PPTP VPN ยังปลอดภัยอยู่ไหม

ในโลกเครือข่าย แทบไม่มีเทคโนโลยีไหนแก่ตัวไม่สวยเท่า PPTP ช่วงปลายทศวรรษ 1990 การตั้ง VPN เป็นงานยาก แต่ PPTP ทำให้ทุกอย่างง่ายขึ้นมาก Windows เชื่อมต่อเซิร์ฟเวอร์ PPTP ได้โดยไม่ต้องลงซอฟต์แวร์เพิ่ม เราเตอร์และเซิร์ฟเวอร์จำนวนมากก็ตั้งเป็นปลายทางได้ ความสะดวกนี้ทำให้ PPTP เป็นโปรโตคอล VPN ตัวแรกที่คนนับล้านเคยใช้ แต่ปัจจุบันเมนูเดียวกันที่เคยเป็นทางลัด กลับกลายเป็นสิ่งที่แนวทางความปลอดภัยแนะนำให้เลี่ยง

บทความนี้อธิบายด้วยภาษาธรรมดาว่าทำไม PPTP VPN จึงถูกมองว่าไม่ปลอดภัย จุดอ่อนอยู่ตรงไหนกันแน่ ยังพบเจอได้ที่ไหน และควรย้ายไปใช้อะไร เน้นเฉพาะ PPTP เท่านั้น หากอยากเริ่มจากแนวคิดทั่วไปว่าโปรโตคอลคืออะไร อ่านได้ที่ โปรโตคอล VPN คืออะไร

PPTP คืออะไร และทำไมจึงแพร่หลายเร็ว

PPTP ย่อมาจาก Point-to-Point Tunneling Protocol พัฒนาขึ้นช่วงกลางทศวรรษ 1990 โดยกลุ่มผู้ผลิตที่นำโดย Microsoft ในยุคที่บริษัทต้องการให้พนักงานต่อเข้าเครือข่ายออฟฟิศผ่านอินเทอร์เน็ตทั่วไป แทนที่จะจ่ายค่าสายเช่าส่วนตัวหรือตู้โมเด็ม

เหตุผลที่ได้รับความนิยมมีหลายข้อ

• มีมาให้ในตัว ระบบปฏิบัติการเดสก์ท็อปหลักรองรับฝั่งไคลเอนต์ ไม่ต้องติดตั้งอะไรเพิ่ม
• ใช้ทรัพยากรน้อย ภาระการประมวลผลต่ำ ซึ่งสำคัญกับเซิร์ฟเวอร์และเราเตอร์ตามบ้านในยุคแรก
• ตั้งค่าง่าย แค่ที่อยู่เซิร์ฟเวอร์ ชื่อผู้ใช้ และรหัสผ่านก็พอ
• มีคู่มือเยอะ วิธีทำสำหรับคนทำงานที่บ้านมีเกลื่อนอินเทอร์เน็ต

การออกแบบสะท้อนยุคสมัยนั้น การเข้ารหัสถูกมองเป็นส่วนเสริมของอุโมงค์ที่มีหน้าที่หลักคือขนส่งข้อมูล และมาตรฐานสมัยนั้นสมมติว่าผู้โจมตีมีกำลังประมวลผลน้อยกว่าปัจจุบันมาก สมมติฐานนั้นใช้ไม่ได้อีกต่อไป

PPTP ทำงานอย่างไร แบบเข้าใจง่าย

การเชื่อมต่อ PPTP ประกอบด้วยสองส่วนแยกกัน

1. ช่องควบคุม (Control connection) ใช้ TCP พอร์ต 1723 เป็นที่ที่ไคลเอนต์กับเซิร์ฟเวอร์เจรจากันและรักษาเซสชันไว้
2. อุโมงค์ส่งข้อมูล (Data tunnel) ใช้โปรโตคอลอีกตัวชื่อ GRE (Generic Routing Encapsulation, โปรโตคอล IP หมายเลข 47) ข้อมูลของคุณถูกห่อในเฟรม PPP แล้วใส่ในแพ็กเก็ต GRE อีกชั้น

ขั้นตอนล็อกอินใช้การพิสูจน์ตัวตนของ PPP ซึ่งส่วนใหญ่เป็นวิธีของ Microsoft ชื่อ MS-CHAPv2 ส่วนการเข้ารหัส (เป็นทางเลือก) ใช้ MPPE ซึ่งอาศัยรหัสลับแบบ Stream RC4 โดยกุญแจได้มาจากรหัสผ่านของคุณ

