VPN โดนแฮกได้ไหม? ช่องโหว่ที่ควรระวัง

คำตอบสั้นและตรงไปตรงมาของคำถามว่า "VPN โดนแฮกได้ไหม" คือ ได้ ในแง่เดียวกับที่เทคโนโลยีเกือบทุกอย่างถูกนำไปใช้ในทางที่ผิดได้ แต่คำตอบแบบยาวสำคัญกว่า เพราะมันเปลี่ยนสิ่งที่คุณควรกังวล เมื่อคนนึกภาพ VPN ถูกแฮก มักนึกถึงใครสักคนเจาะการเข้ารหัสแล้วอ่านข้อมูลของตัวเอง ในความจริงเรื่องนี้เกิดขึ้นแทบไม่เคย จุดอ่อนมักอยู่รอบ ๆ การเข้ารหัส คือที่บัญชี ซอฟต์แวร์ที่ไม่ได้อัปเดต แอปปลอม บริษัทที่ให้บริการ และอุปกรณ์ที่อยู่ในมือคุณ

บทความนี้พาดูจุดอ่อนเหล่านั้นทีละจุด พร้อมภาพที่สมจริงว่าใครเสี่ยงและทำอะไรได้บ้าง ไม่ได้มีไว้บอกให้เลี่ยง VPN และก็ไม่ใช่โฆษณาให้ใช้ด้วย สำหรับคำถามทั่วไปว่า VPN ปลอดภัยต่อการใช้หรือไม่ ดู VPN ปลอดภัยไหม ส่วนบทความนี้เจาะจงว่าเรื่องผิดพลาดเกิดขึ้นได้อย่างไร

คำตอบสั้น ๆ ตัวเข้ารหัสแข็งแรง แต่จุดอื่นให้โจมตีได้มาก

VPN เป็นห่วงโซ่ ไม่ใช่ของชิ้นเดียว ทราฟฟิกของคุณผ่านแอปในอุปกรณ์ ระบบล็อกอิน การเชื่อมต่อที่เข้ารหัส เซิร์ฟเวอร์ที่คนอื่นดูแล แล้วจึงถึงอินเทอร์เน็ตเปิด ทุกข้อต่อพังได้แยกกัน

การเชื่อมต่อที่เข้ารหัสมักเป็นข้อต่อที่แข็งแรงที่สุด การออกแบบสมัยใหม่ใช้อัลกอริทึมที่ผ่านการศึกษามาอย่างดีและกุญแจใหม่ในทุกเซสชัน และคำแนะนำของ NIST เรื่อง VPN อธิบายว่าควรตั้งค่าอย่างไร ผู้โจมตีรู้เรื่องนี้ จึงเลือกเป้าที่อ่อนกว่า เหมือนขโมยที่ลองหน้าต่างก่อนที่จะลองประตูเหล็ก

มุมมองนี้อธิบายความสับสนที่พบบ่อย พาดหัวข่าวเรื่อง "VPN ถูกแฮก" อาจหมายถึงเรื่องต่างกันมาก

• มีคนล็อกอินด้วยรหัสผ่านที่ขโมยมา
• เกตเวย์ขององค์กรมีช่องโหว่ในซอฟต์แวร์ที่ยังไม่ได้แพตช์
• แอปปลอมเลียนแบบแอปจริง
• ระบบของผู้ให้บริการเองถูกเจาะ
• มัลแวร์บนอุปกรณ์ของผู้ใช้ไม่สนใจ VPN เลย

ไม่มีข้อไหนเลยที่เท่ากับ "การเข้ารหัสถูกเจาะ" และแต่ละข้อต้องใช้การป้องกันต่างกัน

