ใช้ VPN บน Wi-Fi สาธารณะ แฮกเกอร์ยังเห็นอะไรได้บ้าง

หลายคนนึกภาพแฮกเกอร์ใน Wi-Fi สาธารณะว่าเป็นคนนั่งอยู่โต๊ะข้างๆ แล้วเห็นทุกหน้าเว็บที่เราเปิด พอเปิด VPN ภาพนี้ส่วนใหญ่ก็ไม่จริงแล้ว แต่ก็ไม่ใช่ว่าปลอดภัยทุกด้าน คำถามที่มีประโยชน์กว่าคำว่า "ปลอดภัยไหม" คือ คนที่ใช้เครือข่ายเดียวกับเรายังเรียนรู้หรือทำอะไรได้บ้าง และอุโมงค์ VPN ตัดอะไรออกไปจากมือของเขาได้จริง

บทความนี้ตอบคำถามนั้นในสถานการณ์ตามชื่อเรื่อง คือเปิด VPN อยู่บนเครือข่ายของร้านกาแฟ โรงแรม สนามบิน หรือพื้นที่ทำงานร่วม เราจะไล่ดูว่าอะไรถูกซ่อน อะไรยังเห็นอยู่ การโจมตีแบบไหนที่ VPN ไม่แตะต้องเลย และชุดขั้นตอนสั้นๆ ที่ทำตามได้ ส่วนเรื่องนิสัยการใช้เครือข่ายสาธารณะโดยรวม อ่านเพิ่มได้ที่ วิธีใช้ Wi-Fi สาธารณะให้ปลอดภัยขึ้น

คนใน Wi-Fi เดียวกันทำอะไรได้บ้างเมื่อไม่มี VPN

ก่อนจะรู้ว่า VPN ตัดอะไรออก ต้องรู้ก่อนว่าถ้าไม่มี VPN เกิดอะไรขึ้นได้บ้าง ทุกคนที่ต่อเข้าจุดกระจายสัญญาณเดียวกันอยู่ในพื้นที่คลื่นวิทยุเดียวกัน และในหลายเครือข่ายก็อยู่ในวงเครือข่ายภายในเดียวกันด้วย คนที่มีเครื่องมือพื้นฐานอาจทำสิ่งเหล่านี้ได้

• ดักดูการจราจรแบบเงียบๆ บนเครือข่ายเปิดหรือเครือข่ายที่ใช้รหัสผ่านร่วมกัน ผู้ใช้คนอื่นอาจดักข้อมูลที่ส่งผ่านอากาศได้ เว็บสมัยใหม่ซ่อนเนื้อหาด้วย HTTPS แต่ชื่อปลายทางและปริมาณข้อมูลยังมองเห็นอยู่
• เห็นว่าคุณติดต่อเว็บอะไร แม้เนื้อหาหน้าเว็บจะเข้ารหัส ชื่อโดเมนที่คุณขอมักมองเห็นได้ทั้งโดยเจ้าของเครือข่ายและคนที่ดักดูการเชื่อมต่อ
• ตั้งฮอตสปอตปลอม อุปกรณ์ที่ไม่หวังดีสามารถใช้ชื่อเครือข่ายเหมือนของจริง โทรศัพท์ที่ตั้งให้เชื่อมต่อชื่อที่เคยรู้จักอัตโนมัติอาจต่อเข้าไปโดยเราไม่รู้ตัว
• เบี่ยงทางให้คุณ บนเครือข่ายที่ดูแลไม่ดี ผู้โจมตีอาจพยายามตอบคำถามของอุปกรณ์ด้วยข้อมูลเท็จ จนคำขอไปยังที่อยู่หนึ่งถูกพาไปอีกที่
• ลองเข้าถึงเครื่องของคุณ เครื่องอื่นในวงเดียวกันอาจลองติดต่อบริการแชร์ไฟล์ รีโมตเดสก์ท็อป หรือบริการอื่นบนแล็ปท็อปของคุณ ถ้าเปิดทิ้งไว้

