VPN โอเพนซอร์สคืออะไร? ตรวจสอบความปลอดภัยอย่างไร

เมื่อค้นหา VPN ไม่นานคุณก็จะเจอคำว่า "โอเพนซอร์ส" มักวางไว้คู่กับรูปกุญแจ ราวกับเป็นใบรับรองความซื่อสัตย์ คำนี้เป็นสัญญาณที่ดีกว่าคำโฆษณาทั่วไปหลายคำ แต่ก็ถูกเข้าใจผิดกันมากเช่นกัน แอป VPN ทำหน้าที่เป็นด่านกลางระหว่างคุณกับอินเทอร์เน็ตทั้งหมด การอยากเห็นว่าแอปนั้นทำอะไรบ้างจึงเป็นสัญชาตญาณที่สมเหตุสมผลมาก

บทความนี้แยกเรื่อง VPN โอเพนซอร์สออกเป็นส่วน ๆ อธิบายว่าคำว่า "เปิด" ใน VPN หมายถึงอะไรได้บ้าง ส่วนประกอบไหนมักเผยแพร่และส่วนไหนมักไม่เผยแพร่ ความโปร่งใสของโค้ดพิสูจน์อะไรได้และพิสูจน์อะไรไม่ได้ และคนที่ไม่เคยอ่านโค้ดสักบรรทัดจะตรวจแอปอย่างมีหลักการได้อย่างไร บทความนี้ไม่จัดอันดับผลิตภัณฑ์ และไม่กล่าวอ้างอะไรเกี่ยวกับบริการใดบริการหนึ่ง

โอเพนซอร์สหมายถึงอะไรกันแน่

โอเพนซอร์สคือการเผยแพร่ซอร์สโค้ดที่คนอ่านได้ ภายใต้สัญญาอนุญาตที่ให้คนอื่นอ่าน และโดยมากก็แก้ไขและแจกจ่ายต่อได้ สัญญาอนุญาตมีหลายแบบ บางแบบอนุญาตให้บริษัทนำไปใช้ต่อได้อย่างอิสระ บางแบบกำหนดให้ต้องแบ่งปันส่วนที่แก้ไขกลับคืนสู่ชุมชน ป้ายกำกับนี้ไม่ได้บอกอะไรเลยเรื่องราคา คุณภาพ หรือตัวตนของคนที่ทำโครงการ

มีสามคำที่คนมักสับสนกัน

• ซอร์สโค้ดเปิดให้อ่าน (source-available) อ่านโค้ดได้ แต่สัญญาอนุญาตจำกัดการนำไปใช้ต่อ ให้ความโปร่งใสโดยไม่ได้ให้เสรีภาพครบแบบโอเพนซอร์ส
• โอเพนซอร์ส สัญญาอนุญาตให้สิทธิ์อ่าน แก้ไข และแบ่งปัน ใครก็รันโค้ดเอง แตกโครงการใหม่ หรือแจ้งปัญหาได้
• มาตรฐานเปิด (open standard) เป็นข้อกำหนดทางเทคนิค เช่น โปรโตคอล ที่เผยแพร่เอกสารสู่สาธารณะ แต่การนำไปเขียนเป็นซอฟต์แวร์ยังอาจปิดอยู่

ดังนั้นเมื่อเว็บไซต์เขียนว่า "VPN โอเพนซอร์ส" คำถามแรกคือ เปิดอะไร โปรโตคอล แอป ซอฟต์แวร์ฝั่งเซิร์ฟเวอร์ หรือทั้งบริการ สี่อย่างนี้เป็นคำกล่าวอ้างคนละเรื่อง

ส่วนประกอบของบริการ VPN

VPN ไม่ใช่โปรแกรมเดียว แต่เป็นระบบเล็ก ๆ ที่แต่ละส่วนจะเปิดหรือปิดแยกกันก็ได้ เมื่อเห็นภาพรวม คำโฆษณาจะอ่านง่ายขึ้นมาก

