Twintig procent van de Europese internetgebruikers maakt gebruik van een VPN-dienst om zijn internetverkeer te versleutelen of IP-adres af te schermen, maar veel van deze diensten lekken gegevens van gebruikers, zo stellen onderzoekers van de Queen Mary University of London (QMUL).

VPN-diensten worden onder andere gebruikt om bijvoorbeeld gecensureerde of in het eigen land niet toegankelijke websites te bezoeken, maar ook om het verkeer te versleutelen zodat bijvoorbeeld de eigen provider dit niet kan monitoren. De onderzoekers keken naar de diensten van de 14 populairste VPN-aanbieders en ontdekten dat er 11 informatie over de gebruiker lekten, zo laten ze in hun onderzoeksrapport (pdf) weten. Het gaat dan om zaken als bezochte websites en de inhoud van online geplaatste reacties. Het probleem speelt niet bij websites die via HTTPS worden bezocht.

IPv6

Het probleem ontstaat door het lekken van IPv6-verkeer, ook aangeduid als "IPv6 leakage". IPv6 is de opvolger van IPv4 dat nu de standaard is. Het Internet Protocol is het communicatieprotocol dat wordt gebruikt om systemen op netwerken te identificeren en hun locatie te bepalen. Het voordeel van IPv6 is dat er veel meer adressen beschikbaar zijn en het protocol features biedt die niet in IPv4 aanwezig zijn. Veel netwerkproviders stappen inmiddels over op IPv6, maar veel VPN-diensten beschermen alleen het IPv4-verkeer.

Voor het onderzoek werden de veertien populairste VPN-aanbieders gebruikt en vanaf verschillende apparaten met een wifi-netwerk verbinding gemaakt. Vanaf dit access point werden aanvallen uitgevoerd die aanvallers ook zouden kunnen uitvoeren. Zo vond er passieve monitoring plaats, waarbij onversleutelde data werden opgeslagen, en 'DNS hijacking', waarbij de browser van gebruikers naar een andere locatie werd doorgestuurd.

De onderzoekers keken ook naar de veiligheid van verschillende mobiele platformen bij het gebruik van VPN-diensten en ontdekten dat Apple's iOS meer bescherming biedt, maar dat gegevens van Android-gebruikers kunnen lekken. "Er zijn verschillende redenen waarom iemand zijn identiteit wil verbergen en het is zorgwekkend dat ze risico lopen, ondanks dat ze een dienst gebruiken die juist ontworpen is om hen te beschermen", zegt QMUL-onderzoeker Gareth Tyson. Hij maakt zich vooral zorgen over mensen die in repressieve regimes leven en via een VPN surfen.