Five Eyes เกี่ยวข้องกับความเป็นส่วนตัวของ VPN อย่างไร

คำว่า "Five Eyes" โผล่ในโฆษณา VPN และในกระทู้ถกเถียงบ่อยมาก บางคนยืนยันว่าห้ามแตะบริการที่ตั้งในประเทศกลุ่มนั้นเด็ดขาด บางคนบอกว่าเรื่องนี้ไร้สาระทั้งหมด ทั้งสองฝ่ายมักข้ามประเด็นสำคัญ คือสิ่งที่ผู้สนใจในกลุ่ม Five Eyes ทำกับคนที่เชื่อมต่อผ่าน VPN ได้จริง ๆ คืออะไร และคำตอบขึ้นกับว่าบริษัทตั้งสำนักงานที่ไหนหรือเปล่า

บทความนี้เลือกเส้นทางแบบใช้งานจริง เราจะตามการเชื่อมต่อหนึ่งครั้งจากโทรศัพท์ของคุณไปยังเว็บไซต์ ทำเครื่องหมายจุดที่ผู้สังเกตการณ์อาจรู้อะไรบางอย่างได้ แล้วถามว่าใครมีเหตุผลต้องกังวลจริง ๆ ถ้าอยากได้ความรู้พื้นฐานกว้าง ๆ เกี่ยวกับคำว่า jurisdiction และการที่มันใช้กับบริษัท อ่านได้ในเรื่อง jurisdiction ของ VPN ส่วนที่นี่เราเน้นผลต่อความเป็นส่วนตัวของคุณในฐานะผู้ใช้

พันธมิตรนี้ในไม่กี่ประโยค

Five Eyes คือการจัดการแบ่งปันข่าวกรองระหว่างสหรัฐอเมริกา สหราชอาณาจักร แคนาดา ออสเตรเลีย และนิวซีแลนด์ รากเหง้าย้อนไปถึงข้อตกลงด้านการข่าวกรองสัญญาณที่ทำกันไม่นานหลังสงครามโลกครั้งที่สอง และบางส่วนของข้อตกลงนั้นถูกเปิดเผยต่อสาธารณะอีกหลายสิบปีให้หลัง ในปี 2013 เอกสารที่อดีตผู้รับเหมาของสหรัฐฯ นำมาเปิดเผยบรรยายถึงโครงการเก็บข้อมูลขนาดใหญ่และความร่วมมือใกล้ชิดระหว่างหน่วยงานในหลายประเทศเหล่านี้ ชื่อนี้จึงคุ้นหูผู้ใช้อินเทอร์เน็ตทั่วไป

มีสองข้อที่เป็นกรอบของเรื่องที่เหลือ

• เป็นการจัดการระหว่างหน่วยงานรัฐ ไม่ใช่องค์กรเดียวที่มีกติกาเดียว แต่ละประเทศมีกฎหมาย ศาล และการกำกับดูแลของตัวเอง
• รายละเอียดส่วนใหญ่เป็นความลับ เอกสารสาธารณะแสดงว่ามีความร่วมมือ แต่ไม่บอกว่ามากเพียงใด บ่อยแค่ไหน หรือเกี่ยวกับใคร ใครที่อ้างว่ารู้แน่ว่าแบ่งปันอะไรกันบ้างคือการเดา

เมื่อมีกรอบแล้ว มาดูการเชื่อมต่อจริงกัน

ตามการเชื่อมต่อหนึ่งครั้งจากโทรศัพท์ถึงเว็บไซต์

สมมติว่ามาลีนั่งอยู่ในคาเฟ่ที่กรุงเทพฯ แล้วเปิดอีเมลบนโทรศัพท์โดยเปิด VPN ไว้ คำขอของเธอไม่ได้วิ่งจากโทรศัพท์ไปถึงเซิร์ฟเวอร์อีเมลตรง ๆ แต่ผ่านหลายจุดที่มีโอกาสถูกสังเกตได้

