На просторах глобальной сети появилась не самая лицеприятная новость для пользователей операционной системы Android 16 — инженер по безопасности с никнеймом @cybaqkebm обнаружил, что установленные в ОС приложения могут раскрывать реальный IP-адрес пользователя. По его словам, не спасают даже функции «Постоянно включённый VPN» и «Блокировать соединения без VPN», которые призваны сохранить конфиденциальную информацию.
Дело в том, что сами приложения не отправляют пакеты. В процессе работы они передают байты и адрес получателя службе system_server, после чего завершают работу. Через мгновение активируется сама служба, которая открывает UDP-сокет на физическом Wi-Fi-интерфейсе и отправляет эти байты получателю. При этом VPN все эти данные никогда не видит.
В итоге получатель может увидеть реальный IP-адрес. Функция же блокировки фильтрует UID приложений (идентификатор пользователя в операционной системе), а не системные, поэтому пакет проходит мимо шлюза, который пользователь явно заблокировал.
Автор этого не самого приятного открытия направил письмо с разъяснения в компанию Google, но, как же он сам и написал, обнаруженная проблема «не входит в их модель угроз».
