VPN ลดความเสี่ยง Man-in-the-Middle ได้อย่างไร

การโจมตีแบบ Man-in-the-Middle หรือเรียกย่อว่า MITM ฟังดูน่ากลัว แต่แนวคิดเรียบง่าย คือแทนที่คุณจะคุยกับเว็บไซต์ ธนาคาร หรือเพื่อนร่วมงานโดยตรง มีอีกฝ่ายหนึ่งนั่งอยู่กลางทางและสามารถดู แก้ไข หรือเบี่ยงบทสนทนานั้นได้ ทั้งสองฝ่ายยังเข้าใจว่ากำลังคุยกันอยู่ VPN ทำให้การโจมตีบางรูปแบบยากขึ้นมาก ไม่แตะรูปแบบอื่น และไม่เกี่ยวกับอีกส่วนหนึ่งเลย

บทความนี้ตอบคำถามตามชื่อเรื่องตรงๆ คือ VPN กับ MITM เกี่ยวข้องกันอย่างไร เราจะอธิบายวิธีที่การโจมตีแบบนี้ถูกทำ แล้วไล่ดูทีละแบบว่า VPN ช่วยตรงไหน และตรงไหนที่ต้องอาศัยอย่างอื่น โดยหลักคือใบรับรอง (certificate) และความระมัดระวังของคุณเอง ถ้าอยากเข้าใจพื้นฐานเรื่องการเข้ารหัสก่อน อ่าน การเข้ารหัสของ VPN คืออะไร

"อยู่ตรงกลาง" หมายถึงอะไรกันแน่

คำขอทุกครั้งบนอินเทอร์เน็ตผ่านหลายมือ ตั้งแต่อุปกรณ์ของคุณ เราเตอร์ Wi-Fi ผู้ให้บริการอินเทอร์เน็ต เครือข่ายอีกหลายแห่งตรงกลาง จนถึงปลายทาง ทุกจุดนั้นอยู่ "ตรงกลาง" ในความหมายธรรมดา ส่วนใหญ่ไม่มีพิษภัย แค่ส่งต่อแพ็กเก็ต การโจมตี MITM คือกรณีที่จุดใดจุดหนึ่งเป็นศัตรูหรือถูกยึดไป แล้วใช้ตำแหน่งนั้นทำหนึ่งในสามอย่าง

1. แอบดู อ่านสิ่งที่ผ่านเข้ามา
2. แก้ไข เปลี่ยนข้อมูล เช่น แทรกไฟล์ดาวน์โหลดอันตรายหรือเปลี่ยนเลขบัญชีในการชำระเงิน
3. ปลอมตัว ทำเป็นเว็บจริงเพื่อให้คุณมอบรหัสผ่านหรือรหัสยืนยัน

การป้องกันมีแนวคิดเดียวกันเสมอ คือทำให้มีแต่ปลายทางจริงที่อ่านข้อมูลได้ และทำให้คุณแยกได้ว่านั่นคือปลายทางจริง การเข้ารหัสให้ข้อแรก การยืนยันตัวตนผ่านใบรับรองให้ข้อหลัง VPN เพิ่มการเข้ารหัสอีกชั้นหนึ่งในช่วงแรกของเส้นทาง ซึ่งสำคัญ เพราะช่วงแรกคือจุดที่ผู้โจมตีมักเข้าใกล้คุณได้มากที่สุด

วิธีที่พบบ่อยในการโจมตี

วิธี	เกิดที่ไหน	อธิบายสั้นๆ
ฮอตสปอตปลอม	Wi-Fi สาธารณะ	เครือข่ายปลอมชื่อคุ้นเคย ทุกอย่างที่ส่งผ่านเครื่องของผู้โจมตี
เล่นกลในเครือข่ายภายใน	Wi-Fi ร่วมหรือ LAN ที่ออฟฟิศ	ผู้โจมตีทำให้อุปกรณ์อื่นเชื่อว่าเครื่องของตนคือเราเตอร์
แก้ DNS	เครือข่ายภายในหรือตัวแปลงชื่อที่ถูกยึด	ตอบการค้นหาชื่อเว็บผิดๆ ทำให้คุณไปลงที่สำเนาของเว็บ
SSL stripping	เครือข่ายภายใน	คำขอเวอร์ชันปลอดภัยของเว็บถูกดึงกลับเป็น HTTP ธรรมดาอย่างเงียบๆ
ใบรับรองปลอม	จุดใดก็ได้บนเส้นทาง	ผู้โจมตีแสดงใบรับรองที่ใช้กับเว็บนั้นไม่ได้จริง
ใบรับรองรากที่เป็นอันตราย	ในเครื่องของคุณ	ซอฟต์แวร์ติดตั้งผู้ออกใบรับรองที่เครื่องจะเชื่อถือ
เราเตอร์ถูกยึด	บ้านหรือออฟฟิศ	การตั้งค่าเราเตอร์ถูกเปลี่ยน มักชี้ DNS ไปยังเซิร์ฟเวอร์ที่ไม่หวังดี

