Google gaat beveiligingslabel toevoegen aan vpn-apps in Play Store

Google gaat onafhankelijk gecontroleerde vpn-apps uit de Play Store voortaan uitrusten met een beveiligingslabel. Het Amerikaanse bedrijf wil hiermee aangeven dat de vpn-apps aan een beveiligingsstandaard voor mobiele apps voldoen.

Vpn-apps die het nieuwe label meekrijgen, hebben volgens Google een controle doorstaan van de App Defense Alliance. De App Defense Alliance is een samenwerkingsverband bestaande uit diverse beveiligingsbedrijven en Google dat in 2019 in het leven is geroepen om de beveiliging van Android-apps tegen het licht te houden. De App Defense Alliance controleert de beveiliging van apps via een eigen evaluatiemethode: de Mobile App Security Assessment.

Het beveiligingslabel zal volgens Google op een later moment ook naar andere appcategorieën komen. Vpn-apps zijn naar verluidt het eerst aan de beurt omdat ze volgens het Amerikaanse bedrijf een aanzienlijke hoeveelheid gevoelige data verwerken.

Gebruikers die via de Google Play Store naar een vpn-app zoeken zullen ook geïnformeerd worden over het label. Google zal een banner tussen de zoekresultaten tonen met daarin een vermelding van het label en ook extra info.

Beveiligingslabel bij vpn-apps in Google Play Store - Bron: Google

Reacties (41)

[Jan-Will3m]

Vraagje,

Een VPN wordt onder andere gebruikt om Google informatie niet te geven ( als voorbeeld locatie)
Is het dan verstandig om Google te geloven dat een VPN app goed is?

[wildhagen]

Als het alleen Google zou zijn die dit bepaalt, dan zou je een punt hebben.

Echter werkt de App Defense Alliance, die deze labels dus verstrekt, met meerdere goed aangeschreven partners voor de MASA-keuringen:

- BishopFox
- Dekra
- NCC Group
- Leviathan
- Prescient Security
- NowSecure

Ik denk niet dat al die bedrijven hun naam en reputatie te grabbel gaan gooien als Google dat zou eisen.

[Jan-Will3m]

Dank je voor de reactie. Ik ben weer gerust gesteld.

[Blokker_1999]

Ik zie niet in hoe je met een VPN gaat voorkomen dat Google bepaalde informatie krijgt. Daar bestaan andere oplossingen voor zonder dat je al je internetverkeer moet laten routeren door een partij die daar veel te weinig geld voor krijgt.

Met een VPN voorkom je dat je eigen ISP kan zien welke IP adressen je bezoekt, en dan ga je er ineens op vertrouwen dat een klein bedrijfje met hoofdzetel in een exotisch land wat je waarschijnlijk nooit voor iets verantwoordelijk gaat kunnen houden goed gaat omgaan met je data.

[haam]

Met de VPN app die ik gebruik kan ik specifieke apps blokkeren voor het internet. Als je play services blokkeert, komt er veel data niet aan bij Google. Het is niet het doel van de app, maar een leuke bijkomstigheid.

Overigens draai ik nu Lineage zonder Gapps, dus wordt er helemaal niks meer gedeeld.

En niet alle VPN aanbieders zijn klein.

[Aldy]

En niet alle VPN aanbieders zijn klein.

met een hoofdzetel in een exotisch land. (ter aanvulling)

[The Zep Man]

Met de VPN app die ik gebruik kan ik specifieke apps blokkeren voor het internet. Als je play services blokkeert, komt er veel data niet aan bij Google. Het is niet het doel van de app, maar een leuke bijkomstigheid.

Google Play Services werkt binnen en buiten het Android ecosysteem met systeemrechten. Het is ook mogelijk om op een Androidtoestel verkeer buiten een VPN om om te laten leiden, of om een verborgen VPN te hebben die vanuit Android applicaties beperkt of niet te zien is.

Als je Google niet vertrouwt, dan moet je geen software van Google op je Androidtoestel gebruiken.

[haam]

Natuurlijk kun je niet uitsluiten dat ze data doorsluizen door een achterdeur, hoewel dat wel behoorlijk evil zou zijn.