เหตุผลเหล่านี้คือสาเหตุที่หน่วยงานคุ้มครองผู้บริโภคแนะนำให้ระวังบนเครือข่ายร่วม คณะกรรมการการค้าของสหรัฐฯ (FTC) อธิบายความเสี่ยงของ Wi-Fi สาธารณะไว้เข้าใจง่าย และคำแนะนำเรื่อง HTTPS กับการอัปเดตยังใช้ได้เมื่อคุณเปิด VPN แล้ว

อุโมงค์ VPN ตัดอะไรออกจากมือเขา

เมื่อ VPN เชื่อมต่ออยู่ อุปกรณ์จะห่อข้อมูลอินเทอร์เน็ตของคุณไว้ในอุโมงค์เข้ารหัสไปยังเซิร์ฟเวอร์ VPN แล้วส่งเฉพาะกระแสข้อมูลที่ห่อแล้วนั้นผ่าน Wi-Fi ถ้าอยากรู้กลไก อ่านได้ใน คำอธิบาย VPN ของ Cloudflare ผลสำหรับเครือข่ายร่วมสรุปได้ตามตารางนี้

สิ่งที่ผู้โจมตีอยากได้	เมื่อไม่มี VPN	เมื่อ VPN เชื่อมต่ออยู่
เว็บที่คุณเปิด	เห็นเป็นชื่อโดเมน	ถูกซ่อนในอุโมงค์
เนื้อหาของหน้าเว็บหรือแอปที่ไม่เข้ารหัส	อ่านได้	ถูกซ่อน
การค้นหาชื่อเว็บ (DNS)	เห็นได้ในเครือข่ายเดียวกัน	ส่งในอุโมงค์ ถ้าแอปจัดการ DNS ถูกต้อง
การเบี่ยงคำขอเงียบๆ ในเครือข่ายภายใน	ทำได้บนเครือข่ายที่อ่อนแอ	ยากขึ้นมาก เพราะข้อมูลไม่ได้วิ่งเป็นคำขอธรรมดาในวงเครือข่ายนั้น
แอปไหนคุยกับเซิร์ฟเวอร์เบื้องหลัง	มักเดาได้	มองไม่เห็น

ผลดีหลักจึงคือการปกปิดเนื้อหาและปลายทาง คนที่นั่งข้างๆ แล้วดักข้อมูลใน Wi-Fi ได้ จะได้เพียงข้อมูลที่อ่านไม่ออกซึ่งส่งไปยังจุดเดียว

ประโยชน์นี้มากน้อยต่างกันตามอุปกรณ์ โทรศัพท์และแล็ปท็อปติดต่อเซิร์ฟเวอร์เบื้องหลังตลอดเวลา ทั้งอัปเดต ซิงก์ สำรองข้อมูล และแจ้งเตือน หลายการเชื่อมต่อเกิดขึ้นโดยเราไม่ได้คลิก จึงดูแม่กุญแจเพื่อตัดสินไม่ได้ อุโมงค์ครอบคลุมทั้งหมดในครั้งเดียว ต่อให้คุณเข้าแต่เว็บที่ดูปลอดภัยก็ยังมีประโยชน์

