Perfect Forward Secrecy ปกป้อง VPN อย่างไร

ลองนึกภาพว่ามีคนแอบคัดลอกทุกแพ็กเก็ตที่เข้ารหัสแล้วซึ่งออกจากแล็ปท็อปของคุณที่สนามบิน โรงแรม หรือออฟฟิศที่ใช้ร่วมกัน แล้วเก็บไว้ในฮาร์ดดิสก์ วันนี้เขาอ่านอะไรไม่ได้เลย แต่หนึ่งปีต่อมา บริษัทที่คุณเคยใช้บริการถูกเจาะ และกุญแจลับระยะยาวถูกขโมย คำถามใหญ่คือแพ็กเก็ตที่เก็บไว้เหล่านั้นถูกเปิดได้แล้วหรือยัง ถ้ามี Perfect Forward Secrecy (PFS) คำตอบคือไม่ ถ้าไม่มี คำตอบอาจเป็นได้ และเปิดได้ทั้งหมดในครั้งเดียว

คุณสมบัติข้อเดียวนี้คือเหตุผลที่คนทำงานด้านความปลอดภัยมองหาคำว่า "ephemeral" ในคำอธิบายของ VPN บทความนี้ไล่เรื่องราวของการบันทึกทราฟฟิกไว้ตั้งแต่ต้นจนจบ อธิบายว่ากุญแจชั่วคราวให้การรับประกันนี้ได้อย่างไร ดูความถี่ในการเปลี่ยนกุญแจของการออกแบบที่พบบ่อย และบอกสิ่งที่ Perfect Forward Secrecy ทำไม่ได้ ถ้าอยากเริ่มจากพื้นหลังที่กว้างกว่า ดู การเข้ารหัสของ VPN คืออะไร และถ้าสงสัยว่าคนที่อยู่ระหว่างคุณกับ VPN เห็นอะไรได้บ้าง ให้อ่าน ISP เห็นทราฟฟิก VPN ของคุณหรือไม่

ปัญหา เก็บทราฟฟิกไว้แล้วรอกุญแจรั่ว

การเข้ารหัสปกป้องข้อมูลระหว่างทาง แต่ก็ทิ้งร่องรอยไว้ด้วย ผู้ดูแลเครือข่าย เจ้าของฮอตสปอต หรือคนกลางใดๆ เก็บทราฟฟิกที่เข้ารหัสไว้ได้ในราคาถูก พื้นที่จัดเก็บราคาไม่แพง และไม่มีใครต้องเจาะอะไรในวันที่คัดลอก คำถามเดียวคือกุญแจที่ปกป้องข้อมูลจะยังเป็นความลับนานเท่าที่ข้อมูลนั้นยังมีค่าหรือไม่

ไทม์ไลน์ต่อไปนี้ทำให้เห็นภาพชัดขึ้น

เมื่อไหร่	เกิดอะไรขึ้น
วันที่ 1	คุณเชื่อมต่อเซิร์ฟเวอร์ VPN และท่องเว็บหนึ่งชั่วโมง ผู้สังเกตบนเส้นทางเก็บแพ็กเก็ตที่เข้ารหัสไว้
วันที่ 90	คุณตัดการเชื่อมต่อ ลืมเรื่องนี้ และไปต่อ ผู้สังเกตยังเก็บไฟล์ไว้
วันที่ 400	ผู้ให้บริการเซิร์ฟเวอร์ถูกเจาะ หรือข้อมูลสำรองเก่าหลุดออกไป กุญแจส่วนตัวระยะยาวของเซิร์ฟเวอร์รั่ว
วันที่ 401	ผู้สังเกตลองใช้กุญแจที่รั่วกับไฟล์ที่เก็บไว้