สังเกตความต่างจากการออกแบบยุคใหม่ กุญแจเข้ารหัสไม่ได้เกิดจากการแลกเปลี่ยนกุญแจใหม่ที่เป็นอิสระ แต่มาจากรหัสผ่านตัวเดียวกับที่ใช้ล็อกอิน ความแข็งแรงของอุโมงค์ทั้งเส้นจึงผูกอยู่กับความแข็งแรงของการล็อกอินครั้งเดียว

จุดอ่อนทีละข้อ

1. MS-CHAPv2 ถูกลดทอนเหลือโจทย์ข้อเดียว

ในปี 2012 นักวิจัยแสดงให้เห็นว่ากระบวนการจับมือของ MS-CHAPv2 ที่ PPTP ใช้ สามารถย่อเหลือเพียงการหากุญแจ DES ขนาด 56 บิตหนึ่งดอก ซึ่งถือว่าเล็กมากตามมาตรฐานปัจจุบัน ฮาร์ดแวร์เฉพาะทางและบริการออนไลน์สามารถหากุญแจนี้ได้ภายในวันเดียวหรือน้อยกว่า เมื่อได้กุญแจ ค่าแฮชของรหัสผ่านก็เปิดเผย และตามมาด้วยกุญแจของเซสชัน MPPE ในทางปฏิบัติคือ ผู้ที่บันทึกการล็อกอินแบบ PPTP ไว้ สามารถนำไปหาข้อมูลที่จำเป็นต่อการถอดรหัสเซสชันได้ภายหลัง

2. RC4 ใน MPPE มีปัญหาที่รู้กันดี

รหัสลับ RC4 มีประวัติเรื่องความเอนเอียงทางสถิติ และถูกถอนออกจากความปลอดภัยของเว็บยุคใหม่แล้ว ใน MPPE ยังมีปัญหาเพิ่มอีกข้อ คือไม่มีการป้องกันความสมบูรณ์ของข้อมูลที่แข็งแรง นักวิจัยเคยสาธิตว่าผู้โจมตีที่ลงมือแทรกแซงได้ สามารถพลิกบิตในข้อมูลที่เข้ารหัสโดยปลายทางไม่รู้ตัว ซึ่งเปิดช่องให้แก้ไขข้อมูลได้แม้เนื้อหาจะถูกเข้ารหัส

3. ไม่มีการแลกเปลี่ยนกุญแจที่แข็งแรงแยกต่างหาก

เมื่อกุญแจเซสชันมาจากรหัสผ่าน จึงไม่มีสิ่งที่เทียบได้กับ Forward Secrecy ของโปรโตคอลปัจจุบัน หากภายหลังรหัสผ่านหรือค่าแฮชของมันถูกกู้ได้ เซสชันเก่าที่ถูกบันทึกไว้ก็ถูกถอดรหัสได้ การออกแบบสมัยใหม่หลีกเลี่ยงเรื่องนี้ด้วยการสร้างกุญแจชั่วคราวและทิ้งไปหลังจบแต่ละเซสชัน

4. การเข้ารหัสเป็นทางเลือกและค่าเริ่มต้นอ่อน

PPTP ตั้งค่าให้ไม่มี MPPE เลยก็ได้ หรือใช้โหมด 40 บิตที่อ่อนกว่า คำแนะนำเก่าบางแห่งเคยบอกว่าตัวเลือก 128 บิต "แข็งแรง" แต่ก็ไม่ได้แก้จุดอ่อนของการพิสูจน์ตัวตนที่อยู่ข้างใต้

5. การตรวจสอบตัวตนของเซิร์ฟเวอร์ทำได้อ่อน

PPTP ไม่มีวิธีที่แข็งแรงแบบใช้ใบรับรองให้อุปกรณ์ตรวจสอบเซิร์ฟเวอร์ จึงเปิดช่องให้เกตเวย์ปลอม ซึ่งเป็นปัญหาที่การตรวจเซิร์ฟเวอร์อย่างเหมาะสมถูกออกแบบมาป้องกัน

สรุปจากห้าข้อนี้ได้ง่ายๆ ว่า แม้ตั้งค่า PPTP ให้แข็งที่สุดเท่าที่ทำได้ โปรโตคอลก็ยังไม่ให้ความลับและความสมบูรณ์ของข้อมูลเท่าที่คนคาดหวังจาก VPN

