เปรียบเทียบรายงานตรวจสอบความปลอดภัยของ VPN หลายแบรนด์

ลองค้นหา VPN ที่เน้นความเป็นส่วนตัว แล้วคุณจะเห็นคำว่า "audited" แทบทุกหน้าแรก บางข้ออ้างตั้งอยู่บนรายงานยาวที่เปิดเผยต่อสาธารณะและเขียนโดยบริษัทภายนอก บางข้ออ้างตั้งอยู่บนย่อหน้าเดียวกับโลโก้หนึ่งอัน เมื่อคุณเลือกระหว่างสองผู้ให้บริการ ก็ชวนให้มองว่าเท่ากันเพราะใช้คำเดียวกัน แต่ไม่เท่ากัน และความต่างมักปรากฏในเอกสารเองหากรู้ว่าต้องมองตรงไหน

บทความนี้ไม่ใช่การจัดอันดับแบรนด์ และไม่เอ่ยชื่อแบรนด์ใด เพราะการจัดอันดับล้าสมัยเร็วและมักมีผู้จ่ายเงินอยู่เบื้องหลัง แต่จะให้วิธีการ คือชุดคำถามและตารางที่คุณกรอกได้กับผู้ให้บริการรายใดก็ได้ เพื่อให้เปรียบเทียบของที่เทียบกันได้จริง ก่อนเริ่มอาจอ่านบทนำ VPN audit คืออะไร ซึ่งอธิบายพื้นฐาน บทความนี้สมมติว่าคุณรู้แล้วว่า audit คืออะไร และอยากเทียบหลายรายงานเข้าด้วยกัน

ทำไมข้ออ้างเรื่อง audit จึงเทียบยาก

audit คือการตรวจสอบอย่างเป็นระบบโดยบุคคลอื่นที่ไม่ใช่ผู้ให้บริการ นั่นคือสิ่งเดียวที่คำนี้รับประกัน ส่วนอื่นทั้งหมดแตกต่างกันไป

• หัวข้อที่ตรวจ รายงานอาจตรวจนโยบายความเป็นส่วนตัวที่เขียนไว้ การตั้งค่าเซิร์ฟเวอร์ โค้ดของแอป โครงสร้างพื้นฐานที่จัดการบัญชี หรือหลายอย่างรวมกัน
• วิธีการ ผู้ตรวจอาจอ่านเอกสาร สัมภาษณ์พนักงาน ตรวจการตั้งค่า ทดสอบกับระบบ หรืออ่านซอร์สโค้ดทีละบรรทัด
• ความลึก การตรวจหนึ่งสัปดาห์กับตัวอย่างเซิร์ฟเวอร์ไม่เหมือนงานระยะยาวที่เข้าถึงได้ทุกอย่าง
• ผลลัพธ์ รายงานอาจแจกแจงข้อค้นพบและระดับความรุนแรง หรืออาจมีแค่ย่อหน้าเดียวที่ฟังแล้วอุ่นใจ
• การเผยแพร่ บางรายเผยแพร่ฉบับเต็ม บางรายเผยแพร่สรุป บางรายแชร์จดหมายจากผู้ตรวจสอบ บางรายไม่เผยแพร่อะไรนอกจากป้ายสัญลักษณ์

เพราะผู้ให้บริการเป็นผู้เลือกว่าจะว่าจ้างตรวจอะไรและเปิดเผยอะไร แบรนด์ที่ "ผ่าน audit" สองแบรนด์จึงอยู่คนละปลายของสเกลหลักฐานได้ งานของเราคืออ่านเอกสารให้มากพอจะวางแต่ละรายลงบนสเกลนั้น

