VPN เตรียมพร้อมภัยคุกคามควอนตัมอย่างไร

ตอนนี้คำว่า post-quantum ปรากฏบนเว็บไซต์ VPN คู่กับคำอย่าง military-grade และ next-generation จนแยกยากว่าอะไรคือวิศวกรรมจริงและอะไรเป็นแค่ของตกแต่ง บทความนี้มองเรื่อง Post-Quantum Security ของ VPN ในแง่ปฏิบัติ คือเสี่ยงอะไรกันแน่ วันนี้มีแนวทางอะไรที่ใช้ลดความเสี่ยง และคุณควรถามอะไรจากผู้ให้บริการหรือเครื่องมือที่บอกว่าพร้อมแล้ว

หากต้องการคำอธิบายพื้นฐานแบบเข้าใจง่ายก่อน ให้อ่านการเข้ารหัส VPN แบบ Post-Quantum หมายถึงอะไรสำหรับคุณ ส่วนบทความนี้ลงลึกอีกระดับ ว่าด้วยแนวทางปัจจุบัน ข้อแลกเปลี่ยน และวิธีประเมิน โดยไม่อิงผลิตภัณฑ์ใดโดยเฉพาะ

อะไรอยู่ในความเสี่ยงกันแน่

อุโมงค์ VPN ใช้การเข้ารหัสสองแบบ และคอมพิวเตอร์ควอนตัมคุกคามสองแบบนี้ไม่เท่ากันเลย

การเข้ารหัสแบบสมมาตร คือรหัสความเร็วสูงที่สับข้อมูลของคุณจริง ๆ หลังอุโมงค์ทำงานแล้ว เช่น AES หรือ ChaCha20 ที่ใช้กุญแจ 256 บิต การโจมตีควอนตัมที่รู้จัก โดยหลักคืออัลกอริทึมของ Grover ลดความแข็งแรงที่แท้จริงของกุญแจลงครึ่งเดียว กุญแจ 256 บิตจึงเหมือนกุญแจ 128 บิต ซึ่งยังเกินกว่าจะโจมตีได้จริง ส่วนนี้คำแนะนำทั่วไปคือใช้กุญแจ 256 บิตก็พอ

การเข้ารหัสกุญแจสาธารณะ คือคณิตศาสตร์ที่ช้ากว่า ใช้ตอนต้นการเชื่อมต่อเพื่อตกลงความลับร่วมกันและพิสูจน์ตัวตน ตัวอย่างที่พบบ่อยคือการแลกกุญแจแบบเส้นโค้งวงรีและ RSA คอมพิวเตอร์ควอนตัมขนาดใหญ่ที่แก้ข้อผิดพลาดได้และรันอัลกอริทึมของ Shor มีความเป็นไปได้ในทางทฤษฎีที่จะทำลายสิ่งเหล่านี้ได้ทั้งหมด ไม่ใช่แค่ทำให้อ่อนลง และนี่คือปัญหาจริง

ความเสี่ยงจึงกระจุกอยู่ที่ขั้นตอน handshake ถ้า handshake ถูกทำลายได้ในภายหลัง ก็กู้กุญแจเซสชันได้ และกู้บทสนทนาที่บันทึกไว้ทั้งหมดได้ด้วย บทความการแลกกุญแจของ VPN ทำงานอย่างไรอธิบายขั้นตอนนี้ด้วยภาษาง่าย ๆ

เก็บไว้ก่อน ถอดรหัสทีหลัง

ทำไมต้องกังวลก่อนที่คอมพิวเตอร์แบบนั้นจะมีจริง เพราะทราฟฟิกที่เข้ารหัสสามารถถูกคัดลอกวันนี้และเก็บไว้หลายปี แนวคิดนี้มักเรียกว่า harvest now, decrypt later ผู้โจมตีที่เข้าถึงสายเครือข่ายได้ เช่นผู้ดูแลเครือข่ายหรือหน่วยงานระดับรัฐ สามารถบันทึก handshake ที่เข้ารหัสและข้อมูล แล้วรอจนเทคโนโลยีมาถึงจึงถอดรหัส