ผลในวันที่ 401 ขึ้นอยู่กับว่ากุญแจเซสชันในวันที่ 1 ถูกสร้างขึ้นมาอย่างไร

• ถ้าไม่มี forward secrecy กุญแจเซสชันถูกสร้างจากกุญแจระยะยาวของเซิร์ฟเวอร์โดยตรง หรือถูกส่งโดยได้รับการปกป้องด้วยกุญแจนั้น กุญแจที่รั่วเปิดไฟล์ที่เก็บไว้ได้ และเซสชันทั้งหมดในช่วงเดียวกันก็เปิดได้ตามไปด้วย
• ถ้ามี forward secrecy กุญแจเซสชันถูกสร้างจากค่าชั่วคราวที่มีอยู่เฉพาะระหว่างเซสชันแล้วถูกลบทิ้ง กุญแจระยะยาวที่รั่วพิสูจน์ได้แค่ว่าเซิร์ฟเวอร์คือใคร แต่สร้างค่าชั่วคราวเหล่านั้นขึ้นมาใหม่ไม่ได้ ไฟล์ที่เก็บไว้ยังคงเปิดไม่ได้

จึงเรียกว่า forward secrecy คือความลับของเซสชันก่อนหน้ายังคงอยู่ต่อไปข้างหน้าตามเวลา แม้กุญแจที่ตามมาทีหลังจะถูกเจาะ

กุญแจระยะยาวกับกุญแจเซสชัน

VPN ใช้กุญแจสองประเภทที่ต่างกัน และการสับสนระหว่างสองประเภทนี้คือต้นตอของความเข้าใจผิดที่พบมากที่สุด

• กุญแจระยะยาว ใช้ระบุตัวฝ่ายต่างๆ สำหรับเซิร์ฟเวอร์ อาจเป็นกุญแจส่วนตัวที่คู่กับใบรับรอง หรือกุญแจสาธารณะที่ไคลเอนต์ถูกตั้งค่าให้เชื่อถือ มันอยู่นานเป็นเดือนหรือเป็นปี และเก็บอยู่บนดิสก์ มันตอบคำถามว่า "ฉันกำลังคุยกับเซิร์ฟเวอร์ที่ถูกต้องจริงหรือ"
• กุญแจเซสชัน เข้ารหัสทราฟฟิกจริง ถูกสร้างระหว่างการจับมือ ใช้ในเวลาจำกัด แล้วทิ้ง มันตอบคำถามว่า "ใครอ่านบทสนทนานี้ได้"

Forward secrecy คือกฎที่ว่าสองอย่างนี้ต้องแยกจากกันในทิศทางเดียว การรู้กุญแจระยะยาวต้องไม่ทำให้สร้างกุญแจเซสชันเก่าขึ้นมาใหม่ได้ ลองนึกถึงโรงแรม กุญแจมาสเตอร์พิสูจน์ว่าพนักงานโรงแรมมีสิทธิ์ แต่รหัสห้องของแขกแต่ละคนถูกสร้างใหม่ทุกครั้งที่เข้าพักและถูกลบเมื่อเช็กเอาต์ ถ้าปีหน้ามีคนขโมยกุญแจมาสเตอร์ได้ ก็ไม่ได้ทำให้รู้ว่าห้องของคุณเมื่อเดือนมีนาคมปีก่อนใช้รหัสอะไร เพราะรหัสนั้นไม่เคยถูกคำนวณมาจากกุญแจมาสเตอร์เลย

กุญแจชั่วคราวทำให้เกิดผลนี้ได้อย่างไร

เทคนิคนี้เรียกว่า การแลกกุญแจแบบชั่วคราว (ephemeral key exchange) มักเขียนเป็น DHE หรือ ECDHE โดยตัว "E" แทน ephemeral หนึ่งเซสชันดำเนินไปดังนี้

1. อุปกรณ์ของคุณสร้างคู่กุญแจชั่วคราวใหม่เอี่ยมสำหรับการเชื่อมต่อนี้โดยเฉพาะ
2. เซิร์ฟเวอร์ทำเช่นเดียวกัน
3. แต่ละฝ่ายส่งค่าสาธารณะชั่วคราวของตนให้อีกฝ่าย ค่าเหล่านี้ไม่ใช่ความลับ และผู้สังเกตเห็นได้
4. แต่ละฝ่ายนำค่าส่วนตัวชั่วคราวของตนมาผสมกับค่าสาธารณะของอีกฝ่าย ด้วยคณิตศาสตร์ของการแลกกุญแจ ทั้งสองฝ่ายได้ความลับร่วมค่าเดียวกัน ขณะที่ผู้สังเกตที่เห็นเฉพาะค่าสาธารณะคำนวณมันไม่ได้
5. กุญแจระยะยาวถูกใช้เพียงเพื่อเซ็นหรือยืนยันตัวตนในการจับมือ พิสูจน์ว่าเซิร์ฟเวอร์เป็นตัวจริง มันไม่ได้ถูกใช้สร้างหรือขนความลับร่วม
6. ทั้งสองฝ่ายสร้างกุญแจเซสชันจากความลับร่วม แล้วลบค่าส่วนตัวชั่วคราวออกจากหน่วยความจำ

