VPN Audit มีกี่ประเภท และแต่ละแบบตรวจอะไร

"ผ่านการตรวจสอบโดยอิสระ" เป็นวลีที่ใช้บ่อยที่สุดวลีหนึ่งในโฆษณา VPN และเป็นวลีที่อธิบายน้อยที่สุดด้วย คำว่า audit ฟังเหมือนตราประทับรับรอง แต่ความจริงครอบคลุมงานที่ต่างกันมาก คนที่อ่านซอร์สโค้ดหาบั๊กก็ทำ audit คนที่โจมตีเซิร์ฟเวอร์ทดสอบเป็นเวลาหนึ่งสัปดาห์ก็ทำ audit คนที่สัมภาษณ์พนักงานและตรวจไฟล์การตั้งค่าเทียบกับนโยบายที่เขียนไว้ก็ทำ audit เช่นกัน งานเหล่านี้มีเป้าหมายต่างกัน เจอปัญหาต่างกัน และพิสูจน์สิ่งที่ต่างกัน

บทความนี้อธิบาย ประเภท Audit VPN หลัก ๆ ได้แก่ การตรวจโค้ดและแอป การทดสอบเจาะระบบ การตรวจโครงสร้างพื้นฐาน การตรวจคำกล่าวอ้างเรื่องบันทึกข้อมูล และใบรับรอง รวมถึงสิ่งที่แต่ละแบบแสดงได้และแสดงไม่ได้ เป้าหมายคือให้คุณอ่านคำว่า "ผ่าน audit" แล้วถามคำถามต่อยอดได้ถูกต้อง หากต้องการภาพรวมสั้น ๆ ดู Audit VPN อธิบายง่าย ๆ ส่วนบทนี้ลงลึกที่ประเภทและข้อจำกัด

ทำไมต้องมี Audit และมันพิสูจน์อะไรได้

VPN ขอความไว้วางใจมากผิดปกติ ทราฟฟิกของคุณผ่านซอฟต์แวร์ที่คุณตรวจเองไม่ได้ และเซิร์ฟเวอร์ที่คุณไปดูไม่ได้ ดำเนินการโดยบริษัทที่คุณมองไม่เห็นการทำงานภายใน ข้อความโฆษณาพูดง่าย Audit คือความพยายามแทนที่ความไว้วางใจส่วนหนึ่งด้วยหลักฐานจากภายนอก

Audit มีสี่ส่วนประกอบ

1. ขอบเขต ระบบ เวอร์ชัน และข้อความใดที่ถูกตรวจ
2. วิธีการ ผู้ตรวจทำอะไร (อ่านโค้ด โจมตี ตรวจการตั้งค่า สัมภาษณ์)
3. เวลา วันหรือสัปดาห์ที่งานเกิดขึ้น
4. รายงาน ข้อค้นพบ ระดับความรุนแรง และแก้ไขแล้วหรือไม่

ถ้าขาดทั้งสี่อย่าง "ผ่าน audit" เป็นเพียงสโลแกน ถ้ามีครบ มันคือข้อมูล แม้กระนั้น audit ก็เป็น ภาพถ่ายชั่วขณะ บอกคุณเรื่องระบบในวันที่ตรวจ ไม่ใช่การอัปเดตซอฟต์แวร์เดือนหน้าหรือเซิร์ฟเวอร์ที่เพิ่มทีหลัง และ audit ทดสอบได้เฉพาะคำถามที่ถูกถาม การตรวจแอปอย่างละเอียดไม่ได้บอกอะไรเกี่ยวกับวิธีที่บริษัทจัดการข้อมูลฝ่ายสนับสนุนลูกค้า และการตรวจเซิร์ฟเวอร์ก็ไม่ได้บอกอะไรเกี่ยวกับแอปบนมือถือของคุณ

กรอบง่าย ๆ ที่ควรจำคือ audit ช่วยปรับความน่าจะเป็น ไม่ได้ขจัดความเสี่ยง บทความ โมเดลความไว้วางใจของ VPN อธิบายว่าทำไมความไว้วางใจบางส่วนยังคงอยู่เสมอไม่ว่าหลักฐานจะดีเพียงใด

