วิธีอ่านหลักฐานความปลอดภัยของ VPN โอเพนซอร์ส

เมื่อ VPN บอกว่า "โค้ดของเราเป็นโอเพนซอร์ส" มันกำลังอ้างสองเรื่องพร้อมกัน เรื่องความปลอดภัย คือผู้เชี่ยวชาญอ่านโค้ดและหาข้อผิดพลาดได้ และเรื่องความไว้วางใจ คือสิ่งที่คุณติดตั้งเป็นสิ่งเดียวกับที่พวกเขาอ่าน ทั้งสองเรื่องควรตรวจ และการตรวจไม่ยากอย่างที่คิด คุณเรียนรู้เกี่ยวกับโปรเจกต์เปิดได้มากภายใน 30 นาที โดยไม่ต้องอ่านโค้ดสักบรรทัด

คู่มือนี้เขียนให้คนที่ไม่ใช่โปรแกรมเมอร์ แต่อยากรู้ว่าคำอ้าง ความปลอดภัยของ VPN โอเพนซอร์ส น่าเชื่อถือแค่ไหน มีลำดับการตรวจ ตารางแสดงลักษณะของโปรเจกต์ที่แข็งแรงและไม่แข็งแรง และแผนที่ใช้เวลาครึ่งชั่วโมง หากต้องการพื้นฐานว่าโอเพนซอร์สหมายถึงอะไรสำหรับ VPN และครอบคลุมส่วนไหนของบริการ อ่าน VPN โอเพนซอร์สอธิบาย ก่อน บทความนี้เน้นตัวการตรวจ

รู้ก่อนว่าคุณกำลังตรวจอะไรอยู่

"VPN โอเพนซอร์ส" อาจหมายถึงหลายอย่างที่ต่างกันมาก ก่อนเริ่ม ให้ตัดสินใจว่าผู้ให้บริการกำลังอ้างข้อใดต่อไปนี้

• แอปเปิด โค้ดของโปรแกรมบนโทรศัพท์และคอมพิวเตอร์เผยแพร่ ทำให้คนนอกตรวจได้ว่าแอปทำอะไรบนอุปกรณ์ของคุณ เช่นส่งอะไรออกไปและใช้สิทธิ์อะไร
• โปรโตคอลเปิด VPN ใช้เทคโนโลยีที่เผยแพร่ เช่น WireGuard หรือ OpenVPN ซึ่งมีการศึกษาการออกแบบและโค้ดกันอย่างกว้างขวาง ข้อนี้บอกเรื่องการเข้ารหัส ไม่ได้บอกเรื่องบริษัท
• ซอฟต์แวร์เซิร์ฟเวอร์เปิด โค้ดที่รันบนเซิร์ฟเวอร์ของผู้ให้บริการเผยแพร่ พบน้อยและมีค่ามาก แต่คุณยังมองไม่เห็นว่าเวอร์ชันที่รันจริงคือเวอร์ชันไหน
• เปิดเฉพาะไลบรารีหรือส่วนประกอบ การตลาดบางครั้งขยายคำว่า "โอเพนซอร์ส" ให้คลุมส่วนเล็กๆ ของผลิตภัณฑ์ที่ส่วนใหญ่เป็นโค้ดปิด

เขียนคำอ้างเป็นประโยคเดียว เช่น "แอป Android เป็นโอเพนซอร์สและผ่านการตรวจเมื่อปีก่อน" การตรวจทุกข้อด้านล่างทดสอบชิ้นหนึ่งของประโยคนั้น ถ้าผู้ให้บริการบอกตรงๆ ไม่ได้ว่าส่วนไหนเปิด ให้ถือเป็นข้อค้นพบแรกของคุณ

ขั้นที่ 1 ดูสัญญาณชีพของ repository

ที่ที่โค้ดเปิดอยู่มักเป็น repository สาธารณะบนเว็บโฮสต์โค้ด คุณไม่ต้องเข้าใจโค้ดเพื่ออ่านสุขภาพของมัน เปิดโปรเจกต์แล้วดูสัญญาณเหล่านี้

