VPN ช่วยป้องกันอะไรได้บ้างบน Wi-Fi สาธารณะ

สิ่งที่เขียนเรื่อง Wi-Fi สาธารณะเกือบทั้งหมดแบ่งเป็นสองค่าย ค่ายหนึ่งบอกว่ามันเป็นกับดัก อย่าแตะเด็ดขาดถ้าไม่มี VPN อีกค่ายบอกว่าเป็นตำนาน HTTPS แก้ทุกอย่างแล้วและ VPN ไม่มีประโยชน์ ทั้งสองค่ายถูกบางส่วนและขี้เกียจทั้งคู่ ความจริงคือรายการของภัยเฉพาะเจาะจง แต่ละภัยมีเงื่อนไขของตัวเองและวิธีป้องกันที่ดีที่สุดของตัวเอง

บทความนี้แยกรายการนั้นออกมา สำหรับแต่ละภัย อธิบายว่าผู้โจมตีต้องมีอะไรจึงทำได้ VPN หยุดได้ ลดได้ หรือไม่ช่วยอะไร และคุณควรทำอะไรอีก หากอยากได้ฉบับย่อของทั้งเรื่อง วิธีใช้ Wi-Fi สาธารณะให้ปลอดภัยขึ้น เป็นเช็กลิสต์สั้น ๆ ส่วนบทความนี้คือแผนที่ละเอียดที่อยู่เบื้องหลัง และตั้งใจไม่ซ้ำกับสถานการณ์สนามบินและร้านกาแฟที่เขียนไว้ในที่อื่น

Wi-Fi สาธารณะเปลี่ยนอะไร

ที่บ้าน คุณควบคุมเราเตอร์และรู้ว่าใครอยู่ในเครือข่าย บน Wi-Fi สาธารณะมีสามอย่างที่เปลี่ยนไป

1. คุณใช้เครือข่ายท้องถิ่นร่วมกับคนแปลกหน้า
2. ผู้ดูแลเครือข่ายควบคุมเส้นทาง ที่ข้อมูลของคุณเดินทางไปสู่อินเทอร์เน็ต อาจเป็นธุรกิจ สถานที่ หรือคนแปลกหน้าที่ตั้งฮอตสปอตเอง
3. คุณตรวจอุปกรณ์ไม่ได้ ไม่รู้เฟิร์มแวร์ ค่าตั้ง หรือว่ามีใครเฝ้าดูอยู่หรือไม่

สิ่งที่ไม่เปลี่ยนคือข้อมูลของคุณเดินทางผ่านหลายเครือข่ายอยู่แล้วแม้ที่บ้าน ผู้ให้บริการอินเทอร์เน็ตเห็นปลายทางของคุณที่บ้าน Wi-Fi สาธารณะเพียงเพิ่มคนอีกกลุ่มในตำแหน่งเดียวกัน หน้าที่หลักของ VPN คือสร้างอุโมงค์เข้ารหัสจากอุปกรณ์ไปยังเซิร์ฟเวอร์ของผู้ให้บริการ VPN ซึ่งอธิบายไว้ในบทความแนะนำ VPN ของ Cloudflare ในรายการอ้างอิง สิ่งที่สำคัญตรงนี้คืออุโมงค์นั้นหยุดภัยแบบไหนได้บ้าง

ภัยทั้งเจ็ดทีละข้อ

แต่ละภัยด้านล่างเรียงเหมือนกัน คือคืออะไร ผู้โจมตีต้องมีอะไร และอะไรหยุดได้

ภัยที่ 1 การดักจับข้อมูลแบบเงียบ ๆ (Passive sniffing)

คืออะไร คนในเครือข่ายเดียวกันใช้เครื่องมือฟรีจับแพ็กเก็ตข้อมูลที่เดินทางในอากาศหรือผ่านเราเตอร์

ต้องมีอะไร แล็ปท็อป ซอฟต์แวร์ฟรี และการอยู่ใกล้ ไม่ต้องใช้ทักษะพิเศษนอกจากทำตามบทเรียน