วิธีส่วนใหญ่ต้องให้ผู้โจมตีอยู่ใกล้คุณ หรือควบคุมอุปกรณ์ที่คุณพึ่งพา เช่นเราเตอร์ นี่คือเหตุผลที่ Wi-Fi สาธารณะได้รับความสนใจมาก

VPN ทำให้การโจมตียากขึ้นตรงไหน

VPN เชื่อมอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN ผ่านอุโมงค์เข้ารหัสก่อนที่อะไรอย่างอื่นจะออกจากเครื่อง ซึ่งส่งผลโดยตรงกับหลายวิธีข้างต้น

• ฮอตสปอตปลอม ถ้าคุณต่อเครือข่ายปลอมแต่ VPN ขึ้นทันที เครื่องของผู้โจมตีจะถือเพียงข้อมูลเข้ารหัสที่ส่งไปเซิร์ฟเวอร์ VPN เขาทิ้งข้อมูลได้ แต่อ่านหรือแก้สิ่งที่อยู่ข้างในไม่ได้ ข้อควรระวังคือช่วงไม่กี่วินาทีก่อนอุโมงค์ขึ้น และกรณีที่เครือข่ายปลอมขอข้อมูลล็อกอินในหน้าของตัวเอง
• เล่นกลในเครือข่ายภายใน ต่อให้ผู้โจมตีทำให้เครื่องคุณเชื่อว่าเขาคือเราเตอร์ เขาก็เห็นแค่อุโมงค์ สิ่งที่ถืออยู่คือกระแสข้อมูลเข้ารหัส
• แก้ DNS ในเครือข่ายภายใน เมื่อแอป VPN ส่งการค้นหาชื่อผ่านอุโมงค์ ตัวแปลงชื่อที่ไม่หวังดีในวงท้องถิ่นจะไม่เห็นมันเลย ดู DNS leak คืออะไร สำหรับปัญหาเมื่อคำค้นหลุดออกนอกอุโมงค์ และ การเบี่ยงเบน DNS สำหรับตัวการโจมตีเอง
• SSL stripping ในเครือข่ายภายใน ผู้โจมตีเขียนทับสิ่งที่เขาอ่านไม่ได้ไม่ได้
• เราเตอร์ที่บ้านถูกยึด เพราะอุโมงค์เข้ารหัสต่อเนื่องระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN เราเตอร์ที่ถูกแก้ไขจึงเห็นเพียงกระแสที่เข้ารหัส เราเตอร์ยังตัดการเชื่อมต่อได้ แต่อ่านหรือแก้ข้างในได้ยาก

ทุกกรณีมีจุดร่วมคือผู้โจมตีอยู่บนเส้นทางใกล้ตัว VPN ไม่ได้ทำให้เขาหายไป แต่ทำให้สิ่งที่เขาถืออยู่ใช้ประโยชน์ไม่ได้

VPN ไม่ช่วยตรงไหน

ส่วนนี้ที่บทความหลายชิ้นข้ามไป และเป็นที่ที่คนเสียหายจริง

หลังเซิร์ฟเวอร์ VPN ข้อมูลออกจากเซิร์ฟเวอร์ VPN แล้วไปถึงปลายทางตามปกติ ถ้ามีใครอยู่กลางทางช่วงนี้ VPN ก็ไม่ได้บังอีกต่อไป ด้วยเหตุนี้ HTTPS ของตัวเว็บจึงยังสำคัญ เพราะคุ้มครองช่วงหลังอุโมงค์

เว็บปลอมที่คุณเดินเข้าไปเอง ถ้าคุณพิมพ์รหัสผ่านลงในเว็บที่แค่หน้าตาเหมือนธนาคาร ไม่มี "คนกลาง" เลย คุณกำลังคุยกับเว็บของผู้โจมตีโดยตรง แม่กุญแจอาจมีด้วยซ้ำ เพราะใครก็ขอใบรับรองให้โดเมนปลอมของตัวเองได้ VPN ไม่ตัดสินหน้าเว็บ ฝึกนิสัยจาก วิธีสังเกตเว็บไซต์ฟิชชิง

ใบรับรองร้ายในเครื่อง มัลแวร์และ "เครื่องมือฟรี" บางตัวติดตั้งใบรับรองรากที่ทำให้เครื่องเชื่อใบรับรองของผู้โจมตี ทีนี้ HTTPS ดูปกติทั้งที่ผู้ดักถอดรหัสทุกอย่างอยู่ VPN ซ่อมไม่ได้ เพราะปัญหาอยู่ในเครื่องที่สร้างอุโมงค์เอง