Daarom heb ik een telefoon gekozen waar LineageOS op draait.
1. Zelf kunnen bepalen welke app het internet op mag
2. Geen Google apps

[The Zep Man]

Voor mij hetzelfde. Pro-actief technische maatregelen om misbruik te voorkomen is beter dan ruimte openlaten voor misbruik.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 02:58]

[nout77]

'...en dan ga je er ineens op vertrouwen dat een klein bedrijfje met hoofdzetel in een exotisch land wat je waarschijnlijk nooit voor iets verantwoordelijk gaat kunnen houden goed gaat omgaan met je data.'

Gelukkig loopt bijna al het verkeer van en naar websites tegenwoordig al via https en is dus volledig versleuteld.
Al deze data die ze al kunnen verzamelen is dus alleen de domeinnaam en het aantal requests (en de gespendeerde tijd op het domein bij benadering).

[Reactie gewijzigd door nout77 op 23 juli 2024 02:58]

[Uchy]

ook bijna niet meer als DoH en ECH zijn geactiveerd Maar mobiel werkt dat nog niet zo duidelijk helaas.

[Luchtbakker]

Vraagje,

Een VPN wordt onder andere gebruikt om Google informatie niet te geven ( als voorbeeld locatie)
Is het dan verstandig om Google te geloven dat een VPN app goed is?

Google heeft natuurlijk een hele andere core business dan een privacy vriendelijke VPN aanbieder die bijvoorbeeld niets logt.

Dus nee, voor privacy hoef je echt niet bij Google VPN te wezen.

[Magicbas]

Dat was volgens mij ook niet de vraag. Het ging niet om een Google VPN, maar om de "verificatie" in de Google Play Store dat een externe VPN "veilig" is.

[Maurits van Baerle]

Het wordt me uit dit artikel niet duidelijk of er ook gekeken wordt naar specifieke potentiële kwetsbaarheden van VPN applicaties (het lekken van IP addressen, alleen het IPv4 kanaal wordt encrypt, het IPv6 kanaal niet, logging, DNS kwetsbaarheden etc.) of dat ze gewoon testen op algemene kwetsbaarheden bij Android apps, best practices etc. omdat die bij VPN’s nou eenmaal net iets belangrijker zijn dan bij Candy Crush.

[wildhagen]

Waar ze op testen voor de Mobile App Security Assessment staat behoorlijk beschreven op hun website: https://appdefensealliance.dev/masa

De App Defense Alliance test overigens niet alleen op mobile apps, maar ook op Cloud-apps, via de CASA (Cloud Application Security Assessment), waar de vereisten en het test-proces terug te vinden zijn op https://appdefensealliance.dev/casa

[Reactie gewijzigd door wildhagen op 23 juli 2024 02:58]

[the_stickie]

De OWASP foundation over security standaarden voor 'alle' software ontwikkeling.
De App Defense Alliance maakt gebruik van die open standaarden om de apps in de playstore te testen.

Afaik is er geen directe link tussen beide, behalve dan dat sommige steunende bedrijven beide steunen (zoals Google)

[Quickdust]

VPN providers such as NordVPN, Google One, ExpressVPN, and others have already undergone independent security testing and publicly declared the badge showing their good standing with the MASA program.

Is er ergens een lijst te vinden met VPNs die de test hebben doorstaan?

[wildhagen]

Op de site van de App Defense Alliance staat een directory met geteste applicaties: https://appdefensealliance.dev/directory

Daar kan je o.a. 'VPN' in het zoekveld tikken om een overzicht te krijgen, of diverse andere zoekfilters toepassen.

[Martinspire]

Waarom staat Tiktok als goedgekeurde item ertussen? Die zijn toch geen VPN en die jatten al je data wat er te jatten valt?

The developer protected sensitive data using industry
recommended best practices. No sensitive data storage
outside the application container or logs were detected
during testing. The developer declarations on the security
and privacy label are accurate and understandable by the
user

(x) doubt...

[Reactie gewijzigd door Martinspire op 23 juli 2024 02:58]

[Qwilo]

Ten eerste is het een lijst met alle goedgekeurde apps, niet alleen vpn's.

Ten tweede, er is nog nooit bewezen dat TikTok onveilig is, spyware bevat etc. Het enige dat ze aantoonbaar fout hebben gedaan is data van minderjarigen verzamelen. En dat wordt niet gecheckt in die test(s).