ได้อะไรในปัจจุบัน บนเครือข่ายเปิดที่ไม่มีรหัสผ่าน แพ็กเก็ตจับได้ในความหมายว่าเก็บได้ แต่ถ้าหน้าเว็บใช้ HTTPS เนื้อหาถูกเข้ารหัสด้วย TLS จึงเห็นแค่ชื่อเว็บและปริมาณข้อมูลเป็นหลัก แอปรุ่นเก่า เกมบางเกม อุปกรณ์สมาร์ตโฮมบางตัว และซอฟต์แวร์ที่เขียนไม่ดีอาจยังส่งข้อมูลแบบไม่เข้ารหัส

VPN หยุดได้ไหม ได้ อุโมงค์เข้ารหัสทราฟฟิกทั้งหมดจากอุปกรณ์ไปเซิร์ฟเวอร์ VPN รวมทั้งจากแอปที่ไม่ใช้การเข้ารหัส ผู้ดักจับจึงเห็นเพียงว่าคุณเชื่อมต่อกับเซิร์ฟเวอร์ VPN

การป้องกันอื่น เลือกเครือข่าย WPA2 หรือ WPA3 ที่มีรหัสผ่าน ใช้ HTTPS ทุกที่ และอัปเดตแอปให้ทันสมัย

ภัยที่ 2 ฮอตสปอตปลอม (Evil twin)

คืออะไร ฮอตสปอตที่ตั้งชื่อเหมือนของจริงเพื่อล่อให้อุปกรณ์เข้าร่วม

ต้องมีอะไร เราเตอร์หรือแล็ปท็อปที่ทำตัวเป็นจุดกระจายสัญญาณได้ และชื่อที่น่าเชื่อ

ได้อะไร เมื่ออุปกรณ์ของคุณเข้าร่วม ทุกแพ็กเก็ตผ่านอุปกรณ์ของเขา เขาเห็นข้อมูลประกอบของทราฟฟิกและพยายามแก้ไข แสดงหน้าล็อกอินปลอม หรือบล็อกบางอย่างได้

VPN หยุดได้ไหม บางส่วน อุโมงค์จำกัดสิ่งที่เขาอ่านได้ เพราะเนื้อหาและปลายทางอยู่ในชั้นเข้ารหัส แต่เขายังควบคุมช่วงแรกของเส้นทาง เขาบล็อก VPN ได้ แสดงหน้าล็อกอินปลอมให้คุณหลงกรอกอะไรบางอย่าง หรือตัดการเชื่อมต่อไปเลย VPN ไม่ได้ตรวจสอบตัวตนของฮอตสปอต

การป้องกันอื่น ยืนยันชื่อที่ตรงเป๊ะกับพนักงาน ลืมเครือข่ายเก่า ปิดการเข้าร่วมอัตโนมัติ และใช้เน็ตมือถือสำหรับงานอ่อนไหว Kill switch ซึ่งอธิบายไว้ใน Kill switch ของ VPN คืออะไร ป้องกันไม่ให้ทราฟฟิกรั่วออกนอกอุโมงค์เมื่อ VPN หลุด

ภัยที่ 3 คนกลางดักกลางทางและกลโกงลดระดับ (Man-in-the-middle)

คืออะไร ผู้โจมตีอยู่ระหว่างอุปกรณ์ของคุณกับเว็บ พยายามอ่านหรือแก้ทราฟฟิก เช่น หลอกให้เบราว์เซอร์ใช้เว็บเวอร์ชันที่ไม่เข้ารหัส หรือแสดงใบรับรองความปลอดภัยปลอม

ต้องมีอะไร การควบคุมเส้นทางเครือข่าย ซึ่งฮอตสปอตปลอมหรือเราเตอร์ที่ถูกยึดให้ได้ และเหยื่อที่กดผ่านคำเตือน