ส่วนประกอบ	ทำหน้าที่อะไร	เปิดโค้ดได้ไหม
โปรโตคอลหรือไลบรารี	กำหนดวิธีสร้างอุโมงค์เข้ารหัส	มักเปิด ตัวอย่างที่รู้จักกันดีเผยแพร่และมีคนตรวจสอบมาก
แอปฝั่งผู้ใช้	แอปบนมือถือหรือคอมพิวเตอร์ที่เริ่มต้นอุโมงค์	บางเจ้าเปิด หลายเจ้าไม่เปิด
ซอฟต์แวร์ฝั่งเซิร์ฟเวอร์	ทำงานบนเครื่องของผู้ให้บริการและปิดปลายอุโมงค์	ไม่ค่อยเผยแพร่ และคุณตรวจไม่ได้ว่าเครื่องจริงรันอะไรอยู่
ระบบบัญชีและการชำระเงิน	สร้างข้อมูลล็อกอิน รับเงิน ดูแลลูกค้า	แทบไม่เคยเผยแพร่
การดำเนินงานและนโยบาย	ใครเข้าถึงอะไรได้ เก็บข้อมูลอะไร นานเท่าใด	เป็นโอเพนซอร์สไม่ได้ เป็นเรื่องของความไว้วางใจและหลักฐาน

บรรทัดสุดท้ายของตารางสำคัญที่สุด ต่อให้โปรแกรมทุกตัวเผยแพร่หมด วิธีที่บริษัทดูแลเครื่องของตัวเองก็ไม่ใช่โค้ดที่คุณอ่านได้ นั่นคือเหตุผลที่โอเพนซอร์สเป็นปัจจัยเพียงข้อเดียวของความไว้วางใจ และเหตุผลที่เรื่องอย่าง ผู้ให้บริการ VPN มองเห็นอะไรเกี่ยวกับคุณได้บ้าง สำคัญไม่แพ้กัน

ความโปร่งใสของโค้ดพิสูจน์อะไรได้

การเผยแพร่โค้ดให้ประโยชน์จริง และควรพูดให้ชัดว่าคืออะไร

1. มีคนจำนวนมากมองดูได้ นักวิจัย นักพัฒนาอิสระ และคู่แข่งอ่านโค้ดและแจ้งจุดอ่อนได้ ช่องโหว่ในโค้ดเปิดที่คนใช้กันมากมักถูกพบและพูดถึงในที่สาธารณะ
2. ตรวจพฤติกรรมเทียบกับคำอ้างได้ ถ้าแอปบอกว่าไม่เก็บข้อมูลบางประเภท ผู้ตรวจค้นหาการเรียกเครือข่ายและไลบรารีวิเคราะห์ข้อมูลในโค้ดได้
3. เห็นสิ่งที่แอปขอจากระบบปฏิบัติการ สิทธิ์ บริการเบื้องหลัง และส่วนประกอบของบุคคลที่สามที่ฝังมา ดูได้จากโค้ดและไฟล์สำหรับบิลด์
4. ประวัติโครงการเป็นสาธารณะ บันทึกการแก้ไขบอกว่าใครเปลี่ยนอะไร และแก้ปัญหาความปลอดภัยเร็วแค่ไหน
5. ไม่ผูกกับบริษัทเดียว ถ้าผู้ดูแลหายไป คนอื่นสามารถสานต่อโครงการได้

ประโยชน์เหล่านี้สำคัญมากสำหรับแอปที่ต้องรับทราฟฟิกทั้งหมดของคุณ และเป็นเหตุผลที่คู่มือความปลอดภัยอย่าง Surveillance Self-Defense ของ EFF แนะนำให้เลือกเครื่องมือที่ตรวจสอบการทำงานได้