เรื่องนี้ไม่ได้สำคัญเท่ากันสำหรับทุกคน การท่องเว็บทั่วไปในอีกสิบปีข้างหน้าแทบไม่มีค่า แต่บางประเภทไม่ใช่ เช่นประวัติการรักษา เอกสารกฎหมาย ความลับทางการค้า เอกสารราชการ ข้อมูลตัวตนที่ใช้ได้นาน ลองถามตัวเองว่าข้อมูลต้องเป็นความลับนานแค่ไหน ถ้าคำตอบคือไม่กี่วัน ภัยควอนตัมเป็นเรื่องวิชาการ ถ้าคำตอบคือยี่สิบปี ก็ควรเริ่มสนใจตั้งแต่ตอนนี้

Perfect forward secrecy ช่วยจำกัดความเสียหายส่วนหนึ่งอยู่แล้ว โดยใช้กุญแจชั่วคราวใหม่ทุกเซสชัน การขโมยกุญแจระยะยาวจึงไม่ปลดล็อกทราฟฟิกเก่า แต่ forward secrecy ช่วยอะไรไม่ได้ถ้าคอมพิวเตอร์ควอนตัมทำลายการแลกกุญแจชั่วคราวนั้นเองได้ นี่คือเหตุผลที่ต้องอัปเกรดตัวการแลกกุญแจโดยเฉพาะ

มาตรฐานที่มีอยู่ตอนนี้

หลายปีที่ผ่านมาเรื่องนี้เป็นเพียงข้อเสนอเชิงวิจัย ทุกอย่างเปลี่ยนเมื่อสถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ หรือ NIST จบกระบวนการคัดเลือกแบบเปิด และในปี 2024 ประกาศมาตรฐาน post-quantum ชุดแรก ฉบับที่เกี่ยวกับ VPN มากที่สุดคือ FIPS 203 ซึ่งกำหนด ML-KEM กลไกห่อหุ้มกุญแจ (key encapsulation) ที่อิงโครงสร้างแลตทิซ พัฒนามาจากโครงการที่เดิมชื่อ Kyber

กลไกห่อหุ้มกุญแจช่วยให้สองฝ่ายตกลงความลับร่วมกันด้วยวิธีที่เชื่อว่าทนต่อการโจมตีควอนตัม NIST ยังกำหนดมาตรฐานลายเซ็นแบบ post-quantum ซึ่งทำหน้าที่อีกอย่างคือพิสูจน์ตัวตน คุณติดตามความคืบหน้าได้จากหน้าโครงการ post-quantum cryptography ของ NIST

การมีมาตรฐานไม่ได้แปลว่าทุกผลิตภัณฑ์ใช้มัน แต่แปลว่ามีเป้าหมายที่มีชื่อและผ่านการตรวจสอบแล้ว ให้วิศวกรและผู้ซื้อชี้ได้ เมื่ออ่านเรื่อง Post-Quantum Security ของ VPN สิ่งแรกที่ควรหาคือชื่ออัลกอริทึม หน้าเว็บที่เขียนแค่ "กันควอนตัมได้" โดยไม่ระบุมาตรฐาน แทบไม่ได้บอกอะไรคุณเลย

แนวทางที่หนึ่ง hybrid key exchange

แนวทางที่พบมากที่สุดในปัจจุบันคือ hybrid การเชื่อมต่อจะรันการแลกกุญแจแบบคลาสสิก เช่น X25519 กับแบบ post-quantum เช่น ML-KEM พร้อมกัน แล้วนำผลลัพธ์ทั้งสองมารวมกันเป็นกุญแจเซสชัน

ตรรกะนี้ระมัดระวังโดยออกแบบ อัลกอริทึม post-quantum ใหม่กว่าและผ่านการถูกโจมตีมาน้อยกว่าแบบคลาสสิก หากพบข้อบกพร่องในโครงการใหม่ ส่วนคลาสสิกยังป้องกันผู้โจมตีทั่วไปได้ หากคอมพิวเตอร์ควอนตัมทำลายส่วนคลาสสิก โครงการใหม่ก็ยังป้องกันคุณอยู่ ผู้โจมตีต้องเอาชนะทั้งสอง

