นักข่าวและนักวิจัยควรประเมินความเสี่ยง VPN อย่างไร

นักข่าว นักวิจัยในสถาบันการศึกษา ผู้ตรวจสอบสิทธิมนุษยชน และผู้ตรวจสอบข้อเท็จจริง มีปัญหาร่วมกัน คือ งานของพวกเขาเกี่ยวกับข้อมูลที่คนอื่นอาจอยากเห็น แต่เครื่องมือที่ใช้ถูกสร้างมาสำหรับผู้ใช้ทั่วไป VPN มักเป็นสิ่งแรกที่ถูกแนะนำให้ติดตั้ง เป็นเครื่องมือที่ชอบธรรมและมีประโยชน์ แต่ครอบคลุมเพียงส่วนแคบ ๆ ของความเสี่ยงที่สำคัญในงานลักษณะนี้

คู่มือนี้พูดถึง VPN สำหรับนักข่าว และนักวิจัยที่สร้างแบบจำลองภัยคุกคามด้วยตัวเองได้ ไม่ใช่คู่มือหลบเลี่ยงใคร และไม่รับประกันความปลอดภัยในสถานการณ์อันตราย สิ่งที่มีให้คือวิธีคิด คือ อธิบายว่าคุณปกป้องอะไรจากใคร ดูว่าภัยเหล่านั้นข้อใดที่ VPN แตะต้องจริง และตัดสินใจว่าต้องใช้มาตรการที่แข็งแรงกว่าหรือความช่วยเหลือจากผู้เชี่ยวชาญตรงไหน เป็นความรู้ทั่วไป ไม่ใช่คำแนะนำด้านกฎหมายหรือความปลอดภัยสำหรับสถานการณ์เฉพาะของคุณ

แบบจำลองภัยคุกคามคืออะไร แบบเข้าใจง่าย

แบบจำลองภัยคุกคามคือคำอธิบายสั้น ๆ ที่ตรงไปตรงมาเกี่ยวกับสถานการณ์ของคุณเอง ผู้เชี่ยวชาญด้านความปลอดภัยมักถามห้าคำถาม

1. ฉันปกป้องอะไร ทรัพย์สินอาจเป็นข้อมูล (ชื่อแหล่งข่าว ร่าง บทสัมภาษณ์ดิบ ชุดข้อมูล) ตัวตน อุปกรณ์ บัญชี หรือแม้แต่ข้อเท็จจริงที่ว่าคุณกำลังทำข่าวเรื่องหนึ่งอยู่
2. ฉันปกป้องจากใคร ฝ่ายตรงข้ามมีตั้งแต่หัวขโมยฉวยโอกาสบนเครือข่ายร้านกาแฟ ไปจนถึงองค์กรที่มีทรัพยากรมาก นายจ้างที่เป็นปรปักษ์ คู่ความในคดี หรือรัฐ
3. โอกาสเกิดมากแค่ไหน หัวขโมยทั่วไปบน Wi-Fi สนามบินพบได้บ่อย การโจมตีแบบเจาะจงพบน้อยกว่าแต่มักร้ายแรงกว่า
4. ถ้าล้มเหลว ผลร้ายแรงแค่ไหน ร่างที่รั่วคือความถอยหลัง แต่แหล่งข่าวที่ถูกเปิดเผยอาจเป็นอันตรายต่อตัวบุคคล
5. ฉันยอมลำบากเพื่อป้องกันได้แค่ไหน หากมาตรการใดใช้ยากเกินไป คุณจะข้ามมันตอนเหนื่อย และมันก็ไม่ปกป้องอะไร

การเขียนคำตอบสำหรับหนึ่งโครงการใช้เวลาประมาณยี่สิบนาที หากอยากได้ขั้นตอนทั่วไป บทความ สร้างแบบจำลองภัยคุกคามง่าย ๆ ก่อนเลือก VPN อธิบายวิธีการสำหรับผู้ใช้ทั่วไป ส่วนบทความนี้ปรับให้เข้ากับงานข่าวและงานวิจัย คู่มือ Surveillance Self-Defense ของ EFF ก็สอนการสร้างแบบจำลองภัยคุกคามด้วยภาษาเข้าใจง่ายและน่าอ่าน

