя прямого исправления в настоящее время нет для стандартных пользователей Android, исследователь отмечает, что эту функцию можно отключить с помощью расширенного инструмента командной строки.

Смотрите также

2026-05-08 01:18