ต่อให้เปิด VPN ก็ยังมีสิ่งที่มองเห็นได้

ต้องรู้ส่วนที่เหลือให้ชัด เพราะความมั่นใจเกินจริงคือจุดที่ทำให้พลาด

1. รู้ว่าคุณอยู่ในเครือข่าย จุดกระจายสัญญาณเห็นที่อยู่ฮาร์ดแวร์ของอุปกรณ์และการเชื่อมต่อ โทรศัพท์หลายรุ่นสุ่มที่อยู่นี้ต่อเครือข่าย ซึ่งช่วยได้ แต่ไม่ใช่ทุกเครื่อง
2. รู้ว่าคุณใช้ VPN ผู้สังเกตเห็นการจราจรไปยังที่อยู่เดียวที่ลักษณะเหมือนอุโมงค์ อ่านเนื้อหาไม่ได้ แต่มักบอกได้ว่าเป็นอุโมงค์
3. ปริมาณและเวลา เห็นว่าส่งข้อมูลมากแค่ไหนและเมื่อใด กระแสใหญ่คงที่ดูเหมือนวิดีโอ ข้อมูลสั้นๆ เป็นช่วงดูเหมือนการแชต ไม่มีใครอ่านเนื้อหาได้ แต่รูปแบบมีอยู่
4. ที่อยู่เซิร์ฟเวอร์ VPN อุปกรณ์ต้องติดต่อเซิร์ฟเวอร์ VPN เพื่อเริ่มอุโมงค์ และที่อยู่นั้นมองเห็นได้
5. ทุกอย่างก่อนที่อุโมงค์จะพร้อม ถ้า VPN ยังไม่เชื่อมต่อหรือหลุดไปแล้ว ข้อมูลจะออกไปแบบเปิดจนกว่าจะเชื่อมต่อใหม่

ข้อสุดท้ายคือจุดอ่อนในทางปฏิบัติ โทรศัพท์และแล็ปท็อปเริ่มส่งข้อมูลทันทีที่เข้าเครือข่าย ทั้งเช็กอีเมล อัปเดตแอป และซิงก์คลาวด์ ถ้าคุณเปิด VPN หลังต่อ Wi-Fi ไปแล้วสามสิบวินาที คำขอชุดแรกก็ออกไปโดยไม่มีการป้องกันแล้ว ฟีเจอร์ตัดการเชื่อมต่อฉุกเฉิน (kill switch) ถ้าแอป VPN ของคุณมี จะช่วยลดปัญหานี้ อ่านการทำงานได้ที่ Kill Switch ของ VPN คืออะไร

การโจมตีที่ VPN ไม่ได้หยุดให้บน Wi-Fi สาธารณะ

เครือข่ายเป็นเพียงจุดหนึ่งที่มีปัญหาได้ VPN ไม่ช่วยอะไรกับเรื่องต่อไปนี้

• หน้าล็อกอินปลอม หน้าแรกของ Wi-Fi ในร้านกาแฟหลายแห่งให้ยอมรับเงื่อนไขหรือกรอกอีเมล เครือข่ายเลียนแบบอาจแสดงหน้าที่ขอมากกว่านั้น เช่น เลขบัตร รหัสผ่านโซเชียล หรือเบอร์โทร VPN ไม่ตัดสินว่าหน้านั้นซื่อสัตย์หรือไม่ แนวทางของ CISA เรื่องการรู้ทันฟิชชิง และบทความ วิธีสังเกตเว็บไซต์ฟิชชิง คือเครื่องมือที่ใช้ได้
• มัลแวร์ในเครื่อง ถ้ามีโปรแกรมร้ายติดอยู่แล้ว หรือคุณติดตั้งเองจากหน้าที่เขียนว่า "ต้องอัปเดต" บนฮอตสปอต มันอ่านข้อมูลได้ก่อนที่อุโมงค์จะเข้ารหัส
• รหัสผ่านอ่อนหรือใช้ซ้ำ VPN ไม่ทำให้รหัสผ่านที่รั่วใช้ไม่ได้ สิ่งที่ทำได้คือการยืนยันตัวตนสองขั้นตอน
• การตั้งค่าสิทธิ์ในเครื่องที่หละหลวม การแชร์ไฟล์ แชร์หน้าจอ และการล็อกอินระยะไกลควรปิดเมื่อเดินทาง
• คนแอบมองหน้าจอ นี่คือปัญหาของคน ไม่ใช่ของเครือข่าย