หกคำถามที่ควรถามกับทุกรายงาน

ใช้หกคำถามนี้กับทุก audit ที่คุณเจอ จดคำตอบไว้ แบบแผนจะเห็นชัดเร็วมาก

1. ตรวจอะไรกันแน่

มองหาส่วนขอบเขต ขอบเขตที่ชัดจะระบุระบบที่ถูกตรวจ เช่น "เซิร์ฟเวอร์ production ที่รับการเชื่อมต่อของลูกค้า" "แอป Windows และ Android เวอร์ชัน X" หรือ "ขั้นตอนจัดการคำร้องทางกฎหมาย" อะไรที่ไม่ได้ระบุถือว่าอยู่นอกขอบเขต ขอบเขตที่เขียนแค่ "บริการ" โดยไม่มีรายละเอียดถือว่าอ่อน

2. ทดสอบข้ออ้างใด

บางรายงานทดสอบคำกล่าวที่เจาะจงและตรวจสอบได้ เช่น เซิร์ฟเวอร์ไม่เก็บข้อมูลบางหมวด บางรายงานทดสอบสุขอนามัยความปลอดภัยทั่วไป เช่น การแพตช์และการควบคุมสิทธิ์ ทั้งสองแบบมีประโยชน์ แต่ตอบคำถามต่างกัน หากสิ่งที่คุณกังวลคือผู้ให้บริการบันทึกอะไรเกี่ยวกับคุณ การทดสอบเจาะระบบแอปไม่ตอบเรื่องนั้น และกลับกัน ภาพรวม ผู้ให้บริการ VPN เห็นอะไรบ้าง ช่วยให้คุณตัดสินใจว่าข้ออ้างไหนสำคัญที่สุดสำหรับคุณ

3. ใครเป็นผู้ทำ และเป็นอิสระแค่ไหน

ตรวจว่าผู้ตรวจสอบเป็นบริษัทที่มีชื่อและมีประวัติด้านความปลอดภัยหรือการให้ความเชื่อมั่น ระวังเมื่อผู้ตรวจสอบเป็นที่ปรึกษาที่ขายบริการให้ผู้ให้บริการรายนั้นด้วย หรือรายงานถูกเขียนเพื่อการตลาดมากกว่าเพื่อการรับรอง ความเป็นอิสระไม่ได้แปลว่าเป็นปฏิปักษ์ แต่หมายความว่าผู้ให้บริการแก้ข้อสรุปไม่ได้

4. ทำเมื่อไร และครอบคลุมเวอร์ชันใด

วันที่และเวอร์ชันเป็นสิ่งที่ขาดไม่ได้ รายงานของแอปปีที่แล้วบอกอะไรเกี่ยวกับปีนี้ได้น้อย ดูว่าช่วงเวลาที่ครอบคลุมคือเมื่อไร และผู้ให้บริการบอกหรือไม่ว่าเปลี่ยนอะไรไปบ้างตั้งแต่นั้น ผู้ให้บริการที่ตรวจซ้ำตามรอบแสดงว่าถือเรื่องการรับรองเป็นงานต่อเนื่อง

5. ผู้ตรวจพบอะไร และหลังจากนั้นเกิดอะไรขึ้น

รายงานที่ไม่มีข้อค้นพบเลยเป็นเรื่องหายากสำหรับระบบจริง รายงานที่ซื่อตรงจะแจกแจงปัญหา จัดอันดับความรุนแรง และอธิบายการตอบสนองของผู้ให้บริการ ผู้ให้บริการที่เผยแพร่การติดตามผลว่าแก้รายการใดแล้ว ให้หลักฐานที่แข็งกว่ารายที่มีสรุปสะอาดแต่คลุมเครือ

6. มีรายงานฉบับเต็มหรือไม่ และอยู่ที่ไหน

ลิงก์บนเว็บไซต์ของผู้ให้บริการดี สำเนาที่ผู้ตรวจสอบเก็บไว้ดีกว่า เพราะผู้ให้บริการแอบเปลี่ยนไม่ได้ หากเปิดเผยเพียงบางส่วน ให้ดูว่าฉบับสรุปบอกไหมว่าอะไรถูกตัดออก