สัญญาณ	ดูที่ไหน	แข็งแรง	น่ากังวล
ความเคลื่อนไหวล่าสุด	วันที่ commit ล่าสุด	มีการแก้ไขในไม่กี่เดือนที่ผ่านมา	ไม่มีอะไรมาหลายปี หรืออัปโหลดก้อนใหญ่ครั้งเดียว
รุ่นปล่อย	หน้า releases หรือ tags	มีเลขเวอร์ชันพร้อมบันทึกการเปลี่ยนแปลง	ไม่มีรุ่นปล่อย หรือมีแต่ลิงก์ไปดาวน์โหลดที่อื่น
ผู้ดูแล	รายชื่อผู้มีส่วนร่วม	หลายคนที่ระบุชื่อ	บัญชีเดียว ไม่มีประวัติ
Issues	แท็บ Issues	คำถามได้รับคำตอบ บั๊กถูกแก้	ปัญหาค้างไม่มีคนตอบมาก หรือปิด issues
นโยบายความปลอดภัย	ไฟล์หรือหน้าที่อธิบายการรายงานช่องโหว่	มีช่องทางติดต่อและกระบวนการชัดเจน	ไม่มีเลย
สัญญาอนุญาต	ไฟล์ license	สัญญาอนุญาตโอเพนซอร์สที่เป็นที่รู้จัก	ไม่มี หรือมีข้อจำกัดแปลกๆ
เอกสาร	README และ docs	อธิบายการสร้างและการออกแบบ	มีแต่ข้อความการตลาด

ไม่มีข้อไหนพิสูจน์ว่าโค้ดดี แต่บอกว่าโปรเจกต์ยังมีชีวิตและดำเนินการโดยคนที่คาดว่าจะถูกตรวจสอบ repository ที่อัปเดตล่าสุดเมื่อสี่ปีก่อน ขณะที่แอปของผู้ให้บริการอัปเดตหลายครั้งตั้งแต่นั้น บอกว่าโค้ดที่เผยแพร่น่าจะไม่ใช่สิ่งที่คุณใช้อยู่

ให้ใส่ใจเป็นพิเศษกับ ความตรงกันระหว่าง repository กับผลิตภัณฑ์ เทียบเลขเวอร์ชันของแอปบนโทรศัพท์กับรุ่นปล่อยล่าสุดใน repository ถ้าแอปอยู่ที่เวอร์ชัน 8 แต่ repository แสดงเวอร์ชัน 4 แปลว่าคุณกำลังถูกแสดงสำเนาเก่า

ขั้นที่ 2 ตรวจว่าไฟล์ที่ดาวน์โหลดตรงกับซอร์ส

ขั้นนี้คนมักพลาด และเป็นหัวใจของคำอ้างเรื่องความไว้วางใจ ซอร์สโค้ดสาธารณะไม่ได้พิสูจน์อะไรเกี่ยวกับไฟล์ที่คุณดาวน์โหลด จนกว่าจะมีวิธีเชื่อมสองสิ่งเข้าด้วยกัน