การโจมตีเกิดขึ้นที่ไหนจริง ๆ

ตารางนี้สรุปเป้าหมายที่เป็นไปได้จริง วิธีโจมตี และสิ่งที่ลดความเสี่ยงได้

เป้าหมาย	วิธีโจมตีโดยทั่วไป	ใครเสี่ยงที่สุด	การป้องกันหลัก
บัญชี VPN ของคุณ	รหัสผ่านที่ถูกขโมย เดา หรือใช้ซ้ำ การหลอกเอาข้อมูลล็อกอิน	ผู้ที่ใช้รหัสผ่านอ่อนหรือซ้ำ	รหัสผ่านไม่ซ้ำ การยืนยันขั้นที่สอง ระวังลิงก์
ซอฟต์แวร์และเกตเวย์ VPN	ใช้ช่องโหว่ที่รู้กันแล้วในซอฟต์แวร์ที่ล้าสมัย	องค์กรที่ใช้เกตเวย์เก่า ผู้ใช้แอปรุ่นเก่า	อัปเดต แพตช์ทันที
แอปที่คุณติดตั้ง	แอปปลอมหรือแอปที่ถูกฝังโทรจันซึ่งหน้าตาเหมือนของจริง	คนที่ค้นหา "VPN ฟรี" แล้วติดตั้งผลลัพธ์แรก	ใช้แหล่งทางการเท่านั้น ตรวจชื่อผู้พัฒนา
ผู้ให้บริการ	ถูกเจาะ ตั้งค่าผิด หรือพนักงานภายในใช้สิทธิ์ผิด	ลูกค้าของผู้ให้บริการที่มีมาตรฐานความปลอดภัยแย่	เลือกให้ดี อ่านข้อกำหนด จำกัดข้อมูลที่ให้
อุปกรณ์ของคุณ	มัลแวร์ สปายแวร์ เบราว์เซอร์ที่ถูกเจาะ	ผู้ที่ไม่อัปเดตหรืออุปกรณ์ติดเชื้อ	อัปเดต สแกน ติดตั้งเฉพาะแอปที่ไว้ใจได้
การตั้งค่าการเชื่อมต่อ	การรั่วที่ส่งทราฟฟิกหรือคำขอ DNS ออกนอกอุโมงค์	การตั้งค่าที่ผิดพลาด	ทดสอบ VPN ใช้ kill switch

ส่วนที่เหลือของบทความไล่ดูตามลำดับนี้

บัญชีของคุณคือทางเข้าที่เป็นไปได้มากที่สุด

เหตุการณ์จริงที่เกี่ยวกับบุคคลทั่วไปส่วนใหญ่เริ่มจากข้อมูลล็อกอิน ไม่ใช่การเจาะรหัส ถ้าผู้โจมตีล็อกอินเป็นคุณได้ เขาก็ใช้บริการ VPN ของคุณได้ และบางครั้งดูรายละเอียดบัญชี เช่นแพ็กเกจหรือประวัติการเชื่อมต่อที่ผู้ให้บริการแสดงให้ลูกค้า

ข้อมูลล็อกอินถูกขโมยได้อย่างไร

• ใช้ซ้ำ คุณใช้รหัสผ่านเดียวกันกับเว็บช็อปปิงที่ภายหลังถูกเจาะ ผู้โจมตีเอารายการรหัสผ่านที่หลุดไปลองกับบริการอื่น เทคนิคนี้เรียกว่า credential stuffing
• ฟิชชิง ข้อความที่แกล้งเป็นผู้ให้บริการ VPN ของคุณและลิงก์ไปยังหน้าล็อกอินปลอมที่หน้าตาเหมือนกัน หน้านั้นเก็บสิ่งที่คุณพิมพ์ แนวทางของ CISA เรื่องการสังเกตฟิชชิงรวบรวมสัญญาณทั่วไปไว้ การรู้จักสังเกตเว็บฟิชชิงเป็นทักษะที่ควรสร้างไว้ก่อนที่จะต้องใช้
• รหัสผ่านอ่อน รหัสสั้น ๆ ที่เป็นชื่อ วันเกิด หรือคำทั่วไปถูกเดาได้เร็ว
• แชร์ล็อกอิน รหัสผ่านที่แชร์ในกลุ่มแชตปลอดภัยเท่ากับคนที่ไม่ระวังที่สุดในกลุ่ม

สิ่งที่ช่วยได้

1. ใช้รหัสผ่านยาวและไม่ซ้ำ ที่สร้างและเก็บโดยโปรแกรมจัดการรหัสผ่าน แนวทางเรื่องตัวตนดิจิทัลของ NIST ให้ความสำคัญกับความยาวและความไม่ซ้ำมากกว่ากฎที่ดูซับซ้อน
2. เปิดการยืนยันขั้นที่สองทุกที่ที่มีให้ การยืนยันตัวตนสองขั้นตอน ทำให้รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวไม่พอ และหน้าของ CISA เรื่อง multi-factor authentication อธิบายว่าทำไมจึงเป็นหนึ่งในขั้นตอนเดียวที่ได้ผลที่สุด
3. อย่าเก็บข้อมูลล็อกอินไว้ในอีเมลหรือแชต บริการบางแห่งตั้งใจแสดงข้อมูลล็อกอินเฉพาะในพื้นที่ที่ล็อกอินแล้วด้วยเหตุผลนี้
4. ถ้าผู้ให้บริการใช้ข้อมูลล็อกอิน VPN แยกต่างหาก ให้ตั้งให้ต่างจากล็อกอินเว็บไซต์