ประเภทที่ 1 ตรวจซอร์สโค้ดและแอปพลิเคชัน

ใน audit โค้ด ผู้ตรวจอ่านซอร์สโค้ด (หรือตรวจแอปที่คอมไพล์แล้ว หากไม่เปิดซอร์ส) เพื่อหาข้อบกพร่องด้านความปลอดภัย สำหรับแอป VPN โดยทั่วไปหมายถึง

• แอปเก็บข้อมูลเข้าสู่ระบบและการตั้งค่าบนอุปกรณ์อย่างไร
• แอปจัดการอุโมงค์อย่างไร ทราฟฟิกรั่วได้ไหมเมื่อการเชื่อมต่อหลุด kill switch ทำงานตามที่อ้างหรือไม่
• ใช้ฟังก์ชันเข้ารหัสถูกต้องหรือไม่ และเก็บความลับไว้นอกบันทึกและรายงานแอปขัดข้องหรือไม่
• มีไลบรารีของบุคคลที่สามและตัวติดตามอะไรอยู่ข้างใน และแอปขอสิทธิ์ที่ไม่จำเป็นหรือไม่
• แอปคุยกับเซิร์ฟเวอร์ของผู้ให้บริการอย่างไร และการเชื่อมต่อเหล่านั้นได้รับการป้องกันอย่างถูกต้องหรือไม่

ทำได้ดีในเรื่องใด หาบั๊กที่แทบเป็นไปไม่ได้ที่จะค้นพบจากภายนอก เช่นเส้นทางโค้ดที่ใช้น้อยซึ่งเขียนข้อมูลสำคัญลงไฟล์ และยังทดสอบผลิตภัณฑ์จริงที่คุณติดตั้ง

พลาดอะไร มันดูเวอร์ชันเดียวของส่วนประกอบเดียว รุ่นใหม่อาจนำบั๊กใหม่เข้ามา ถ้าการตรวจครอบคลุมเพียงแอป เซิร์ฟเวอร์และแนวปฏิบัติด้านข้อมูลของบริษัทไม่ถูกแตะต้อง และการตรวจถูกจำกัดด้วยเวลา ผู้ตรวจสุ่มตัวอย่าง ไม่ได้อ่านทุกบรรทัดด้วยความใส่ใจไม่สิ้นสุด

โอเพนซอร์สเกี่ยวข้องแต่ไม่เหมือนกัน การเผยแพร่ซอร์สโค้ดให้ใครก็ตรวจได้มีค่ามาก แต่การเผยแพร่ไม่ใช่ audit การตรวจอิสระคือมีคนลงมืออ่านจริงและเขียนรายงาน ดู VPN โอเพนซอร์ส เพื่อชั่งน้ำหนักสองสิ่งนี้

ประเภทที่ 2 ทดสอบเจาะระบบ (Penetration Test)

การทดสอบเจาะระบบหรือ pen test คือการโจมตีที่ได้รับอนุญาต ผู้ทดสอบทำตัวเป็นผู้ไม่หวังดี สแกนระบบ พยายามบุกผ่านหน้าเว็บ API และเซิร์ฟเวอร์ พยายามยกระดับสิทธิ์ และรายงานว่าไปได้ไกลแค่ไหน

สำหรับบริการ VPN pen test มักเล็งเป้าหมายต่อไปนี้

• เว็บไซต์และพอร์ทัลบัญชีฝั่งลูกค้า
• API ของผู้ให้บริการ รวมถึงจุดเข้าสู่ระบบและที่เกี่ยวกับการชำระเงิน
• บริการของเซิร์ฟเวอร์ VPN ที่เปิดสู่ภายนอก
• บางครั้งรวมแอปมือถือและเดสก์ท็อปจากมุมมองการโจมตีขณะทำงาน

ทำได้ดีในเรื่องใด แสดงสิ่งที่ถูกโจมตีได้จริงพร้อมหลักฐาน ข้อค้นพบอย่าง "ผู้ใช้ที่ไม่ได้ล็อกอินอ่านข้อมูลบัญชีอื่นได้" ชัดเจนและจัดอันดับตามความรุนแรง และค่อนข้างเร็วและทำซ้ำได้ ผู้ให้บริการจึงรันหลังการเปลี่ยนแปลงใหญ่ทุกครั้งได้

