DNS Hijacking ต่างจาก DNS Leak อย่างไร

คำว่า DNS ปรากฏอยู่ในความกังวลสองเรื่องที่ต่างกันมาก เรื่องแรกคือ DNS leak ซึ่งคำขอค้นหาชื่อของคุณเดินทางออกนอก VPN ไปยัง resolver ที่คุณไม่ได้เลือก เรื่องที่สองคือ DNS hijacking ซึ่งมีคนเปลี่ยนคำตอบ ทำให้ชื่อที่คุณพิมพ์พาไปผิดที่ คนมักสับสนสองเรื่องนี้ ส่วนหนึ่งเพราะใช้หน้าทดสอบและเครื่องมือประเภทเดียวกัน อีกส่วนเพราะเกี่ยวกับบริการเดียวกัน แต่ทั้งสองเป็นคนละปัญหา มีสาเหตุ อาการ และวิธีแก้ต่างกัน

บทความนี้เปรียบเทียบสองเรื่องนี้โดยตรง โดยสมมติว่าคุณรู้แล้วว่า DNS แปลงชื่อเป็นที่อยู่ (ถ้ายังไม่รู้ ดู DNS ทำงานอย่างไร) และจะไม่อธิบาย leak ซ้ำทั้งหมด เพราะอยู่ใน DNS leak คืออะไร แล้ว เป้าหมายของบทความนี้คือช่วยให้คุณตัดสินได้ว่าคุณเจอปัญหาไหนกันแน่ และ VPN ทำอะไรได้หรือไม่ได้

การมองเห็น กับความถูกต้อง

วิธีจำความต่างที่ดีคือใช้สองคำจากโลกความปลอดภัย คือ visibility (การมองเห็น) และ integrity (ความถูกต้องสมบูรณ์)

• Leak เป็นปัญหาการมองเห็น คำตอบที่ได้ถูกต้อง ปัญหาคือมีคนที่คุณไม่ได้เลือกอ่านคำถามได้ ถ้า VPN เปิดอยู่แต่คำขอค้นหาเว็บหนึ่งไปที่ resolver ของผู้ให้บริการมือถือ ผู้ให้บริการก็รู้ว่าคุณถามถึงเว็บนั้น หน้าเว็บยังโหลดได้ปกติ และได้เนื้อหาที่ถูกต้อง
• Hijacking เป็นปัญหาความถูกต้อง อาจไม่มีใครเห็นคำถามเพิ่ม แต่คำตอบเป็นเท็จ คุณพิมพ์ชื่อธนาคารแล้วได้ที่อยู่ของเว็บเลียนแบบ หน้าเว็บอาจดูถูกต้อง แต่ไม่ใช่ของจริง เรื่องการมองเห็นไม่เกี่ยวเลย

คุณมีอย่างใดอย่างหนึ่งโดยไม่มีอีกอย่างก็ได้ หรือมีทั้งสองพร้อมกัน เครือข่ายร้านกาแฟที่ดักคำขอทั้งเห็นคำขอ (การมองเห็น) และอาจเปลี่ยนคำตอบ (ความถูกต้อง) ส่วนเราเตอร์ที่บ้านซึ่งถูกตั้งค่าใหม่แบบเงียบ ๆ ให้ใช้ resolver ที่เป็นอันตรายถือเป็น hijack แม้คุณจะไม่ได้ใช้ VPN เลย

