VPN แลกเปลี่ยนกุญแจเข้ารหัสอย่างไร

ตอนที่คุณกดเชื่อมต่อ โทรศัพท์ของคุณกับเซิร์ฟเวอร์ VPN ไม่เคยพบกันมาก่อน ทั้งสองไม่มีความลับร่วมกัน และทุกข้อความที่ส่งระหว่างกันเดินทางผ่านเครือข่ายของคนแปลกหน้า แต่ภายในเสี้ยววินาทีทั้งคู่ก็ส่งข้อมูลที่ไม่มีใครในกลุ่มคนแปลกหน้านั้นอ่านออก เคล็ดลับที่ทำให้เป็นไปได้เรียกว่าการแลกกุญแจ (key exchange) และเป็นหนึ่งในไอเดียที่สง่างามที่สุดของการเข้ารหัสในทางปฏิบัติ

บทความนี้อธิบายว่าการแลกกุญแจของ VPN ทำงานอย่างไรด้วยภาษาธรรมดา ตั้งแต่ภาพการผสมสี ตัวอย่างการคำนวณจริงด้วยตัวเลขเล็กๆ ที่คุณตรวจเองด้วยเครื่องคิดเลขได้ ไอเดียเดียวกันขยายไปสู่เส้นโค้งวงรีสมัยใหม่อย่างไร ทำไมการแลกกุญแจอย่างเดียวไม่พอถ้าไม่มีการยืนยันตัวตน และความลับร่วมกลายเป็นกุญแจที่เข้ารหัสทราฟฟิกจริงได้อย่างไร ถ้าอยากรู้ว่ารหัสลับนำกุญแจเหล่านั้นไปใช้ต่ออย่างไร อ่าน การเข้ารหัสของ VPN คืออะไร ส่วนที่นี่เราสนใจว่าความลับถือกำเนิดขึ้นมาอย่างไร

ปัญหา ตกลงความลับกันกลางที่สาธารณะ

การเข้ารหัสต้องมีกุญแจร่วม ถ้าคุณกับเซิร์ฟเวอร์ถือกุญแจเดียวกัน ก็เข้ารหัสและถอดรหัสได้ ความยากอยู่ที่การนำกุญแจนั้นไปถึงทั้งสองฝ่าย การส่งกุญแจผ่านเครือข่ายแบบไม่เข้ารหัสเท่ากับยื่นให้ทุกคนที่สังเกต และการส่งแบบเข้ารหัสก็ต้องใช้กุญแจอีกดอกที่คุณยังไม่มี

ในอดีตปัญหานี้แก้ด้วยการนัดพบตัวต่อตัวหรือใช้คนส่งสารที่ไว้ใจได้ ซึ่งใช้ไม่ได้กับการเชื่อมต่อนับพันล้านครั้งที่ทำโดยคนที่ไม่เคยพบอีกฝ่าย ในปี 1976 Whitfield Diffie และ Martin Hellman เผยแพร่วิธีที่แก้ปัญหานี้ ทำให้สองฝ่ายสร้างความลับร่วมผ่านการสนทนาเปิดที่ใครๆ ก็แอบฟังได้

คำที่ควรจำคือ การตกลงร่วมกัน ในการแลกกุญแจแบบคลาสสิก ไม่มีฝ่ายใดเลือกกุญแจสุดท้ายแล้วส่งไป แต่ละฝ่ายสมทบชิ้นส่วนส่วนตัวของตน และกุญแจเกิดขึ้นจากการผสมกัน ไม่มีอะไรที่เป็นความลับเดินทางผ่านสายเลย

ภาพการผสมสี

การเปรียบเทียบแบบคลาสสิกใช้สี สมมติอลิซกับบ๊อบอยากได้สีลับร่วมกัน โดยอีฟคอยดูทุกสิ่งที่ทั้งสองแลกเปลี่ยน

1. ทั้งคู่ตกลงกันอย่างเปิดเผยว่าจะเริ่มด้วยสีเหลือง อีฟเห็น
2. อลิซเลือกสีลับของตนแบบส่วนตัวคือสีแดง แล้วผสมลงในสีเหลือง บ๊อบเลือกสีน้ำเงินเป็นความลับ แล้วทำแบบเดียวกัน
3. ทั้งคู่สลับกระป๋องสีที่ผสมแล้วต่อหน้าสาธารณะ อีฟเห็นส่วนผสมทั้งสองกระป๋อง
4. อลิซเติมสีแดงลับของเธอลงในกระป๋องของบ๊อบ บ๊อบเติมสีน้ำเงินลับของเขาลงในกระป๋องของอลิซ
5. ตอนนี้ทั้งสองกระป๋องมีสีเหลืองผสมแดงผสมน้ำเงิน เป็นสีสุดท้ายเดียวกัน