Of dat onderzoek 100% betrouwbaar is, dat is natuurlijk wel de vraag. De developer kan zelf kiezen welk bedrijf ze de test uit laten voeren. En alleen geslaagde tests worden doorgestuurd naar Google. Dus je kan door zes testlabs afgeschoten worden, maar als de zevende je wel goedkeurt krijg je gewoon je badge voor goed gedrag.

[Grimm]

Interessant dat ProtonVPN niet in de lijst met geteste applicaties staat.
Dat geeft mij nu niet bepaald een betrouwbare indruk van de App Defense Alliance...

[NielsFL]

Review sites, awards, keurmerken, top 10 artikelen, etc. Allemaal vormen van marketing. Je komt het in elke industrie tegen.

Wat overigens niet wil zeggen dat het 100% flauwekul is, maar je moet je wel altijd afvragen waarom de criteria zijn zoals ze zijn en wat voor voorselectie er plaats vind.

[kodak]

Het lijkt me vooral relevant te weten welke apps de test niet hebben doorstaan. Maar dat lijken ze niet te willen melden.

Of je controleert apps en daar komt uit of het wel/niet voldoet en maakt dat publiek. Net doen alsof alleen het krijgen van een goedkeuring relevant is komt anders vooral neer op positieve marketing willen genereren.

[GH45T]

Google vindt het natuurlijk niet leuk dat sommige firewall apps via een VPN naar de telefoon zelf werken. Zo kan de datahonger van onder andere Google enigszins worden beperkt.

Zelf gebruik ik OpenVPN op mijn telefoon om internet via thuis te laten lopen. Zo kan ik veilig een wifi netwerk gebruiken en heb ik de adblock functies waar mijn router thuis in voorziet (vindt Google ook niet leuk vermoed ik).

Veel niet-vpn apps vereisen ook enorm veel toegang welke voor de functies van de app helemaal niet nodig zijn. De reden laat zich wel raden, datahonger van de app maker. Dan mag Google daar ook voor gaan waarschuwen, waarna er bijna geen apps overblijven zonder waarschuwing.

[Reactie gewijzigd door GH45T op 23 juli 2024 02:58]

[vDorst]

Maar Google gaat die strijd wel winnen.
Simpel door alles naar 1 domein te leiden en het zo te maken dat het anders niet werkt.
Alleen als de wet daar iets aan gaat doen, zal dit niet verbeteren.

[GH45T]

Veel adblocking op netwerkniveau werkt door middel van DNS. In die zin maak ik mij meer zorgen om DoH. Dat valt ook wel weer uit te schakelen / blokkeren, maar dat DoH wordt gepushed is de volgende stap in dit kat en muis spel als je het mij vraagt.

[skatebiker]

Dat werkt op zich best goed, maar mijn idee is dat zowel Android als iOS inherent onveilig zijn.
Want beiden vragen bij elke app om allerlei toestemmingen, maar géén toestemming om op internet te komen. En nogal wat apps hoeven dat helemaal niet of slechts af en toe, bijv. eigen updates.
En alles wat met internet verbonden is, is een potentieel veiligheidsrisico. Ik zeg niet dat je dan maar niet meer met internet mag verbinden, maar lokale appjes zoals een plaatjes kijk of wijzig programma, lokale PDF viewer, file browser die kunnen prima zonder.

[Splorky]

Als Google nou firewall functies integreert in Android dan zou dat al een hoop firewall qvpn fratsen schelen voor non-root devices.

Maar ja als Google voor jou kiest tussen data en reclame inkomsten of veiligheid, privacy en minder reclame dan is die keuze erg snel gemaakt.

Echt schadelijke software kan natuurlijk verwijderd worden, maar dit klinkt meer als voor Google onwenselijke software laten afschrikken (er komt dacht ik bij gebruik van een vpn firewall al een notificatie over de zorgen die Google heeft over veiligheid van de verbinding)

[Mellow Jack]

er komt dacht ik bij gebruik van een vpn firewall al een notificatie over de zorgen die Google heeft over veiligheid van de verbinding

Nee, Google geeft geen melding als ik mijn vpn gebruik...

[Splorky]

Misschien dat het niet bij iedere vpn firewall naar voren komt

[Reactie gewijzigd door Splorky op 23 juli 2024 02:58]

[Mellow Jack]

Btw firewall is iets anders dan een vpn...