เปรียบเทียบเคียงข้างกัน

ลักษณะ	DNS leak	DNS hijacking
สิ่งที่ได้รับผลกระทบ	ใครเห็นคำขอของคุณ	คำตอบที่คุณได้รับ
คำตอบถูกต้องไหม	ถูกต้อง	ไม่ถูกต้อง ถูกแก้ไข
ความเสียหายทั่วไป	เสียความเป็นส่วนตัว ประวัติการเข้าเว็บถูกเห็นโดยเจ้าของ resolver	เว็บปลอม ล็อกอินถูกขโมย โฆษณาที่ไม่ต้องการ มัลแวร์
สาเหตุทั่วไป	VPN หรือระบบส่งคำขอไปผิด resolver	เราเตอร์ถูกเจาะ resolver ที่เป็นอันตรายหรือปลอม มัลแวร์ การแอบแก้บนเส้นทางเครือข่าย
สังเกตได้อย่างไร	หน้าทดสอบ leak แสดง resolver ที่คุณไม่ได้เลือก	ถูกเปลี่ยนเส้นทาง หน้าค้นหาแปลก ๆ คำเตือนใบรับรอง เว็บที่ดูไม่ถูกต้อง
วิธีแก้เบื้องต้น	แก้การตั้งค่า VPN หรือ DNS แล้วทดสอบอีกครั้ง	กำจัดสาเหตุ รีเซ็ตเราเตอร์และรหัสผ่าน สแกนอุปกรณ์
VPN ช่วยไหม	ช่วย นั่นคืองานของมันเมื่อทำงานถูกต้อง	ช่วยบางส่วน ต่อการแอบแก้บนเครือข่ายท้องถิ่น

ตารางซ่อนจุดละเอียดอ่อนข้อหนึ่งไว้ คือ leak อาจเปิดทางให้เกิด hijack ได้ ถ้าคำขอของคุณหลุดไปหา resolver บนเครือข่ายที่ไม่หวังดี เครือข่ายนั้นก็ตอบเท็จได้ Leak สำคัญเพราะมันขยายกลุ่มคนที่เห็นหรือแก้ทราฟฟิกของคุณได้

Hijacking เกิดขึ้นจริงอย่างไร

Hijacking ไม่ใช่เทคนิคเดียว แต่เป็นกลุ่มวิธีที่นำคำตอบเท็จมาวางตรงหน้าคุณ วิธีหลักสำหรับผู้ใช้ทั่วไปมีดังนี้

1. การตั้งค่าเราเตอร์ถูกเปลี่ยน เราเตอร์ตามบ้านมักใช้รหัสผู้ดูแลที่เป็นค่าเริ่มต้นหรืออ่อนแอ ถ้ามีคนเข้าได้ ก็สลับเซิร์ฟเวอร์ DNS ที่เราเตอร์แจกให้ทุกอุปกรณ์ในบ้านได้ ทุกเครื่องจะถาม resolver ที่ผู้โจมตีควบคุม
2. มัลแวร์บนอุปกรณ์ ซอฟต์แวร์ในคอมพิวเตอร์หรือโทรศัพท์เปลี่ยนการตั้งค่า DNS แก้ไฟล์ hosts หรือติดตั้งพร็อกซีปลอมได้ อุปกรณ์จึงส่งชื่อไปผิดที่ไม่ว่าจะอยู่เครือข่ายใด
3. เครือข่ายปลอม จุดเชื่อมต่อที่เป็นอันตรายหรือฮอตสปอตสาธารณะที่ถูกเจาะ ตอบคำขอเองได้ หรือแจก resolver ของตัวเองเมื่ออุปกรณ์เชื่อมต่อ
4. การดักบนเส้นทาง DNS แบบธรรมดาไม่เข้ารหัส ใครที่อยู่ระหว่างคุณกับ resolver (และบางเครือข่ายทำเพื่อความสะดวกหรือการกรอง) ตอบด้วยคำตอบของตัวเองก่อนที่คำตอบจริงจะมาถึงได้
5. แคชของ resolver ถูกแก้ Cache poisoning ใส่ระเบียนปลอมในresolver ที่หลายคนใช้ร่วมกัน resolver สมัยใหม่ป้องกันกลเม็ดที่รู้จักส่วนใหญ่ได้ และกรณีนี้พบน้อยสำหรับผู้ใช้ทั่วไป แต่ก็เคยเกิดขึ้น
6. โดเมนถูกยึด ผู้โจมตีเข้าบัญชีที่ผู้รับจดทะเบียนหรือผู้ให้บริการ DNS แล้วเปลี่ยนจุดที่ชื่อจริงชี้ไป กรณีนี้อุปกรณ์และเครือข่ายของคุณไม่ได้ทำอะไรผิด เจ้าของเว็บเป็นผู้ที่ต้องป้องกัน
7. พฤติกรรมของ resolver ที่คุณไม่ได้ยินยอม ผู้ให้บริการอินเทอร์เน็ตบางรายตอบ "ไม่มีชื่อนี้" ด้วยหน้าค้นหาหรือโฆษณา ไม่ใช่การขโมย แต่เป็นการเปลี่ยนคำตอบที่คุณไม่ได้ขอ