ผู้โจมตีทำอะไรได้จริง

ลองแปลงประเด็นทางเทคนิคเป็นสถานการณ์ในชีวิตประจำวัน

คนแอบดักในร้านกาแฟ ใครสักคนบนเครือข่ายสาธารณะเดียวกันบันทึกทราฟฟิกของผู้ใช้ PPTP โดยไม่ต้องเจาะอะไรแบบเรียลไทม์ แค่เก็บการจับมือกับกระแสข้อมูลที่เข้ารหัส แล้วค่อยประมวลผลทีหลังตอนไหนก็ได้

รหัสผ่านที่ถูกถอด หากรหัสผ่านสั้นหรือใช้ซ้ำ ความพยายามที่ต้องใช้ยิ่งลดลง รหัสผ่านยาวและสุ่มทำให้การเดาแบบออฟไลน์ยากขึ้น แต่เพราะปัญหาถูกย่อเหลือกุญแจ DES ดอกเดียว มันจึงไม่ได้ลบจุดอ่อนของการออกแบบ

อุปกรณ์เครือข่ายเก่า ธุรกิจเล็กๆ ตั้งเซิร์ฟเวอร์ PPTP บนเราเตอร์อายุสิบปี เพื่อให้พนักงานเข้าถึงไดรฟ์ร่วมจากบ้าน ทุกอย่างใช้งานได้ ไม่มีใครแตะการตั้งค่ามาหลายปี และเฟิร์มแวร์เราเตอร์ไม่มีอัปเดตความปลอดภัยเลย VPN สร้างความรู้สึกปลอดภัยแต่ให้การป้องกันจริงน้อย ขณะที่เราเตอร์ที่เปิดสู่อินเทอร์เน็ตก็กลายเป็นเป้าหมายในตัวเอง

คนแก้ข้อมูลเงียบๆ ผู้โจมตีที่ลงมือแทรกแซงบนเส้นทางได้ สามารถแก้ทราฟฟิกที่เข้ารหัสในแบบที่ชั้น PPTP ตรวจจับไม่ได้ แม้อ่านเนื้อหาไม่ได้ก็อาจรบกวนมันได้

ทั้งหมดนี้ไม่ต้องอาศัยอัจฉริยะแบบในหนัง วิธีโจมตีมีเอกสารเผยแพร่ มีเครื่องมือพร้อม และทีมความปลอดภัยรวมถึงผู้ตรวจสอบมักระบุ PPTP เป็นข้อบกพร่องในแทบทุกครั้งที่ตรวจ

เทียบ PPTP กับโปรโตคอลอื่น

ตารางนี้เป็นการเปรียบเทียบโดยทั่วไป อธิบายโปรโตคอลในภาพรวม ไม่ได้บอกว่าบริการใดให้ตัวเลือกอะไร

โปรโตคอล	ยุคที่เกิด	สถานะปัจจุบัน	ข้อกังวลหลัก
PPTP	ทศวรรษ 1990	ล้าสมัย ควรเลี่ยง	พิสูจน์ตัวตนถูกเจาะได้ เข้ารหัสอ่อน
L2TP/IPsec	ต้นทศวรรษ 2000	เป็นของเก่าแต่ใช้ได้ถ้าตั้งค่าดี	ห่อสองชั้น ตัวเลือกรหัสลับรุ่นเก่า พอร์ตตายตัว
SSTP	ทศวรรษ 2000	เฉพาะกลุ่ม เน้น Windows	อยู่ในระบบของผู้ผลิตรายเดียว ช้าเพราะ TCP ซ้อน TCP
IKEv2/IPsec	ทศวรรษ 2000	ใช้ปัจจุบัน ได้รับการยอมรับดี	ตั้งค่าเองซับซ้อน
OpenVPN	2001	ใช้ปัจจุบัน ผ่านการตรวจสอบกว้างขวาง	หนักกว่าดีไซน์ใหม่
WireGuard	ปลายทศวรรษ 2010	ใช้ปัจจุบัน กะทัดรัด	โมเดลกุญแจที่เรียบง่ายต้องบริหารอย่างรอบคอบ

หากอยากเห็นความต่างของสองตัวเลือกสมัยใหม่ที่พบบ่อยที่สุด อ่านเรื่อง WireGuard กับ OpenVPN ส่วนด้านมาตรฐาน คู่มือ IPsec VPN ของ NIST และข้อกำหนด IKEv2 แสดงให้เห็นว่าโปรโตคอลสมัยใหม่เจรจาและต่ออายุกุญแจอย่างไร เป็นเอกสารอ้างอิงที่ดีหากต้องอธิบายเหตุผลให้หัวหน้าหรือผู้ตรวจสอบ