อ่านรายการที่กว้างกว่านี้ได้ใน สิ่งที่ VPN ปกป้องคุณไม่ได้

HTTPS ครอบคลุมเรื่องนี้อยู่แล้วหรือยัง

ครอบคลุมได้มากสำหรับหน้าเว็บ เมื่อเว็บใช้ HTTPS เนื้อหาหน้า ฟอร์มที่ส่ง และคุกกี้ที่แนบไปจะถูกเข้ารหัสระหว่างเบราว์เซอร์กับเว็บ ผู้โจมตีใน Wi-Fi ดูเฉยๆ แล้วอ่านรหัสผ่านของคุณไม่ได้ การเปรียบเทียบ HTTPS กับ VPN อธิบายการแบ่งหน้าที่ไว้ละเอียด

สิ่งที่ HTTPS ไม่ซ่อนคือชื่อเว็บ และมันคุ้มครองเฉพาะการจราจรที่ใช้ HTTPS จริงเท่านั้น ตัวอย่างที่ช่องว่างนี้สำคัญบนเครือข่ายร่วม

• แอปที่คุยกับเซิร์ฟเวอร์ของตัวเองผ่านการเชื่อมต่อที่ตั้งค่าไม่ดี
• อุปกรณ์สมาร์ตโฮมหรือเครื่องพิมพ์ในเครือข่ายเดียวกัน
• การเข้าเว็บที่ถูกลดระดับเป็น HTTP ธรรมดาเงียบๆ เพราะคุณพิมพ์ที่อยู่โดยไม่มีส่วนที่บอกว่าปลอดภัย
• บริการเบื้องหลังที่รายงานกลับบริษัทโดยไม่มีแม่กุญแจให้เห็น

ถ้าพึ่ง HTTPS อย่างเดียว เบราว์เซอร์จะปลอดภัยดี ส่วนอื่นไม่สม่ำเสมอ VPN ช่วยปรับให้เท่ากัน และถ้าใช้ทั้งสองอย่าง คนที่ดู Wi-Fi อยู่จะไม่เห็นทั้งเนื้อหาหน้าเว็บและชื่อเว็บ

กรณีตัวอย่าง ร้านกาแฟในสนามบิน

สมมติว่าสาวนั่งรอเที่ยวบินที่ล่าช้า เธอต่อ "Airport_Free_WiFi" กดยอมรับเงื่อนไข เปิดอีเมล และเช็กยอดเงินในแอปธนาคาร

ถ้าไม่มี VPN ผู้โจมตีที่นั่งใกล้ๆ พร้อมแล็ปท็อปอาจทำได้แค่ จดไว้ว่าเธอเข้าโดเมนของธนาคาร จดไว้ว่าเธอใช้บริการอีเมลใด และถ้าเธอเผลอต่อฮอตสปอตปลอมที่ใช้ชื่อเดียวกัน ก็แสดงหน้าล็อกอินที่ดูน่าเชื่อถือให้เธอกรอกได้

ถ้าเธอเปิด VPN ทันทีหลังหน้าเงื่อนไข จะเปลี่ยนไปดังนี้

1. การจราจรอีเมลและธนาคารอยู่ในอุโมงค์ ผู้โจมตีเห็นเพียงข้อมูลเข้ารหัสไปยังที่อยู่เดียว
2. ผู้โจมตียังเห็นว่าเธอใช้ VPN และเห็นปริมาณข้อมูลคร่าวๆ
3. ถ้าฮอตสปอตนั้นปลอมและขอรหัสผ่านอีเมล VPN ก็ไม่ช่วย เธอต้องสังเกตเองว่าหน้า Wi-Fi ฟรีที่ขอรหัสผ่านอีเมลนั้นผิดปกติ

ข้อที่สามคือบทเรียน VPN ลดความเสี่ยงหนึ่งอย่างและไม่แตะอีกอย่าง ส่วนที่เหลือต้องอาศัยนิสัยของผู้ใช้ ซึ่งเป็นเหตุผลที่ชุดขั้นตอนด้านล่างสำคัญพอๆ กับตัวเครื่องมือ