เรื่องส่วนใหญ่ข้างต้นเป็นหัวข้อเชิงป้องกันสำหรับผู้ใช้ คุณต้องการรู้ว่าต้องมองหาอะไร ไม่ใช่ทำอย่างไร

สัญญาณว่ามีบางอย่างแอบแก้การค้นหาชื่อของคุณ

สัญญาณของ leak กับ hijack ซ้อนทับกันเพียงเล็กน้อย สัญญาณทั่วไปของ hijack คือ

• เว็บที่รู้จักดีโดนเบราว์เซอร์ขึ้น คำเตือนใบรับรอง ว่าการเชื่อมต่อไม่ปลอดภัย
• หน้าที่คุณใช้มาร้อยครั้งดูผิดเพี้ยนเล็กน้อย เลย์เอาต์ต่างไป ภาษาแปลก มีช่องล็อกอินเพิ่ม
• พิมพ์ชื่อเว็บในแถบที่อยู่แล้วขึ้น หน้าค้นหาหรือโฆษณา ที่ไม่คุ้นแทนที่จะขึ้น "ไม่พบเว็บไซต์"
• หลายอุปกรณ์ที่บ้านมีพฤติกรรมแปลกเหมือนกัน แสดงว่าเป็นเราเตอร์ ไม่ใช่เครื่องเดียว
• การตั้งค่า DNS ของเราเตอร์แสดงเซิร์ฟเวอร์ที่คุณไม่ได้เลือก
• หน้าอัปเดตซอฟต์แวร์หรือหน้าความปลอดภัยเปิดไม่ได้ หรือเว็บแอนติไวรัสถูกบล็อก ซึ่งมัลแวร์บางตัวทำ

สัญญาณของ leak เงียบกว่า หน้าทดสอบแสดง resolver ที่ไม่คาดคิด หรือผลทดสอบ DNS เปลี่ยนไประหว่างเปิดกับปิด VPN เว็บทำงานปกติเสมอ ถ้าคุณเห็นแต่สัญญาณแบบหลัง แสดงว่าน่าจะเป็น leak ไม่ใช่ hijack