ขั้นตอนที่ 6 คือจุดที่คำว่า "forward" ได้มา เมื่อค่าส่วนตัวชั่วคราวหายไปแล้ว ไม่มีใคร รวมถึงผู้ดูแลเซิร์ฟเวอร์ ที่สร้างความลับร่วมขึ้นมาใหม่ได้จากสิ่งที่เหลืออยู่บนดิสก์ แพ็กเก็ตที่บันทึกไว้จะมีความหมายก็ต่อเมื่อมีความลับนั้น และความลับนั้นไม่มีอยู่ที่ไหนอีกแล้ว รายละเอียดของวิธีสร้างความลับร่วมเป็นหัวข้อแยกต่างหาก ที่นี่เราจึงเน้นที่การรับประกันที่ได้

หน้าตาของระบบที่ไม่มี forward secrecy

การออกแบบรุ่นเก่า โดยเฉพาะ TLS รุ่นแรกๆ ที่ใช้การแลกกุญแจแบบ RSA คงที่ ทำงานต่างออกไป ไคลเอนต์เลือกความลับสุ่มตัวหนึ่ง เข้ารหัสด้วยกุญแจสาธารณะระยะยาวของเซิร์ฟเวอร์ แล้วส่งไป ใครก็ตามที่ได้กุญแจส่วนตัวของเซิร์ฟเวอร์ภายหลังจะถอดรหัสความลับที่เก็บไว้นั้นได้ แล้วถอดรหัสทุกแพ็กเก็ตต่อไป เหตุการณ์อย่างบั๊ก Heartbleed ในปี 2014 ซึ่งอาจเปิดเผยกุญแจส่วนตัวที่อยู่ในหน่วยความจำของเซิร์ฟเวอร์ ทำให้ความเสี่ยงนี้เป็นรูปธรรมมาก TLS 1.3 ตัดการแลกกุญแจแบบคงที่ออกและบังคับใช้การแลกแบบชั่วคราว (RFC 8446) ซึ่งเป็นเหตุผลหนึ่งที่ถือว่ามันเป็นพื้นฐานที่ปลอดภัยกว่า

คุณสมบัติ	การแลกกุญแจแบบคงที่	การแลกกุญแจแบบชั่วคราว
ความลับของเซสชันมาจากไหน	ไคลเอนต์เลือก ส่งภายใต้กุญแจระยะยาวของเซิร์ฟเวอร์	คำนวณจากค่าชั่วคราวของทั้งสองฝ่าย
ผลเมื่อกุญแจระยะยาวรั่วในภายหลัง	เซสชันในอดีตถูกเปิดได้	เซสชันในอดีตยังคงได้รับการปกป้อง
ต้นทุนต่อการจับมือ	ต่ำกว่าเล็กน้อย	สูงกว่าเล็กน้อย
ใช้ในปัจจุบัน	ถูกตัดออกจาก TLS สมัยใหม่	เป็นมาตรฐานใน TLS สมัยใหม่ IKEv2 และ WireGuard
กุญแจเซสชันหนึ่งถูกเจาะ	อาจเปิดเผยเซสชันที่เกี่ยวข้อง	กระทบเฉพาะเซสชันนั้น

ต้นทุนเพิ่มเติมต่อการจับมือนั้นน้อยมากเมื่อเทียบกับสิ่งที่ได้ จึงเป็นเหตุผลที่โปรโตคอลปัจจุบันถือว่า forward secrecy เป็นค่าเริ่มต้น ไม่ใช่ตัวเลือก