จุดสังเกต	สิ่งที่เห็นได้เมื่อเปิด VPN	สิ่งที่เห็นไม่ได้
เครือข่ายของคาเฟ่	อุปกรณ์เชื่อมต่อกับเซิร์ฟเวอร์ VPN ปริมาณและเวลาของทราฟฟิก	เว็บไซต์ที่เข้า เนื้อหา
ผู้ให้บริการอินเทอร์เน็ตของคุณ	เหมือนคาเฟ่ คือการเชื่อมต่อไปยังเซิร์ฟเวอร์ VPN	เว็บไซต์และเนื้อหาในอุโมงค์
บริษัท VPN	บัญชีของคุณ เวลาที่เชื่อมต่อ ที่อยู่ต้นทาง และอาจรวมถึงปลายทาง ขึ้นกับการออกแบบและนโยบาย	เนื้อหาของหน้าเว็บ HTTPS
เครือข่ายระหว่างเซิร์ฟเวอร์ VPN กับเว็บไซต์	ทราฟฟิกที่ออกจากเซิร์ฟเวอร์ VPN ไปยังปลายทาง	ว่าเป็นของลูกค้ารายใด เว้นแต่มีการจับคู่ข้อมูล
เว็บไซต์เอง	ที่อยู่ของเซิร์ฟเวอร์ VPN และสิ่งที่คุณล็อกอินด้วย	ที่อยู่เครือข่ายจริงของคุณ เว้นแต่มีการรั่ว
อุปกรณ์ของคุณเอง	ทุกอย่าง	ไม่มีอะไรซ่อนจากซอฟต์แวร์ที่ติดตั้งอยู่แล้ว

หน่วยงานของ Five Eyes ไม่ได้เป็นอีกแถวในตารางนี้ แต่เป็นผู้สังเกตการณ์ที่อาจมีสิทธิ์ตามกฎหมายเข้าถึงหนึ่งแถวหรือมากกว่า ขึ้นกับว่าสายเคเบิล บริษัท หรืออุปกรณ์อยู่ที่ไหน และกฎหมายข้อใดบังคับใช้ ดังนั้นคำถามที่มีประโยชน์คือ ผู้สังเกตการณ์นี้เข้าถึงแถวไหนได้ และจะรู้อะไรที่นั่น

การเข้ารหัสป้องกันอะไร และเหลืออะไรให้เห็น

การเข้ารหัสสมัยใหม่ทำงานเฉพาะอย่างหนึ่ง คือสับเนื้อหาของทราฟฟิกให้คนที่ดักจับระหว่างทางอ่านไม่ได้ หน้าเว็บที่ใช้ HTTPS ยังมีชั้นของตัวเองเพิ่มอีกชั้น ดังที่อธิบายไว้ในเรื่องการเข้ารหัสของ VPN ไม่ว่าผู้สังเกตการณ์จะเป็นเจ้าของคาเฟ่หรือหน่วยงานระดับชาติ การเข้ารหัสที่ใช้งานถูกต้องไม่ได้แข็งแรงต่างกันตามตัวผู้ดู เพราะคณิตศาสตร์ไม่สนใจธงชาติ

สิ่งที่การเข้ารหัสทิ้งไว้ให้เห็นคือข้อมูลรอบข้าง ซึ่งมักเรียกว่า metadata

• ว่ามีการเชื่อมต่อเกิดขึ้น ระหว่างที่อยู่เครือข่ายสองจุดใด
• เริ่มและจบเมื่อไร และนานแค่ไหน
• ปริมาณข้อมูลที่ไหล ในแต่ละทิศทางและจังหวะเป็นอย่างไร
• รูปแบบตามเวลา เช่น อุปกรณ์ที่เชื่อมต่อทุกเช้าในชั่วโมงเดิม