อะไรหยุดได้ หลัก ๆ คือ TLS และเบราว์เซอร์ของคุณ เบราว์เซอร์รุ่นใหม่ตรวจใบรับรอง เตือนเสียงดังเมื่อมีสิ่งผิดปกติ และสำหรับหลายเว็บปฏิเสธโหลดเวอร์ชันไม่เข้ารหัสเลย ข้อกำหนด TLS 1.3 (RFC 8446) ในรายการอ้างอิงคือโครงสร้างทางเทคนิคเบื้องหลัง

VPN หยุดได้ไหม เพิ่มอีกชั้น ผู้โจมตีบนเครือข่ายท้องถิ่นอ่านหรือแก้ทราฟฟิกในอุโมงค์ไม่ได้ แต่ไม่ปกป้องคุณหากคุณเมินคำเตือนของเบราว์เซอร์บนเว็บที่อยู่หลัง VPN ไปอีก อัปเดตเบราว์เซอร์และอย่ากดผ่านคำเตือนใบรับรองเพื่อล็อกอินเรื่องสำคัญ

ภัยที่ 4 กลโกง DNS

คืออะไร DNS แปลงชื่ออย่าง example.com เป็นที่อยู่ เครือข่ายไม่หวังดีตอบด้วยที่อยู่ผิดเพื่อส่งคุณไปเว็บปลอม หรือแค่บันทึกชื่อที่คุณค้นหา

ต้องมีอะไร การควบคุมคำตอบ DNS ในเครือข่าย ซึ่งเป็นเรื่องปกติของเราเตอร์ฮอตสปอต

ได้อะไร รายการเว็บที่คุณขอ และความสามารถในการเปลี่ยนเส้นทางคุณไปหน้าเลียนแบบ HTTPS และใบรับรองจำกัดความเสียหายจากการเปลี่ยนเส้นทาง แต่บันทึกการค้นหาของคุณยังมองเห็นได้

VPN หยุดได้ไหม ได้ ถ้าคำขอ DNS ของคุณไปผ่านอุโมงค์จริง ๆ VPN ที่ปล่อย DNS รั่วออกไปยังเครือข่ายท้องถิ่นจะเสียการป้องกันนี้ DNS leak คืออะไร อธิบายวิธีตรวจ และ DNS over HTTPS เทียบกับ VPN เปรียบเทียบสองทางเลือกในการปกป้องการค้นหา

ภัยที่ 5 ขโมยเซสชันและคุกกี้

คืออะไร แทนที่จะขโมยรหัสผ่าน ผู้โจมตีขโมยโทเค็นเล็ก ๆ ที่เว็บให้เบราว์เซอร์หลังล็อกอิน แล้วใช้มันสวมรอยเป็นคุณ

ต้องมีอะไร เข้าถึงโทเค็นได้ ซึ่งทำง่ายบนการเชื่อมต่อไม่เข้ารหัสและยากขึ้นมากบน HTTPS โทเค็นยังถูกขโมยโดยมัลแวร์บนเครื่องหรือส่วนขยายเบราว์เซอร์ที่ไม่ดี

VPN หยุดได้ไหม ช่วยบนเส้นทางเครือข่าย เพราะโทเค็นเดินทางในอุโมงค์ แต่ไม่ช่วยอะไรกับโทเค็นที่ถูกขโมยจากตัวเครื่องเอง

การป้องกันอื่น ออกจากระบบจากเว็บสำคัญ ใช้ส่วนขยายเบราว์เซอร์ให้น้อยที่สุด และใช้การยืนยันตัวตนสองขั้นซึ่งทำให้รหัสผ่านที่ถูกขโมยมีประโยชน์น้อยลง การยืนยันตัวตนสองขั้นคืออะไร อธิบายตัวเลือก

ภัยที่ 6 ฟิชชิงและหน้าล็อกอินปลอม

คืออะไร ข้อความ ป๊อปอัป หรือหน้าเว็บที่ดูเหมือนธนาคาร สายการบิน หรือผู้ให้บริการ Wi-Fi แล้วขอข้อมูลของคุณ