เปลี่ยนกุญแจบ่อยแค่ไหน

Forward secrecy ใช้กับแต่ละเซสชัน แต่เซสชันที่ยาวนานก็ทำให้เกิดคำถามที่สมเหตุสมผล ถ้าอุโมงค์เปิดอยู่แปดชั่วโมง และกุญแจเซสชันถูกขโมยจากหน่วยความจำของอุปกรณ์ในชั่วโมงที่เจ็ด เจ็ดชั่วโมงก่อนหน้านั้นถูกเปิดได้ไหม การเปลี่ยนกุญแจบ่อยๆ ช่วยจำกัดช่วงเวลานั้น แต่ละโปรโตคอลจัดการต่างกัน

• WireGuard การออกแบบใน whitepaper อธิบายว่าเริ่มการจับมือใหม่และเปลี่ยนกุญแจเซสชันหลังผ่านไปไม่กี่นาทีขณะมีข้อมูลไหลอยู่ และปฏิเสธการใช้กุญแจที่เก่าเกินอายุสูงสุดอันสั้น กุญแจเก่าถูกลบ
• OpenVPN ตัวจับเวลาการเจรจาใหม่ ซึ่งมักตั้งไว้ราวหนึ่งชั่วโมงในคอนฟิกตัวอย่าง จะเปลี่ยนกุญแจของช่องข้อมูลระหว่างเซสชันยาว ผู้ดูแลระบบปรับให้สั้นลงได้
• IKEv2 และ IPsec อายุการใช้งานกำหนดค่าได้ การแลกครั้งแรกใช้การแลกกุญแจแบบชั่วคราว และเมื่อเปลี่ยนกุญแจของ child security association จะมีการตั้งค่าที่ตัดสินว่าจะแลกกุญแจสดใหม่อีกครั้งหรือไม่ คู่มือ IPsec ของ NIST พูดถึงอายุการใช้งานและการเลือกกลุ่ม

ช่วงที่สั้นลดปริมาณข้อมูลที่กุญแจแต่ละดอกปกป้อง แต่ต้องแลกด้วยแพ็กเก็ตเล็กๆ ไม่กี่ตัวทุกครั้ง ในอุปกรณ์สมัยใหม่ต้นทุนนี้มองไม่เห็น คำถามที่ใช้ได้จริงมากกว่าคือ VPN เปลี่ยนกุญแจจริงหรือไม่ จึงควรถามว่าผู้ให้บริการระบุอะไรไว้ในเอกสาร แทนที่จะสันนิษฐานเอาเอง

สิ่งที่ forward secrecy ไม่ได้ปกป้อง

คำอธิบายที่ซื่อสัตย์สำคัญ เพราะบางครั้ง PFS ถูกพูดราวกับเป็นโล่ที่ครอบจักรวาล จริงๆ แล้วมันแคบกว่านั้น