มองหาสัญญาณเหล่านี้ เรียงจากอ่อนไปแข็ง

1. คู่มือการสร้าง ขั้นตอนที่ใครก็ทำตามเพื่อสร้างแอปจากซอร์สได้ แสดงว่ากระบวนการมีเอกสาร แม้ผู้อ่านส่วนใหญ่จะไม่ได้ทำจริง
2. ค่า checksum ที่เผยแพร่ ลายนิ้วมือสั้นๆ ของแต่ละไฟล์ดาวน์โหลดที่แสดงในหน้ารุ่นปล่อย ถ้าคุณคำนวณลายนิ้วมือของไฟล์ที่ดาวน์โหลดแล้วตรงกัน แปลว่าไฟล์ไม่ถูกแก้ไขตั้งแต่เผยแพร่ การคำนวณลายนิ้วมือเป็นคำสั่งที่มีในตัวระบบส่วนใหญ่ ลองค้นวิธีทำบนระบบของคุณ
3. รุ่นปล่อยที่เซ็น นักพัฒนาเซ็นรุ่นปล่อยด้วยกุญแจเข้ารหัสและคุณตรวจลายเซ็นได้ แสดงว่าไฟล์มาจากผู้ถือกุญแจ
4. การสร้างที่ทำซ้ำได้ (reproducible builds) คนต่างกันสร้างจากซอร์สเดียวกันแล้วได้ไฟล์เหมือนกันทุกไบต์ นี่คือหลักฐานที่แข็งที่สุดว่าไฟล์ที่เผยแพร่ตรงกับโค้ดที่เผยแพร่ พบน้อยในแอป VPN สำหรับผู้บริโภค จึงไม่ควรคาดหวัง แต่ให้สังเกตหากโปรเจกต์เอ่ยถึง
5. การเผยแพร่ผ่านสโตร์ ถ้าติดตั้งจากแอปสโตร์ สโตร์จัดการการเซ็นและแจกจ่ายให้ แต่ไม่ได้พิสูจน์ว่าตัวสร้างตรงกับโค้ดสาธารณะ

ให้สมจริง แอป VPN ผู้บริโภคส่วนใหญ่จะถึงขั้นที่ 2 หรือ 3 เป็นอย่างมาก ให้ถือแต่ละขั้นที่ไปถึงเป็นหลักฐานเพิ่ม ไม่ใช่ผ่านหรือไม่ผ่าน ถ้าโปรเจกต์ให้คุณเชื่อไฟล์จากเว็บที่ไม่เป็นทางการโดยไม่มี checksum หรือลายเซ็น นั่นเป็นเหตุผลให้ใช้แหล่งอื่น ข้อควรระวังเดียวกันใช้กับไฟล์จากมิเรอร์ของบุคคลที่สาม ดู เช็กลิสต์แอป VPN ฟรีบน Android เพื่อดูว่าการดาวน์โหลดที่เสี่ยงมักหน้าตาเป็นอย่างไร

ขั้นที่ 3 อ่านนโยบายความปลอดภัยและประวัติคำเตือน

วิธีที่โปรเจกต์จัดการปัญหาบอกคุณได้มากกว่าพฤติกรรมในวันที่ดี

• นโยบายความปลอดภัย มองหาไฟล์ที่มักชื่อ SECURITY หรือหน้า "security" บนเว็บของผู้ให้บริการ ควรบอกวิธีรายงานช่องโหว่ ใครรับเรื่อง และใช้เวลาตอบกลับเท่าไร โปรเจกต์ที่ยินดีรับรายงานมีโอกาสได้ยินปัญหามากกว่า
• คำเตือนความปลอดภัยที่เผยแพร่ หลายโปรเจกต์เก็บรายการช่องโหว่ในอดีตพร้อมวันที่ ระดับความรุนแรง และเวอร์ชันที่แก้ รายการที่มีรายการอยู่ไม่ใช่สัญญาณเลวร้าย มันหมายถึงปัญหาถูกค้นพบและแก้อย่างเปิดเผย โปรเจกต์ที่อ้างว่าไม่เคยมีปัญหาเลยหลังใช้งานมาหลายปี อาจเล็กมากหรือไม่ได้บอกทุกอย่าง
• ความเร็วในการแก้ เทียบวันที่มีรายงานปัญหากับวันที่ปล่อยเวอร์ชันที่แก้ บันทึกที่รวดเร็วและชัดเจนเป็นสัญญาณดี
• ฐานข้อมูลช่องโหว่สาธารณะ ค้นชื่อโปรเจกต์พร้อมคำว่า "vulnerability" หรือ "CVE" ดูว่าเจออะไรและโปรเจกต์ตอบสนองอย่างไร ตีความอย่างระวัง โปรเจกต์ยอดนิยมที่ถูกศึกษามากจะมีรายการมากกว่าโปรเจกต์ที่ไม่มีใครรู้จัก เพียงเพราะมีคนดูมากกว่า
• ภาษาของบันทึก คำเตือนที่ซื่อตรงอธิบายว่าเกิดอะไรและผู้ใช้ควรทำอะไร การเขียนว่า "ปรับปรุงเล็กน้อย" สำหรับการแก้ด้านความปลอดภัยเป็นสัญญาณที่แย่กว่าคำอธิบายตรงๆ