สำหรับบริษัท เดิมพันสูงกว่า บัญชี VPN แบบ remote-access ที่ถูกขโมยสามารถเปิดประตูไปยังระบบภายใน ธุรกิจจึงใช้ VPN ร่วมกับกฎการยืนยันขั้นที่สองที่เข้มงวดและการเฝ้าระวัง

ช่องโหว่ในซอฟต์แวร์และเวอร์ชันเก่า

ซอฟต์แวร์ทุกตัวมีบั๊ก ซอฟต์แวร์ VPN ก็ไม่ต่างกัน บางครั้งมีการพบช่องโหว่ในเกตเวย์ ไคลเอนต์ หรือไลบรารี นักวิจัยเผยแพร่รายละเอียด ผู้พัฒนาออกการแก้ไข แล้วผู้โจมตีสแกนอินเทอร์เน็ตหาการติดตั้งที่ยังไม่ได้อัปเดต ช่วงอันตรายคือเวลาระหว่างที่มีตัวแก้กับที่คุณอัปเดต

เรื่องนี้ส่งผลต่างกันกับผู้อ่านต่างกลุ่ม

• องค์กร ที่ดูแลเกตเวย์ VPN ของตัวเองเสี่ยงที่สุด เพราะโดยการออกแบบ เกตเวย์ต้องอยู่บนอินเทอร์เน็ตสาธารณะ การแพตช์ให้เร็ว ลดบริการที่เปิดเผย และเฝ้าดูบันทึก เป็นแนวปฏิบัติมาตรฐาน
• บุคคลที่ใช้แอปสำหรับผู้บริโภค เสี่ยงต่อช่องโหว่ของเกตเวย์น้อยกว่า แต่แอปรุ่นเก่าบนระบบปฏิบัติการเก่าอาจมีบั๊กที่มีตัวแก้แล้วแต่ยังไม่ได้ติดตั้ง
• โปรโตคอลและการตั้งค่ารุ่นเก่า เป็นจุดอ่อนได้ ดีไซน์ยุคแรกอย่าง PPTP ปัจจุบันถือว่าอ่อนและควรเลี่ยงถ้ามีทางเลือกที่ดีกว่า

นิสัยที่ใช้ได้จริง เปิดการอัปเดตอัตโนมัติสำหรับระบบปฏิบัติการและแอป VPN ลบแอปที่ไม่ได้ใช้แล้ว และระวังคำแนะนำ VPN ใด ๆ ที่บอกให้ดาวน์โหลดบิลด์ที่ไม่เป็นทางการ

แอปปลอมและปัญหาของ VPN ฟรี

เนื่องจากแอป VPN ขอสิทธิ์กว้าง เช่นการสร้างการเชื่อมต่อเครือข่ายที่ส่งผ่านทราฟฟิกของคุณทั้งหมด แอปที่เป็นอันตรายจึงเสียหายเป็นพิเศษ มันอ่านและแก้ไขสิ่งที่ผ่านมันได้

แอปปลอมมาถึงคุณได้อย่างไร

• ผลการค้นหาหรือโฆษณานำไปสู่แอปที่ชื่อใกล้เคียงกับของที่เชื่อถือได้มาก
• เว็บไซต์ที่ไม่เป็นทางการเสนอ "ดาวน์โหลดฟรี" ของแอปที่ต้องจ่ายเงิน
• ข้อความมีลิงก์ไปยังตัวติดตั้งนอกร้านแอปทางการ
• หน้าร้านแอปดูเหมือนของจริงแต่มีรีวิวน้อย ไม่มีรายละเอียดบริษัทชัดเจน หรือมีรายการสิทธิ์ยาวที่ไม่เกี่ยวข้อง

วิธีป้องกัน ติดตั้งจากหน้าร้านแอปทางการหรือลิงก์ที่ผู้ให้บริการเผยแพร่เท่านั้น ตรวจชื่อผู้พัฒนา ดูรายละเอียดความเป็นส่วนตัวที่แสดงในหน้าแอป และสงสัยทุกอย่างที่สัญญาว่าให้มากโดยไม่เสียอะไร บทความเรื่อง VPN ฟรีปลอดภัยไหม รวบรวมสัญญาณเตือนไว้ละเอียดกว่านี้ และควรอ่านก่อนติดตั้งอะไรที่ไม่คุ้น

สำหรับลูกค้าของบริการที่ให้แอปฟรีมาพร้อมบัญชีแบบชำระเงิน เช่นที่ XPASS ให้ VPNclient ขั้นตอนที่ใช้ได้จริงคือใช้ลิงก์ในหน้าดาวน์โหลดทางการ แทนที่จะค้นหาแล้วเดา

