VPN เน้นความเป็นส่วนตัว เลือกจากอะไร

VPN ไม่ได้ทำให้ความไว้ใจหายไปจากชีวิตออนไลน์ของคุณ มันเพียงย้ายความไว้ใจไปที่อื่น ถ้าไม่มี VPN ผู้ดูแลเครือข่ายและผู้ให้บริการอินเทอร์เน็ตมักเห็นได้ว่าคุณติดต่อเว็บไหน แต่เมื่อมี VPN การมองเห็นนั้นย้ายไปอยู่กับผู้ให้บริการ VPN ซึ่งนั่งอยู่ระหว่างคุณกับทุกอย่างบนอินเทอร์เน็ต หากผู้ให้บริการจัดการข้อมูลของคุณไม่ดี คุณก็แค่เปลี่ยนผู้สังเกตการณ์จากคนหนึ่งเป็นอีกคนหนึ่ง นั่นคือเหตุผลที่ VPN ซึ่งเลือกเพราะความเป็นส่วนตัว ต้องประเมินจากแนวปฏิบัติด้านข้อมูลของผู้ให้บริการเป็นหลัก ไม่ใช่จากรายการฟีเจอร์

คู่มือนี้ให้วิธีการ คุณจะได้รู้ว่าผู้ให้บริการเก็บข้อมูลอะไรได้บ้าง อ่านนโยบายความเป็นส่วนตัวอย่างไรเพื่อหาข้อผูกพันที่เจาะจง อะไรนับเป็นหลักฐานและอะไรเป็นแค่การตลาด และแปลงคำตอบเป็นตารางให้คะแนนที่ใช้กับผู้ให้บริการรายไหนก็ได้ บทความนี้ไม่ระบุชื่อผู้ให้บริการและไม่ประกาศผู้ชนะ เพราะคำตอบขึ้นกับความเสี่ยงของคุณเอง ซึ่ง การสร้างแบบจำลองภัยคุกคามง่าย ๆ ช่วยให้คุณกำหนดได้

ความเป็นส่วนตัวคือเรื่องของข้อมูล ไม่ใช่ฟีเจอร์

เริ่มต้นด้วยการทิ้งความคิดที่ว่าความเป็นส่วนตัวเป็นสวิตช์ที่ซื้อได้ ความเป็นส่วนตัวของผู้ให้บริการคือผลรวมของข้อมูลที่เก็บ ระยะเวลาที่เก็บ ผู้ที่ข้อมูลถูกแบ่งปันให้ และสิ่งที่ผู้ให้บริการผูกมัดตัวเองเป็นลายลักษณ์อักษร จะช่วยให้ง่ายขึ้นถ้าแบ่งข้อมูลเป็นสามกลุ่ม

กลุ่ม	ตัวอย่าง	ทำไมจึงสำคัญ
บัญชีและการชำระเงิน	อีเมล ชื่อผู้ใช้ ประวัติการจ่าย ประเทศที่ออกใบแจ้งหนี้ ประวัติคำสั่งซื้อ	เชื่อมตัวบุคคลจริงกับบริการ
การเชื่อมต่อและเซสชัน	เวลาที่เชื่อมต่อ ชนิดอุปกรณ์ เครือข่ายโดยประมาณ ปริมาณข้อมูลที่ส่ง ที่อยู่ IP ที่ใช้	บอกได้ว่าคุณใช้บริการเมื่อไรและจากที่ไหน
แอปและอุปกรณ์	เหตุการณ์วิเคราะห์ รายงานข้อขัดข้อง รหัสโฆษณา สิทธิ์ ตัวติดตามในแอป	สร้างโปรไฟล์คุณได้แม้อุโมงค์จะปกติดี

ยังมีอีกอย่างที่อยู่นอกสามกลุ่มนี้ คือทราฟฟิกจริง ซึ่งก็คือเว็บและบริการที่คุณเข้าผ่านอุโมงค์ ผู้ให้บริการเห็นข้อมูลปลายทางในทางเทคนิค เพราะต้องส่งต่อทราฟฟิกของคุณ สิ่งสำคัญคือเขาบันทึกหรือไม่ เก็บนานเท่าไร และใครเข้าถึงได้ หากต้องการภาพเต็มของสิ่งที่ผู้ให้บริการอยู่ในตำแหน่งที่จะเห็น อ่าน ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณบ้าง

