Эксперимент показал, что изолированный профиль Shelter на Android не скрывает VPN от приложений

Схема с Shelter давно считается у российского сообщества одним из способов обойти обнаружение VPN в мобильных приложениях: сервисы выносятся в изолированный профиль и исключаются из маршрутизации через туннель. Логика простая — если приложение не ходит через VPN, ему нечего детектировать. На практике у автора эта конфигурация действительно работала, пока осенью не начались странности с банковскими приложениями и VK. Это и подтолкнуло к вопросу: а что на самом деле видит приложение из своего изолированного профиля?

Подробности

Для ответа на вопрос был поставлен эксперимент: шесть сценариев на Android, диагностика с помощью RKNHardering и последующее сравнение результатов. Такой подход позволяет проверить не декларации о «невидимости» профиля, а фактическую картину, доступную приложению изнутри Shelter. Отмечается, что часть выводов оказалась любопытной и не всегда очевидной. Это важно с точки зрения модели угроз: изоляция профиля и исключение из VPN-маршрутизации — разные механизмы, и первый сам по себе не гарантирует, что приложение не получит косвенных признаков туннеля или нестандартного окружения. В публикации не приводятся конкретные CVE, версии продуктов или перечень детектируемых параметров — речь идёт об исследовательском эксперименте, а не об описании уязвимости. Тем не менее сам факт расхождения между ожидаемым и наблюдаемым поведением банковских приложений и VK показывает: приложения могут менять логику проверок, а ранее рабочая конфигурация — переставать быть рабочей без каких-либо изменений на стороне пользователя.

Что делать

Практические рекомендации на основе описанного опыта выглядят так: — не полагайтесь на Shelter как на гарантированное средство сокрытия VPN: изоляция профиля не равна невидимости для приложения; — проверяйте конфигурацию экспериментально, например с помощью диагностических инструментов вроде RKNHardering, а не только по факту «приложение запустилось»; — учитывайте, что детектирующие механизмы в банковских приложениях и клиентах VK могут обновляться, поэтому периодически перепроверяйте работоспособность схемы; — если приложение внезапно начало вести себя иначе, рассматривайте это как сигнал к повторной диагностике окружения, а не только как сбой самого приложения. Итог: изолированный профиль Shelter — удобный инструмент, но не решение проблемы обнаружения VPN. Реальную картину видимости даёт только экспериментальная проверка, а не assumptions о том, что «изнутри профиля ничего не видно».

Источник: Хабр — Информационная безопасность