อีฟถือสีเหลืองกับกระป๋องผสมสองใบ การแยกสีที่ผสมแล้วออกจากกันทำได้ยากมาก เธอจึงกู้สีแดงหรือน้ำเงินคืนไม่ได้ และสร้างสีสุดท้ายไม่ได้ ในรูปแบบคณิตศาสตร์ "การผสม" ถูกแทนด้วยการดำเนินการที่ทำไปข้างหน้าได้ง่ายแต่ย้อนกลับได้ยากมาก

การคำนวณจริงด้วยตัวเลขเล็กๆ

นี่คือไอเดียเดียวกันด้วยตัวเลขจริง ตัวเลขข้างล่างเล็กมากเพื่อให้ตรวจด้วยมือได้ ระบบจริงใช้ค่าที่ใหญ่กว่านี้มหาศาล

การดำเนินการคือ "modular exponentiation" คือยกเลขกำลัง แล้วเก็บเฉพาะเศษหลังหารด้วยตัวเลขคงที่

ค่าสาธารณะ (ทุกคนเห็น) โมดูลัส p = 23 และฐาน g = 5

ขั้นตอน	อลิซ	บ๊อบ
เลือกเลขส่วนตัว	a = 6	b = 15
คำนวณค่าสาธารณะ	A = 5^6 mod 23 = 8	B = 5^15 mod 23 = 19
ส่งผ่านเครือข่าย	ส่ง 8	ส่ง 19
ผสมกับค่าของอีกฝ่าย	19^6 mod 23 = 2	8^15 mod 23 = 2

ทั้งสองฝ่ายได้ 2 เท่ากัน โดยไม่เคยส่ง 6, 15 หรือ 2 เลย อีฟเห็น 23, 5, 8 และ 19 ถ้าจะได้ความลับ เธอต้องหา 6 ของอลิซหรือ 15 ของบ๊อบจากตัวเลขสาธารณะ เมื่อโมดูลัสเป็น 23 เธอก็แค่ลองยกกำลังไล่ไปทีละค่าและเจอ 6 ภายในไม่กี่ครั้ง เพราะมีแค่ 22 ความเป็นไปได้

ทีนี้ลองขยาย ในการแลกกุญแจแบบ finite-field จริง โมดูลัสเป็นตัวเลขยาวราว 2,048 บิต โดยเลขชี้กำลังส่วนตัวมีขนาดใกล้เคียงกัน การลองผิดลองถูกเป็นไปไม่ได้ และวิธีที่ฉลาดที่สุดที่รู้จักก็ยังเกินเอื้อม คุณสมบัติทางเดียว คือไปข้างหน้าง่ายแต่ย้อนกลับเป็นไปไม่ได้ คือความปลอดภัยทั้งหมดของการแลกกุญแจ

จากตัวเลขเล็กสู่เส้นโค้งวงรี

VPN และเว็บไซต์สมัยใหม่ส่วนใหญ่ไม่ได้ใช้แบบ 2,048 บิต แต่ใช้ Diffie-Hellman บนเส้นโค้งวงรี (ECDH) ซึ่ง "ตัวเลข" คือจุดบนเส้นโค้งทางคณิตศาสตร์ และ "การยกกำลัง" กลายเป็นการบวกจุดซ้ำๆ

ผลในทางปฏิบัติคือสิ่งที่สำคัญ

• กุญแจสั้นกว่ามาก เส้นโค้งยอดนิยมชื่อ X25519 ใช้ค่าสาธารณะขนาด 32 ไบต์ ขณะที่การแลกกุญแจแบบ finite-field ที่เทียบเคียงกันต้องการค่าสาธารณะ 256 ไบต์ขึ้นไป
• จับมือเร็วกว่า ตัวเลขเล็กลงหมายถึงคำนวณน้อยลงและข้อมูลน้อยลง ซึ่งช่วยโทรศัพท์ เราเตอร์ และลิงก์ที่ช้า
• ออกแบบให้ใช้ผิดได้ยาก X25519 ถูกสร้างให้ผู้พัฒนามีโอกาสทำผิดพลาดน้อยลง
• รูปแบบเดียวกัน แต่ละฝ่ายสร้างค่าส่วนตัว คำนวณค่าสาธารณะ สลับกัน แล้วผสมให้ได้ความลับร่วมหนึ่งค่า ภาพการผสมสียังใช้ได้