สิ่งที่โอเพนซอร์สพิสูจน์ไม่ได้

ตรงนี้เองที่การตลาดมักเกินจริง โค้ดเปิดไม่ได้บอกเรื่องสำคัญหลายข้อ

• ว่ามีคนตรวจจริงหรือยัง เผยแพร่ไม่เท่ากับผ่านการตรวจสอบ โครงการยอดนิยมที่มีผู้ตรวจที่ใช้งานจริงหลายสิบคนต่างจากที่เก็บโค้ดที่ไม่มีใครเปิดดูตั้งแต่อัปโหลด
• ว่าแอปในสโตร์ตรงกับที่เก็บโค้ด สิ่งที่คุณดาวน์โหลดจากสโตร์คือไฟล์ที่คอมไพล์แล้ว ถ้าการบิลด์ไม่สามารถทำซ้ำหรือถูกยืนยันโดยบุคคลอิสระ คุณก็ไม่มีทางแน่ใจว่ามันสร้างจากโค้ดที่เห็นบนเว็บไซต์
• ว่าเซิร์ฟเวอร์ทำอะไร ฝั่งแอปอาจเรียบร้อยดี ขณะที่ฝั่งเซิร์ฟเวอร์เก็บข้อมูลมากกว่าที่คุณคิด
• ว่าบัญชีของคุณถูกจัดการอย่างไร ระบบชำระเงิน อีเมล และงานดูแลลูกค้าแยกจากตัวแอป VPN
• ว่าไม่มีบั๊ก โค้ดเปิดอาจมีข้อบกพร่องร้ายแรงอยู่หลายปี ความโปร่งใสช่วยให้พบเร็วขึ้น แต่ไม่รับประกันว่าจะพบ
• ว่าคนที่อยู่เบื้องหลังน่าไว้ใจ โอเพนซอร์สเป็นเรื่องของโค้ด ไม่ใช่เรื่องของนิสัยคน

สรุปอย่างเป็นธรรมคือ โอเพนซอร์สลดจุดที่ของบางอย่างจะซ่อนอยู่ได้ แต่ไม่ได้ลดจนหมด

โปรโตคอลที่เปิด ไม่เท่ากับบริการที่เปิด

หลายคนเจอคำนี้ครั้งแรกตอนเทียบเทคโนโลยีอุโมงค์ WireGuard และ OpenVPN เป็นโปรโตคอลที่เผยแพร่และมีการตรวจสอบอย่างเปิดเผยทั้งคู่ เอกสารทางเทคนิคของ WireGuard เป็นตัวอย่างที่ดีของเอกสารสาธารณะ และอ่านความต่างของสองตัวนี้ต่อได้ใน WireGuard เทียบกับ OpenVPN

แต่ผู้ให้บริการที่ใช้โปรโตคอลเปิดไม่ได้แปลว่าผู้ให้บริการรายนั้นเปิด ลองนึกถึงบ้านที่สร้างด้วยอิฐมาตรฐาน อิฐเป็นที่รู้จักและผ่านการตรวจแล้ว แต่คุณยังไม่รู้ว่าห้องจัดวางอย่างไรและใครถือกุญแจ คำถามที่ควรถามกับผู้ให้บริการจึงเป็น

• แอปเผยแพร่ไหม เผยแพร่ที่ไหน
• ซอฟต์แวร์เซิร์ฟเวอร์เผยแพร่ หรืออย่างน้อยอธิบายอย่างละเอียดไหม
• มีบุคคลอิสระตรวจสอบทั้งบริการหรือไม่ และอ่านผลได้หรือเปล่า

ถ้าคำตอบทั้งสามข้อคือ "เราใช้โปรโตคอลเปิด" ข้อกล่าวอ้างนั้นบางกว่าพาดหัวที่เห็น

เช็กลิสต์สำหรับคนที่ไม่ใช่โปรแกรมเมอร์

คุณไม่จำเป็นต้องอ่านโค้ดก็ใช้ประโยชน์จากความเปิดได้ ลองเปิดหน้าโครงการแล้วทำตามขั้นตอนต่อไปนี้ แต่ละข้อใช้เวลาไม่กี่นาทีและไม่ต้องมีพื้นความรู้ทางเทคนิค

