Неделю назад автор A.g опубликовал на форуме методичку Минцифры о способах, используемых для обнаружения VPN, для разных платформ. Из анализа следует, что больше всего уязвимы для обнаружения смартфоны на базе Android. При этом способы полностью скрыть VPN отсутствуют (особенно без root-прав) в силу архитектуры ОС.
Из популярных способов защиты предлагается:
- Защита логином и паролем SOCKS5-соединения.
- Правильно настроенная маршрутизация в VPN-клиенте.
- Включение функции «Блокировать соединение без VPN» в настройках телефона.
- Разные входной и выходной IP.
- и другие способы.
Комбинация этих методов защищает от обнаружения IP-адреса, используемого в качестве выходного, но не решает главную проблему: скрытие tun0-интерфейса и следов использования VPN в системе.
В качестве метода, решающего вышеописанные проблемы, часто предлагается использовать второй телефон, где будут установлены только российские приложения сомнительного качества. Я предлагаю компромиссный вариант, который обеспечит безопасность, но при этом сохранит привычные удобства (один телефон для всех приложений).
Идея: создать частное пространство и перенести туда все российские приложения сомнительного качества. Через макросы MacroDroid реализовать выключение VPN при входе в частное пространство и его включение при выходе.
Частное пространство изолирует файловую систему, но не сетевой стек. Поэтому приложению-шпиону будет виден tun0-интерфейс и другие следы использования VPN. Именно поэтому мы задействуем макросы. Для этого способа не нужны root-права, но потребуется Shizuku для принудительного завершения процесса VPN-клиента.
Все нижеописанное производилось на Google Pixel 10 (Android 16).
Инструкция:
- Создаем частное пространство через стандартный интерфейс Android. На других телефонах оно может называться иначе и быть реализовано по-разному (например, Samsung Knox или Xiaomi Second Space).
- Переносим (устанавливаем) российские приложения сомнительного качества в частное пространство.
- Настраиваем VPN-клиент: включаем «Автоматическое подключение» (Включать прокси при запуске/обновлении приложения, если он был запущен до этого). Это нужно для автозапуска конфигурации, которая была активна до входа в пространство. Такая настройка есть в большинстве sing-box клиентах. Проверенно для (husi, nekobox).
- Устанавливаем MacroDroid в основное пространство телефона.
- Добавляем макросы.
5.1. Макрос №1: Выключение VPN в частном профиле
Триггер: Интент получен android.intent.action.PROFILE_AVAILABLE (срабатывает в момент разблокировки частного пространства).
Действия:- Завершить приложение <Название VPN клиента>, у меня это husi.
- Завершить фоновые процессы <Название VPN клиента>.
Ограничение: Состояние VPN — «Включено».
5.2. Макрос №1: Включение VPN при выходе
Триггер: Интент получен android.intent.action.PROFILE_UNAVAILABLE (срабатывает при блокировке пространства или выключении экрана).
Действия: - Запустить <Название VPN клиента>
- Задержка 1 секунда.
- Нажать кнопку «Назад» (чтобы свернуть интерфейс).
Вышеперечисленные интенты идеально работают на Google Pixel. На других устройствах они могут отличаться - в таком случае уточните нужные экшены для конкретной модели в документации/ИИ.
При такой схеме шпионские модули находятся в изолированном пространстве и не пересекаются с легитимными приложениями. В момент открытия пространства VPN принудительно выключается, а при закрытии - шпионские приложения принудительно завершают свою работу и удаляются из фона (для Google Pixel)
, после чего макрос включает VPN клиент с запущенной конфигурацией, выбранной до открытия частного пространства. Это обеспечивает баланс между безопасностью и комфортом.