คุณไม่จำเป็นต้องรู้เลขคณิตของเส้นโค้งเพื่อใช้ VPN แค่รู้ว่าตัวย่อ ECDH, ECDHE และ X25519 หมายถึงการแลกกุญแจที่อธิบายข้างต้นซึ่งทำบนเส้นโค้งก็พอ

ทำไมการแลกกุญแจอย่างเดียวไม่พอ

เรื่องที่เล่ามาจนถึงตอนนี้สมมติว่าอลิซกำลังคุยกับบ๊อบจริงๆ ในความเป็นจริง ผู้โจมตีบนเครือข่าย สมมติชื่อมัลลอรี อาจนั่งอยู่ตรงกลางและดักข้อความ นี่คือปัญหา man-in-the-middle แบบคลาสสิก และแสดงว่าทุกการแลกกุญแจต้องมีการยืนยันตัวตนซ้อนอยู่ด้านบน

ลองไล่การโจมตีบนการแลกกุญแจเปล่าๆ

1. คุณส่งค่าสาธารณะของคุณไปทางเซิร์ฟเวอร์ มัลลอรีดักไว้และเก็บค่านั้น
2. มัลลอรีแลกกุญแจแยกกับเซิร์ฟเวอร์ โดยแสร้งเป็นคุณ และอีกรอบกับคุณ โดยแสร้งเป็นเซิร์ฟเวอร์
3. คุณได้ความลับร่วมกับมัลลอรี เซิร์ฟเวอร์ได้ความลับร่วมอีกค่ากับมัลลอรี
4. ทุกอย่างที่คุณส่ง มัลลอรีถอดรหัส อ่าน เข้ารหัสใหม่ และส่งต่อ ทั้งสองปลายเชื่อว่าช่องทางเป็นส่วนตัว

คณิตศาสตร์ทำงานสมบูรณ์แบบ มันแค่สร้างช่องทางปลอดภัยไปยังฝ่ายที่ผิด วิธีแก้คือให้เซิร์ฟเวอร์พิสูจน์ตัวตนเป็นส่วนหนึ่งของการแลกกุญแจ ซึ่งทำได้หลายวิธี

วิธี	ทำงานอย่างไร	ใช้ทั่วไปที่ไหน
ใบรับรอง	เซิร์ฟเวอร์แสดงใบรับรองที่มีลายเซ็น และเซ็นการจับมือด้วยกุญแจส่วนตัว ไคลเอนต์ตรวจสายลายเซ็น	การเชื่อมต่อเว็บ การตั้งค่า VPN จำนวนมาก
กุญแจสาธารณะที่รู้จัก	ไคลเอนต์ถูกตั้งค่าล่วงหน้าด้วยกุญแจสาธารณะของเซิร์ฟเวอร์ และปฏิเสธอย่างอื่น	peer แบบ WireGuard
กุญแจที่ใช้ร่วมกันล่วงหน้า	ทั้งสองฝ่ายมีความลับอยู่แล้วและพิสูจน์ว่ารู้	ลิงก์ระหว่างไซต์ การตั้งค่า IPsec บางแบบ
ชื่อผู้ใช้และรหัสผ่าน	ใช้ภายในอุโมงค์ที่ได้รับการปกป้องแล้ว เพื่อระบุผู้ใช้ ไม่ใช่เซิร์ฟเวอร์	การล็อกอิน VPN สำหรับผู้บริโภคจำนวนมาก

แถวสุดท้ายน่าสังเกต การล็อกอินด้วยรหัสผ่านระบุตัวคุณกับเซิร์ฟเวอร์ แต่เซิร์ฟเวอร์ถูกยืนยันตัวตนด้วยกลไกอื่นก่อนหน้านั้นในกระบวนการ ถ้าอยากเข้าใจว่าใบรับรองพิสูจน์ตัวตนได้อย่างไร หน้า "How It Works" ของ Let's Encrypt อธิบายแนวคิดพื้นฐานไว้ในไม่กี่ย่อหน้า และบทความ HTTPS กับ VPN แสดงให้เห็นว่ากลไกเดียวกันปรากฏในการท่องเว็บอย่างไร

จากความลับร่วมสู่กุญแจที่ใช้งานได้

ความลับร่วมดิบๆ ไม่ได้ถูกนำไปใช้เป็นกุญแจเข้ารหัสโดยตรง มันผ่าน ฟังก์ชันสร้างกุญแจ (key derivation function) ซึ่งทำหลายอย่างที่มีประโยชน์

