HTTPS กับ VPN ต่างกันอย่างไร และปกป้องอะไร

หลายคนสงสัยว่าในเมื่อเว็บส่วนใหญ่ใช้ HTTPS แล้ว VPN ยังมีประโยชน์อยู่ไหม คำตอบตรง ๆ คือสองอย่างนี้ปกป้องคนละช่วงของเส้นทาง HTTPS ปกป้องบทสนทนาระหว่างเบราว์เซอร์กับเว็บไซต์หนึ่งแห่ง ส่วน VPN ปกป้องเส้นทางระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN สำหรับทุกแอป เมื่อรู้ขอบเขตของแต่ละอย่าง คุณจะรู้ว่าควรพึ่งอะไร และไม่ควรคาดหวังอะไร

บทความนี้เปรียบเทียบสองอย่างเคียงกัน แสดงว่าคนที่อยู่ในเครือข่ายเดียวกันยังเห็นอะไรได้ในแต่ละกรณี และอธิบายว่าทำไมทั้งสองอย่างไม่อาจแทนที่นิสัยระมัดระวัง เช่นการสังเกตเว็บไซต์ฟิชชิ่ง

HTTPS ทำอะไร

HTTPS คือโปรโตคอลเว็บปกติ (HTTP) ที่ทำงานอยู่ในการเชื่อมต่อที่เข้ารหัสด้วย TLS เมื่อเบราว์เซอร์เปิด https://example.com ทั้งสองฝ่ายตกลงกุญแจและสร้างช่องทางส่วนตัว TLS เวอร์ชันปัจจุบัน 1.3 กำหนดไว้ใน RFC 8446

ช่องทางนี้ให้สามอย่าง

• ความลับ: คนที่ดักดูเครือข่ายอ่านหน้าเว็บ ช่องกรอกข้อมูล หรือคุกกี้ที่แลกเปลี่ยนกันไม่ได้
• ความสมบูรณ์ของข้อมูล: ข้อมูลถูกแก้ระหว่างทางโดยไม่ถูกตรวจพบไม่ได้ ผู้ดูแลเครือข่ายจึงแอบแทรกเนื้อหาลงในหน้าเว็บไม่ได้
• การยืนยันชื่อของเว็บ: เซิร์ฟเวอร์พิสูจน์ด้วยใบรับรองที่ออกโดยผู้ออกที่เชื่อถือได้ว่ามีสิทธิ์ใช้ชื่อโดเมนในแถบที่อยู่ ผู้ออกใบรับรองฟรีอย่าง Let's Encrypt ทำให้เว็บเล็ก ๆ ก็ใช้ได้เป็นมาตรฐาน

ไอคอนแม่กุญแจสะท้อนสิ่งนี้เท่านั้น ไม่ได้บอกอะไรมากกว่านี้

VPN ทำอะไร

VPN สร้างอุโมงค์เข้ารหัสจากอุปกรณ์ของคุณไปยังเซิร์ฟเวอร์ VPN ทุกอย่างที่อุปกรณ์ส่งออก ไม่ว่าจากเบราว์เซอร์ แอปอีเมล หรือเกม จะถูกห่อไว้ในอุโมงค์นั้น แล้วเซิร์ฟเวอร์ VPN ส่งต่อไปยังอินเทอร์เน็ต หากต้องการพื้นฐาน อ่าน VPN คืออะไร

ผลที่ตามมา

• เครือข่ายในพื้นที่ เช่นเราเตอร์ร้านกาแฟหรือ Wi-Fi โรงแรม เห็นเพียงสตรีมที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN แทนที่จะเห็นการเชื่อมต่อทีละรายการของคุณ
• เว็บไซต์เห็น IP address ของเซิร์ฟเวอร์ VPN แทนที่อยู่ที่ผู้ให้บริการอินเทอร์เน็ตกำหนดให้คุณ
• การปกป้องครอบคลุมแอปที่ไม่ได้ใช้ HTTPS เลย

การเข้ารหัสของ VPN สิ้นสุดที่เซิร์ฟเวอร์ VPN จากนั้นถึงปลายทางทราฟฟิกวิ่งบนอินเทอร์เน็ตปกติ ด้วยเหตุนี้ HTTPS จึงยังมีค่าแม้ในอุโมงค์ VPN