ต้องมีอะไร ไม่ต้องมีอะไรเกี่ยวกับเครือข่ายเลย อีเมลฟิชชิงได้ผลเหมือนกันทั้งที่บ้าน ร้านกาแฟ หรือบนรถไฟ

VPN หยุดได้ไหม ไม่ได้ VPN ไม่ได้ตัดสินว่าหน้าเว็บจริงหรือปลอม มันเข้ารหัสการเชื่อมต่อไปยังเว็บปลอมอย่างซื่อสัตย์เท่ากับเว็บจริง

การป้องกันอื่น เรียนรู้สัญญาณใน วิธีสังเกตเว็บไซต์ฟิชชิง ใช้โปรแกรมจัดการรหัสผ่านที่กรอกให้เฉพาะโดเมนที่ถูกต้อง และทำตามคำแนะนำของ CISA เรื่องการสังเกตและรายงานฟิชชิง

Wi-Fi สาธารณะเพิ่มจุดพลิกอย่างหนึ่ง คือหน้า "ลงชื่อเข้าใช้เพื่อดำเนินการต่อ" ที่ขอมากกว่าที่ควร การล็อกอินเครือข่ายจริงขออีเมล รหัสยืนยัน หรือเลขห้อง ไม่ขอรหัสผ่านธนาคารของคุณ

ภัยที่ 7 มัลแวร์และการดาวน์โหลดที่ไม่ปลอดภัย

คืออะไร ซอฟต์แวร์ที่ทำร้ายอุปกรณ์หรือขโมยข้อมูล มาทางการอัปเดตปลอม การดาวน์โหลดที่ไม่ดี หรือไฟล์แนบอันตราย

ต้องมีอะไร ให้คุณรันมัน

VPN หยุดได้ไหม ไม่ได้ VPN ไม่สแกนไฟล์หรือบล็อกโปรแกรมอันตราย มันปกป้องการขนส่ง ไม่ใช่เนื้อหาของสิ่งที่คุณเลือกดาวน์โหลด

การป้องกันอื่น ติดตั้งการอัปเดตจากกลไกของระบบปฏิบัติการเอง ดาวน์โหลดซอฟต์แวร์จากแหล่งทางการ เปิดเครื่องมือความปลอดภัยพื้นฐานไว้ และสงสัยป๊อปอัปทุกอันที่บอกว่าเครื่องติดไวรัสหรือต้องอัปเดตพิเศษ ดู VPN กับแอนติไวรัสและไฟร์วอลล์ เพื่อดูว่าแต่ละชั้นแบ่งงานกันอย่างไร

ตารางสรุปคะแนน

ภัยบน Wi-Fi สาธารณะ	ผลของ VPN	การป้องกันเสริมที่ดีที่สุด
ดักจับข้อมูลเงียบ ๆ	หยุดได้	WPA2 หรือ WPA3, HTTPS
ฮอตสปอตปลอม	ลดสิ่งที่อ่านได้	ยืนยันชื่อเครือข่าย ใช้เน็ตมือถือ
คนกลางและกลโกงลดระดับ	เพิ่มอีกชั้น	อัปเดตเบราว์เซอร์ ใส่ใจคำเตือน
กลโกง DNS	หยุดได้ถ้าไม่มี DNS รั่ว	ตรวจหาการรั่ว
ขโมยเซสชันและคุกกี้	ช่วยระหว่างทาง	ออกจากระบบ ยืนยันตัวตนสองขั้น
ฟิชชิง	ไม่ช่วย	เรียนรู้สัญญาณ ใช้ตัวจัดการรหัสผ่าน
มัลแวร์	ไม่ช่วย	อัปเดต แหล่งที่เชื่อถือได้ เครื่องมือความปลอดภัย
ขโมยเครื่องหรือแอบมองหน้าจอ	ไม่ช่วย	ล็อกหน้าจอ แผ่นกรองหน้าจอ
บัญชีถูกยึดจากรหัสผ่านที่ใช้ซ้ำ	ไม่ช่วย	รหัสผ่านไม่ซ้ำ ยืนยันตัวตนสองขั้น