ขั้นตอนตรวจสอบที่ทำได้ทันที

เริ่มจากการตรวจที่ง่ายที่สุดแล้วขยายออก

1. ดูที่เราเตอร์ เปิดหน้าผู้ดูแล ซึ่งมักอยู่ที่ที่อยู่ส่วนตัวที่พิมพ์ไว้บนฉลากเครื่อง ค้นหาการตั้งค่า DNS หรืออินเทอร์เน็ต จดว่ามีเซิร์ฟเวอร์ DNS ใดบ้าง ถ้าระบุว่าอัตโนมัติ แปลว่าใช้เซิร์ฟเวอร์ของผู้ให้บริการ ถ้าเป็นแบบกำหนดเอง ให้ตรวจว่าคุณรู้จักทุกตัว
2. ตรวจอุปกรณ์ เปิดการตั้งค่าเครือข่าย ดูว่ามีการตั้ง DNS ด้วยมือหรือไม่ บนคอมพิวเตอร์ให้ตรวจด้วยว่ามีการตั้งพร็อกซีแปลก ๆ ในระบบหรือเบราว์เซอร์หรือเปล่า
3. เทียบคำตอบ ค้นชื่อเว็บชื่อดังชื่อเดียวกันกับ resolver สองตัวที่ต่างกัน เช่นใช้เครื่องมือ nslookup โดยระบุ resolver ต่อท้ายชื่อเว็บ แล้วดูว่าที่อยู่ตรงกันหรือไม่ เว็บใหญ่ที่มีหลายที่อยู่อาจต่างกันเล็กน้อย ให้มองหาผลที่ต่างกันโดยสิ้นเชิงหรือชี้ไปเครือข่ายที่ไม่คุ้น ไม่ใช่ความต่างเล็กน้อย
4. ลองเครือข่ายอื่น สลับจาก Wi-Fi บ้านเป็นเน็ตมือถือ ถ้าอาการแปลกหายไป สาเหตุอยู่ที่เครือข่ายหรือเราเตอร์แรก ไม่ใช่อุปกรณ์ของคุณ
5. ลองโปรไฟล์เบราว์เซอร์ใหม่ ถ้าส่วนขยายหรือการตั้งค่าในเบราว์เซอร์หนึ่งเป็นต้นเหตุ โปรไฟล์ใหม่จะทำงานปกติ
6. ตรวจใบรับรอง บนหน้าที่น่าสงสัย คลิกรูปกุญแจแล้วอ่านรายละเอียดใบรับรอง เว็บจริงแสดงใบรับรองที่ถูกต้องสำหรับชื่อของตัวเอง ถ้าไม่ตรงให้หยุด
7. ทดสอบ leak แยกต่างหาก ถ้าทุกข้อด้านบนปกติ การทดสอบ leak จะบอกว่าปัญหาอีกแบบ คือการมองเห็น มีอยู่หรือไม่

ถ้าอุปกรณ์ใดทำงานแปลกบนเครือข่ายไหนก็ตาม ให้ถือเป็นปัญหาของอุปกรณ์ และสแกนด้วยเครื่องมือความปลอดภัยที่เชื่อถือได้ก่อนทำอย่างอื่น

VPN ทำอะไรกับแต่ละปัญหา

VPN ไม่ใช่ยารักษาทั้งสองอย่าง และควรระบุให้ชัดว่ามันครอบคลุมอะไร

ต่อ leak VPN ที่ทำงานถูกต้องส่งคำขอผ่านอุโมงค์ไปยัง resolver ของตัวเอง เครือข่ายท้องถิ่นและผู้ให้บริการมือถือจึงไม่เห็นอีก ผู้ให้บริการ VPN จะเป็นผู้เห็นแทน ซึ่งเป็นการเลือกว่าจะไว้ใจใครที่คุณควรตัดสินใจอย่างรู้ตัว การทดสอบ leak ตาม วิธีตรวจว่า VPN ทำงานอยู่ จะบอกว่าบนเครื่องของคุณมันทำงานแบบนั้นจริงหรือไม่

ต่อ hijack ในเครือข่ายท้องถิ่น เพราะคำขอเดินทางในอุโมงค์ที่เข้ารหัส เราเตอร์โรงแรม ฮอตสปอตปลอม หรือเครือข่ายที่แทรกแซงจึงอ่านหรือแทนที่คำขอระหว่างทางไม่ได้ ซึ่งเป็นประโยชน์จริงบน Wi-Fi ที่ใช้ร่วมกัน และเป็นเหตุผลหนึ่งที่คนใช้ VPN ที่นั่น ใช้ Wi-Fi สาธารณะอย่างปลอดภัยขึ้น ครอบคลุมภาพรวมที่กว้างกว่า