เมื่อประเมินผู้ให้บริการ ให้ถามคำถามเดียวกันกับทุกกลุ่ม คือ เก็บอะไร เพื่ออะไร นานเท่าไร และฉันเลี่ยงไม่ให้ข้อมูลนั้นได้หรือไม่

กลุ่มที่หนึ่ง ข้อมูลบัญชีและการชำระเงิน

นี่คือข้อมูลที่คุณให้เองโดยตรง และประเมินได้ง่ายที่สุด

• ตัวระบุบัญชี บริการต้องการอีเมล เบอร์โทร หรือแค่ชื่อผู้ใช้ ตัวระบุยิ่งน้อย สิ่งที่รั่วหรือถูกขอยิ่งน้อย
• วิธีชำระเงิน การจ่ายด้วยบัตรเชื่อมการซื้อกับตัวตนทางการเงินที่ผู้ออกบัตรและผู้ประมวลผลการชำระเงินถือไว้ ซึ่งเป็นเรื่องปกติของการซื้อออนไลน์ส่วนใหญ่ และคนส่วนใหญ่รับได้ หากเรื่องนี้สำคัญกับคุณ ให้ถามว่าหลังจ่ายสำเร็จผู้ให้บริการเก็บอะไรไว้ เป็นแค่รหัสอ้างอิงหรือรายละเอียดบัตรทั้งหมด
• รูปแบบการเรียกเก็บเงิน สมาชิกที่ต่ออายุอัตโนมัติเก็บข้อมูลการชำระเงินของคุณไว้นานกว่า การจ่ายครั้งเดียวแบบเติมเงินอาจเหลือข้อมูลค้างน้อยกว่า แต่ก็ยังควรอ่านว่าเก็บอะไรไว้เพื่อภาษีและบัญชี
• การกู้คืนบัญชี ยิ่งกู้คืนบัญชีได้ง่าย ข้อมูลส่วนตัวที่ผูกกับบัญชีมักยิ่งมาก ไม่มีขั้วไหนสมบูรณ์แบบ สิ่งที่คุณต้องการคือคำอธิบายที่ชัดเจน
• ความยินยอมด้านการตลาด ตรวจว่าการสมัครเป็นการสมัครรับข่าวการตลาดด้วยหรือไม่ และปฏิเสธได้โดยไม่เสียบริการไหม

การทดสอบที่มีประโยชน์คือ คุณใช้บริการได้ไหมถ้าให้ข้อมูลน้อยที่สุด คือตัวระบุหนึ่งอย่าง การชำระเงินหนึ่งครั้ง ไม่มีเบอร์โทร ถ้าผู้ให้บริการเรียกร้องมากกว่านั้นมากโดยไม่อธิบาย นั่นก็เป็นข้อมูลเกี่ยวกับผู้ให้บริการ

กลุ่มที่สอง ข้อมูลการเชื่อมต่อและเซสชัน

กลุ่มนี้คือที่ที่การถกเถียงเรื่องความเป็นส่วนตัวส่วนใหญ่เกิดขึ้น และเป็นกลุ่มที่ตรวจสอบคำอ้างของผู้ให้บริการได้ยากที่สุด

ผู้ให้บริการบางรายเก็บข้อมูลการเชื่อมต่อไว้เพื่อให้บริการดำเนินไปได้ เช่นเพื่อบังคับใช้ขีดจำกัดการเชื่อมต่อ ตรวจจับการใช้ในทางที่ผิด หรือวินิจฉัยข้อขัดข้อง บางรายไม่เก็บอะไรเกินกว่าที่จำเป็น ณ ขณะเชื่อมต่อ คำถามที่ถูกไม่ใช่ว่ามีข้อมูลอยู่หรือเปล่า แต่คือมีข้อมูลอะไร เก็บนานเท่าไร และนโยบายระบุอย่างเจาะจงหรือไม่