นักวิจัยรู้มานานแล้วว่า ผู้สังเกตที่เห็นปลายทั้งสองด้านของเส้นทาง เช่น ทราฟฟิกที่เข้าเซิร์ฟเวอร์ VPN และที่ออกจากมัน อาจจับคู่ทั้งสองด้านได้จากเวลาและขนาด เรียกว่า traffic correlation ซึ่งทำได้ยาก ต้องเข้าถึงทั้งสองจุด และไม่ใช่สิ่งที่อาชญากรทั่วไปหรือผู้ซื้อโฆษณาทำได้ แต่เป็นความสามารถประเภทที่ผู้เล่นระดับรัฐที่มีทรัพยากรมากอาจมีในทางทฤษฎี สำหรับคนส่วนใหญ่นี่เป็นความเสี่ยงที่ห่างไกล สำคัญเฉพาะกับผู้ที่มีเหตุผลเฉพาะเจาะจงและร้ายแรงที่เชื่อว่าตนเป็นเป้าหมาย

สุดท้าย การเข้ารหัสไม่ช่วยอะไรเมื่อปลายทางถูกเจาะ ถ้ามีมัลแวร์อยู่ในโทรศัพท์ หรือคุณล็อกอินเข้าบัญชีที่บันทึกกิจกรรม อุโมงค์ก็ไม่เกี่ยวแล้ว ช่องโหว่เหล่านี้สรุปไว้ละเอียดขึ้นในสิ่งที่ VPN ปกป้องคุณไม่ได้

การแบ่งปันของพันธมิตร กับบันทึกของผู้ให้บริการเอง

คนมักปนสองเรื่องที่ต่างกัน คือความร่วมมือระหว่างหน่วยงาน กับข้อมูลที่บริษัท VPN ถืออยู่ สองเรื่องนี้แยกกัน และการแยกคิดทำให้การถกเถียงชัดขึ้น

1. สิ่งที่ผู้ให้บริการถือไว้ ถ้าบริษัทเก็บน้อยมาก ก็มีของให้ส่งมอบน้อย ไม่ว่าประเทศไหนจะขอ ถ้าเก็บมาก คำขอที่ชอบด้วยกฎหมายใด ๆ ที่ไปถึง จากประเทศไหนก็ตาม ก็ได้ข้อมูลมาก วิธีจัดการข้อมูลของผู้ให้บริการจึงเป็นตัวแปรสำคัญที่สุดที่คุณตรวจสอบได้
2. คำสั่งทางกฎหมายใดเข้าถึงผู้ให้บริการได้ ขึ้นกับที่จดทะเบียน ที่มีพนักงาน และที่เก็บอุปกรณ์ บริษัทในประเทศ Five Eyes อยู่ใต้ศาลของประเทศนั้น บริษัทที่อื่นอยู่ใต้ศาลของประเทศตน และอาจถูกเข้าถึงผ่านสนธิสัญญาได้
3. สิ่งที่หน่วยงานทำเองโดยไม่ผ่านผู้ให้บริการ หน่วยงานเก็บทราฟฟิกจากสายเคเบิลและจุดแลกเปลี่ยนได้โดยไม่ต้องขอบริษัท กิจกรรมนี้ไม่ขึ้นกับที่ตั้งของบริษัท VPN เลย แต่ขึ้นกับว่าทราฟฟิกวิ่งผ่านที่ใด

สังเกตสิ่งที่ตามมาจากข้อ 3 การเลือกบริษัทในประเทศนอกพันธมิตรไม่ช่วยเรื่องการดักทราฟฟิกระหว่างทาง เพราะแพ็กเก็ตยังวิ่งผ่านเครือข่ายทั่วโลกชุดเดิม มันเปลี่ยนแค่ว่าคำสั่งทางกฎหมายใดบังคับบริษัทได้ ซึ่งเป็นผลจริงแต่แคบ และมีความหมายก็ต่อเมื่อบริษัทเก็บข้อมูลน้อยด้วย นี่คือเหตุผลที่เราบอกว่าบันทึกของบริษัทสำคัญกว่าที่อยู่ของบริษัท