ฝั่งผู้ให้บริการ การถูกเจาะ ความผิดพลาด และความไว้วางใจ

เมื่อเชื่อมต่อกับบริการ VPN ผู้ดูแลกลายเป็นฝ่ายที่โดยหลักการมองเห็นทราฟฟิกของคุณหลังถอดรหัสได้ นี่ไม่ใช่การโจมตี แต่เป็นวิธีที่การออกแบบทำงาน มันหมายความว่าความปลอดภัยของผู้ดูแลเองสำคัญ

ความเสี่ยงฝั่งผู้ให้บริการ ได้แก่

• การถูกเจาะ ระบบของผู้ดูแล ทำให้ข้อมูลบัญชีหรือเมทาดาตาของทราฟฟิกที่เก็บไว้รั่ว
• การตั้งค่าผิดพลาด เช่นฐานข้อมูลที่เปิดเผย หรือเซิร์ฟเวอร์ที่ตั้งค่าอ่อน
• การใช้สิทธิ์ผิดโดยคนใน ที่เข้าถึงระบบได้
• แนวปฏิบัติทางธุรกิจที่อ่อน เช่นข้อกำหนดที่ไม่ชัดว่าบันทึกอะไรและนานแค่ไหน

คุณตรวจสอบผู้ให้บริการเองไม่ได้ แต่ลดความเสี่ยงได้ เลือกผู้ให้บริการที่เผยแพร่ข้อกำหนดชัดเจน ชำระเงินด้วยวิธีที่ไม่ผูกรายละเอียดส่วนตัวที่ไม่จำเป็นกับบัญชี อย่าบอกผู้ให้บริการในสิ่งที่เขาไม่จำเป็นต้องรู้ และจำไว้ว่าเนื้อหาที่ป้องกันด้วย HTTPS ยังคงเข้ารหัสแม้จากผู้ดูแล มีบทความแยกเรื่องผู้ให้บริการ VPN มองเห็นอะไรได้บ้าง ที่ไล่เรื่องนี้โดยละเอียด

การรั่วและอุปกรณ์ที่ถูกเจาะ

บางปัญหาไม่เกี่ยวกับการที่ใครเจาะ VPN เลย

การรั่ว การตั้งค่าที่ผิดพลาดอาจส่งคำขอ DNS หรือทราฟฟิกบางส่วนออกนอกอุโมงค์ ทำให้เครือข่ายหรือผู้ให้บริการอินเทอร์เน็ตของคุณยังเห็นว่าคุณกำลังไปที่ไหน บทความเรื่อง DNS leak อธิบายวิธีสังเกต และคู่มือ ทดสอบ VPN แสดงวิธีตรวจการรั่ว ความเร็ว และพฤติกรรมของ kill switch

อุปกรณ์ที่ถูกเจาะ ถ้ามัลแวร์อยู่ในมือถือหรือแล็ปท็อปของคุณแล้ว มันอ่านข้อมูลได้ก่อนเข้าอุโมงค์ บันทึกการพิมพ์ หรือแคปหน้าจอได้ VPN ปกป้องอุปกรณ์ที่ติดเชื้อไม่ได้ เพราะผู้โจมตีอยู่ด้านในของเส้นทางที่เข้ารหัสแล้ว นี่คือเหตุผลที่การอัปเดต การติดตั้งอย่างระมัดระวัง และการสแกนสำคัญไม่แพ้ตัว VPN

ใบรับรองที่เชื่อถือและคำเตือน ถ้าเบราว์เซอร์แสดงคำเตือนเรื่องใบรับรอง อย่ากดผ่าน คำเตือนอาจบ่งบอกว่ามีบางอย่างแทรกแซงการเชื่อมต่อ และ VPN ไม่ได้ทำให้คำเตือนนั้นปลอดภัยพอจะละเลย

สามเรื่องสมมติ

กรณีเหล่านี้สมมติขึ้น แต่แต่ละกรณีสะท้อนรูปแบบที่เกิดขึ้นจริง

ฮานะกับรหัสผ่านที่ใช้ซ้ำ ฮานะใช้รหัสผ่านเดียวกันกับร้านค้าออนไลน์ อีเมล และบัญชี VPN ร้านค้าถูกเจาะ และรายการรหัสผ่านถูกเผยแพร่ ภายในไม่กี่วันมีคนล็อกอินบัญชี VPN ของเธอ ไม่มีอะไรถูกเจาะ เธอส่งกุญแจให้เขาเอง หลังเหตุการณ์ เธอเปลี่ยนเป็นรหัสผ่านที่ไม่ซ้ำ เก็บในโปรแกรมจัดการ และเปิดการยืนยันขั้นที่สอง