พลาดอะไร pen test พบสิ่งที่ผู้ทดสอบหาเจอในเวลาที่มีภายใต้กติกาที่ตกลงไว้ก่อน "ไม่พบปัญหาวิกฤต" แปลว่าตามนั้นเท่านั้น ไม่ได้แปลว่า "ไม่มีปัญหา" มันไม่บอกอะไรเกี่ยวกับนโยบายภายใน และไม่อ่านซอร์สโค้ดเว้นแต่ทดสอบแบบมีสิทธิ์เข้าถึงซอร์ส (แบบ white-box) ซึ่งเจอมากกว่าแต่แพงกว่า

รายงาน pen test ที่ดีระบุแนวทางของผู้ทดสอบ จำนวนและความรุนแรงของข้อค้นพบ และแต่ละข้อแก้ไขและทดสอบซ้ำแล้วหรือไม่ ระวังสรุปที่ลงแต่ส่วนที่ผ่าน

ประเภทที่ 3 ตรวจโครงสร้างพื้นฐานและการตั้งค่า

การตรวจโครงสร้างพื้นฐานดูเซิร์ฟเวอร์และวิธีที่ดำเนินการ แทนที่จะโจมตีจากภายนอกหรืออ่านโค้ดแอป ผู้ตรวจดูระบบจริง มักมีสิทธิ์ผู้ดูแล

คำถามทั่วไป

• เซิร์ฟเวอร์ตั้งค่าอย่างไร ปิดบริการที่ไม่จำเป็นหรือยัง อัปเดตหรือไม่ จำกัดการเข้าถึงระยะไกลหรือไม่
• ควบคุมการเข้าถึงอย่างไร ใครในบริษัทล็อกอินเซิร์ฟเวอร์ได้ ใช้การยืนยันตัวตนแบบไหน และมีการบันทึกหรือไม่
• เซิร์ฟเวอร์สร้างจากอิมเมจมาตรฐานที่ผ่านการตรวจหรือไม่ และสร้างใหม่ได้สะอาดหรือไม่
• มีบันทึกการเปลี่ยนแปลง การเฝ้าระวัง และแผนรับมือเหตุการณ์หรือไม่
• เครือข่ายแบ่งส่วนอย่างไร และจัดการกุญแจกับใบรับรองอย่างไร

ทำได้ดีในเรื่องใด มองเบื้องหลังม่านเพื่อดูสิ่งที่ใช้งานจริง ซึ่งการทดสอบจากภายนอกทำไม่ได้ และตรวจสอบข้อความอย่าง "เซิร์ฟเวอร์ของเราไม่เก็บ X" ได้ด้วยการดูการตั้งค่าจริง

พลาดอะไร ผู้ตรวจสุ่มตัวอย่างเซิร์ฟเวอร์ ตรวจทุกเครื่องทุกขณะไม่ได้ การตั้งค่าเปลี่ยนได้ในวันรุ่งขึ้นหลังการตรวจ และถ้าผู้ให้บริการใช้ศูนย์ข้อมูลเช่าหรือของบุคคลที่สาม ชั้นกายภาพบางส่วนอยู่นอกการเอื้อมถึงของผู้ตรวจ

สำหรับผู้อ่าน audit ประเภทนี้ใกล้เคียงที่สุดกับการตรวจแนวปฏิบัติด้านการดำเนินงาน และเป็นฐานให้ประเภทถัดไป

ประเภทที่ 4 ตรวจคำกล่าวอ้างเรื่องบันทึกข้อมูล

ผู้ให้บริการหลายรายบอกว่าไม่เก็บบันทึกว่าผู้ใช้ทำอะไร การตรวจคำกล่าวอ้างเรื่องบันทึกข้อมูลคือความพยายามตรวจสอบข้อความนั้น ผู้ตรวจเทียบนโยบายที่เผยแพร่กับสิ่งที่พบ ได้แก่ ไฟล์ตั้งค่า การตั้งค่าระบบ เนื้อหาฐานข้อมูล แนวปฏิบัติด้านการสำรอง และบางครั้งการสัมภาษณ์วิศวกร

audit ประเภทนี้ในแบบที่แข็งแรง

• ระบุคำกล่าวที่ทดสอบอย่างแน่ชัด ตามถ้อยคำของผู้ให้บริการเอง
• อธิบายกลุ่มตัวอย่างของเซิร์ฟเวอร์และระบบที่ตรวจ และวิธีเลือก
• ครอบคลุมมากกว่าเซิร์ฟเวอร์ VPN คือระบบยืนยันตัวตน เครื่องมือชำระเงินและฝ่ายสนับสนุน และการวิเคราะห์ในแอป
• ระบุว่าพบและไม่พบอะไร และมีวันที่กำกับ