1. หาลิงก์ที่เก็บโค้ด ข้อกล่าวอ้างโอเพนซอร์สที่จริงจะมีลิงก์ไปยังที่เก็บโค้ดสาธารณะบนเว็บโฮสต์ที่เป็นที่รู้จัก ถ้าหาไม่เจอภายในสองคลิก ให้ถือว่ายังพิสูจน์ไม่ได้
2. ตรวจไฟล์สัญญาอนุญาต มองหาไฟล์ชื่อ LICENSE หรือ COPYING ถ้าไม่มี โค้ดอาจไม่ได้เปิดจริง
3. ดูความเคลื่อนไหวล่าสุด โครงการที่อัปเดตในช่วงไม่กี่เดือนมีคนดูแลอยู่ ส่วนโครงการที่แก้ครั้งสุดท้ายเมื่อหลายปีก่อนอาจมีช่องโหว่ที่ไม่ได้ปิด
4. เปิดดูหน้ารายงานปัญหา รายงานมีคนตอบไหม เรื่องความปลอดภัยถูกจัดการอย่างเปิดเผยหรือเปล่า หน้าที่เงียบสนิท หรือมีรายงานร้ายแรงที่ไม่มีใครตอบเป็นสัญญาณเตือน
5. นับผู้ร่วมพัฒนา ผู้ดูแลคนเดียวคือจุดเสี่ยงจุดเดียว ถ้ามีผู้ร่วมพัฒนาอิสระหลายคนจะมั่นคงกว่า
6. อ่านบันทึกการออกรุ่น โครงการที่ดีอธิบายสิ่งที่แก้และบอกว่ารุ่นไหนมีการแก้นั้น
7. หาวิธีบิลด์ ถ้าคนนอกสร้างแอปเองได้ แสดงว่าไม่มีอะไรสำคัญถูกซ่อนไว้
8. เทียบหน้าสโตร์กับที่เก็บโค้ด ชื่อนักพัฒนา ชื่อแอป และเลขรุ่นควรสอดคล้องกัน ดูวิธีตรวจหน้าสโตร์ได้ใน วิธีตรวจแอป VPN ฟรีบน Android และบน iPhone ให้เทียบกับส่วนรายละเอียดความเป็นส่วนตัวของ App Store
9. มองหารายงานจากบุคคลภายนอก รายงานจากบุคคลที่สามมีประโยชน์กว่าคำแถลงที่เขียนเอง ถ้าเป็นฉบับล่าสุดและบอกขอบเขตการตรวจชัดเจน
10. อ่านข้อกำหนดและนโยบายความเป็นส่วนตัวด้วยเสมอ โค้ดไม่ได้มาแทนสองอย่างนี้

สามสถานการณ์ตัวอย่าง

นักศึกษาที่เทียบสองแอป ลินาเจอแอป VPN สองตัวสำหรับแล็ปท็อป ตัวแรกโฆษณาว่า "โอเพนซอร์ส" และมีลิงก์ไปที่เก็บโค้ดที่มีสัญญาอนุญาต หน้ารายงานปัญหาที่คึกคัก และออกรุ่นใหม่ทุกสองสามสัปดาห์ อีกตัวเขียนว่า "ระดับทหาร" แต่ไม่มีโค้ดให้ดู ลินาไม่ได้ตัดสินจากป้ายอย่างเดียว เธออ่านนโยบายความเป็นส่วนตัวของทั้งสองตัวและตรวจสิทธิ์ที่แอปขอบนมือถือด้วย แอปแบบเปิดชนะเพราะหลักฐาน ไม่ใช่เพราะคำบนแบนเนอร์

อาสาสมัครไอทีของออฟฟิศเล็ก สมชายตั้งระบบป้องกันให้ธุรกิจครอบครัวสิบคน เขาชอบเครื่องมือที่โค้ดเผยแพร่ เพราะเปิดที่เก็บโค้ดและประวัติการอัปเดตให้เพื่อนร่วมงานดูได้ แต่เขารู้ว่านั่นพิสูจน์ไม่ได้ว่าบริการแบบโฮสต์ทำงานอย่างไร จึงถามผู้ให้บริการเป็นลายลักษณ์อักษรด้วยว่าเก็บข้อมูลอะไร แอปที่เผยแพร่ร่วมกับคำตอบที่ชัดเจนทำให้เขามั่นใจกว่าอย่างใดอย่างหนึ่งเพียงลำพัง ส่วนทางเลือกที่ตั้งเซิร์ฟเวอร์เอง เขาอ่านต่อได้ใน VPN ที่ตั้งเองเทียบกับ VPN เชิงพาณิชย์

นักเดินทางทริปสั้น เหม่ยต้องการความปลอดภัยบน Wi-Fi โรงแรมสิบวัน เธอไม่มีเวลาหรือความสนใจจะไปตรวจที่เก็บโค้ด สิ่งที่ใช้ได้จริงสำหรับเธอคือหน้าสโตร์ ชื่อนักพัฒนา สิทธิ์ที่ขอ ความชัดเจนของข้อกำหนด และวิธีชำระเงิน โอเพนซอร์สเป็นโบนัส ไม่ใช่เงื่อนไข เพราะความเสี่ยงของเธอคือเครือข่ายที่ใช้ร่วมกัน และเธอไม่คาดหวังให้ VPN ทำสิ่งที่มันทำไม่ได้