[Lucb1e]

Inderdaad, daarom post Splorky ook over dat ze misschien een firewall-oplossing in het OS konden zetten zodat je niet de VPN-functionaliteit daarvoor hoeft te misbruiken of root moet gebruiken wat natuurlijk super gevaarlijk is net zoals op andere besturingssystemen waar je schijnbaar wel eigenaar mag zijn van je eigen apparaat

[Martinspire]

Hoe groot is de kans dat alle VPN-diensten die zich richting op het blokkeren van advertenties, ineens die goedkeuring niet gaan halen? Natuurlijk zijn er nog wel wat schimmige diensten die je beter niet kunt gebruiken, maar ik zie veel VPN-providers advertenties blokkeren en sommigen maken dit de primaire reden voor de dienst (zoals Adguard, al staat de echte adblocker app van ze al niet meer in de store).

Al zijn er ook genoeg diensten die buiten de play store om werken, al is het maar om te voorkomen dat mensen dergelijke waarschuwingen zien, maar ook om meer te kunnen dan Google toe staat als ze via de store verlopen.

[DefaultError]

Alle vpn’n nog aan toe, komen er approved vpn apps. Een catagorie met ondercatagorie. De pot verwijt de ketel. Wel goed dat er een gesprek op gang komt over dit onderwerp. Wanneer heb je een vpn nodig, kan de telefoon dat standaard zodat je met AndroidOS je beschermt van meekijkers op een publieke netwerk of zelfs netwerkaanbieder. Dat laatste is mogelijk ver gezocht.

Krijg soms ook meldingen, netwerk updates bij grensovergangen. Waarom doet mijn eigen provider dat niet? Dus voor ik van huis ga.

Een vpn in trein of boot kan geen kwaad. Alleen welke is de beste? Soms valt er van alles uit en kun je geen hamburger of pizza meer bestellen. Best veel kwantum logica achter deze diensten. Oh en je mag er in sommige gevallen flink voor dokken.

Wat dat betreft, kom maar door met een rank of nu nog beter predicaat!

[berchtold]

Weet nog wel dat er vpns waren waarbij je bij iedereen kon aankloppen omdat je via die vpn op hetzelfde netwerk zat. Worden dat soort dingen ook getest?

[Bor]

Bij welke VPN diensten was dit dan? Dit is de eerste keer dat ik dit hoor. Wat je omschrijft is ook niet echt een VPN (als in private) natuurlijk.

[crazyboy01]

Dat zijn toch gewoon letterlijk de traditionele VPN's? Die bestaan nu ook nog en er zijn ook genoeg diensten voor, maar ik betwijfel of er een provider is die het op deze manier aanpakt en een 'VPN' levert zoals dat in de volksmond tegenwoordig wordt bedoeld, als in 'ip/identiteit verbergen'. Lijkt me niet super chill als je daar geen weet van hebt... Ben ook wel benieuwd welke dat dan was.

[Roel1966]

De App Defense Alliance is een samenwerkingsverband bestaande uit diverse beveiligingsbedrijven en Google

Ik weet niet of er een directe connectie is tussen de app en Defense Alliance maar voor wat ik kan vinden is Defense Alliance gewoon een commercieel bedrijf. Dus ja of je dan waarde kan hechten aan zo'n label zet ik wel grote vraagtekens bij, plus dat wij hier in de EU weer andere wetten en regels hebben dan de USA. Dus voor ons als Europeanen heeft zo'n label dan eigenlijk weinig nut en zegt niets of een app dan wel of niet veilig is.

[Lucb1e]

Zou dit een stap zijn toegevoegde waarde te bieden voor de Play Store nu dat ze ook concurrerende apk repositories fatsoenlijk moeten ondersteunen?

Inhoudelijk lijkt het niet veel te doen, baserend op dat TikTok door de controle komt op basis van dat ze geen beginnersfouten maken zoals gebruikersdata in een opslaglocatie neerzetten waar andere apps erbij zouden kunnen (bron).

[MrMonkE]

Gisteren zag ik toevallig dat voor mijn wireguard-config de rw rechten zo stonden dat iedereen het kon lezen. Gelijk dicht gezet. Dat soort zaken is wat je bedoelt?
Stond er al puur zo'n tijdje ook.

[Lucb1e]

Zo kom je inderdaad niet door de pentest-lite die ze lijken te doen