ทำได้ดีในเรื่องใด เปลี่ยนคำสัญญาที่คลุมเครือเป็นข้อความที่ผ่านการตรวจ ณ เวลาหนึ่ง ถ้าถ้อยคำของผู้ให้บริการชัดเจน audit บอกได้ว่า "ณ วันที่นี้ บนเซิร์ฟเวอร์ที่สุ่ม เราไม่พบสิ่งที่ขัดแย้งกับคำกล่าวอ้าง"

พลาดอะไร มองอนาคตไม่ได้ มักเห็นไม่ครบทุกเซิร์ฟเวอร์ ขึ้นกับว่าผู้ให้บริการเปิดเผยทุกอย่างแก่ผู้ตรวจหรือไม่ ผู้ดำเนินการที่ไม่ซื่อสัตย์และตั้งใจอาจซ่อนสิ่งต่าง ๆ และ audit ทดสอบเฉพาะคำกล่าวตามที่เขียน ถ้านโยบายแคบ ("เราไม่เก็บบันทึกการท่องเว็บ") ก็ไม่บอกอะไรเกี่ยวกับเมทาดาทาที่นโยบายไม่ได้พูดถึง ให้อ่านคำสัญญาเบื้องหลังก่อน คู่มือ นโยบายบันทึกข้อมูลของ VPN แสดงสิ่งที่ควรมองหาในถ้อยคำ

ให้ถือว่า audit ครั้งเดียวเป็นเพียงจุดข้อมูลหนึ่งจุด ไม่ใช่การรับประกัน

ประเภทที่ 5 ตรวจการเข้ารหัสและใบรับรอง

ตรวจการเข้ารหัสและโปรโตคอล

audit บางแบบเน้นเฉพาะการเข้ารหัส ได้แก่ การออกแบบโปรโตคอล วิธีแลกเปลี่ยนกุญแจ และการนำการเข้ารหัสไปใช้ในโค้ด ผู้ตรวจเฉพาะทางหาข้อผิดพลาด เช่นการสุ่มที่อ่อน การใช้ตัวเข้ารหัสไม่ถูกต้อง หรือ handshake ที่ถูกลดระดับได้

โปรโตคอลมาตรฐานอย่าง WireGuard และ IPsec ถูกตรวจสอบต่อสาธารณะมาหลายปี และองค์กรมาตรฐานเผยแพร่แนวทาง คู่มือ IPsec VPN ของ NIST และเอกสารสถาปัตยกรรม zero trust เป็นตัวอย่างของแหล่งข้อมูลที่เชื่อถือได้ว่าระบบเหล่านี้ควรออกแบบและตั้งค่าอย่างไร เมื่อผู้ให้บริการสร้างสิ่งที่เป็นของตัวเอง การตรวจการเข้ารหัสอิสระสำคัญกว่าเมื่อใช้โปรโตคอลที่ศึกษากันมากอย่างถูกต้อง

พลาดอะไร การเข้ารหัสที่สมบูรณ์แบบไม่ปกป้องคุณหากเซิร์ฟเวอร์ตั้งค่าผิดหรือแอปเก็บโทเค็นอย่างไม่ปลอดภัย นี่คือเหตุผลที่ audit ประเภทเดียวไม่เคยพอ

ใบรับรองและการรับรองด้านการปฏิบัติตามมาตรฐาน

กรอบอย่าง ISO 27001 (มาตรฐานการจัดการความมั่นคงปลอดภัยสารสนเทศ) และ SOC 2 (กรอบการรายงานการควบคุมขององค์กรผู้ให้บริการ) ไม่ได้เฉพาะ VPN แต่ตรวจว่าองค์กรมีกระบวนการที่กำหนดไว้และทำตามหรือไม่ เช่นการทบทวนสิทธิ์ การจัดการการเปลี่ยนแปลง การรับมือเหตุการณ์ และการอบรมพนักงาน

ทำได้ดีในเรื่องใด บ่งชี้กระบวนการที่เติบโตเต็มที่ และถูกตรวจโดยหน่วยงานที่ได้รับการรับรองเทียบกับมาตรฐานที่ทราบ