• การถูกเจาะขณะใช้งานอยู่ ถ้ามัลแวร์บนอุปกรณ์ของคุณอ่านกุญแจเซสชันจากหน่วยความจำ หรือผู้โจมตีควบคุมปลายทางระหว่างเซสชัน forward secrecy ไม่ช่วยอะไรสำหรับเซสชันนั้น ดูขอบเขตที่เกี่ยวข้องใน สิ่งที่ VPN ปกป้องคุณไม่ได้
• ทราฟฟิกที่อ่านได้อยู่แล้ว ข้อมูลที่ส่งไปยังเว็บไซต์ที่ไม่มีการเข้ารหัสของตัวเองจะไม่ได้รับการปกป้องด้วยกุญแจอุโมงค์เกินกว่าตัวอุโมงค์ เมื่อทราฟฟิกออกจากเซิร์ฟเวอร์ VPN ไปแล้ว การปกป้องขึ้นกับปลายทาง
• สิ่งที่ผู้ให้บริการ VPN เห็นระหว่างเซสชัน เซิร์ฟเวอร์ถือกุญแจเซสชันขณะที่คุณเชื่อมต่อ จึงเห็นสิ่งที่จำเป็นต่อการส่งต่อทราฟฟิกของคุณ forward secrecy ไม่เปลี่ยนเรื่องนี้ บทความ ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง อธิบายไว้
• คอมพิวเตอร์ในอนาคตที่ทำลายคณิตศาสตร์ได้ ผู้สังเกตที่เก็บการจับมือของคุณไว้วันนี้ แล้วภายหลังได้เครื่องที่แก้ปัญหาการแลกกุญแจพื้นฐานได้ อาจกู้ความลับร่วมคืนมาได้ การแลกกุญแจชั่วคราวแบบดั้งเดิมลบค่าส่วนตัวทิ้ง แต่ค่าสาธารณะที่เก็บไว้อาจเพียงพอสำหรับผู้โจมตีแบบนั้น ความกังวลแบบ "เก็บไว้ก่อน ถอดรหัสทีหลัง" นี้แยกต่างหาก และอธิบายใน การเข้ารหัส VPN แบบ post-quantum
• การยืนยันตัวตนที่อ่อน ถ้าไคลเอนต์ถูกหลอกให้เชื่อถือเซิร์ฟเวอร์ผิดตัว การแลกกุญแจแบบชั่วคราวก็แค่สร้างช่องทางปลอดภัยไปหาฝ่ายที่ผิด การยืนยันตัวตนยังสำคัญอยู่
• รหัสผ่านไม่ดีหรือบัญชีถูกขโมย อุโมงค์อาจสมบูรณ์แบบ แต่ผู้โจมตีเพียงล็อกอินเป็นคุณ

รายการตรวจเมื่ออ่านคำอ้างเรื่อง PFS

เมื่อ VPN หรือแอปอธิบายเรื่อง forward secrecy ให้ถามห้าข้อนี้

1. ระบุการแลกกุญแจแบบชั่วคราวหรือไม่ มองหาถ้อยคำอย่าง ECDHE, X25519 หรือใกล้เคียง ไม่ใช่แค่ "กุญแจแข็งแรง"
2. อธิบายการเปลี่ยนกุญแจหรือไม่ ข้อความว่ากุญแจเซสชันถูกเปลี่ยนบ่อยแค่ไหนแสดงว่าผู้ให้บริการคิดถึงเซสชันที่ยาวนานแล้ว
3. แยกกุญแจระยะยาวออกจากกุญแจเซสชันหรือไม่ คำอธิบายที่ดีจะบอกว่ากุญแจระยะยาวใช้เพื่อยืนยันตัวตนเท่านั้น
4. คำอ้างเจาะจงกับโปรโตคอลหรือไม่ forward secrecy เป็นคุณสมบัติของการออกแบบเฉพาะแบบ และบางการตั้งค่าอาจปิดมันได้
5. นำเสนออย่างซื่อสัตย์หรือไม่ ถ้า PFS มาคู่กับคำสัญญาอย่าง "ติดตามไม่ได้เลย" ปัญหาอยู่ที่คำอ้างรอบข้าง ไม่ใช่การเข้ารหัส

หากต้องการตรวจเรื่องอื่นๆ ของการเชื่อมต่อในทางปฏิบัติ เช่น การรั่วไหลและอุโมงค์ทำงานอยู่หรือไม่ ใช้ขั้นตอนใน วิธีตรวจว่า VPN ทำงานอยู่

สามสถานการณ์

นักเดินทางที่กังวลเรื่องสนามบิน อาอิชะใช้ Wi-Fi สนามบินส่งไฟล์งาน เธอกลัวว่ามีคนคัดลอกทราฟฟิกไปอ่านทีหลัง ด้วยการแลกกุญแจแบบชั่วคราว แพ็กเก็ตที่ถูกคัดลอกจะเปิดภายหลังไม่ได้ แม้กุญแจเซิร์ฟเวอร์ของ VPN จะรั่วในปีหน้า ความเสี่ยงที่เหลือของเธอคือสิ่งที่ PFS ไม่เคยครอบคลุม ได้แก่ชื่อเครือข่ายปลอมที่เผลอเชื่อมต่อ และอีเมลฟิชชิงที่อาจเปิด