ตารางที่คุณคัดลอกไปใช้ได้

เลือกผู้ให้บริการสองถึงสามราย ให้คะแนนแต่ละแถวตั้งแต่ 0 ถึง 2 โดย 0 คือไม่มีหรือไม่ชัด 1 คือมีบางส่วน 2 คือชัดและมีเอกสาร ตัวเลขเป็นเพียงวิธีมองความต่าง ไม่ใช่การจัดเรตติ้งอย่างเป็นทางการ

คำถาม	รายที่ A	รายที่ B	รายที่ C
ระบุขอบเขตชัดเจน
ข้ออ้างที่ทดสอบเจาะจงและตรวจสอบได้
ระบุชื่อผู้ตรวจสอบและเป็นอิสระ
ระบุวันที่และเวอร์ชันซอฟต์แวร์
แจกแจงข้อค้นพบพร้อมระดับความรุนแรง
เผยแพร่การแก้ไขหรือการติดตามผล
มีรายงานฉบับเต็มเปิดเผยต่อสาธารณะ
ตรวจซ้ำตามรอบสม่ำเสมอ

คะแนนรวมที่ใกล้เต็มบ่งบอกถึงผู้ให้บริการที่ถือ audit เป็นความรับผิดชอบต่อสาธารณะ คะแนนต่ำไม่ได้พิสูจน์ว่าทำผิด แต่หมายความว่าคุณกำลังพึ่งความเชื่อใจมากกว่าหลักฐาน สังเกตว่าตารางนี้ไม่ให้รางวัลกับคำว่า "audited" แต่ให้รางวัลกับเอกสาร

audit แต่ละชนิดตอบคำถามต่างกัน

ไม่ใช่ทุก audit ที่ออกแบบมาตอบเรื่องความเป็นส่วนตัว การรู้ชนิดจะบอกว่าสรุปอะไรได้

ชนิดของ audit	บอกอะไรคุณได้	ไม่ได้บอกอะไร
ตรวจนโยบายหรือการรับรองกระบวนการ	การปฏิบัติของผู้ให้บริการตรงกับที่เขียนไว้หรือไม่	ซอฟต์แวร์มีช่องโหว่หรือไม่
ตรวจโครงสร้างพื้นฐานหรือการตั้งค่า	เซิร์ฟเวอร์ถูกตั้งค่าอย่างไรและเก็บอะไร	แอปปราศจากบั๊กหรือไม่
ทดสอบเจาะระบบแอป	ผู้โจมตีทำลายแอปหรือทำให้ทราฟฟิกรั่วได้ไหม	การตัดสินใจเรื่องการจัดการข้อมูลของผู้ให้บริการ
ตรวจซอร์สโค้ด	โค้ดทำตามที่อ้างหรือไม่ ในเวอร์ชันนั้น	พฤติกรรมของเซิร์ฟเวอร์ที่คุณมองไม่เห็น
ใบรับรองมาตรฐาน	มีการทำตามกระบวนการที่จัดทำเป็นเอกสาร	อะไรก็ตามนอกขอบเขตของมาตรฐาน

ผู้ให้บริการที่มีการทดสอบแอปอย่างเข้มแต่ไม่มีการตรวจโครงสร้างพื้นฐาน ให้หลักฐานเรื่องซอฟต์แวร์แต่ไม่ใช่เรื่องเซิร์ฟเวอร์ ผู้ให้บริการที่ตรวจนโยบายแต่ไม่มีงานทางเทคนิคให้เพียงคำพูดที่ถูกตรวจเทียบกับคำพูดอื่น หลักฐานที่ดีที่สุดมาจากหลายชนิดต่อเนื่องกันตามเวลา

สำหรับถ้อยคำที่ผู้ให้บริการใช้อธิบายสิ่งที่บันทึก ดูคู่มือ นโยบายการเก็บบันทึกของ VPN ส่วนรายงานความโปร่งใสเพิ่มอีกชั้น คือบอกว่าหน่วยงานรัฐขอข้อมูลบ่อยแค่ไหนและผลเป็นอย่างไร ดู รายงานความโปร่งใสของ VPN เพื่ออ่านให้เป็น