สิ่งที่ควรมองหา

1. ชนิดข้อมูลที่ระบุชื่อ นโยบายที่ดีจะลิสต์ไว้ เช่น เวลาเชื่อมต่อ ปริมาณข้อมูลที่ส่ง ที่อยู่ IP ต้นทาง รุ่นอุปกรณ์
2. ระยะเวลาเก็บ "ลบหลัง 30 วัน" คือข้อผูกพันที่คุณทวงได้ ส่วน "เก็บเท่าที่จำเป็น" ไม่ใช่
3. การแยกข้อมูล ข้อมูลเซสชันถูกเก็บโดยเชื่อมกับตัวตนบัญชีของคุณหรือเก็บโดยไม่เชื่อม
4. วัตถุประสงค์ เก็บแต่ละอย่างไปทำไม มีเหตุผลให้ข้อมูลแต่ละชนิดเป็นสัญญาณว่ามีคนคิดมาแล้ว
5. บุคคลที่สาม ข้อมูลการเชื่อมต่อถูกแบ่งปันกับเครื่องมือวิเคราะห์หรือผู้จัดหาโครงสร้างพื้นฐานหรือไม่ และระบุชื่อไว้ไหม

ถ้อยคำในหน้าการตลาดมักแรงกว่าถ้อยคำในนโยบายทางกฎหมาย เมื่อสองอย่างขัดกัน ให้เชื่อนโยบาย เพราะเป็นเอกสารที่ผู้ให้บริการต้องผูกพัน หากต้องการการเปรียบเทียบอย่างเป็นระบบ วิธีเปรียบเทียบผู้ให้บริการ VPN มีตารางคะแนนความโปร่งใสให้

กลุ่มที่สาม สิ่งที่แอปเองเก็บ

แม้ผู้ให้บริการจะมีกฎเข้มเรื่องข้อมูลการเชื่อมต่อ ความเป็นส่วนตัวก็ยังรั่วผ่านแอปของตัวเองได้ คุณกำลังติดตั้งซอฟต์แวร์ที่เข้าถึงเครือข่ายอย่างลึก จึงควรตรวจว่ามันทำอะไร

• ตัวติดตามและการวิเคราะห์ แอปจำนวนมากมีไลบรารีวิเคราะห์ของบุคคลที่สามที่รายงานเหตุการณ์ไปยังบริษัทภายนอก บน iPhone ส่วน App Privacy ในหน้าแอปบนสโตร์สรุปข้อมูลที่แอปบอกว่าเชื่อมกับคุณหรือใช้ติดตามคุณ ป้ายนี้มาจากคำประกาศของนักพัฒนาเอง จึงควรถือเป็นคำอ้างที่ต้องเทียบกับนโยบาย ไม่ใช่หลักฐาน
• สิทธิ์ VPN ต้องการสิทธิ์สร้างการเชื่อมต่อเครือข่าย แต่แทบไม่ต้องการรายชื่อติดต่อ รูปภาพ หรือตำแหน่งแม่นยำ สิทธิ์ที่ไม่จำเป็นคือสัญญาณเตือน
• รายงานข้อขัดข้องและการวินิจฉัย มักมีประโยชน์และมักเป็นตัวเลือก มองหาสวิตช์
• รหัสโฆษณา VPN ที่เน้นความเป็นส่วนตัวไม่ควรมีเหตุผลต้องอ่านมัน
• ส่วนขยายเบราว์เซอร์ เห็นได้มากกว่าแอป เพราะทำงานในเบราว์เซอร์ อ่าน ส่วนขยายเบราว์เซอร์ต่างจากแอป VPN อย่างไร ก่อนติดตั้ง

คุณยังทดสอบได้ว่าเบราว์เซอร์เปิดเผยอะไรหลังเชื่อมต่อแล้ว เครื่องมือ Cover Your Tracks ของ EFF แสดงว่าการตั้งค่าเบราว์เซอร์ของคุณระบุตัวได้มากแค่ไหน ซึ่งเตือนว่า VPN ซ่อนที่อยู่ของคุณ แต่ไม่ได้ซ่อนลายนิ้วมือทุกอย่าง