เจ้าของธุรกิจขนาดเล็ก ร้านของพิมพ์ใจเก็บออเดอร์ลูกค้าและส่งออกทุกสัปดาห์ผ่าน VPN ไปยังเซิร์ฟเวอร์หลังบ้าน เธอทำนายไม่ได้ว่าจะมีกุญแจใดรั่วในห้าปีหรือไม่ แต่เลือกเครื่องมือที่ทำให้การรั่วในภายหลังไม่เกี่ยวกับการส่งออกในอดีตได้ เธอยังเก็บข้อมูลสำรองที่เข้ารหัสแยกต่างหาก เพราะ forward secrecy ครอบคลุมข้อมูลระหว่างทางและไม่ช่วยอะไรกับไฟล์บนดิสก์

นักวิจัยที่จัดการบทสัมภาษณ์อ่อนไหว ดร.ลีบันทึกบทสัมภาษณ์และอัปโหลดผ่าน VPN Forward secrecy ช่วยได้ แต่ข้อมูลยังมีค่าอีกหลายสิบปี เธอจึงอ่านเรื่อง การเข้ารหัส VPN แบบ post-quantum และถามว่าเครื่องมือของเธอวางแผนจะนำการป้องกันแบบใดมาใช้ เธอมอง VPN เป็นเพียงชั้นหนึ่ง และเข้ารหัสไฟล์เองก่อนส่ง

ข้อจำกัดและสิ่งที่ต้องระวัง

• Forward secrecy เป็นคุณสมบัติของการออกแบบ ไม่ใช่การตั้งค่าที่ตรวจได้ด้วยการดูไอคอนสีเขียวในแอป
• การตลาดอาจใช้คำนี้อย่างหลวมๆ คำอ้างว่า "PFS" โดยไม่พูดถึงการเปลี่ยนกุญแจหรือการแลกกุญแจแบบชั่วคราวบอกคุณได้น้อยมาก
• มันไม่ได้แทนการอัปเดต ซอฟต์แวร์เก่าที่มีช่องโหว่ที่รู้จักอาจรั่วกุญแจได้ไม่ว่าการเข้ารหัสจะฉลาดเพียงใด
• มันไม่ได้ทำให้คุณนิรนาม เซิร์ฟเวอร์ เว็บไซต์ และบัญชีของคุณยังรู้บางอย่างเกี่ยวกับคุณ ดู VPN ทำให้คุณนิรนามได้หรือไม่
• การเชื่อมต่อที่หลุดคือสัญญาณให้เชื่อมต่อใหม่ ไม่ใช่เรื่องน่ากังวล การเปลี่ยนกุญแจเกิดเบื้องหลัง ถ้าคุณเห็นความล้มเหลวซ้ำๆ รอบช่วงเวลาเปลี่ยนกุญแจ การเชื่อมต่อใหม่จะให้เซสชันที่สดใหม่

สรุป

Perfect forward secrecy หมายความว่าแต่ละเซสชัน VPN ได้รับการปกป้องด้วยกุญแจที่สร้างจากค่าชั่วคราวซึ่งถูกลบทิ้งหลังใช้ กุญแจระยะยาวที่ถูกขโมยจึงพิสูจน์ได้เพียงว่าเซิร์ฟเวอร์คือใคร ไม่ใช่สิ่งที่พูดกันในเซสชันที่ผ่านมา การแลกกุญแจชั่วคราวและการเปลี่ยนกุญแจเป็นประจำให้คุณสมบัตินี้ และการออกแบบสมัยใหม่อย่าง TLS 1.3 การตั้งค่า IKEv2 และ WireGuard พึ่งพามัน มันไม่ได้หยุดการถูกเจาะขณะใช้งาน ไม่ได้ซ่อนข้อมูลจากผู้ให้บริการ VPN ขณะที่คุณเชื่อมต่อ และไม่ได้ตอบคำถามเรื่องควอนตัมด้วยตัวมันเอง ให้มองว่ามันเป็นการรับประกันที่แข็งแรงแต่แคบ และตรวจดูว่าผู้ให้บริการอธิบายมันจริงๆ ว่าอย่างไร

ถ้าอยากลองอุโมงค์บนอุปกรณ์ของคุณเอง หน้าดาวน์โหลด มีลิงก์แอปฟรี และ หน้าราคา อธิบายวิธีทำงานของพาส