จดวันที่ของการแก้ด้านความปลอดภัยครั้งล่าสุด ถ้าโปรเจกต์ใช้งานอยู่แต่การแก้ครั้งล่าสุดผ่านมานานมาก อาจแข็งแรงมาก หรืออาจไม่มีใครดู สองขั้นถัดไปช่วยให้แยกได้

ขั้นที่ 4 มองหารีวิวอิสระของโค้ดเปิด

จุดมุ่งหมายของโค้ดเปิดคือให้ผู้อื่นอ่านได้ ตรวจว่าพวกเขาอ่านแล้วหรือยัง

1. ค้นหารีวิวจากบุคคลที่สาม โดยบริษัทความปลอดภัย นักวิจัย หรือกลุ่มวิชาการ มองหารายงาน บล็อก หรือบทความที่ระบุเวอร์ชันที่ตรวจ
2. อ่านขอบเขต ด้วยคำถามเดียวกับออดิตทั่วไป ใครเขียน ตรวจอะไร เวอร์ชันไหน เมื่อไร คู่มือ วิธีอ่านรายงานออดิต VPN รวมไว้ให้
3. ตรวจว่าหลังจากนั้นเกิดอะไร โปรเจกต์เผยแพร่ข้อค้นพบและแก้ไขหรือไม่ รีวิวที่ตามด้วยการแก้แข็งแรงกว่ารายงานที่สะอาดแต่ไม่มีรายละเอียด
4. ดูรีวิวของชั้นโปรโตคอลแยกต่างหาก โปรโตคอลที่เป็นที่ยอมรับมีการวิเคราะห์สาธารณะ เอกสารขาว WireGuard อธิบายการออกแบบ และ แหล่งข้อมูลชุมชน OpenVPN บันทึกโปรโตคอลนั้น มาตรฐานสาธารณะด้านสถาปัตยกรรม VPN โดยทั่วไป NIST SP 800-77 ให้พื้นหลังว่าระบบแบบนี้ต้องทำอะไรให้ถูก
5. แยกไลบรารีออกจากผลิตภัณฑ์ โปรโตคอลเปิดที่น่านับถือในแอปปิดหรือบริหารไม่ดียังเป็นภาพผสม รีวิวชั้นหนึ่งไม่ครอบคลุมอีกชั้น

ถ้าไม่พบรีวิวอิสระเลย ไม่ได้แปลว่าโปรเจกต์แย่ แต่แปลว่าประโยชน์ของโค้ดเปิดเป็นเพียงทฤษฎี อาจมีคนอ่านจริงน้อยมาก

ขั้นที่ 5 ตรวจ dependency และสิ่งที่แอปติดต่อด้วย

แม้โค้ดที่เขียนดีก็พึ่งโค้ดอื่น แอปสมัยใหม่รวมส่วนประกอบของบุคคลที่สามนับสิบ และแต่ละตัวคือที่ที่ปัญหาเข้ามาได้