มัลแวร์และซอฟต์แวร์สอดแนม เมื่อโปรแกรมในเครื่องอ่านหน้าจอหรือการพิมพ์ได้ การดักเกิดขึ้นก่อนเข้ารหัส ไม่ใช่ MITM ทางเครือข่าย แต่ผลต่อคุณเหมือนกัน

กดข้ามคำเตือน เบราว์เซอร์แสดงคำเตือนใบรับรองตรงเวลาที่มีอะไรดูเหมือนการดักข้อมูล VPN เปลี่ยนใบรับรองที่แย่ให้เป็นดีไม่ได้

ผู้ให้บริการ VPN ที่ไม่ดีหรือประมาท เซิร์ฟเวอร์ VPN เองก็เป็นจุดกลางทาง คุณย้ายความไว้ใจจากเจ้าของ Wi-Fi ไปที่ผู้ให้บริการ VPN การเลือกจึงสำคัญ อ่าน ผู้ให้บริการ VPN เห็นอะไรได้บ้าง เพื่อเข้าใจว่าความไว้ใจนั้นครอบคลุมอะไร

ใบรับรองทำหน้าที่ครึ่งหลังอย่างไร

VPN ดูแลเส้นทาง ใบรับรองดูแลตัวตน เมื่อคุณเปิดเว็บผ่าน HTTPS เว็บจะแสดงใบรับรองที่บอกว่า "ฉันคือโดเมนนี้" ลงนามโดยผู้ออกที่เครื่องคุณเชื่อถืออยู่แล้ว เบราว์เซอร์ตรวจลายเซ็น ชื่อโดเมน และวันหมดอายุ ถ้าข้อใดไม่ผ่านจะเตือน มาตรฐาน TLS 1.3 ที่ใช้กันปัจจุบันเป็นข้อกำหนดสาธารณะ และเว็บ Let's Encrypt อธิบายด้วยภาษาง่ายๆ ว่าใบรับรองทั่วไปถูกออกอย่างไร

มีสองข้อที่นำไปใช้ได้จริง

1. คำเตือนคือสัญญาณ ไม่ใช่ความรำคาญ มันแปลว่าเบราว์เซอร์ยืนยันไม่ได้ว่าคุยกับใคร ในเครือข่ายโรงแรมก็อาจหมายถึงหน้าล็อกอินธรรมดาที่แทรกอยู่ ดังนั้นให้ลองเปิดหน้าเว็บธรรมดาและทำขั้นตอนเข้า Wi-Fi ให้เสร็จก่อนค่อยตัดสิน
2. แม่กุญแจไม่ใช่การรับรองความซื่อสัตย์ มันบอกว่าการเชื่อมต่อถูกเข้ารหัสถึงเจ้าของโดเมนนั้น ไม่ได้บอกว่าโดเมนนั้นเป็นของคนที่คุณคิด

ถ้าอยากเห็นภาพเทียบว่าแต่ละชั้นทำอะไร อ่าน HTTPS กับ VPN

ตัวอย่างต่อเนื่อง พนักงานออฟฟิศในงานประชุม

สมมติว่าเหลียงไปงานประชุมและใช้ Wi-Fi ของสถานที่ส่งอีเมลสัญญาที่ลงนามแล้ว

กรณี ก ไม่มี VPN เครือข่ายจริง แอปอีเมลคุยกับเซิร์ฟเวอร์เมลผ่านการเชื่อมต่อเข้ารหัส คนในเครือข่ายเห็นว่าเหลียงติดต่อเซิร์ฟเวอร์เมลและส่งข้อมูลมากน้อยแค่ไหน เนื้อหาสัญญาได้รับการปกป้องโดยการเชื่อมต่อของเมลเอง ความเสี่ยงต่ำ แต่เครือข่ายเห็นชื่อเซิร์ฟเวอร์

กรณี ข ไม่มี VPN เครือข่ายปลอม เหลียงเผลอต่อเครือข่ายที่ลอกชื่อของสถานที่ เครื่องของผู้โจมตีส่งต่อข้อมูล ถ้าแอปเมลตรวจใบรับรอง แอปจะปฏิเสธเมื่อเจอใบรับรองปลอม แต่ถ้าเหลียงกด "ดำเนินการต่อ" ในหน้าคำเตือน เขาก็ช่วยผู้โจมตีเอง ความเสียหายเกิดจากการตัดสินใจของคน ไม่ใช่เครือข่าย