ใครมีเหตุผลต้องใส่ใจจริง ๆ

คำตอบตรง ๆ คือคนส่วนใหญ่ไม่จำเป็นต้องเลือก VPN โดยยึด Five Eyes เป็นหลัก มีเพียงบางคนที่ควร ตารางนี้แบ่งเป็นสี่กลุ่มให้คุณหาตำแหน่งของตัวเอง

กลุ่ม	ความเสี่ยงจริงที่พบบ่อย	ที่ตั้งตาม Five Eyes เปลี่ยนการเลือกหรือไม่
นักท่องเที่ยวที่ใช้ Wi-Fi โรงแรมและสนามบิน	ฮอตสปอตปลอม ฟิชชิง รหัสผ่านถูกขโมย	ไม่ค่อย เน้นแอปที่เชื่อถือได้และข้อกำหนดที่ชัดเจน
คนทำงานทางไกลที่จัดการไฟล์ลูกค้า	เครือข่ายที่ใช้ร่วมกัน บัญชีถูกยึด นโยบายนายจ้าง	นาน ๆ ครั้ง ทำตามกฎนายจ้างและใช้การล็อกอินที่แข็งแรง
นักศึกษาในหอหรือคอนโดที่ใช้เน็ตร่วม	คนอื่นในเครือข่าย การแชร์บัญชี	ไม่ การป้องกันพื้นฐานสำคัญกว่ามาก
ผู้ที่มีเหตุผลเฉพาะและร้ายแรงว่าอาจถูกสนใจระดับรัฐ	การเฝ้าติดตามแบบเจาะจง การเจาะอุปกรณ์	อาจมีผล แต่ VPN อย่างเดียวห่างไกลจากคำว่าพอ

กลุ่มสุดท้ายมีน้อยคน สำหรับพวกเขา VPN เป็นเครื่องมือเล็ก ๆ ชิ้นหนึ่งในแผนใหญ่ที่ต้องดูแลอุปกรณ์อย่างรอบคอบ แยกบัญชีตามบทบาท และขอคำปรึกษาจากผู้เชี่ยวชาญ บทความเรื่องความเป็นส่วนตัวรวมถึงบทความนี้ใช้แทนสิ่งเหล่านั้นไม่ได้ ถ้าคุณเห็นตัวเองอยู่ในกลุ่มนี้ ให้เริ่มจากคู่มือสร้าง threat model และแหล่งข้อมูลที่เว็บไซต์ Surveillance Self-Defense ของ Electronic Frontier Foundation

สำหรับทุกคนที่เหลือ คำถามเรื่อง Five Eyes น่าสนใจ แต่เป็นรองต่อนิสัยง่าย ๆ ที่ทำได้ทุกวัน

คำถามที่ควรถามผู้ให้บริการเมื่อพูดถึง Five Eyes

ถ้าเรื่องนี้ทำให้คุณกังวล ให้ใช้มันเป็นตัวจุดคำถามที่มีประโยชน์ ไม่ใช่ตัวกรองแบบใช่หรือไม่ใช่

1. บริษัทจดทะเบียนที่ไหน และมีพนักงานที่ไหน ดูว่าเว็บไซต์ตอบชัดหรือไม่
2. บริษัทเก็บอะไรเกี่ยวกับบัญชีและเซสชัน เทียบนโยบายความเป็นส่วนตัวกับรายงานคำขอทางกฎหมายที่เผยแพร่ (ถ้ามี)
3. เกิดอะไรขึ้นเมื่อมีคำขออย่างเป็นทางการเข้ามา มองหากระบวนการที่อธิบายไว้ ไม่ใช่สโลแกน
4. บริษัทระบุหรือไม่ว่าจะแจ้งผู้ใช้เมื่อกฎหมายอนุญาต ข้อนี้บอกทัศนคติต่อการเปิดเผย
5. ใครจัดการการชำระเงิน และส่งต่อข้อมูลอะไร ผู้ประมวลผลการชำระเงินภายนอกอาจถือข้อมูลมากกว่าบริษัท VPN
6. แอปขอสิทธิ์ที่ไม่จำเป็นหรือไม่ แอปที่เก็บเกินจำเป็นเป็นความเสี่ยงจริงมากกว่าที่ตั้งสำนักงานใหญ่