พลาดอะไร ไม่ทดสอบโค้ดแอป VPN และไม่บอกว่าผลิตภัณฑ์ทำอะไรกับทราฟฟิกของคุณ เว้นแต่ขอบเขตระบุไว้ชัด ส่วนที่สำคัญคือคำชี้แจงขอบเขต ซึ่งมักเป็นย่อหน้าสั้น ๆ บนใบรับรองหรือบทนำของรายงาน ใบรับรองของสำนักงานใหญ่ เป็นต้น อาจไม่รวมเซิร์ฟเวอร์เลย

เปรียบเทียบประเภทต่าง ๆ เคียงข้างกัน

ประเภท	คำถามหลัก	หลักฐานทั่วไป	ข้อจำกัดหลัก
ตรวจโค้ดและแอป	ซอฟต์แวร์สร้างอย่างปลอดภัยไหม	ข้อค้นพบในเวอร์ชันเฉพาะ	เฉพาะเวอร์ชันนั้น เฉพาะส่วนประกอบนั้น
ทดสอบเจาะระบบ	วันนี้ผู้โจมตีเข้าได้ไหม	การโจมตีที่แสดงได้และระดับความรุนแรง	จำกัดด้วยเวลาและกติกาที่ตกลง
ตรวจโครงสร้างพื้นฐาน	เซิร์ฟเวอร์ดำเนินการและตั้งค่าปลอดภัยไหม	การตรวจการตั้งค่าและการเข้าถึง	สุ่มตัวอย่าง การตั้งค่าเปลี่ยนได้ภายหลัง
ตรวจคำกล่าวอ้างเรื่องบันทึก	ความจริงตรงกับนโยบายที่ประกาศไหม	ข้อความที่ตรวจ ณ วันที่หนึ่ง	เฉพาะคำกล่าวตามที่เขียน ณ เวลานั้น
ตรวจการเข้ารหัส	การออกแบบและการนำไปใช้ถูกต้องไหม	การวิเคราะห์โดยผู้เชี่ยวชาญ	ไม่ครอบคลุมการดำเนินงาน
ใบรับรอง	องค์กรทำตามกรอบหรือไม่	การรับรองจากหน่วยที่ได้รับการรับรอง	ขอบเขตอาจไม่รวมผลิตภัณฑ์
Bug bounty (ต่อเนื่อง)	คนภายนอกหาข้อบกพร่องได้ต่อเนื่องไหม	โปรแกรมเปิดเผยสาธารณะ	ไม่ใช่การประเมินทั้งระบบ

Bug bounty ไม่ใช่ audit แต่มักถูกพูดถึงคู่กัน ผู้ให้บริการเชิญนักวิจัยให้รายงานข้อบกพร่องและจ่ายเงินสำหรับรายงานที่ถูกต้อง ช่วยเพิ่มการตรวจสอบต่อเนื่อง แต่ไม่ให้การประเมินที่สมบูรณ์

อ่านคำกล่าวเรื่อง audit ใน 5 นาที

ใช้คำถามเหล่านี้เมื่อเจอคำว่า "ผ่าน audit" บนเว็บไซต์

1. ใครจ่ายและใครทำงาน ความเป็นอิสระสำคัญ รายงานโดยบริษัทภายนอกที่เป็นที่ยอมรับแข็งแรงกว่าการประเมินตนเอง
2. ขอบเขตครอบคลุมอะไร แอป เซิร์ฟเวอร์ เว็บไซต์ ข้อความในนโยบาย หรือแค่ส่วนประกอบเดียว ขอบเขตคือทุกอย่าง
3. เมื่อไรและเวอร์ชันไหน จดวันที่และบิลด์ของแอปหรือเซิร์ฟเวอร์ รายงานเมื่อหลายปีก่อน หรือของสายผลิตภัณฑ์อื่น เป็นหลักฐานที่อ่อน
4. รายงานเปิดเผยไหม รายงานฉบับเต็มหรือสรุปที่อ่านได้ดีกว่าป้าย ถ้าเห็นแค่โลโก้ ให้ขอเอกสาร
5. ข้อค้นพบคืออะไรและแก้ไขแล้วไหม รายงานที่ซื่อตรงลงรายการปัญหา รายงานที่สะอาดเอี่ยมน่าสงสัยกว่ารายงานที่บันทึกปัญหาและการแก้ไข
6. ตรงกับคำกล่าวที่อยู่ข้าง ๆ ไหม ถ้าหน้าเว็บบอกว่า "บริการของเราปลอดภัย" แต่รายงานตรวจเพียงเว็บไซต์การตลาด คำกล่าวนั้นไปไกลกว่าหลักฐาน
7. มี audit ซ้ำเป็นประจำไหม ผู้ให้บริการที่ถูกตรวจซ้ำสม่ำเสมอและเผยแพร่ผล แสดงความมุ่งมั่นมากกว่ารายที่ตรวจครั้งเดียวเมื่อหลายปีก่อน