สิ่งที่ VPN ไม่ได้ทำ

• ไม่ซ่อมเราเตอร์ที่บ้านซึ่งถูกเจาะ ถ้าเราเตอร์ถูกเปลี่ยนค่า VPN อาจยังทำงานบนมันได้ แต่ค่าที่อุปกรณ์อื่นใช้ยังผิด
• ไม่กำจัดมัลแวร์ที่แก้การตั้งค่า DNS บนตัวอุปกรณ์
• ไม่พิสูจน์ว่า resolver ปลายทางซื่อสัตย์ คุณแค่ย้ายความไว้วางใจ ไม่ได้กำจัดมัน
• ไม่หยุดการยึดโดเมนที่ผู้รับจดทะเบียน
• ไม่บอกว่าหน้าเว็บเป็นของจริงหรือไม่ เว็บฟิชชิงที่เข้าถึงผ่าน DNS ที่ถูกต้องก็ยังเป็นเว็บฟิชชิง การรู้ทันเว็บฟิชชิงเป็นทักษะอีกเรื่องหนึ่ง

การป้องกันอื่นที่ใช้ร่วมกับ VPN ได้

เครื่องมือหลายอย่างจัดการเรื่องความถูกต้องโดยตรง และเข้ากันได้ดีกับ VPN

• HTTPS และใบรับรอง เบราว์เซอร์ตรวจว่าเว็บที่คุณไปถึงพิสูจน์ได้ว่าเป็นเจ้าของชื่อนั้น ถ้าคำตอบ DNS พาคุณไปยังสำเนา ใบรับรองจะไม่ตรงและคุณจะได้คำเตือน ดูว่า HTTPS ให้อะไรได้ในคำอธิบายของ Cloudflare และอย่ากดข้ามคำเตือนบนเว็บที่คุ้นเคย
• DNS แบบเข้ารหัส DNS over HTTPS (RFC 8484) และ DNS over TLS เข้ารหัสคำถามและคำตอบระหว่างคุณกับ resolver ซึ่งหยุดการแอบแก้ง่าย ๆ บนเส้นทางได้ การเปรียบเทียบกับอุโมงค์อยู่ใน DNS over HTTPS กับ VPN
• การลงลายมือชื่อ DNS DNSSEC ให้เจ้าของโดเมนลงลายมือชื่อในระเบียน เพื่อให้ resolver ที่ตรวจสอบจับคำตอบปลอมได้ ปกป้องตัวข้อมูล ไม่ปกป้องความเป็นส่วนตัวของคำถาม และช่วยได้เฉพาะเมื่อทั้งโดเมนและ resolver รองรับ
• สุขอนามัยของเราเตอร์ รหัสผู้ดูแลที่แข็งแรงและไม่ซ้ำ เฟิร์มแวร์ที่ทันสมัย และปิดการจัดการจากระยะไกล ตัดเส้นทางที่ง่ายที่สุดของการ hijack เราเตอร์
• การยืนยันตัวตนสองขั้นตอน ถ้าคุณหลุดเข้าหน้าปลอมและพิมพ์รหัสผ่าน ปัจจัยที่สองยังปกป้องบัญชีไว้

สามสถานการณ์

ร้านกาแฟกับหน้าล็อกอินแปลก ๆ เลนาเข้าเครือข่ายร้านกาแฟ เปิดเว็บธนาคาร แล้วเจอคำเตือนใบรับรอง เธอไม่ไปต่อ สลับไปใช้เน็ตมือถือ และเว็บโหลดปกติ เครือข่ายร้านกาแฟกำลังแก้หรือดักคำขอค้นหาชื่อ เธอแจ้งพนักงานและเลี่ยงไม่ใช้เครือข่ายนั้นกับเรื่องสำคัญ