เปรียบเทียบเคียงกัน

คำถาม	HTTPS อย่างเดียว	VPN อย่างเดียว (เว็บใช้ HTTP ธรรมดา)	HTTPS และ VPN
เจ้าของ Wi-Fi อ่านเนื้อหาหน้าเว็บได้ไหม	ไม่ได้	ไม่ได้ แต่ผู้ให้บริการ VPN และคนที่อยู่ระหว่างเซิร์ฟเวอร์ VPN กับเว็บอ่านได้	ไม่ได้
เครือข่ายในพื้นที่เห็นโดเมนที่คุณเข้าไหม	เห็น มักผ่านการค้นหา DNS และการเชื่อมต่อ	ไม่เห็น เห็นแค่ที่อยู่เซิร์ฟเวอร์ VPN	ไม่เห็น
เว็บไซต์เห็น IP จริงของคุณไหม	เห็น	ไม่เห็น เห็นเซิร์ฟเวอร์ VPN	ไม่เห็น
ตรวจสอบตัวตนของเว็บหรือไม่	ตรวจ ด้วยใบรับรอง	ไม่ตรวจ	ตรวจ
ครอบคลุมแอปอื่นนอกเบราว์เซอร์ไหม	เฉพาะแอปที่ใช้ TLS	ครอบคลุม	ครอบคลุม
ช่วยกันมัลแวร์หรือเว็บปลอมไหม	ไม่	ไม่	ไม่

ตัวอย่าง: ร้านกาแฟกับการล็อกอินสองแบบ

คุณนั่งอยู่ในร้านกาแฟและล็อกอินธนาคารที่ใช้ HTTPS

• HTTPS อย่างเดียว ลูกค้าอีกคนบน Wi-Fi เดียวกันที่ดักแพ็กเก็ตจะเห็นว่าโทรศัพท์ของคุณเชื่อมต่อไปยังโดเมนของธนาคาร และเห็นข้อมูลที่เข้ารหัส แต่อ่านรหัสผ่านหรือยอดเงินไม่ได้ หากมีฮอตสปอตปลอมพยายามแอบอ้างเป็นธนาคาร เบราว์เซอร์จะเตือนเพราะใบรับรองไม่ตรงกัน
• เพิ่ม VPN เครือข่ายร้านกาแฟเห็นเพียงการเชื่อมต่อเข้ารหัสไปยังเซิร์ฟเวอร์ VPN และไม่เห็นชื่อโดเมนของธนาคาร ฝั่งธนาคารเห็นที่อยู่ของเซิร์ฟเวอร์ VPN ซึ่งบางครั้งทำให้ระบบตรวจสอบความปลอดภัยของบัญชีเข้มขึ้น

ลองนึกถึงอุปกรณ์เก่า เช่นอุปกรณ์สมาร์ตโฮมหรือแอปรุ่นเก่าที่คุยกันด้วย HTTP ธรรมดา HTTPS ไม่ช่วยอะไรเพราะไม่ได้ใช้ ส่วน VPN ปกป้องทราฟฟิกนั้นจากเครือข่ายในพื้นที่ แต่ถึงแค่เซิร์ฟเวอร์ VPN เท่านั้น สถานการณ์นี้ขยายความไว้ในคู่มือ Wi-Fi สาธารณะ

สิ่งที่ HTTPS ยังเปิดให้เห็น

แม้การเชื่อมต่อ HTTPS ถูกต้อง ผู้สังเกตการณ์บนเครือข่ายมักรู้ได้ว่า

• โดเมนที่คุณเชื่อมต่อ ซึ่งปรากฏในการค้นหา DNS และในขั้นตอนเริ่มต้นการเชื่อมต่อ TLS แม้เทคนิคใหม่จะซ่อนบางส่วนได้ ดู DNS ทำงานอย่างไร
• IP address ของเซิร์ฟเวอร์ และเวลาที่คุณเชื่อมต่อ
• ปริมาณข้อมูลโดยประมาณ ซึ่งบอกใบ้ได้ว่าคุณทำอะไร เช่นดูวิดีโอแทนการอ่านข้อความ

ตัวเว็บไซต์ รวมถึงโฆษณาและตัวติดตามที่ฝังในหน้า ก็ยังเห็น IP address ของคุณและข้อมูลที่คุณส่งให้

