djq @ 18.02.26, 13:29

в телеграме автора было обсуждение каких то некорректных действий разработчиков библиотек которые влили стремный код.
Ai, который помогает мне модифицировать версию 0.17.17 напрямую в моём реппозитории Github - видит весь код разобранного приложения и на вопрос о том, "есть ли в приложении какой-то подозрительный код, которого вообще не должно быть в VPN клиенте?", он
ответил:
Итог
Прямого “вредоносного” кода (кража SMS/контактов, скрытая админка, su-эскалация, явные C2/webhook-паттерны) в этой быстрой проверке не видно.
Но есть приватностные/безопасностные красные флаги среднего уровня:
широкие permissions,
разрешённый cleartext,
бэкап включён.
И далее...
⚠️предложил:
"Тогда даю практичный чек‑лист “усилить приватность/безопасность VPN-клиента” по текущей версии.
1) Что ужесточить в первую очередь:
● Отключить cleartext HTTP
Сейчас в network_security_config разрешён небезопасный HTTP (cleartextTrafficPermitted="true").
Для VPN-клиента безопаснее сделать false и оставить исключения только для строго нужных доменов (если они реально есть).
● Минимизировать permissions
Под вопросом для “чистого VPN”:
QUERY_ALL_PACKAGES
ACCESS_BACKGROUND_LOCATION / ACCESS_FINE_LOCATION / ACCESS_COARSE_LOCATION
CAMERA
Если фичи без них работают (или можно сделать опционально), убрать.
● Пересмотреть backup
Сейчас allowBackup="true" + backup rules включены. Для VPN это риск утечки конфигов/ключей в бэкап‑каналы.
Рекомендация: либо allowBackup="false", либо очень жёстко исключить все чувствительные данные.
2) Что выглядит нормальным (не как “вредоносность”)
VpnService объявлен корректно, с BIND_VPN_SERVICE и exported="false" — это ожидаемое поведение.
Фоновый сервис прокси тоже exported="false".
3) Что проверить дополнительно (ручной аудит)
Сетевые endpoint’ы
Пройтись по строковым URL/хостам и сверить, что нет лишних upload/telemetry endpoints.
Crash/log сбор
В коде есть запуск getprop/logcat через ProcessBuilder/Runtime.exec (типично для диагностики, но важно убедиться, что не уходит наружу без согласия).
Секреты
Проверить, что токены/ключи не остаются в логах, crash-файлах, shared prefs/бэкапе.
4) Быстрый “минимально безопасный” профиль для VPN
HTTPS only (cleartext=false);
без QUERY_ALL_PACKAGES (если не критично);
без location (если не критично);
камера только если реально нужен QR-сканер;
backup максимально ограничить или отключить;
логирование по умолчанию минимальное.
Что именно я посмотрел (команды)
✅ nl -ba AndroidManifest.xml | sed -n '15,70p'
✅ nl -ba AndroidManifest.xml | sed -n '100,120p'
nl -ba AndroidManifest.xml | sed -n '327,346p'
✅ nl -ba res/xml/network_security_config.xml | sed -n '1,20p'
Если хочешь, следующим шагом могу сразу сделать конкретный безопасный патч (минимально ломающий функционал), закоммитить и оформить PR."
Сообщение отредактировал ॐSаshаॐ - 18.02.26, 13:59