อ่านนโยบายความเป็นส่วนตัวทีละประโยค

นโยบายส่วนใหญ่ยาว แต่คุณกวาดอ่านได้ในสิบนาที ต่อไปนี้คือวลีที่ควรสังเกตและวิธีตีความ

นโยบายเขียนว่า	ควรอ่านอย่างไร
"เราเก็บอีเมล รหัสอ้างอิงการชำระเงิน และวันที่สั่งซื้อ"	เจาะจงและตรวจสอบได้ สัญญาณที่ดี
"เราอาจเก็บข้อมูลเพื่อปรับปรุงบริการ"	คลุมเครือ ถามว่าข้อมูลอะไร และปิดได้ไหม
"เราแบ่งปันข้อมูลกับพันธมิตรที่ไว้ใจได้"	ใคร ภายใต้สัญญาแบบไหน มองหาประเภทที่ระบุชื่อ
"ข้อมูลการเชื่อมต่อถูกลบภายใน 24 ชั่วโมง"	ระยะเวลาเก็บที่ชัดเจน ดียิ่งขึ้นถ้าบอกด้วยว่าข้อมูลอะไร
"เราไม่ขายข้อมูลของคุณ"	แคบ การขายไม่ใช่ทางเดียวที่ข้อมูลออกจากบริษัท อ่านว่าอนุญาตให้แบ่งปันอะไร
"เราเก็บข้อมูลเท่าที่จำเป็น"	ไม่มีข้อผูกพัน ขอให้ระบุระยะเวลา
"เราปฏิบัติตามกฎหมายที่เกี่ยวข้อง"	มาตรฐาน คำถามที่มีประโยชน์คือผู้ให้บริการถูกบังคับให้ส่งมอบอะไรได้ ซึ่งเป็นเหตุผลที่เขตอำนาจศาลและการเก็บข้อมูลให้น้อยที่สุดสำคัญ

อ่านวันที่ด้วย นโยบายที่ไม่อัปเดตมาหลายปีอาจไม่ได้อธิบายบริการปัจจุบัน และอ่านส่วนว่าด้วยการเปลี่ยนแปลง ผู้ให้บริการที่แก้ข้อกำหนดได้ตามใจโดยไม่แจ้งเป็นข้อผูกพันที่อ่อนกว่าผู้ที่สัญญาว่าจะแจ้งคุณ

เขตอำนาจศาล ความเป็นเจ้าของ และการตรวจสอบอิสระ

หลักฐานสามชนิดช่วยให้คุณตัดสินคำอ้างได้นอกเหนือจากตัวนโยบาย

เขตอำนาจศาล ประเทศที่ผู้ให้บริการจดทะเบียนมีอิทธิพลต่อคำร้องทางกฎหมายที่รับได้ และกฎการเก็บข้อมูลที่ต้องทำตาม เรื่องนี้ไม่ได้ตัดสินความเป็นส่วนตัวด้วยตัวเอง เป็นเพียงหนึ่งในปัจจัย บทความ เขตอำนาจศาลของ VPN อธิบายว่าพันธมิตรอย่าง Five Eyes หมายถึงอะไรจริง ๆ และทำไมที่อยู่ที่ดูเอื้ออำนวยจึงไม่ใช่การรับประกัน

ความเป็นเจ้าของและความโปร่งใส คุณหาได้ไหมว่าใครบริหารบริษัท อยู่ที่ไหน และติดต่อได้อย่างไร ผู้ให้บริการที่ยอมให้ระบุตัวได้จะถูกทวงความรับผิดชอบง่ายกว่า บางรายเผยแพร่รายงานความโปร่งใสที่อธิบายคำร้องทางกฎหมายที่ได้รับและวิธีตอบ รายงานเหล่านี้มีประโยชน์แม้ตัวเลขจะเป็นศูนย์ ตราบใดที่รายงานอธิบายวิธีนับ

