Se confias na tua VPN no Android para manter a tua navegação privada, é melhor teres atenção. Uma falha descoberta recentemente no Android 16 permite que qualquer aplicação envie tráfego para fora do túnel seguro, expondo o teu endereço IP real. E o mais preocupante? O problema afeta todas as aplicações de VPN e acontece mesmo que tenhas as opções de segurança mais rigorosas ativadas.
Segundo os detalhes partilhados inicialmente na publicação The Tiny UDP Cannon: An Android VPN Bypass e corroborados pela equipa da Mullvad VPN, o erro compromete as funções nativas de "VPN Sempre Ativa" e "Bloquear ligações sem VPN". Na prática, isto significa que uma aplicação maliciosa pode contornar as tuas barreiras de privacidade para fins de rastreio ou vigilância.
Como funciona a fuga de dados
O problema reside no serviço de sistema ConnectivityManager, mais concretamente no método registerQuicConnectionClosePayload. Esta função foi desenhada para encerrar ligações QUIC de forma limpa, enviando um pacote final ao servidor para avisar que o dispositivo fechou a ligação.
No entanto, o sistema não verifica corretamente se esse pacote final está a ser encaminhado através do túnel da VPN. Uma aplicação maliciosa pode aproveitar esta lacuna para criar um pacote de dados específico que é disparado diretamente para a Internet através da tua ligação padrão, revelando a tua identidade e localização reais.
A equipa de segurança da Google foi notificada sobre a falha, mas encerrou o relatório indicando que a correção seria "inviável". O caso foi reaberto no rastreador de problemas do Android, mas encontra-se atualmente inacessível ao público. Em contraste, o projeto independente GrapheneOS já aplicou uma correção no seu código para proteger os utilizadores.
Como proteger o teu telemóvel
Embora a Google não tenha lançado uma atualização oficial para resolver a falha, existe uma forma de fechar esta lacuna. Contudo, o processo exige alguns conhecimentos técnicos, uma vez que precisas de ativar a depuração USB no teu telemóvel e usar a linha de comandos do computador através do Android Debug Bridge (adb).
Se quiseres aplicar a correção por tua conta e risco, basta executares os seguintes comandos:
adb shell device_config put tethering close_quic_connection -1adb reboot
Este ajuste desativa a funcionalidade de encerramento limpo das ligações QUIC, bloqueando a fuga de tráfego. A alteração mantém-se ativa mesmo que reinicies o equipamento, mas pode ser revertida após futuras atualizações do sistema operacional, obrigando-te a repetir os passos.
Como efeito secundário, os servidores com os quais comunicas terão de esperar que a ligação QUIC expire por inatividade, algo que não deverá afetar negativamente o desempenho do teu telemóvel ou das tuas aplicações no dia a dia. Fica a recomendação habitual: a melhor defesa é evitares instalar aplicações de origem duvidosa no teu dispositivo.
Nenhum comentário
Seja o primeiro!