แล็ปท็อปของครอบครัวกับหน้าค้นหาแปลก ๆ ที่บ้าน สามเครื่องเริ่มแสดงหน้าค้นหาที่ไม่คุ้นเมื่อมีคนพิมพ์ที่อยู่ผิด หลายเครื่องอาการเดียวกัน เราเตอร์จึงเป็นผู้ต้องสงสัย คุณพ่อเปิดหน้าตั้งค่าเราเตอร์และเจอเซิร์ฟเวอร์ DNS ที่ไม่รู้จักสองตัว ท่านคืนค่าของผู้ให้บริการ เปลี่ยนรหัสผู้ดูแล อัปเดตเฟิร์มแวร์ และตรวจทุกเครื่อง VPN บนแล็ปท็อปเครื่องเดียวจะครอบคลุมแค่เครื่องนั้น แต่การแก้เราเตอร์ครอบคลุมทุกคน

Leak ที่เป็นแค่ leak ไคใช้ VPN บนโทรศัพท์และรันหน้าทดสอบ ผลแสดง resolver ของผู้ให้บริการมือถือ หน้าเว็บโหลดถูกต้องและไม่มีอะไรดูแปลก นี่คือ leak ไม่ใช่ hijack คือคำตอบถูก แต่คำถามถูกเห็นโดยผู้ให้บริการที่เขาไม่ได้ตั้งใจ เขาแก้การตั้งค่าใน VPN และโทรศัพท์ ทดสอบอีกครั้ง และเห็นเพียง resolver ของ VPN

ถ้าคิดว่าถูก hijack

1. หยุดกรอกรหัสผ่านหรือข้อมูลบัตรบนการเชื่อมต่อนั้น
2. ย้ายไปเครือข่ายอื่น เช่นเน็ตมือถือ และตรวจบัญชีสำคัญจากที่นั่น
3. เปลี่ยนรหัสผ่านของบัญชีที่ใช้ตอนที่มีปัญหา เริ่มจากอีเมลและธนาคาร และเปิดการยืนยันตัวตนสองขั้นตอน
4. รีเซ็ตการตั้งค่า DNS ของเราเตอร์ เปลี่ยนรหัสผู้ดูแล และอัปเดตเฟิร์มแวร์
5. สแกนทุกอุปกรณ์ และลบส่วนขยายเบราว์เซอร์และการตั้งค่าพร็อกซีที่ไม่รู้จัก
6. แจ้งธนาคารหรือบริการใดก็ตามที่คุณสงสัยว่าการล็อกอินอาจถูกเปิดเผย
7. รายงานหน้าปลอมให้องค์กรที่ถูกเลียนแบบ คำแนะนำเรื่องฟิชชิงของ CISA อธิบายวิธีรายงาน

สรุป

DNS leak ทำให้ผู้ที่ไม่ควรเห็นคำถามของคุณเห็นมัน ส่วน DNS hijacking ให้คำตอบเท็จแก่คุณ Leak เป็นปัญหาความเป็นส่วนตัวที่แก้ด้วยการตั้งค่า VPN และ DNS ที่ถูกต้อง ส่วน hijack เป็นปัญหาความถูกต้องที่แก้ด้วยการกำจัดสาเหตุ ไม่ว่าจะเป็นเราเตอร์ มัลแวร์ หรือเครือข่ายที่ไม่หวังดี VPN ที่ทำงานดีช่วยได้ทั้งสองอย่างบนเครือข่ายที่ไม่น่าไว้ใจ แต่ซ่อมเราเตอร์ที่ถูกเจาะไม่ได้ และตัดสินไม่ได้ว่าเว็บเป็นของจริงหรือไม่ ควรมีคำเตือน HTTPS สุขอนามัยของเราเตอร์ และการยืนยันตัวตนสองขั้นตอนไว้ในชุดเครื่องมือของคุณควบคู่กัน

หากต้องการเริ่มทดสอบฝั่ง VPN หน้า ดาวน์โหลด มีลิงก์ไปยังแอป VPNclient ฟรี และคู่มือตรวจสอบข้างต้นแสดงวิธีทดสอบ