แนวทางนี้แพร่หลายอยู่แล้วนอกวงการ VPN เบราว์เซอร์รายใหญ่และเครือข่ายเนื้อหาขนาดใหญ่เปิดใช้ hybrid key exchange ใน TLS ซึ่งเป็นโปรโตคอลเบื้องหลัง HTTPS แนวคิดนี้จึงคุ้นเคยบนเว็บ ดูความสัมพันธ์ของสองชั้นได้ที่ HTTPS กับ VPN ข้อแลกเปลี่ยนคือขนาดและความเร็ว วัสดุกุญแจแบบ post-quantum ใหญ่กว่าแบบคลาสสิก handshake จึงส่งไบต์มากขึ้น บนอินเทอร์เน็ตบ้านมองไม่เห็น แต่บนลิงก์ที่อ่อนมากหรือมีแพ็กเก็ตสูญหายอาจรู้สึกได้ในตอนเชื่อมต่อ

แนวทางที่สอง เพิ่ม pre-shared key

โปรโตคอล VPN บางตัวรองรับความลับเพิ่มเติมที่ทั้งสองฝั่งรู้อยู่แล้ว เรียกว่า pre-shared key เช่น WireGuard มีช่อง pre-shared key แบบเลือกใช้ได้ ซึ่งถูกผสมเข้าไปในการสร้างกุญแจ ผู้โจมตีที่บันทึกทราฟฟิกไว้และภายหลังมีคอมพิวเตอร์ควอนตัมก็ยังขาด pre-shared key จึงสร้างกุญแจเซสชันจากขั้นตอนกุญแจสาธารณะเพียงอย่างเดียวไม่ได้

เป็นการป้องกันจริงและทำได้ง่าย แต่มีต้นทุน

• ต้องสร้างกุญแจให้ดีและส่งให้ทั้งสองฝั่งผ่านช่องทางที่ปลอดภัย ถ้าส่งทางอีเมลธรรมดา ประโยชน์ก็หมดไป
• เป็นความลับอายุยาว หากรั่วไหล การป้องกันชั้นนี้ก็หายไปสำหรับทุกเซสชันที่ใช้มัน
• ไม่เหมาะกับผู้ใช้นิรนามหลายพันคน เพราะแต่ละคู่ต้องมีกุญแจของตัวเอง
• ตัวมันเองไม่ได้ยืนยันตัวตนอะไร เป็นการเพิ่มชั้น ไม่ใช่การทดแทน

สำหรับลิงก์ระหว่างสองไซต์ขนาดเล็กหรืออุโมงค์ส่วนตัวระหว่างอุปกรณ์ของคุณเอง pre-shared key เป็นมาตรการที่สมเหตุสมผลและถูก ส่วนบริการสำหรับผู้บริโภคที่มีลูกค้าจำนวนมาก ผู้ให้บริการมีแนวโน้มพึ่ง hybrid exchange ที่อยู่ในโปรโตคอลมากกว่า

แนวทางที่สาม handshake แบบ post-quantum แยกต่างหากซ้อนบนโปรโตคอลเดิม

แนวทางที่สามคือไม่แตะโปรโตคอลอุโมงค์เดิม แต่เพิ่ม handshake แบบ post-quantum แยกอีกตัวทำงานคู่กัน ส่วนเสริมนี้เจรจาความลับใหม่ด้วยวิธี post-quantum แล้วป้อนเข้าอุโมงค์เป็น pre-shared key ที่หมุนเวียนเปลี่ยนอัตโนมัติ วิธีนี้ทำให้โค้ดอุโมงค์ที่ผ่านการตรวจสอบมาอย่างดีไม่เปลี่ยน และแยกการเข้ารหัสแบบใหม่ไว้ในชิ้นส่วนที่เล็กกว่า

ข้อดีคือเป็นโมดูล ปรับปรุงส่วน post-quantum ได้โดยไม่ต้องเขียนอุโมงค์ใหม่ ข้อเสียคือมีชิ้นส่วนเพิ่มที่อาจพังหรือตั้งค่าผิด และต้องติดตั้งกับอัปเดตซอฟต์แวร์เพิ่ม แอปทั่วไปจะมีแนวทางนี้หรือไม่ขึ้นกับแอปนั้น ๆ ให้ตรวจเอกสารของแอปแทนการเดา