• รายการ dependency หลาย repository มีไฟล์ระบุไลบรารีที่ใช้ คุณไม่ต้องประเมินทีละตัว ดูว่ามีรายการอยู่ไหม และมีสัญญาณว่าโปรเจกต์อัปเดตมันหรือไม่
• ส่วนประกอบวิเคราะห์และโฆษณา การมีอยู่ในแอปเป็นประเด็นความเป็นส่วนตัว ไม่ว่าโค้ดจะเปิดหรือไม่ ค้นใน repository หาคำอย่าง "analytics" "tracking" หรือ "advertising" หรืออ่านคำแจ้งความเป็นส่วนตัวในหน้าแอปสโตร์
• พฤติกรรมเครือข่าย โค้ดเปิดช่วยให้นักวิจัยเห็นว่าแอปติดต่อเซิร์ฟเวอร์ไหน ถ้าโปรเจกต์บันทึกไว้ก็ดี ถ้าไม่ ให้ถือเป็นช่องว่าง
• สิทธิ์ เทียบสิทธิ์ที่แอปขอกับสิ่งที่ VPN ต้องใช้ แอป VPN ที่ขอรายชื่อติดต่อหรือตำแหน่งต้องมีคำอธิบาย

สำหรับคำถามใหญ่กว่าว่าท้ายที่สุดคุณไว้ใจฝ่ายใดบ้าง โมเดลความไว้วางใจของ VPN วางห่วงโซ่จากคุณไปถึงผู้ให้บริการ ผู้โฮสต์เซิร์ฟเวอร์ และซอฟต์แวร์

แผนตรวจ 30 นาที

ใช้เป็นสคริปต์สำหรับครั้งแรก จดโน้ตลงหน้าเดียว

1. นาที 0-3 เขียนคำอ้าง ประโยคเดียว ระบุส่วนที่ว่าเปิดชัดเจน
2. นาที 3-8 หา repository ตามลิงก์จากเว็บของผู้ให้บริการ ถ้าหาไม่เจอภายใน 5 นาที ให้จดไว้ ตรวจสัญญาอนุญาตและวันที่เคลื่อนไหวล่าสุด
3. นาที 8-13 เทียบเวอร์ชัน จับคู่เวอร์ชันแอปที่คุณจะติดตั้งกับรุ่นปล่อยล่าสุดใน repository
4. นาที 13-18 ดูรุ่นปล่อยและ checksum จดว่ามี checksum ลายเซ็น หรือคำแนะนำการสร้างหรือไม่
5. นาที 18-23 อ่านนโยบายความปลอดภัยและคำเตือน จดวันที่ของการแก้ครั้งล่าสุดและวิธีอธิบายปัญหา
6. นาที 23-28 ค้นหารีวิวอิสระ จดผู้เขียน ขอบเขต เวอร์ชัน และวันที่
7. นาที 28-30 ให้คะแนน ให้แต่ละด้านทั้งห้า (ความเคลื่อนไหว ความตรงของเวอร์ชัน ความสมบูรณ์ของรุ่นปล่อย การจัดการความปลอดภัย รีวิวอิสระ) ระดับ แข็งแรง บางส่วน หรือไม่มี

ตีความคะแนนดังนี้ ส่วนใหญ่แข็งแรง คำอ้างได้รับการสนับสนุนดี ภายใต้ข้อจำกัดด้านล่าง ผสมกัน คำอ้างเป็นจริงบางส่วน และคุณควรจดว่าช่องว่างไหนสำคัญต่อการใช้ของคุณ ส่วนใหญ่ไม่มี ป้ายโอเพนซอร์สใกล้การตลาดมากกว่าคุณสมบัติด้านความปลอดภัย และคุณควรพึ่งหลักฐานอื่นเกี่ยวกับผู้ให้บริการ