ยังพบ PPTP ได้ที่ไหนบ้าง

ปัจจุบันคงไม่มีใครเลือก PPTP ตั้งใจ แต่คุณอาจเจอโดยไม่ตั้งใจ

• เมนูเราเตอร์ เราเตอร์บ้านและออฟฟิศเล็กบางรุ่นยังแสดงตัวเลือกเซิร์ฟเวอร์หรือไคลเอนต์ PPTP คู่กับของใหม่
• NAS และอุปกรณ์เซิร์ฟเวอร์เก่า กล่องเก็บข้อมูลอายุสิบปีอาจเปิดบริการ PPTP ไว้
• ระบบองค์กรเก่า ระบบรีโมตแอ็กเซสที่ไม่มีใครอยากแตะเพราะ "ยังใช้ได้อยู่"
• บทความและกระทู้เก่า ผลค้นหาจากหลายปีก่อนยังแนะนำ PPTP เพราะตั้งง่าย
• รายการในระบบปฏิบัติการ บางระบบเก็บ PPTP ไว้ในรายการชนิด VPN เพื่อความเข้ากันได้ แม้ผู้ผลิตจะถอดหรือปิดในรุ่นใหม่ๆ แล้ว

การเห็น PPTP ในรายการไม่ใช่คำแนะนำ ให้เลือกจากตัวเลือกที่อุปกรณ์มีและตรงกับแนวปฏิบัติปัจจุบัน หรือใช้แอปจากบริการที่คุณตัดสินใจแล้วว่าไว้ใจได้

แผนปฏิบัติจริงในการเลิกใช้ PPTP

เช็กลิสต์ทีละขั้นสำหรับคนที่พบ PPTP ในระบบของตัวเอง

1. ทำบัญชีรายการ จดทุกที่ที่เปิด PPTP ไว้ ไม่ว่าจะเป็นเราเตอร์ เซิร์ฟเวอร์ NAS โน้ตบุ๊ก หรือโทรศัพท์
2. หาเจ้าของ ดูว่าแต่ละรายการมีใครพึ่งพาอยู่ ไดรฟ์ร่วมที่คนสองคนใช้ง่ายกว่าระบบเงินเดือนมาก
3. ตรวจว่ามีอะไรแทนได้ ดูเฟิร์มแวร์ของเราเตอร์หรือเซิร์ฟเวอร์ว่ารองรับ WireGuard, OpenVPN หรือ IKEv2/IPsec ไหม ถ้าอัปเดตเฟิร์มแวร์แล้วได้ ให้สำรองข้อมูลก่อนแล้วอัปเดต
4. วางแผนสลับ ตั้ง VPN ใหม่ขนานกันไป ทดสอบกับผู้ใช้หนึ่งคน แล้วย้ายคนที่เหลือ
5. เปลี่ยนข้อมูลล็อกอิน สมมติว่ารหัสผ่านที่เคยใช้กับ PPTP อาจถูกบันทึกไปแล้ว ตั้งรหัสใหม่ที่ไม่ซ้ำ และเปิดการยืนยันตัวตนสองขั้นตอนหากระบบรองรับ
6. ปิด PPTP ปิดเซิร์ฟเวอร์ ปิด TCP 1723 และลบกฎที่ส่งต่อทราฟฟิก GRE
7. ทดสอบซ้ำ ยืนยันว่าไม่มีอะไรพึ่งอุโมงค์เก่า เช่น งานสำรองข้อมูลตามเวลาหรือเครื่องพิมพ์
8. เปลี่ยนฮาร์ดแวร์ที่อัปเดตไม่ได้ ถ้าอุปกรณ์รันโปรโตคอลที่ยังรองรับไม่ได้ และไม่มีอัปเดตความปลอดภัยแล้ว คำตอบที่ถูกคือเปลี่ยนเครื่อง ไม่ใช่หาวิธีเลี่ยงเพิ่ม

หากคุณรัน VPN บนเราเตอร์ บทความ เราเตอร์ VPN กับแอป VPN อธิบายข้อดีข้อเสียของแต่ละแบบ และคู่มือ ตั้งค่า VPN บนเราเตอร์ ครอบคลุมด้านปฏิบัติ

