На Habr вышел очень важный разбор критической уязвимости мобильных клиентов на базе xray/sing-box. Суть проблемы в том, что клиент поднимает локальный SOCKS5-прокси без авторизации, а вредоносное приложение (то есть любое RU приложение: MAX, Yandex, Wildberries, Ozon, Gosuslugi, Rzd, любой банковский софт (Sber, T-Bank), Kaspersky и прочие крупные российские IT-компании) на том же устройстве может подключиться к нему в обход VpnService, определить ваш выходной IP и тем самым сдать ваш прокси/сервер. Автор отдельно пишет, что private space, Shelter, Island и per-app split tunneling здесь не спасают.
✦ если у вас стоит любой RU-софт на смартфоне или ПК - использовать только Karing (Android+iOS+ПК), Throne (ПК), v2rayNG (Android), v2rayTun (Android), Happ (Android+iOS) и обязательно задать логин/пароль для "Settings-Mixed" (Karing), для "Inbound Authorization" (Throne, Happ), "Пользователь/Пароль локального прокси" (v2rayNG, v2rayTun) в настройках;
✦ следить за обновлениями других клиентов и ставить их сразу;
✦ использовать раздельную маршрутизацию geoip:ru -> direct, other -> proxy;