บริษัทเล็กกับเกตเวย์เก่า บริษัทสิบคนใช้เกตเวย์ VPN ที่ตั้งไว้หลายปีก่อนและไม่เคยอัปเดต เมื่อช่องโหว่ของซอฟต์แวร์นั้นถูกเผยแพร่ ผู้โจมตีสแกนหาและเจอเกตเวย์ บริษัทไม่มีใครรับผิดชอบเรื่องอัปเดต ทางแก้ไม่ใช่ VPN ที่ดีกว่า แต่คือกระบวนการ มีคนที่ระบุชื่อ ตรวจอัปเดตทุกเดือน และมีการแจ้งเตือนเมื่อมีประกาศช่องโหว่ใหม่

ดิเอโกกับแอปเลียนแบบ ดิเอโกค้นหา VPN ฟรีก่อนเดินทางและติดตั้งผลลัพธ์บนสุด ซึ่งมีชื่อถูกต้องและไอคอนสวย แอปขอสิทธิ์กว้าง แสดงโฆษณาจำนวนมาก และตามที่เขารู้ภายหลัง แอบฝังการติดตามในทราฟฟิกของเขา เขาลบแอป เปลี่ยนรหัสผ่านที่ใช้ระหว่างที่ติดตั้งไว้ และเปลี่ยนไปใช้บริการที่เขาเข้าถึงแอปจากเว็บไซต์ของผู้ให้บริการเอง

เช็กลิสต์เสริมความแข็งแรงที่ใช้ได้จริง

ใช้รายการนี้ตรวจไตรมาสละครั้ง แต่ละข้อทำง่าย และรวมกันปิดประตูส่วนใหญ่ที่กล่าวถึงข้างต้น

1. ใช้รหัสผ่านยาวและไม่ซ้ำสำหรับบัญชี VPN เก็บในโปรแกรมจัดการรหัสผ่าน
2. เปิดการยืนยันขั้นที่สองทุกที่ที่มีให้
3. ไม่พิมพ์ข้อมูลล็อกอิน VPN ในหน้าที่เข้าจากลิงก์ในข้อความ ให้เข้าเว็บไซต์ผู้ให้บริการโดยตรง
4. ติดตั้งแอป VPN จากร้านแอปทางการหรือลิงก์ของผู้ให้บริการเท่านั้น
5. อัปเดตระบบปฏิบัติการและแอป VPN อยู่เสมอ
6. เปิด kill switch ถ้าแอปมี และทดสอบมัน
7. ทดสอบการรั่วหลังตั้งค่า และทุกครั้งที่เปลี่ยนเครือข่ายหรือแอป
8. อ่านข้อกำหนดของผู้ให้บริการ และระวังคำสัญญาแบบสัมบูรณ์ เช่น "แฮกไม่ได้"
9. ไม่ให้มีแอปที่ไม่รู้จักบนอุปกรณ์ และสแกนถ้ามีอะไรทำงานแปลก ๆ
10. ไม่แชร์ล็อกอินกับคนอื่น และออกจากระบบบนเครื่องส่วนกลาง

สรุป

ใช่ VPN โดนแฮกได้ แต่ไม่ใช่ที่ที่คนมักคาด การเข้ารหัสมักเป็นข้อต่อที่แข็งแรงที่สุด ผู้โจมตีมุ่งไปที่รหัสผ่าน ซอฟต์แวร์ที่ไม่ได้แพตช์ แอปปลอม ความผิดพลาดของผู้ให้บริการ และตัวอุปกรณ์ คุณลดความเสี่ยงส่วนใหญ่ได้ด้วยรหัสผ่านที่ไม่ซ้ำและการยืนยันขั้นที่สอง แหล่งแอปที่เป็นทางการ การอัปเดตสม่ำเสมอ การทดสอบการรั่วเป็นครั้งคราว และการเลือกผู้ให้บริการอย่างสมเหตุสมผล ไม่มีเครื่องมือใดทำให้คุณอยู่เหนือภัยได้ วิธีที่ซื่อสัตย์คือการป้องกันหลายชั้น ไม่ใช่คำสัญญาแบบสัมบูรณ์

ถ้ากำลังเลือกบริการและอยากได้แพ็กเกจเติมเงินที่มาพร้อมแอปฟรีและไม่ต่ออายุอัตโนมัติ หน้าราคา แสดงตัวเลือกไว้