ความเข้าใจผิดและข้อผิดพลาดที่พบบ่อย

"เร็วนี่ ใช้ได้แหละ" ความเร็วเคยเป็นจุดขายเพราะเข้ารหัสเบา แต่โปรโตคอลใหม่ก็เร็วโดยไม่มีจุดอ่อนเหล่านี้ ความเร็วจึงไม่ใช่ข้อแก้ตัวอีกต่อไป

"รหัสผ่านฉันยาวมาก" รหัสผ่านยาวช่วยป้องกันการเดา แต่การโจมตีที่รู้จักย่อการจับมือเหลือโจทย์ขนาดคงที่ ความยาวจึงไม่ซ่อมการออกแบบ

"ใช้แค่ที่บ้านเอง" การใช้ที่บ้านก็ยังพาทราฟฟิกข้ามเครือข่ายที่คุณอาจควบคุมไม่ได้ทั้งหมด และเราเตอร์ที่ดูแลไม่ดีก็เปิดสู่อินเทอร์เน็ตด้วย

"มี HTTPS อยู่แล้วก็พอ" HTTPS ปกป้องเนื้อหาหน้าเว็บ ไม่ได้ทำให้ VPN อ่อนกลายเป็นแข็ง และยังทิ้งข้อมูลเมตาที่ PPTP ควรซ่อนไว้ ดูความต่างของทั้งสองชั้นได้ในบทความเรื่อง การเข้ารหัสของ VPN

"บางเครือข่ายบล็อก แสดงว่าแข็งแรง" บางเครือข่ายบล็อกแพ็กเก็ต GRE หรือพอร์ต 1723 จึงทำให้ PPTP เชื่อมต่อไม่ติดบ่อย นั่นคือปัญหาความเข้ากันได้ ไม่ใช่ฟีเจอร์ความปลอดภัย

"ไม่มีใครมาสนใจโจมตีฉันหรอก" การโจมตีจำนวนมากเป็นแบบอัตโนมัติและฉวยโอกาส การเก็บและถอดแฮชการจับมือไม่ต้องมีมนุษย์ที่สนใจตัวเหยื่อเลย

ถ้ายังเปลี่ยนไม่ได้ทันที

บางครั้งการเปลี่ยนต้องใช้เวลาหลายสัปดาห์ ระหว่างนี้ให้ลดความเสียหาย

• ตัดสินใจว่าจะส่งอะไรผ่านมัน โดยมองว่าการเชื่อมต่อ PPTP เป็นเพียงการเชื่อมต่อธรรมดาที่ไม่เข้ารหัส
• ห้ามใช้รหัสผ่านของบัญชี PPTP ซ้ำกับที่อื่น
• จำกัดบัญชีให้เข้าถึงเฉพาะทรัพยากรเดียวที่จำเป็น
• เลี่ยงการใช้บน Wi-Fi สาธารณะ ซึ่งเป็นที่ที่ดักบันทึกได้ง่ายที่สุด
• กำหนดวันที่แน่นอนในการเลิกใช้ และจดไว้

ขั้นตอนเหล่านี้เป็นเพียงการควบคุมความเสียหาย ไม่ใช่การแก้ไข ช่วยซื้อเวลาจนกว่าจะย้ายไปใช้โปรโตคอลปัจจุบันได้

สรุป

PPTP ถูกสร้างขึ้นสำหรับอีกยุคหนึ่งและปัจจุบันถือว่าล้าสมัย วิธีพิสูจน์ตัวตนของมันถูกย่อเหลือโจทย์เจาะรหัสขนาดเล็กได้ การเข้ารหัสพึ่งรหัสลับเก่าที่ป้องกันความสมบูรณ์ได้ไม่ดี และกุญแจมาจากรหัสผ่านล็อกอินแทนที่จะมาจากการแลกเปลี่ยนใหม่ คุณยังอาจพบมันในเราเตอร์เก่า กล่อง NAS และบทความเก่า แต่การมีอยู่ในเมนูไม่ใช่การรับรอง หากคุณยังพึ่งพามันอยู่ ให้จดว่าใช้ที่ไหนบ้าง ย้ายไปใช้ WireGuard, OpenVPN หรือ IKEv2/IPsec เปลี่ยนรหัสผ่าน แล้วปิด PPTP

หากไม่อยากตัดสินใจเรื่องโปรโตคอลเอง และต้องการใช้แอปสำเร็จรูป ดูตัวเลือกได้ที่หน้าราคา