เปรียบเทียบแนวทาง

แนวทาง	ปกป้องอะไร	จุดแข็ง	ต้นทุนหรือข้อจำกัดหลัก
รหัสสมมาตร 256 บิต	ข้อมูลจำนวนมากหลังอุโมงค์ทำงาน	ถือว่าแข็งแรงต่อการโจมตีควอนตัมที่รู้จัก	ไม่ช่วยขั้นตอน handshake
Hybrid key exchange	การตกลงกุญแจเซสชัน	ปลอดภัยถ้าครึ่งคลาสสิกหรือครึ่ง post-quantum อย่างใดอย่างหนึ่งยังทน	handshake ใหญ่ขึ้น ต้องรองรับทั้งสองฝั่ง
Pre-shared key	เพิ่มความลับที่ผู้โจมตีไม่มี	ง่าย ถูก ใช้กับโปรโตคอลเดิมได้	แจกจ่ายในวงกว้างยาก เป็นความลับอายุยาว
handshake post-quantum แยกที่ป้อน pre-shared key	ความลับเพิ่มที่หมุนเวียนอัตโนมัติ	ไม่แตะโค้ดอุโมงค์เดิม	ต้องมีซอฟต์แวร์และชิ้นส่วนเพิ่ม
ลายเซ็นแบบ post-quantum	ตัวตนและการยืนยัน	จำเป็นในระยะยาว	เร่งด่วนน้อยกว่า key exchange ลายเซ็นมีขนาดใหญ่

สังเกตว่าการยืนยันตัวตนเป็นครึ่งที่เร่งด่วนน้อยกว่า ลายเซ็นต้องทนได้แค่ ณ ขณะที่ตรวจสอบ จึงไม่สามารถเก็บไว้แล้วแกะทีหลังแบบเดียวกัน นี่คือเหตุผลที่การใช้งานช่วงแรกส่วนใหญ่เน้น key exchange ก่อน

วิธีประเมินคำอ้างเรื่อง post-quantum

คุณไม่จำเป็นต้องเป็นนักเข้ารหัสลับก็ถามคำถามดี ๆ ได้ ใช้รายการตรวจนี้เมื่อผู้ให้บริการหรือเครื่องมือบอกว่ารองรับ post-quantum

1. ระบุมาตรฐานไหม ML-KEM หรือ hybrid ที่อธิบายชัดเป็นคำตอบที่มีความหมาย แค่ "กันควอนตัม" ไม่ใช่
2. เป็น hybrid ไหม โครงการที่แทนที่ขั้นตอนคลาสสิกทั้งหมดเป็นการเดิมพันที่ใหญ่กว่าแบบที่ใช้ทั้งสองรวมกัน
3. ใช้ที่ไหนบ้าง บางเครื่องมือปกป้องเพียงโปรโตคอลเดียว แอปเดียว หรือแพลตฟอร์มเดียว ถามว่าการเชื่อมต่อและไคลเอนต์ใดใช้จริง
4. มีเอกสารไหม หน้าเทคนิค ข้อกำหนด หรือรีวิวที่เผยแพร่น่าเชื่อกว่าป้ายมาก
5. เปิดเป็นค่าเริ่มต้นไหม ฟีเจอร์ที่ซ่อนในเมนูขั้นสูงปกป้องคนได้น้อย
6. รหัสสมมาตรเป็น 256 บิตไหม นั่นเป็นส่วนหนึ่งของคำตอบที่สมบูรณ์
7. คำอ้างสุภาพไหม ใครที่สัญญาว่าปลอดภัยสมบูรณ์ เจาะไม่ได้ หรือคุ้มครองตลอดไป กำลังขายเกินจริง