แผนที่ทรัพย์สิน ฝ่ายตรงข้าม และเส้นทาง

เริ่มด้วยตาราง ใส่รายละเอียดของคุณเอง ไม่ใช่ตัวอย่างของคนอื่น

ทรัพย์สิน	อยู่หรือเดินทางที่ไหน	ฝ่ายตรงข้ามที่เป็นไปได้	VPN แตะต้องส่วนไหน
ตัวตนของแหล่งข่าว	บันทึก ข้อความ รายชื่อในโทรศัพท์	ผู้ที่เข้าถึงอุปกรณ์หรือบัญชีของคุณได้	แทบไม่มี
ร่างที่ยังไม่เผยแพร่	แล็ปท็อป คลาวด์ อีเมล	ผู้ขโมยบัญชี ผู้ดักดูเครือข่าย	เฉพาะการเปิดเผยบนเครือข่าย
ข้อมูลดิบและบันทึกเสียง	ดิสก์ ข้อมูลสำรอง ไดรฟ์ที่ใช้ร่วมกัน	หัวขโมย คนใน	การโอนข้อมูลบนเครือข่ายที่ใช้ร่วมกัน
คำค้นและเว็บที่เข้าเพื่อวิจัย	เบราว์เซอร์ DNS บันทึกเครือข่าย	ผู้ดูแลเครือข่ายในพื้นที่ ผู้ให้บริการ	ซ่อนจากเครือข่ายในพื้นที่ แต่ไม่ซ่อนจากผู้ให้บริการ VPN
เซสชันที่ล็อกอิน	คุกกี้เบราว์เซอร์ แอป	ฟิชชิง มัลแวร์	ไม่มีผล
ตำแหน่งของคุณขณะเดินทาง	โทรศัพท์ Wi-Fi ซิม	ผู้ให้บริการเครือข่าย แอป	เปลี่ยนที่อยู่เครือข่าย แต่ไม่เปลี่ยนสัญญาณจากอุปกรณ์
ตัวตนของคุณในฐานะผู้เขียน	บัญชี สำนวนการเขียน ข้อมูลประกอบ	ผู้ที่เชื่อมโยงบัญชีได้	ไม่มีผล

คอลัมน์ขวาบอกเรื่องราวทั้งหมด VPN แตะเส้นทางเครือข่ายในไม่กี่แถวและปล่อยส่วนที่เหลือไว้ ไม่ใช่ข้อบกพร่องของ VPN แต่เป็นเครื่องเตือนว่าเครื่องมือนี้เป็นมาตรการหนึ่งในหลายมาตรการ

ฝ่ายตรงข้ามและสิ่งที่แต่ละฝ่ายมองเห็น

ฝ่ายตรงข้ามต่างกันอยู่คนละจุดตามเส้นทาง เครื่องมือเดียวจึงช่วยต่อต้านบางฝ่ายและไม่ช่วยบางฝ่าย

ผู้ดูแลเครือข่ายในพื้นที่ (ร้านกาแฟ โรงแรม งานประชุม มหาวิทยาลัย เครือข่ายแขกของสำนักข่าว) มักเห็นได้ว่าอุปกรณ์ของคุณติดต่อเว็บใด และเห็นเนื้อหาของทราฟฟิกที่ไม่เข้ารหัส VPN ลดสิ่งนี้เหลือเพียงอุโมงค์เข้ารหัส นี่คือจุดที่ VPN ได้ผลที่สุด และคู่มือ วิธีใช้ Wi-Fi สาธารณะให้ปลอดภัยขึ้น อธิบายด้านปฏิบัติ

ผู้ให้บริการอินเทอร์เน็ตของคุณ เห็นปลายทางและเวลาของทราฟฟิก VPN ซ่อนปลายทางจากผู้ให้บริการ แต่ผู้ให้บริการยังเห็นว่าคุณกำลังใช้ VPN และเมื่อไร

ผู้ให้บริการ VPN อยู่ในตำแหน่งที่ผู้ให้บริการอินเทอร์เน็ตเคยอยู่ มันเห็นที่อยู่เครือข่ายจริงของคุณ เวลาที่คุณเชื่อมต่อ และ ขึ้นกับการตั้งค่า อาจเห็นปลายทาง คำกล่าวอ้างเรื่องบันทึกเป็นคำพูดของบริษัท ไม่ใช่การรับประกัน อ่าน ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง และ เขตอำนาจของผู้ให้บริการ VPN ก่อนให้น้ำหนักกับคำสัญญาของผู้ให้บริการใด ๆ

เว็บไซต์หรือบริการที่คุณใช้ รู้จักบัญชี คุกกี้ และรายละเอียดอุปกรณ์ของคุณ ไม่ว่าจะมาจากเครือข่ายใด VPN ไม่ซ่อนคุณจากบริการที่คุณลงชื่อเข้าใช้