• ผสมบริบทเข้าไป ฟังก์ชันรับรายละเอียดของการสนทนา เช่น ค่าสาธารณะของทั้งสองฝ่ายและลายนิ้วมือของข้อความในการจับมือ ถ้าผู้โจมตีเปลี่ยนอะไรสักอย่าง ปลายทั้งสองจะได้กุญแจต่างกันและการเชื่อมต่อล้มเหลว
• สร้างกุญแจหลายดอก ความลับร่วมหนึ่งค่าถูกขยายเป็นกุญแจแยกกัน หนึ่งดอกต่อหนึ่งทิศทางของทราฟฟิก และดอกอื่นสำหรับยืนยันข้อความ กุญแจที่ใช้ส่งจะไม่ถูกใช้รับ
• กระจายความสุ่มให้สม่ำเสมอ ความลับร่วมจากการคำนวณบนเส้นโค้งมีโครงสร้างอยู่ การสร้างกุญแจทำให้มันราบเรียบเป็นวัสดุกุญแจที่ดูสุ่มสม่ำเสมอ
• เปิดทางให้ต่ออายุ กุญแจใหม่สร้างขึ้นได้อีกจากการแลกสดใหม่ขณะที่อุโมงค์ยังเปิดอยู่

หลังจากนั้นรหัสลับจึงเริ่มทำงานกับแพ็กเก็ตของคุณ ด้วยกุญแจที่ได้จากกระบวนการนี้

โปรโตคอลจริงทำอย่างไร

โปรโตคอลต่างๆ ห่อไอเดียเดียวกันด้วยบรรจุภัณฑ์ต่างกัน

โปรโตคอล	การแลกเกิดที่ไหน	หมายเหตุ
TLS 1.3	ในข้อความแรกๆ ที่ไคลเอนต์ส่งส่วนสาธารณะของตน และเซิร์ฟเวอร์ตอบด้วยส่วนของตน	ต้องใช้การแลกแบบชั่วคราว ใบรับรองเซ็นการจับมือ (RFC 8446)
IKEv2 (IPsec)	ในข้อความคู่แรกของการแลก ก่อนเปิดเผยตัวตน	การยืนยันตัวตนตามมาในคู่ที่สอง ซึ่งได้รับการปกป้องด้วยกุญแจจากคู่แรก (RFC 7296)
WireGuard	ในการจับมือสั้นๆ ที่รวมกุญแจสาธารณะระยะยาวของ peer กับกุญแจชั่วคราวใหม่	ออกแบบให้กะทัดรัด ใช้ชุดอัลกอริทึมคงที่ (whitepaper ของ WireGuard)
OpenVPN	ผ่านเซสชัน TLS ที่ทำงานเป็นช่องควบคุมของอุโมงค์	กุญแจของช่องข้อมูลมาจากการจับมือ TLS นั้น

สังเกตรูปแบบร่วม ทุกการออกแบบรันการแลกกุญแจแบบชั่วคราว ยืนยันตัวตนของฝ่ายต่างๆ สร้างกุญแจ แล้วจึงส่งข้อมูล รายละเอียดต่างกัน แต่โครงสร้างเหมือนกัน

เพราะการแลกเกิดขึ้นก่อน ปัญหาใดๆ ในขั้นนี้จะแสดงเป็นการเชื่อมต่อไม่สำเร็จ ไม่ใช่การเชื่อมต่อที่ช้า ข้อมูลเข้าสู่ระบบผิด นาฬิกาของเซิร์ฟเวอร์ที่คลาดเคลื่อนมาก (ทำให้การตรวจใบรับรองพัง) หรือไฟร์วอลล์ที่ทิ้งแพ็กเก็ตแรกๆ ล้วนทำให้การแลกไม่เสร็จ ถ้าอุโมงค์ไม่ขึ้นเลย VPN เชื่อมต่อไม่ได้ ไล่สาเหตุเหล่านี้ตามลำดับให้

คำถามเรื่องควอนตัม สั้นๆ

การแลกกุญแจที่อธิบายข้างต้นพึ่งพาปัญหาคณิตศาสตร์ที่คอมพิวเตอร์ควอนตัมขนาดใหญ่อาจแก้ได้ในทางทฤษฎี ปัจจุบันยังไม่มีเครื่องแบบนั้น แต่ทราฟฟิกที่บันทึกไว้ตอนนี้ในทางทฤษฎีอาจถูกโจมตีทีหลังได้ หน่วยงานมาตรฐานตอบสนองด้วยอัลกอริทึมใหม่ รวมถึงกลไกห่อหุ้มกุญแจที่ NIST กำหนดมาตรฐานเป็น ML-KEM (FIPS 203) การออกแบบหลายแบบกำลังเปลี่ยนไปสู่การแลกแบบไฮบริดที่รวมการแลกบนเส้นโค้งแบบดั้งเดิมเข้ากับแบบ post-quantum เพื่อให้ผลลัพธ์ยังปลอดภัยถ้าครึ่งใดครึ่งหนึ่งยังต้านได้ รายละเอียดและสิ่งที่ควรมองหาในคำอ้างของผู้ให้บริการอยู่ใน การเข้ารหัส VPN แบบ post-quantum