สิ่งที่ VPN ยังเปิดให้เห็น

เมื่อใช้ VPN เครือข่ายในพื้นที่แทบไม่รู้อะไรนอกจากว่าคุณใช้ VPN และมีข้อมูลไหลมากน้อยเพียงใด แต่ในทางกลับกัน

• ผู้ให้บริการ VPN เห็นที่อยู่ปลายทางที่ทราฟฟิกของคุณจะไป เพราะต้องส่งต่อ ส่วน HTTPS จำกัดสิ่งที่เขาอ่านได้ในเนื้อหา
• เว็บไซต์ยังเห็นการล็อกอิน คุกกี้ และทุกอย่างที่คุณส่ง VPN ไม่ได้ลบการติดตามตามบัญชีที่เว็บทำอยู่
• อุปกรณ์ของคุณยังถูกติดตามได้ผ่านฟีเจอร์ของเบราว์เซอร์และ fingerprinting ไม่ว่าจะมีอุโมงค์หรือไม่

รายการที่ครบถ้วนว่าอะไรได้รับและไม่ได้รับการปกป้อง ดูที่ VPN ปกป้องอะไรได้บ้าง

ความเข้าใจผิดที่พบบ่อย

• "แม่กุญแจแปลว่าเว็บปลอดภัย" จริง ๆ แปลว่าการเชื่อมต่อถูกเข้ารหัส หน้าฟิชชิ่งก็มีใบรับรองที่ถูกต้องสำหรับที่อยู่ของตัวเองได้
• "มี VPN แล้วไม่ต้องใช้ HTTPS" อุโมงค์จบที่เซิร์ฟเวอร์ VPN ช่วงหลังจากนั้นจะได้รับการปกป้องก็ต่อเมื่อเว็บใช้ HTTPS
• "HTTPS ซ่อนว่าฉันเข้าเว็บไหน" ซ่อนสิ่งที่คุณทำในเว็บ แต่ไม่ซ่อนโดเมนที่คุณเชื่อมต่อ
• "มีทั้งสองอย่างแล้วปลอดภัยเต็มที่" ไม่มีอย่างไหนกันไม่ให้คุณกรอกรหัสผ่านในหน้าปลอม ติดตั้งแอปอันตราย หรือใช้รหัสผ่านซ้ำที่เคยรั่ว

ขั้นตอนที่ทำได้จริง

1. ก่อนกรอกรหัสผ่านหรือข้อมูลการชำระเงิน ตรวจแถบที่อยู่ว่าเป็น https:// และอ่านชื่อโดเมนให้ละเอียด
2. อย่ากดข้ามคำเตือนใบรับรองของเบราว์เซอร์ คำเตือนนั้นหมายความว่าเชื่อถือการเชื่อมต่อหรือตัวตนของเว็บไม่ได้
3. บน Wi-Fi สาธารณะ ใช้ VPN สำหรับแอปที่คุณตรวจสอบไม่ได้ และยังคงเลือกเว็บที่ใช้ HTTPS
4. เปิดการยืนยันตัวตนสองขั้นตอนให้บัญชีสำคัญ เพื่อไม่ให้รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวเพียงพอ ดูการยืนยันตัวตนสองขั้นตอนคืออะไร
5. อัปเดตระบบปฏิบัติการและเบราว์เซอร์อยู่เสมอ เพราะการแก้ปัญหา TLS และใบรับรองในโลกจริงส่วนใหญ่มาถึงผ่านการอัปเดต

สรุป

HTTPS เข้ารหัสและยืนยันการเชื่อมต่อกับเว็บไซต์หนึ่งแห่ง และแม่กุญแจยืนยันเพียงเท่านั้น VPN เข้ารหัสทุกอย่างระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN ซ่อนกิจกรรมจากเครือข่ายในพื้นที่ และเปลี่ยน IP address ที่คนอื่นเห็น ทั้งสองเสริมกัน และไม่มีอย่างไหนแทนวิจารณญาณว่ากำลังอยู่ในเว็บไหน หากอยากลองใช้ VPN โดยไม่มีสมาชิกที่ต่ออายุเอง ดูได้ว่าแพ็กเกจเติมเงินทำงานอย่างไร