ชุดขั้นตอนสั้นๆ ที่ใช้ได้จริง

ไม่ต้องจำรายการยาว ห้าข้อนี้ครอบคลุมเกือบทั้งหมด

1. ถามชื่อเครือข่ายที่ถูกต้อง จากพนักงานหรือป้ายในร้าน และอย่าต่อชื่อที่คล้ายกัน
2. ปิดการเชื่อมต่ออัตโนมัติ กับเครือข่ายเปิดในโทรศัพท์และแล็ปท็อป และลบฮอตสปอตเก่าที่ไม่ใช้แล้วออก
3. เปิด VPN ทันที หลังหน้าเงื่อนไขหรือหน้าล็อกอิน ก่อนเปิดแอปสำคัญ ถ้าใช้ XPASS มีขั้นตอนใน การเชื่อมต่อ VPN บน Wi-Fi สาธารณะ
4. ดูแม่กุญแจและที่อยู่เว็บ ก่อนกรอกรหัสผ่าน และเปิดการยืนยันตัวตนสองขั้นตอนกับอีเมล ธนาคาร และโซเชียล
5. ยกเลิกและลืมเครือข่าย เมื่อออกจากที่นั่น และอัปเดตระบบกับแอปให้ทันสมัย

ถ้าฮอตสปอตดูเหมือนปฏิเสธการจราจร VPN บางเครือข่ายจำกัดไว้จริง ให้ใช้ข้อมูลมือถือของตัวเองสำหรับงานสำคัญ แทนการหาวิธีอ้อม เครือข่ายโรงแรมมีข้อควรรู้เฉพาะของตัวเอง ดู การใช้ VPN บน Wi-Fi โรงแรม

ข้อผิดพลาดที่พบบ่อย

• คิดว่าเปิด VPN แล้วทุกอย่างปลอดภัย อุโมงค์ครอบคลุมเฉพาะเส้นทางบนเครือข่าย
• เปิดช้าเกินไป นาทีแรกหลังต่อเครือข่ายคือช่วงที่เสี่ยงที่สุด
• ไม่สังเกตว่า VPN หลุดเงียบๆ สัญญาณอ่อนอาจทำให้หลุด ดูไอคอนสถานะก่อนล็อกอินทุกครั้ง
• กรอกข้อมูลส่วนตัวมากเกินไปในหน้าสมัคร Wi-Fi ให้เท่าที่จำเป็น และใช้อีเมลสำรองถ้าถูกบังคับให้กรอก
• มองว่าแอป VPN ฟรีทุกตัวเหมือนกัน บางตัวเก็บข้อมูลมากกว่าที่ปกป้อง ดู VPN ฟรีปลอดภัยไหม ก่อนติดตั้งบนฮอตสปอต
• ใช้คอมพิวเตอร์ที่ยืมหรือใช้ร่วมกัน โปรแกรมดักการพิมพ์ในเครื่องทำลายประโยชน์ของอุโมงค์ได้ทั้งหมด

สรุป

เมื่อเปิด VPN คนที่ใช้ Wi-Fi สาธารณะเดียวกันอ่านหน้าเว็บ ข้อความ หรือการค้นหาชื่อเว็บของคุณไม่ได้ เห็นเพียงว่าคุณเชื่อมต่ออยู่ ใช้อุโมงค์ และส่งข้อมูลปริมาณคร่าวๆ เท่าไร สิ่งที่ VPN ไม่หยุดก็สำคัญไม่แพ้กัน คือหน้าล็อกอินปลอม มัลแวร์ รหัสผ่านอ่อน ช่วงก่อนอุโมงค์พร้อม และฮอตสปอตปลอมที่คุณเผลอต่อ ควรใช้ VPN คู่กับการเลือกเครือข่ายอย่างระวัง การเปิดเร็ว การอัปเดต และการยืนยันตัวตนสองขั้นตอน

ถ้าต้องการตัวเลือกง่ายๆ สำหรับการเดินทางหรือทำงานในร้านกาแฟสักไม่กี่สัปดาห์ คุณดู หน้าราคา ได้ตามสบาย