หากหน้าไหนตกสามข้อแรก ให้ถือเป็นการตลาดจนกว่าจะพิสูจน์ได้

สิ่งที่ post-quantum ไม่ได้เปลี่ยน

การอัปเกรดทางเทคนิคทำให้คนคาดหวังเกินจริงได้ง่าย จึงต้องจำขอบเขตไว้

• ไม่ได้หยุดฟิชชิง มัลแวร์ หรือรหัสผ่านที่อ่อน ดูสิ่งที่ VPN ปกป้องคุณไม่ได้
• ไม่ได้ซ่อนกิจกรรมของคุณจากผู้ให้บริการ VPN ที่ดูแลอุโมงค์ เพราะผู้ให้บริการอยู่ปลายด้านหนึ่งของมัน
• ไม่ได้ทำให้คุณไม่เปิดเผยตัวตน บัญชี คุกกี้ และลายนิ้วมืออุปกรณ์ยังระบุตัวคุณได้
• ไม่ได้ปกป้องอุปกรณ์ที่ถูกแฮกไปแล้ว
• ไม่ช่วยถ้าปลายทางของเว็บไซต์ที่คุณเข้าใช้การเข้ารหัสที่อ่อน VPN ครอบคลุมช่วงถึงเซิร์ฟเวอร์ VPN ไม่ใช่เส้นทางทั้งหมด

สำหรับคนส่วนใหญ่ในวันนี้ งานความปลอดภัยที่มีประโยชน์ที่สุดยังคงเป็นเรื่องธรรมดา คืออัปเดตซอฟต์แวร์ รหัสผ่านไม่ซ้ำ ยืนยันตัวตนสองขั้นตอน และระวังลิงก์

แผนง่าย ๆ สำหรับผู้อ่านแต่ละแบบ

นักเดินทางหรือนักศึกษา ที่ใช้ VPN บน Wi-Fi สาธารณะ ข้อมูลมีอายุสั้นและแทบไม่มีเหตุต้องกังวลเรื่อง harvest now, decrypt later เน้นแอปที่เชื่อถือได้ ซอฟต์แวร์ที่ทันสมัย และความปลอดภัยของบัญชี หากแอปมี post-quantum ให้ถือเป็นโบนัส ไม่ใช่ข้อบังคับ

คนทำงานระยะไกล ที่จัดการสัญญาของลูกค้าอาจใส่ใจมากขึ้นหน่อย เพราะเอกสารบางอย่างอ่อนไหวไปอีกหลายปี ถามนายจ้างหรือฝ่ายไอทีว่าระบบเข้าถึงระยะไกลมีแผน post-quantum หรือไม่ และอ่านนโยบายของเขา แทนการเชื่อคำอ้างของแอปสำหรับผู้บริโภค

องค์กรเล็กหรือผู้ใช้ตามบ้านสายเทคนิค ที่ตั้งอุโมงค์เองใช้ pre-shared key ได้ตั้งแต่วันนี้ อัปเดตซอฟต์แวร์เสมอ และวางแผนใช้ hybrid เมื่อเครื่องมือที่ใช้รองรับ

ผู้ที่ถือความลับอายุยาว เช่นนักข่าว ทนายความ หรือนักวิจัย ควรมองความเสี่ยงควอนตัมเป็นส่วนของแบบจำลองภัยคุกคามที่กว้างกว่า คู่มือสร้างแบบจำลองภัยคุกคามด้านความเป็นส่วนตัวแบบง่ายเป็นจุดเริ่มที่ดี

สรุป

คอมพิวเตอร์ควอนตัมคุกคาม handshake แบบกุญแจสาธารณะของ VPN ไม่ใช่รหัส 256 บิตที่ขนส่งข้อมูล แนวทางปัจจุบันได้แก่ hybrid key exchange ที่รวมวิธีคลาสสิกกับ ML-KEM, pre-shared key ที่เพิ่มความลับซึ่งผู้โจมตีไม่มี และ handshake แบบ post-quantum แยกที่ซ้อนบนโปรโตคอลเดิม ประเมินคำอ้างทุกข้อด้วยการดูว่าระบุมาตรฐานไหม เป็น hybrid ไหม บอกว่าใช้ที่ไหน และมีเอกสารไหม ทั้งหมดนี้ไม่ได้มาแทนนิสัยความปลอดภัยพื้นฐาน และไม่ได้ทำให้ VPN เป็นการรับประกัน

หากแพ็กเกจเติมเงินแบบเรียบง่ายเหมาะกับการใช้ VPN ของคุณตอนนี้ ดูหน้าราคาได้ตามสะดวก