สิ่งที่ตรวจได้และตรวจไม่ได้

ในฐานะผู้ใช้ทั่วไป คุณมองการแลกกุญแจของตัวเองไม่ได้ แต่ใช้เหตุผลประเมินได้

• ผู้ให้บริการอธิบายการแลกกุญแจหรือไม่ มองหาวิธีที่ระบุชื่อ เช่น ECDHE หรือ X25519 และคำอธิบายว่าเซิร์ฟเวอร์ถูกยืนยันตัวตนอย่างไร
• ซอฟต์แวร์อัปเดตอยู่เสมอหรือไม่ ไคลเอนต์เก่าอาจมีข้อบกพร่องที่รู้จักในวิธีจัดการการจับมือ
• คุณไว้ใจการเชื่อมต่อครั้งแรกหรือไม่ การตั้งค่าจำนวนมากพึ่งพาตัวตนของเซิร์ฟเวอร์ที่ตั้งค่าถูกต้อง ดาวน์โหลดแอปจากแหล่งทางการเพื่อไม่ให้การตั้งค่าถูกแก้ไข
• ข้อความแสดงข้อผิดพลาดพูดถึงใบรับรองหรือการยืนยันตัวตนหรือไม่ สิ่งเหล่านี้ชี้ไปที่ขั้นจับมือ และควรแจ้งฝ่ายสนับสนุนตามที่ปรากฏทุกประการ

ความเข้าใจผิดบางข้อที่ควรทำให้กระจ่าง

• "การแลกกุญแจซ่อนว่าฉันเป็นใคร" มันปกป้องเนื้อหา ผู้สังเกตเครือข่ายอาจยังเห็นว่าคุณเชื่อมต่อกับเซิร์ฟเวอร์ VPN
• "กุญแจยาวกว่าดีกว่าเสมอ" เกินขนาดหนึ่ง ความยาวที่เพิ่มช่วยได้น้อย การออกแบบและการนำไปใช้ที่ถูกต้องสำคัญกว่า
• "การแลกเกิดครั้งเดียว" กุญแจถูกต่ออายุระหว่างเซสชันยาวด้วย ไม่ใช่แค่ตอนเริ่ม
• "การแลกกุญแจที่แข็งแรงแก้รหัสผ่านอ่อนได้" รหัสผ่านปกป้องบัญชีของคุณ การแลกกุญแจปกป้องช่องทาง

เพื่อภาพกว้างขึ้นว่าช่องทางที่ถูกปกป้องครอบคลุมอะไรและไม่ครอบคลุมอะไร ดู ISP เห็นทราฟฟิก VPN ของคุณหรือไม่

สรุป

การแลกกุญแจของ VPN ทำให้อุปกรณ์ของคุณกับเซิร์ฟเวอร์สร้างความลับร่วมกันในที่สาธารณะได้ โดยแต่ละฝ่ายเก็บเลขส่วนตัวไว้และสลับค่าที่คำนวณจากเลขนั้น คณิตศาสตร์ทำให้ความลับคำนวณได้ง่ายสำหรับสองฝ่าย แต่เป็นไปไม่ได้ในทางปฏิบัติสำหรับคนที่แอบดู ระบบสมัยใหม่ใช้เส้นโค้งวงรีอย่าง X25519 เพื่อให้เร็วและกะทัดรัด การแลกกุญแจอย่างเดียวอาจถูกคนกลางแย่งได้ จึงต้องยืนยันตัวตนเซิร์ฟเวอร์ผ่านใบรับรอง กุญแจที่รู้จักล่วงหน้า หรือความลับที่ใช้ร่วมกัน ผลลัพธ์ถูกส่งผ่านฟังก์ชันสร้างกุญแจเพื่อให้ได้กุญแจใช้งานแยกกัน และกระบวนการนี้ทำซ้ำระหว่างเซสชันยาว การออกแบบไฮบริดรุ่นใหม่กำลังเตรียมพร้อมสำหรับวันที่คอมพิวเตอร์ควอนตัมมีความสำคัญ

ถ้าอยากเห็นสิ่งนี้ในการใช้งานจริง หน้าดาวน์โหลด มีลิงก์แอปฟรี และ หน้าราคา อธิบายวิธีทำงานของพาส