สังเกตว่า VPN จัดการได้เต็มที่เฉพาะแถวที่หนึ่งและสี่ และช่วยบางส่วนอีกสองแถว นี่ไม่ใช่ข้อบกพร่อง แต่เป็นธรรมชาติของเครื่องมือระดับการขนส่งข้อมูล และเป็นเหตุผลที่บทความอย่าง สิ่งที่ VPN ปกป้องคุณไม่ได้ ย้ำให้ใช้คู่กับนิสัยที่ดี

เมื่อตัว VPN เองกลายเป็นความเสี่ยง

การย้ายความไว้ใจไม่เท่ากับการกำจัดมัน VPN หมายความว่าเซิร์ฟเวอร์ของผู้ให้บริการเห็นสิ่งที่เครือข่ายท้องถิ่นเคยเห็น คือทราฟฟิกของคุณไปที่ไหน แม้จะไม่เห็นเนื้อหาของหน้าที่เข้ารหัสอย่างถูกต้อง เหตุนี้การเลือกผู้ให้บริการจึงสำคัญ และแอปฟรีที่ไม่รู้จักเป็นเรื่องน่ากังวลเป็นพิเศษ ก่อนพึ่งพาตัวใด ให้อ่าน VPN ปลอดภัยไหม และ VPN ฟรีปลอดภัยไหม

ยังมีคำถามว่า VPN เองล้มเหลวได้ไหม การตั้งค่าผิด ซอฟต์แวร์เก่า หรือบั๊กทำให้เกิดการรั่วไหลได้ และ VPN ถูกแฮกได้ไหม พูดถึงว่านั่นหมายความอย่างไร ทดสอบ VPN ของคุณแทนการสันนิษฐาน ขั้นตอนอยู่ใน วิธีตรวจว่า VPN ทำงานหรือไม่

การป้องกันหลายชั้นสำหรับ Wi-Fi สาธารณะ

คิดเป็นห้าชั้น VPN เป็นเพียงหนึ่งในนั้น

1. การเลือกเครือข่าย ยืนยันชื่อที่ตรงเป๊ะ เลี่ยงเครือข่ายเปิดถ้าทำได้ และใช้เน็ตมือถือกับงานอ่อนไหวที่สุด
2. การป้องกันการขนส่ง HTTPS ทุกที่ และ VPN บนเครือข่ายที่ใช้ร่วมกัน
3. สุขอนามัยของอุปกรณ์ อัปเดต ล็อกหน้าจอ เครื่องมือความปลอดภัย ไม่ติดตั้งแอปหรือโปรไฟล์ที่ไม่รู้จัก
4. การปกป้องบัญชี ตัวจัดการรหัสผ่าน รหัสผ่านไม่ซ้ำ และการยืนยันตัวตนสองขั้นหรือ passkey
5. พฤติกรรม ไม่ล็อกอินจากป๊อปอัป ไม่คลิกลิงก์ที่ไม่คาดคิด และเก็บงานอ่อนไหวไว้ทำบนเครือข่ายที่ปลอดภัยกว่า

จุดอ่อนในชั้นหนึ่งถูกชั้นอื่นปิดไว้ หากคุณหลงเชื่อหน้าฟิชชิง (ชั้น 5) การยืนยันตัวตนสองขั้นที่แข็งแรง (ชั้น 4) คือสิ่งที่ช่วยบัญชี และไม่มี VPN ใดทำได้