การตรวจสอบอิสระ การตรวจสอบโดยบุคคลที่สามที่ระบุชื่อสนับสนุนคำอ้างได้ ถามสี่ข้อ คือตรวจอะไร (แอป เซิร์ฟเวอร์ หรือนโยบาย) ใครตรวจ เมื่อไร และมีรายงานฉบับเต็มหรือไม่ การตรวจซอฟต์แวร์ของปีที่แล้วไม่ได้อธิบายปีนี้ ให้ถือการตรวจสอบเป็นหลักฐานสนับสนุน ไม่ใช่การพิสูจน์ขั้นสุดท้าย และระวังป้ายตราที่ไม่มีรายงานรองรับ

คำอ้างแบบเด็ดขาดควรลดความไว้ใจของคุณ ผู้ให้บริการที่บอกว่าไม่มีใครระบุตัวคุณได้เลยกำลังให้สัญญาที่ไม่มีเทคโนโลยีใดรักษาได้ ตามที่ VPN ทำให้ไม่ระบุตัวตนได้หรือไม่ อธิบายไว้

ตารางให้คะแนนถ่วงน้ำหนักที่ใช้ซ้ำได้

เพื่อเปรียบเทียบผู้ให้บริการอย่างยุติธรรม ให้กำหนดน้ำหนักแต่ละเกณฑ์ตามความเสี่ยงของคุณ แล้วให้คะแนนผู้ให้บริการแต่ละรายตั้งแต่ 0 ถึง 5 น้ำหนักด้านล่างเป็นตัวอย่างสำหรับผู้ใช้ทั่วไปที่กังวลหลัก ๆ เรื่องเครือข่ายร่วมและผู้ให้บริการอินเทอร์เน็ตที่คอยดู

เกณฑ์	น้ำหนัก	คะแนน 5 หน้าตาเป็นอย่างไร
ข้อมูลบัญชีน้อยที่สุด	15%	ตัวระบุเดียว ไม่ขอเบอร์โทร การตลาดเป็นทางเลือก
อธิบายข้อมูลการเชื่อมต่ออย่างเจาะจง	25%	ระบุชนิดข้อมูลพร้อมระยะเวลาเก็บ
แอปไม่มีตัวติดตามเกินจำเป็น	20%	สิทธิ์น้อย การวินิจฉัยเป็นตัวเลือก
นโยบายชัดเจน	15%	ประโยคธรรมดา ระบุวันที่ แจ้งเมื่อมีการเปลี่ยนแปลง
หลักฐานนอกเหนือการตลาด	15%	การตรวจสอบหรือรายงานที่ระบุชื่อ บริษัทระบุตัวได้
รูปแบบการชำระเงิน	10%	ตรงกับที่คุณต้องการ เติมเงินหรือสมาชิก

ตัวอย่างการคำนวณ ผู้ให้บริการ A ขายแพ็กเกจเติมเงิน อธิบายในนโยบายว่าเก็บฟิลด์การเชื่อมต่อใดและกี่วัน และเผยแพร่ขอบเขตของการตรวจสอบอิสระในปีนี้ ผู้ให้บริการ B โฆษณา "ความเป็นส่วนตัวระดับทหาร" และแพ็กเกจรายปีราคาถูก แต่นโยบายบอกว่าอาจเก็บข้อมูลเพื่อปรับปรุงบริการและแบ่งปันกับพันธมิตร ให้คะแนน

• ผู้ให้บริการ A: ข้อมูลบัญชี 4 ข้อมูลการเชื่อมต่อ 4 แอป 3 ความชัดเจน 5 หลักฐาน 4 การชำระเงิน 5 ผลถ่วงน้ำหนัก 0.15×4 + 0.25×4 + 0.20×3 + 0.15×5 + 0.15×4 + 0.10×5 = 0.60 + 1.00 + 0.60 + 0.75 + 0.60 + 0.50 = 4.05
• ผู้ให้บริการ B: ข้อมูลบัญชี 3 ข้อมูลการเชื่อมต่อ 1 แอป 2 ความชัดเจน 1 หลักฐาน 1 การชำระเงิน 2 ผลถ่วงน้ำหนัก 0.45 + 0.25 + 0.40 + 0.15 + 0.15 + 0.20 = 1.60

จุดสำคัญไม่ใช่ตัวเลขที่แน่นอน แต่คือคุณเขียนไว้ว่าทำไมรายหนึ่งได้คะแนนสูงกว่า ซึ่งช่วยไม่ให้คุณเลือกตามคำคุณศัพท์