ตัวอย่างการใช้งานจริง

ปริยากำลังเปรียบเทียบสองบริการสำหรับใช้บน Wi-Fi โรงแรม บริการ A แสดงป้าย "ผ่าน audit" บริการ B เผยแพร่ PDF เธออ่านทั้งสอง

หน้าของบริการ A ลิงก์ไปประกาศหนึ่งย่อหน้าเมื่อสองปีก่อน บริษัทภายนอกตรวจ "แอปไคลเอนต์" เป็นเวลาหนึ่งสัปดาห์ เธอสังเกตว่านี่ครอบคลุมส่วนประกอบเดียว เวอร์ชันเก่า และไม่มีรายการข้อค้นพบ

รายงานของบริการ B ลงวันที่เมื่อปีที่แล้ว ครอบคลุมแอปและระบบบัญชี ลงรายการข้อค้นพบเก้าข้อพร้อมระดับความรุนแรง และระบุว่าแก้ไขแปดข้อและยอมรับหนึ่งข้อพร้อมเหตุผล ยังระบุชัดว่าอะไรไม่ได้ครอบคลุม คือศูนย์ข้อมูลทางกายภาพ

ไม่มีบริการไหนพิสูจน์ได้ว่าปลอดภัยหรือไม่ปลอดภัย แต่ปริยาตัดสินใจได้อย่างมีข้อมูลมากขึ้น และรู้ว่าต้องถามบริการ A ว่า "มีรายงานที่ใหม่และครบกว่านี้ไหม"

สิ่งที่ audit ทดแทนไม่ได้

audit ไม่ว่าจะดีเพียงใด ไม่ทดแทนนิสัยและวิจารณญาณของคุณเอง

• มันไม่ทำให้ VPN ปกปิดตัวตนได้ และไม่หยุด phishing ดู สิ่งที่ VPN ปกป้องคุณไม่ได้
• มันไม่หยุดคุณจากการรั่วไหลข้อมูลผ่านเบราว์เซอร์ บัญชี หรือแอป
• มันไม่ลดความจำเป็นที่ต้องอ่านเงื่อนไขความเป็นส่วนตัวและการบันทึกข้อมูลของผู้ให้บริการ และตรวจว่าคำอธิบายบริการของตนถูกต้องและไม่เกินจริง
• มันไม่คงอยู่ตลอดไป มองหาหลักฐานล่าสุดและความเต็มใจของผู้ให้บริการที่จะเผยแพร่รายงานความโปร่งใส ดู รายงานความโปร่งใสของ VPN

เวลาซื้อ แนวทางที่สมเหตุสมผลคือชั่ง audit เป็นปัจจัยหนึ่งร่วมกับเงื่อนไขที่ชัดเจน ฝ่ายสนับสนุนที่ใช้งานได้ รูปแบบการชำระเงินที่เป็นธรรม และการลองใช้แอปด้วยตัวคุณเอง

สรุป

"ผ่าน audit" อาจหมายถึงการตรวจโค้ด การทดสอบเจาะระบบ การตรวจโครงสร้างพื้นฐาน การตรวจข้อความเรื่องบันทึกข้อมูล การตรวจการเข้ารหัส หรือใบรับรองระดับบริษัท แต่ละแบบตอบคำถามต่างกัน ครอบคลุมขอบเขตที่กำหนดในเวลาหนึ่ง และเหลือคำถามอื่นไว้ เพื่ออ่านคำกล่าวให้ดี ให้ถามว่าใครทำ ครอบคลุมอะไร เมื่อไร เวอร์ชันใด รายงานเปิดเผยหรือไม่ และข้อค้นพบถูกแก้ไขหรือยัง หากคุณชอบตัวเลือกแบบเติมเงินที่เรียบง่ายระหว่างศึกษาผู้ให้บริการ ดูแพสที่มีได้ที่หน้าราคา