นำไปปฏิบัติ

กิจวัตรที่เป็นจริงสำหรับหนึ่งวันบนเครือข่ายที่ใช้ร่วมกัน

1. ก่อนออกไป อัปเดตอุปกรณ์ ชาร์จเต็ม ตรวจว่าแอป VPN ติดตั้งและลงชื่อเข้าใช้แล้ว
2. เมื่อเข้าเครือข่าย ยืนยันชื่อ ผ่านหน้าล็อกอินตอนปิด VPN แล้วจึงเชื่อมต่อ VPN บทความช่วยเหลือ วิธีเชื่อมต่อ VPN บน Wi-Fi สาธารณะ แสดงขั้นตอน
3. ระหว่างใช้ ใช้ VPN สำหรับเรียกดูเว็บ เมล แชต และงาน ใช้เน็ตมือถือสำหรับธนาคารและสิ่งที่เสียไม่ได้
4. เมื่อมีอะไรดูผิดปกติ (คำเตือนใบรับรอง หน้าล็อกอินที่ไม่คาดคิด หน้าที่ไม่รู้จัก) หยุดและเปลี่ยนไปใช้เน็ตมือถือ
5. เมื่อออกจากที่นั่น ตัดการเชื่อมต่อ ลืมเครือข่าย และออกจากระบบบนอุปกรณ์ที่ใช้ร่วมกัน

หากใช้ XPASS ส่วนของ VPN คือแอป VPNclient ฟรี ซึ่งลงชื่อเข้าใช้ด้วยชื่อผู้ใช้และรหัสผ่านที่หน้า My Pass

ความเข้าใจผิดที่พบบ่อย

• "VPN ทำให้ Wi-Fi สาธารณะปลอดภัยสมบูรณ์" ไม่จริง มันครอบคลุมชั้นเครือข่าย ไม่ใช่ฟิชชิง มัลแวร์ หรือการยึดบัญชี
• "มี HTTPS แล้ว VPN ไม่มีประโยชน์" ไม่จริง HTTPS ปกป้องเนื้อหาหน้าเว็บ ส่วน VPN ซ่อนปลายทางของคุณด้วย และครอบคลุมแอปที่ข้ามการเข้ารหัส
• "รูปกุญแจแปลว่าเว็บน่าเชื่อถือ" ไม่จริง มันแปลว่าการเชื่อมต่อเข้ารหัส เว็บปลอมก็มีรูปกุญแจได้
• "Wi-Fi ที่มีรหัสผ่านเป็นส่วนตัว" ไม่จริง ทุกคนที่มีรหัสอยู่ในเครือข่ายเดียวกัน
• "โหมดส่วนตัวของเบราว์เซอร์ซ่อนฉันบน Wi-Fi สาธารณะ" ไม่จริง มันแค่เปลี่ยนสิ่งที่เบราว์เซอร์เก็บไว้ในเครื่อง

สรุป

บน Wi-Fi สาธารณะ VPN หยุดการดักจับข้อมูลแบบเงียบ ๆ ได้อย่างน่าเชื่อถือ ลดสิ่งที่ฮอตสปอตหรือเราเตอร์ไม่หวังดีอ่านได้ และปกป้องการค้นหา DNS เมื่อตั้งค่าโดยไม่รั่ว แต่ไม่ช่วยอะไรกับฟิชชิง มัลแวร์ รหัสผ่านที่อ่อนหรือใช้ซ้ำ หรือคนที่มองหน้าจอ ให้มองมันเป็นชั้นการขนส่งในการป้องกันห้าชั้นที่รวมการเลือกเครือข่าย การอัปเดตอุปกรณ์ การปกป้องบัญชีที่แข็งแรง และพฤติกรรมที่ระมัดระวัง และใช้เน็ตมือถือสำหรับงานอ่อนไหวที่สุด

หากอยากเพิ่มชั้นการขนส่งด้วยแพ็กเกจเติมเงินที่หมดอายุเอง ดูตัวเลือกที่หน้า ราคา และดูแอป VPNclient ฟรีสำหรับอุปกรณ์ของคุณที่หน้า ดาวน์โหลด