นิสัยที่ยังสำคัญหลังเลือกแล้ว

ผู้ให้บริการที่ใส่ใจความเป็นส่วนตัวไม่อาจปกป้องคุณจากบัญชีและอุปกรณ์ของคุณเองได้

1. ออกจากระบบบัญชีที่ไม่ได้ใช้ เว็บไซต์ระบุตัวคุณจากการล็อกอิน ไม่ใช่จากที่อยู่ IP
2. ใช้โปรไฟล์เบราว์เซอร์แยกกัน สำหรับงานที่ไม่ควรเชื่อมโยงกัน
3. เปิด kill switch หากแอปมี เพื่อไม่ให้การเชื่อมต่อที่หลุดเปิดเผยที่อยู่จริงของคุณ
4. ตรวจการรั่วไหล ตามขั้นตอนใน วิธีทดสอบ VPN
5. อัปเดตซอฟต์แวร์อยู่เสมอ แอปหรือเบราว์เซอร์ที่ล้าสมัยโจมตีง่ายกว่าเครือข่ายใด ๆ
6. ทบทวนสิทธิ์ บนมือถือทุกสองสามเดือน

สิ่งที่ผู้ให้บริการรายใดก็สัญญาไม่ได้

การพูดตรง ๆ เรื่องข้อจำกัดเป็นส่วนหนึ่งของการประเมินความเป็นส่วนตัวทุกครั้ง

• VPN ซ่อนตัวตนของคุณจากเว็บไซต์ที่คุณล็อกอินไม่ได้
• ไม่อาจหยุดมัลแวร์บนอุปกรณ์ของคุณเองไม่ให้รายงานสิ่งที่คุณทำ
• ไม่อาจปกป้องคุณจากฟิชชิง รหัสผ่านที่อ่อน หรือการยึดบัญชี
• ไม่อาจรับประกันว่าผู้ให้บริการจะรักษาคำพูด ทำได้เพียงให้หลักฐานให้คุณตัดสิน
• ไม่อาจทำให้คุณไม่ระบุตัวตน ทำได้เพียงลดสิ่งที่ผู้สังเกตการณ์บางกลุ่มมองเห็น

ถ้าการตลาดของผู้ให้บริการทำให้ข้อจำกัดเหล่านี้พร่าเลือน ให้ลดคะแนนในเกณฑ์ความชัดเจนของตารางของคุณ หากความต้องการของคุณหนักกว่าความเป็นส่วนตัวทั่วไป เช่นปกป้องแหล่งข่าวหรือหลบหลีกคู่ต่อสู้ที่มุ่งมั่น VPN เป็นเพียงส่วนเล็ก ๆ ของแผนที่ใหญ่กว่า และคุณควรอ่านคำแนะนำที่กว้างขึ้น เช่นคู่มือ Surveillance Self-Defense ของ EFF

สรุป

VPN ที่ดีที่สุดเพื่อความเป็นส่วนตัวคือตัวที่คุณเข้าใจ ตรวจสอบ และยอมรับแนวปฏิบัติด้านข้อมูลของมันได้ แบ่งสิ่งที่ผู้ให้บริการเก็บได้เป็นข้อมูลบัญชี ข้อมูลการเชื่อมต่อ และข้อมูลแอป อ่านนโยบายเพื่อหาข้อผูกพันที่เจาะจงแทนคำคุณศัพท์ปลอบใจ มองหาหลักฐานอย่างความเป็นเจ้าของที่ระบุตัวได้และการตรวจสอบอิสระล่าสุด แล้วให้คะแนนผู้สมัครด้วยรายการถ่วงน้ำหนักที่คุณเขียนเอง ไม่มีผู้ให้บริการรายใดเอาความไว้ใจออกจากสมการได้ ดังนั้นจงเลือกรายที่ได้รับความไว้ใจด้วยรายละเอียดที่เจาะจง

หากแพ็กเกจเติมเงินแบบจ่ายครั้งเดียวด้วยบัตรเหมาะกับวิธีซื้อที่คุณต้องการ หน้าราคา อธิบายวิธีทำงานไว้