ปิดโค้ดไม่ได้แปลว่าแย่เสมอไป

เรามักอยากสรุปเป็นกฎง่าย ๆ ว่า เปิดดี ปิดแย่ แต่โลกจริงซับซ้อนกว่านั้น

แอปปิดโค้ดจากบริษัทที่มีข้อกำหนดชัดเจน มีประวัติยาวนาน มีช่องทางสนับสนุนที่มองเห็น และขอสิทธิ์น้อย ก็อาจเป็นตัวเลือกที่สมเหตุสมผล ส่วนโครงการโอเพนซอร์สที่ถูกทิ้งมาห้าปีอาจแย่กว่า และแอปปิดโค้ดที่ผ่านการทดสอบอย่างดีอาจดีกว่าโครงการงานอดิเรกที่มีผู้ร่วมพัฒนาคนเดียว

สิ่งที่เปลี่ยนไปเมื่อโค้ดปิดคือจุดที่คุณวางความไว้วางใจ คุณต้องพึ่งชื่อเสียงของผู้ให้บริการและสิ่งที่เขาเขียนผูกพันตัวเองมากขึ้น และพึ่งความสามารถในการตรวจด้วยตนเองน้อยลง ซึ่งเป็นการเลือกที่ถูกต้องได้ ตราบใดที่คุณเลือกอย่างรู้ตัว ใช้ตารางคะแนนใน วิธีเปรียบเทียบผู้ให้บริการ VPN ตรวจปัจจัยที่ไม่เกี่ยวกับโค้ด และจำไว้ว่าการอ้างว่าเปิดเป็นเพียงหนึ่งบรรทัดในนั้น

ระวังสัญญาณเตือนสามอย่างที่มักมาคู่กับคำว่า "เปิด"

• ที่เก็บโค้ดที่มีแต่เอกสาร ไม่มีตัวแอป
• ที่เก็บโค้ดของรุ่นเก่า ขณะที่รุ่นในสโตร์เปลี่ยนไปแล้ว
• ใช้คำว่า "เปิด" เป็นสโลแกนแทนการบอกเรื่องการตรวจสอบ ข้อกำหนด หรือการดำเนินงาน

ข้อผิดพลาดที่พบบ่อย

• ถือว่า "โอเพนซอร์ส" คือคำเดียวกับ "ผ่านการตรวจสอบแล้ว"
• คิดว่าเพราะโปรโตคอลเปิด เซิร์ฟเวอร์ของผู้ให้บริการก็เปิดด้วย
• ไม่เคยเปิดลิงก์ที่เก็บโค้ดดูเลย
• ไม่สนใจรายการสิทธิ์ของแอปเพราะโค้ดเป็นสาธารณะ
• เชื่อว่าแอปฟรีต้องปลอดภัยเพราะเห็นโค้ด โดยไม่อ่านว่าบริการเบื้องหลังทำอะไร
• ลืมว่ายังต้องมีนิสัยพื้นฐาน เช่น อัปเดตเครื่อง ใช้รหัสผ่านไม่ซ้ำ และระวังลิงก์

สรุป

โอเพนซอร์สใน VPN เป็นสัญญาณที่มีความหมายแต่ไม่ครบถ้วน ช่วยให้คนอื่นอ่านแอป ตรวจคำกล่าวอ้าง และสานต่อถ้าผู้ดูแลหายไป แต่พิสูจน์ไม่ได้ว่ามีคนตรวจแล้ว ว่าไฟล์ในสโตร์ตรงกับโค้ด หรือว่าเกิดอะไรขึ้นบนเซิร์ฟเวอร์และในระบบชำระเงิน ให้ถามว่าส่วนไหนเผยแพร่ ทำตามเช็กลิสต์สิบข้อด้านบน แล้วชั่งผลร่วมกับข้อกำหนด ประวัติ และสิทธิ์ที่แอปขอ

เมื่อพร้อมเปรียบเทียบอย่างใจเย็น คุณดูหน้าราคาเพื่อเข้าใจว่าแพ็กเกจแบบเติมเงินทำงานอย่างไร แล้วค่อยตัดสินส่วนที่เหลือของบริการจากข้อกำหนดของมันเอง