อ่านเอกสาร: สัญญาณเตือนและสัญญาณที่ดี

ใช้เวลาสิบนาทีกับแต่ละรายงานและมองหาเครื่องหมายเหล่านี้

สัญญาณเตือน

• ขอบเขตคลุมเครือ หรือจำกัดอยู่กับสิ่งที่ไม่เกี่ยวกับข้ออ้างที่โฆษณา
• รายงานเป็นจดหมายหน้าเดียวโดยไม่อธิบายวิธีการ
• ไม่ระบุชื่อผู้ตรวจสอบ หรือเป็นบริษัทที่ดูเหมือนมีไว้ออกป้ายสัญลักษณ์
• วันที่เก่า หรือเวอร์ชันไม่ตรงกับแอปปัจจุบัน
• ข้ออ้างทางการตลาดเกินกว่าที่รายงานบอก เช่น "เป็นส่วนตัวสมบูรณ์" ทั้งที่รายงานทดสอบองค์ประกอบเดียว
• ลิงก์ไปหน้าที่ต้องล็อกอิน หรือเอกสารถูกถอดออก
• รายงานถูกว่าจ้างโดยบริษัทอื่นหรือเจ้าของเดิม

สัญญาณที่ดี

• ข้อค้นพบมีการจัดระดับความรุนแรงและมีการตอบสนองของผู้ให้บริการ
• มี audit หลายครั้งตลอดหลายปี แต่ละครั้งมีขอบเขตชัด
• มีแผนเผยแพร่ว่าจะตรวจอะไรต่อไป
• มีโปรแกรมรางวัลหาช่องโหว่หรือช่องทางติดต่อด้านความปลอดภัยที่ชัดเจนควบคู่ไปกับ audit
• มีถ้อยคำตรงไปตรงมาว่า audit ไม่ได้ครอบคลุมอะไร

สามตัวอย่างการเปรียบเทียบ

A. ป้ายสัญลักษณ์เทียบกับรายงาน มายาเปรียบเทียบสองผู้ให้บริการ รายหนึ่งแสดงตราประทับ "audited" ที่ด้านบนของเว็บไซต์แต่ไม่มีลิงก์ อีกรายลิงก์ไปรายงาน 40 หน้าโดยบริษัทที่มีชื่อ มีขอบเขต มีวันที่ภายในปีที่ผ่านมา มีรายการข้อค้นพบ และหมายเหตุว่าข้อไหนแก้แล้ว ในตาราง รายแรกได้ 1 จาก 16 และรายที่สองได้ 13 เธอไม่ได้เรียนรู้ว่ารายที่สองสมบูรณ์แบบ แต่เรียนรู้ว่ารายไหนให้สิ่งที่ตรวจสอบได้

B. สองรายงานจริงที่ขอบเขตต่างกัน เดฟพบสองผู้ให้บริการที่เผยแพร่รายงานทั้งคู่ รายงานหนึ่งตรวจแอปและพบปัญหาระดับกลางหลายข้อ ซึ่งแก้ครบ อีกฉบับตรวจการตั้งค่าเซิร์ฟเวอร์และรายงานสิ่งที่ถูกเก็บ ไม่มีฉบับใดดีกว่า เพราะตอบคำถามต่างกัน เดฟตัดสินใจว่าเขาสนใจเรื่องสิ่งที่ถูกเก็บมากกว่า จึงอ่านฉบับที่สองละเอียดขึ้น แล้วถามผู้ให้บริการรายแรกว่ามีการตรวจเซิร์ฟเวอร์หรือไม่