อ่านคำตอบเป็นชุด บริษัทที่มีแนวปฏิบัติยอดเยี่ยมในประเทศกลุ่ม Five Eyes อาจรับใช้คุณได้ดีกว่าบริษัทที่คลุมเครือนอกกลุ่ม และกลับกันก็เป็นไปได้ ที่ตั้งเป็นปัจจัยนำเข้าหนึ่งอย่างเท่านั้น

ถอดรหัสคำโฆษณาเรื่อง Five Eyes

เพราะชื่อนี้จำง่าย การตลาดจึงหยิบมาใช้ นี่คือประโยคที่พบบ่อยและวิธีอ่าน

• "เราตั้งอยู่นอก Five Eyes" ตรวจสอบได้ว่าจริงหรือเท็จ แต่จะสำคัญหรือไม่ขึ้นกับวิธีจัดการข้อมูลและกฎหมายอื่นที่ใช้บังคับแทน
• "เซิร์ฟเวอร์ของเราไม่ได้อยู่ในประเทศ Five Eyes" ที่ตั้งเซิร์ฟเวอร์ไม่เหมือนที่ตั้งบริษัท และทราฟฟิกยังผ่านเครือข่ายทั่วโลก ให้มองเป็นรายละเอียดรอง
• "ประเทศ Five Eyes สอดแนมคุณ ส่วนเราปกป้องคุณ" พูดเกินกว่าที่ VPN ใดทำได้ การเข้ารหัสปกป้องเนื้อหาระหว่างทาง ไม่ได้ทำให้คุณล่องหน
• "เราไม่มีปัญหาเรื่อง jurisdiction" ไม่มีที่ไหนที่ไร้กฎหมาย คำอ้างว่าพ้นจากกฎหมายทั้งหมดเป็นสัญญาณเตือน ไม่ใช่จุดเด่น

ผู้ให้บริการที่น่าเชื่อถือบอกชัดว่าตั้งอยู่ที่ไหนและเก็บอะไร ยอมรับข้อจำกัด และไม่เปลี่ยนศัพท์ภูมิรัฐศาสตร์ให้เป็นตะขอขายของ

ลดความเสี่ยงโดยไม่ต้องพึ่งประเทศใด

เพราะความเสี่ยงส่วนมากไม่ขึ้นกับที่อยู่ของบริษัท ขั้นตอนที่ได้ผลที่สุดจึงเป็นสิ่งที่คุณควบคุมได้โดยตรง

1. เลือก HTTPS ทุกที่ที่ทำได้ มันเข้ารหัสเนื้อหาระหว่างคุณกับเว็บไซต์ ไม่ว่าจะมี VPN หรือไม่
2. ให้ข้อมูลกับบริการให้น้อยที่สุด ใช้อีเมลที่ไม่มีชื่อจริงสำหรับบัญชีที่ไม่จำเป็น และข้ามช่องโปรไฟล์ที่ไม่บังคับ
3. แยกตัวตน ไม่ใช้ล็อกอินเดียวกันกับงาน ช้อปปิ้ง และโซเชียล การรั่วที่หนึ่งไม่ควรเปิดทุกที่
4. เปิดการยืนยันตัวตนสองขั้นตอน สำหรับอีเมลและแอปธนาคาร เพื่อให้รหัสผ่านที่ถูกขโมยไม่พอ
5. อัปเดตอุปกรณ์เสมอ การถูกเจาะส่วนใหญ่ในโลกจริงใช้ช่องโหว่ซอฟต์แวร์เก่า ไม่ใช่การสอดแนมสุดล้ำ
6. เปิด VPN เมื่ออยู่บนเครือข่ายที่ใช้ร่วมกัน นี่คือที่ที่ VPN ทำงานได้เชื่อถือได้ที่สุด
7. เรียนรู้ว่าแอปของคุณส่งอะไรออกไป แอปจำนวนมากส่งข้อมูลให้บริษัทโฆษณาโดยไม่เกี่ยวกับ VPN
8. อ่านข้อกำหนดเรื่องการเก็บรักษาและการตอบคำขอ ของผู้ให้บริการ และตรวจซ้ำเมื่อมีการเปลี่ยนแปลงใหญ่

