Обновления VPN — не гарантия безопасности: проблема устаревших протоколов OpenVPN в Windows-приложениях

Обновляете VPN-приложение и чувствуете себя в безопасности? Поздравляем — вы в клубе наивных оптимистов! В реальности, под блестящим фасадом свежей версии могут скрываться дыры в безопасности размером с дырявое ведро. Главный виновник балагана — протокол OpenVPN, ответственный за шифрование трафика и связь между устройством пользователя и сервером VPN. Его исходный код открыт, и на его основе строится большинство коммерческих сервисов — звучит надёжно, но на деле становится ловушкой.

В июле этого года независимые специалисты проверили 32 Windows-клиента VPN — от гигантов с головами в облаках до ноунеймов и бесплатных поделок. Результаты получились достойные для хоррора: 56% приложений используют OpenVPN, обновлённый более года назад; 41% конфигов не менялись два года; 22% держатся за код, которому больше четырёх лет, и 12,5% — работают на версии, отпраздновавшей пятилетний юбилей. Больше половины игроков рынка откровенно спит за рулём.

В лидерах жалкой гонки устаревания оказались Turbo VPN и VyprVPN, до сих пор довольствующиеся OpenVPN 2.4.7 2019 года. NordVPN, Windscribe и Proton VPN — намертво прилепили новейшие сборки протокола за апрель 2026-го — хоть где-то радуют. Считается, мол, крупные компании серьёзнее относятся к обновлениям. Но старая версия OpenVPN чревата утечками и пробоинами в безопасности вне зависимости от репутации.

Почему это опасно? Во-первых, потому что OpenVPN регулярно публикует данные о найденных уязвимостях: шесть «дырок» в 2025-м, шесть в 2024, одна в 2023 и одна в 2022 году. Провайдеры, зависающие на старых версиях, ничего не исправляют — злоумышленнику даже не придётся ломать голову, просто читает changelog и пользуется.

Технические директора вроде Марьюса Бриедиса из NordVPN и разработчики из Windscribe напоминают: да, иногда уязвимость не задевает конкретное старое приложение, если там нет проблемного функционала. Но оставлять всё как есть — стратегия, ведущая к катастрофе. Вендоры могут латать дыры вручную, выпускать фиксы, настраивать конфигурации или вырезать опасные куски кода, но если ничего из этого не происходит и проконтролировать невозможно — ситуация взрывоопасная.

К тому же чем древнее библиотека, тем сложнее её «подружить» с современными операционками и шифровальными средствами. По словам Питера Мембри из ExpressVPN, каждый год отставания — это нарастает гора технических долгов и щелей в безопасности. Обновить OpenVPN — целый квест: совместимость, тесты на всех системах, поэтапный запуск, и если что-то пойдет не так — ай-ай-ай.

Поэтому провайдеры любят объяснять задержки заботой о пользователях. Кто-то, как StrongVPN, занят собственной «суперразработкой», кто-то — как ClearVPN — обещает по-тихому латать всё вручную, а PureVPN вовсе остался на версии 2.6.12, потому что новые билды убрали нужные им драйвера.

Что делать простому обывателю? Паниковать не время. Многие сервисы переходят на более современные протоколы — WireGuard и Stealth, которые быстрее, проще и менее прожорливы, чем старый-добрый OpenVPN. Но если вам важно знать детали — зайдите в настройки клиента, откройте логи диагностики или полистайте официальные релиз-ноты: если протокол не обновлялся больше полутора лет — красный флаг. Ну, или напишите в поддержку — пусть хоть по бумажке расскажут, что и когда они обновляют.

В итоге, угрозу нельзя считать смертельной — но всё равно остается вопрос: если все так печалятся о безопасности, почему не поддерживать внутри приложения наиболее свежий и безопасный протокол?