C. audit เก่า ผู้ให้บริการรายหนึ่งอ้าง audit จากหลายปีก่อน ตั้งแต่นั้นเปลี่ยนเจ้าของ เขียนแอปใหม่ และเพิ่มโครงสร้างเซิร์ฟเวอร์ใหม่ มาเรียอ่านรายงาน เห็นว่าครอบคลุมระบบที่ถูกแทนที่ไปเกือบหมด จึงถือว่าเป็นประวัติศาสตร์ ไม่ใช่หลักฐาน เธออีเมลถามว่ามีการตรวจรอบใหม่ไหม คำตอบที่รวดเร็วและเจาะจงก็เป็นข้อมูลในตัวมันเอง

audit บอกคุณไม่ได้เรื่องอะไร

audit มีข้อจำกัดที่ตารางเปรียบเทียบใดก็แก้ไม่ได้

• เป็นภาพ ณ จุดเวลา ระบบที่คุณใช้พรุ่งนี้อาจต่างจากระบบที่ถูกตรวจ
• ครอบคลุมเฉพาะสิ่งที่อยู่ในขอบเขต
• พิสูจน์ไม่ได้ว่าบางสิ่งไม่เคยเกิดขึ้น ทำได้เพียงบอกว่าไม่พบระหว่างการตรวจ
• ไม่แทนที่นิสัยที่ดีของคุณเอง ได้แก่ อัปเดตแอป รหัสผ่านที่ไม่ซ้ำ การยืนยันตัวตนสองขั้นตอน และความระวังกับลิงก์
• ไม่บอกว่าบริษัทจะทำอย่างไรเมื่อเจ้าของ การเงิน หรือสถานการณ์ทางกฎหมายเปลี่ยน นั่นเป็นเรื่องความไว้วางใจ ซึ่งบทความ โมเดลความไว้วางใจของ VPN พูดถึง
• ไม่ใช่สิ่งทดแทนการทดสอบ คุณยังตรวจพื้นฐานเองได้ตามที่อธิบายใน วิธีทดสอบ VPN

หากต้องการตารางคะแนนที่กว้างกว่า audit ดู วิธีเปรียบเทียบผู้ให้บริการ VPN

อีเมลสั้น ๆ ที่คุณส่งได้

หากข้อมูล audit ของผู้ให้บริการไม่ชัด ให้ถาม ข้อความสั้นและเจาะจงได้ผลดี

1. ระบุว่าคุณถามเกี่ยวกับรายงานหรือข้ออ้างใด
2. ถามว่ามีสำเนาฉบับเต็มหรือไม่ และอยู่ที่ไหน
3. ถามว่าครอบคลุมซอฟต์แวร์เวอร์ชันใดและระบบใดบ้าง
4. ถามว่าวางแผนตรวจรอบถัดไปเมื่อไร
5. ถามว่ามีอะไรเปลี่ยนไปนับแต่รายงานล่าสุด

ผู้ให้บริการที่ยินดีรับคำถามเหล่านี้มักมีคำตอบพร้อม คำตอบที่ช้า คลุมเครือ หรือตั้งป้อม ก็เป็นข้อมูลที่มีประโยชน์เช่นกัน

สรุป

"audited" เป็นจุดเริ่มต้น ไม่ใช่คำตัดสิน ให้เปรียบเทียบรายงานตามขอบเขต ข้ออ้างที่ทดสอบ ความเป็นอิสระของผู้ตรวจ วันที่และเวอร์ชัน ข้อค้นพบและการแก้ไข ความพร้อมให้ตรวจสอบ และการทำซ้ำ audit ต่างชนิดตอบคำถามต่างกัน จึงควรจับคู่กับความกังวลของคุณเอง และจำไว้ว่าทุก audit คือภาพ ณ จุดเวลา ใช้ตารางเพื่อให้การเปรียบเทียบเป็นธรรม ถามผู้ให้บริการเมื่อมีจุดไม่ชัด และรวมหลักฐานจาก audit เข้ากับเงื่อนไขที่ชัดเจน รายงานความโปร่งใส และการทดสอบด้วยตัวคุณเอง

หากคุณชอบแพ็กเกจแบบเติมเงินที่หมดอายุเอง ระหว่างที่ทำการบ้านเรื่องนี้ ดู หน้าราคา ได้เมื่อพร้อม