ไม่มีขั้นตอนใดต้องรู้สนธิสัญญาใด และทุกข้อลดความเสี่ยงจากผู้สังเกตการณ์ทุกประเภท สำหรับคำถามที่กว้างกว่าเรื่องการติดตามที่ยังเกิดได้แม้เปิด VPN ดูใช้ VPN แล้วยังถูกติดตามได้หรือไม่

ข้อจำกัดและความไม่แน่นอนที่ต้องยอมรับ

• ความลับจำกัดความรู้ ทั้งบทความนี้และหน้าโฆษณาใดก็บอกไม่ได้ว่าหน่วยงานทำอะไรในทางปฏิบัติ เอกสารสาธารณะไม่ครบและบางครั้งเก่าหลายปี
• กฎหมายเปลี่ยน กฎเรื่องการเก็บข้อมูล คำสั่งให้ความช่วยเหลือ และการกำกับดูแลเปลี่ยนตามเวลา ตรวจแหล่งข้อมูลทางการปัจจุบันหากเรื่องกฎหมายกระทบคุณ และขอคำแนะนำทางกฎหมายจากผู้เชี่ยวชาญ
• VPN ไม่ใช่เกราะทางกฎหมาย มันไม่เปลี่ยนสิ่งที่ชอบด้วยกฎหมาย กิจกรรมที่ผิดกฎหมายยังผิดอยู่เมื่อทำผ่านอุโมงค์
• ไม่มีเครื่องมือใดทำให้คุณนิรนาม บัญชี คุกกี้ อุปกรณ์ และพฤติกรรมระบุตัวคนได้ VPN ตัดเบาะแสออกไปเพียงอย่างเดียว
• อย่าให้ข้อเท็จจริงข้อเดียวตัดสินทั้งหมด ที่อยู่บริษัท ที่ตั้งเซิร์ฟเวอร์ วิธีชำระเงิน และคุณภาพแอป ล้วนสำคัญร่วมกัน

Summary

Five Eyes คือการจัดการแบ่งปันข่าวกรองระหว่างห้าประเทศที่มีมานาน แต่ผลต่อผู้ใช้ VPN ในทางปฏิบัติขึ้นกับสิ่งที่ผู้ให้บริการเก็บ คำสั่งทางกฎหมายที่เข้าถึงบริษัทได้ และสิ่งที่เกิดกับทราฟฟิกนอกอุโมงค์ การเข้ารหัสปกป้องเนื้อหาระหว่างทางไม่ว่าใครจะมอง ส่วน metadata รูปแบบเวลา และอุปกรณ์ที่ถูกเจาะยังเป็นประเด็นเปิด นักเดินทาง คนทำงานทางไกล และนักศึกษาส่วนใหญ่ได้ประโยชน์จาก HTTPS การล็อกอินที่แข็งแรง และการอัปเดตมากกว่าการเลี่ยงประเทศในรายชื่อ ให้มองที่ตั้งเป็นปัจจัยหนึ่ง ถามผู้ให้บริการด้วยคำถามเฉพาะเจาะจง และระวังการตลาดที่เปลี่ยนภูมิรัฐศาสตร์เป็นจุดขาย

ถ้าตัวเลือกแบบเติมเงินที่เรียบง่ายเหมาะกับแผนของคุณ คุณดูหน้าราคาได้เมื่อพร้อม