สิ่งที่โค้ดเปิดบอกคุณไม่ได้

คะแนนสมบูรณ์แบบก็ยังมีเพดาน จำข้อจำกัดเหล่านี้ไว้

• บอกไม่ได้ว่าเซิร์ฟเวอร์รันอะไร โค้ดเซิร์ฟเวอร์ที่เผยแพร่ไม่พิสูจน์ว่าเครื่องจริงของผู้ให้บริการรันโค้ดนั้นเป๊ะ การออดิตระบบที่รันอยู่เป็นอีกคำถาม ดู วิธีตรวจสอบคำอ้างออดิตการเก็บบันทึก
• บอกไม่ได้ว่าบริษัททำอะไรกับข้อมูล แนวปฏิบัติทางธุรกิจ การเก็บรักษา และความเสี่ยงทางกฎหมายอยู่นอก repository
• บอกไม่ได้ว่ามีคนอ่านอยู่ โค้ดเปิดปลอดภัยกว่าก็ต่อเมื่อมีผู้ชำนาญมาดู repository ที่เงียบอาจไม่มีผู้ตรวจ
• ไม่แก้ฝั่งผู้ใช้ ฟิชชิง รหัสผ่านอ่อน และมัลแวร์บนอุปกรณ์ ไม่ได้รับผลจากสัญญาอนุญาตของ VPN อ่าน สิ่งที่ VPN ปกป้องคุณไม่ได้
• เป็นภาพ ณ ช่วงเวลาหนึ่ง โปรเจกต์ที่ได้คะแนนดีปีที่แล้วอาจเปลี่ยนมือหรือเปลี่ยนทิศทาง

สำหรับผู้อ่านที่ต้องการความมั่นใจสูง เช่นผู้ทำงานภายใต้ภัยคุกคามจริง คู่มือ EFF Surveillance Self-Defense เป็นจุดเริ่มต้นที่ดีกว่าเช็กลิสต์ผู้บริโภคใดๆ และควรขอคำแนะนำเฉพาะราย

ข้อผิดพลาดที่พบบ่อยตอนตรวจ

• ถือว่าคำว่า "เปิด" เป็นตราประทับรับรอง มันคือคำเชิญให้ตรวจ ไม่ใช่หลักฐานว่ามีคนตรวจ
• ตัดสินจากจำนวนดาวหรือความนิยม ความนิยมวัดความสนใจ ไม่ใช่คุณภาพ
• ดาวน์โหลดจากมิเรอร์เพื่อ "ทดสอบ" โค้ดเปิด มิเรอร์อาจเป็นความเสี่ยงเสียเอง
• ตรวจแค่โปรโตคอล โปรโตคอลที่แข็งแรงอาจอยู่ในแอปที่อ่อน
• เมินวันที่ รีวิวเวอร์ชัน 2 บอกน้อยมากเกี่ยวกับเวอร์ชัน 9
• คาดหวังคะแนนสมบูรณ์แบบ VPN ผู้บริโภคที่ได้แบบนั้นมีน้อย เป้าหมายคือภาพที่สมจริง

สรุป

การตรวจคำอ้างความปลอดภัยของ VPN โอเพนซอร์ส ให้ระบุให้ชัดว่าอะไรที่ว่าเปิด ตรวจความเคลื่อนไหว สัญญาอนุญาต และความตรงของเวอร์ชันใน repository ดูว่ารุ่นปล่อยมี checksum หรือลายเซ็นหรือไม่ อ่านนโยบายความปลอดภัยและคำเตือนในอดีต มองหารีวิวอิสระที่ระบุเวอร์ชันและขอบเขต และทบทวน dependency กับสิทธิ์ การตรวจ 30 นาทีให้ระดับ แข็งแรง บางส่วน หรือไม่มี ในแต่ละด้าน โค้ดเปิดให้ผู้อื่นตรวจสอบได้ แต่ไม่เคยรับประกันว่าพวกเขาตรวจจริง ว่าไฟล์ที่คุณดาวน์โหลดตรงกับซอร์ส หรือว่าเซิร์ฟเวอร์รันมัน

หากอยากเทียบผู้ให้บริการด้วยเงื่อนไขที่เรียบง่ายและตรวจสอบได้ หน้าราคา แสดงวิธีเสนอแพ็กเกจ VPN แบบชำระล่วงหน้า และคุณใช้คำถามชุดเดียวกันกับมันได้