กรณี ค เปิด VPN เครือข่ายปลอม อุโมงค์ขึ้น ผู้โจมตีเห็นเพียงการจราจรของอุโมงค์ แม้กดพลาดก็เสียหายน้อยลง เพราะปลายทางถูกติดต่อจากเซิร์ฟเวอร์ VPN ไม่ใช่ผ่านเครือข่ายของผู้โจมตี ถ้าเครือข่ายปลอมขอข้อมูลล็อกอินในหน้าของตัวเอง VPN ก็ยังไม่ช่วย เหลียงไม่ควรกรอกอะไรเลย

กรณี ง เปิด VPN แต่มีใบรับรองร้ายติดตั้งไว้ก่อนจาก "เครื่องมือแปลง PDF ฟรี" ผู้ดักอยู่บนแล็ปท็อปเอง VPN ปกป้องเส้นทางเครือข่ายและไม่มากไปกว่านั้น ทางแก้เดียวคือลบใบรับรองกับซอฟต์แวร์ และถ้าจำเป็นให้รีเซ็ตเครื่อง

สี่กรณีนี้แสดงว่า VPN ช่วยตรงไหน คือเปลี่ยน ข เป็น ค ส่วน ก และ ง ไม่เปลี่ยน ด้วยเหตุผลที่ตรงข้ามกัน

รายการตรวจเพื่อลดความเสี่ยง MITM

1. อัปเดตอุปกรณ์ การอัปเดตแก้ช่องโหว่ในการตรวจใบรับรองและระบบเครือข่าย
2. ไม่กดข้ามคำเตือนใบรับรอง กับธนาคาร อีเมล หรืองาน ให้ออกแล้วลองใช้ข้อมูลมือถือ
3. เปิด VPN ก่อนใช้แอปสำคัญ ในเครือข่ายที่คุณไม่ได้ควบคุม และดูไอคอนสถานะ
4. พิมพ์ที่อยู่เองหรือเปิดจากบุ๊กมาร์ก ที่บันทึกไว้ก่อน แทนการกดลิงก์จากข้อความ
5. ตรวจใบรับรองและโปรไฟล์ที่ติดตั้ง บนโทรศัพท์ดูในการตั้งค่าว่ามีโปรไฟล์ที่ไม่รู้จักไหม บนคอมพิวเตอร์ระวังเครื่องมือที่ขอให้ติดตั้งใบรับรอง
6. ตรวจเราเตอร์ เปลี่ยนรหัสผู้ดูแลเริ่มต้น อัปเดตเฟิร์มแวร์ และดูว่าแจก DNS ตัวไหน
7. ใช้การยืนยันตัวตนสองขั้นตอน ถ้ารหัสผ่านถูกขโมย ปัจจัยที่สองช่วยจำกัดความเสียหาย
8. เลือกแอปและเว็บที่ใช้ HTTPS ทั้งหมด และมองหน้าล็อกอินที่ไม่มี HTTPS เป็นสัญญาณอันตราย

ข้อจำกัดและความคาดหวังที่ตรงไปตรงมา

VPN ลดจุดที่ผู้ดักจะนั่งอยู่ได้ และทำได้ดีกับการโจมตีในเครือข่ายใกล้ตัว แต่เปลี่ยนเครื่องที่ถูกยึดให้ปลอดภัยไม่ได้ ตรวจไม่ได้ว่าเว็บซื่อสัตย์หรือไม่ และปกป้องช่วงหลังเซิร์ฟเวอร์ VPN ไม่ได้ ไม่มีสิ่งใดทำให้ใครแตะต้องไม่ได้ วิธีคิดที่ถูกคือสองชั้น อุโมงค์สำหรับเส้นทางและใบรับรองสำหรับตัวตน บวกกับความใส่ใจของคุณต่อคำเตือน

สรุป

การโจมตี Man-in-the-Middle คือการเอาใครสักคนมาไว้ระหว่างคุณกับปลายทางเพื่ออ่าน แก้ไข หรือปลอมตัว VPN ทำให้รูปแบบในเครือข่ายใกล้ตัว เช่น ฮอตสปอตปลอม เล่นกลกับเราเตอร์ และแก้ DNS ได้ประโยชน์น้อยลงมาก เพราะผู้โจมตีถือแต่ข้อมูลเข้ารหัส แต่ไม่ช่วยเรื่องเว็บปลอม ใบรับรองร้ายในเครื่อง หรือการดักหลังเซิร์ฟเวอร์ VPN และคำเตือนใบรับรองยังต้องการความสนใจจากคุณ ใช้อุโมงค์ร่วมกับการอัปเดต บุ๊กมาร์ก การยืนยันตัวตนสองขั้นตอน และการไม่กดข้ามคำเตือน

ถ้าบัตรเติมเวลาแบบสั้นเหมาะกับการเดินทางหรือสัปดาห์ทำงานครั้งหน้าของคุณ ดู หน้าราคา ได้เมื่อพร้อม