ผู้โจมตีที่มุ่งเป้าบัญชีของคุณ ใช้ฟิชชิง รหัสผ่านที่ใช้ซ้ำ หรือการสลับซิม VPN ไม่เกี่ยวข้อง และการยืนยันตัวตนที่แข็งแรงสำคัญ ดูคำแนะนำของ CISA เรื่องการยืนยันตัวตนหลายปัจจัยและการรู้จักฟิชชิง

ผู้โจมตีที่เข้าถึงอุปกรณ์ของคุณ อ่านไฟล์และการพิมพ์ก่อนที่อุโมงค์ใด ๆ จะมี VPN ไม่เกี่ยวข้อง

ฝ่ายตรงข้ามที่สังเกตได้ทั้งสองปลายของการเชื่อมต่อ บางครั้งเชื่อมโยงกิจกรรมได้โดยเปรียบเทียบเวลาและปริมาณข้อมูลที่จุดเข้าและจุดออก VPN ตัวเดียวไม่ป้องกันสิ่งนี้ มีเครื่องมือที่ออกแบบมาเพื่อความเป็นส่วนตัวระดับเครือข่ายที่แข็งแรงกว่า แต่ก็มีข้อแลกเปลี่ยนของตัวเอง และคุณควรอ่านเอกสารของมัน บทความ VPN กับ Tor อธิบายความต่างในระดับภาพรวม

VPN ช่วยอะไรในงานลักษณะนี้

ภายในขอบเขตของมัน VPN มีประโยชน์จริงสำหรับงานอาชีพ

• รายงานข่าวจากเครือข่ายที่ใช้ร่วมกัน ห้องแถลงข่าว งานประชุม รถไฟ โรงแรม และพื้นที่ภาคสนามมักพึ่งเครือข่ายที่คุณตรวจสอบไม่ได้ VPN ปกป้องทราฟฟิกระหว่างคุณกับเซิร์ฟเวอร์ VPN จากเครือข่ายในพื้นที่
• ลดการเปิดเผยความสนใจในการวิจัยแบบทั่วไป บนเครือข่ายมหาวิทยาลัยหรือสำนักงานที่ใช้ร่วมกัน VPN ซ่อนว่าคุณเข้าเว็บและบริการใดจากเครือข่ายรอบตัว แต่ไม่ซ่อนจากผู้ให้บริการ VPN
• ความสม่ำเสมอระหว่างเดินทาง การป้องกันแบบเดียวกันตามคุณไปตั้งแต่สนามบิน โรงแรม ถึงร้านกาแฟ
• แยกการท่องเว็บส่วนตัวกับงานในระดับเครือข่าย ช่วยเล็กน้อยเมื่อใช้ร่วมกับโปรไฟล์เบราว์เซอร์และบัญชีแยก
• ชั้นพื้นฐานสำหรับการเข้าถึงระยะไกล เมื่อสถาบันหรือนายจ้างจัดหา VPN ของตัวเองสำหรับทรัพยากรภายใน ให้ใช้ตัวนั้น มันทำหน้าที่ต่างจาก VPN ส่วนบุคคล ดู VPN ธุรกิจกับ VPN ส่วนบุคคล

การซื่อสัตย์เรื่องข้อจำกัดสำคัญเท่ากับการระบุประโยชน์ ในงานรายงานข่าวหลายอย่าง เครือข่ายไม่ใช่จุดที่ความเสี่ยงอยู่

สิ่งที่ VPN ไม่ทำให้นักข่าวและนักวิจัย

รายการนี้ยาวกว่ารายการประโยชน์ และทุกข้อควรเข้าใจ

• ไม่ปกป้องเนื้อหาข้อความ ใช้แอปส่งข้อความที่เข้ารหัสแบบ end-to-end สำหรับบทสนทนาที่อ่อนไหว และตกลงกับผู้ติดต่อเรื่องการตั้งค่า เช่น ข้อความที่หายไปเอง ทั้งสองฝ่ายต้องตั้งค่า
• ไม่ปกป้องอุปกรณ์ของคุณ อัปเดตเครื่อง ใช้การเข้ารหัสทั้งดิสก์ รหัสผ่านที่แข็งแรง และล็อกหน้าจอ และคิดว่าจะเกิดอะไรขึ้นหากเครื่องหาย ถูกตรวจค้น หรือถูกยึด
• ไม่ปกป้องบัญชีของคุณ ใช้รหัสผ่านไม่ซ้ำ ตัวจัดการรหัสผ่าน และการยืนยันตัวตนสองขั้นตอน โดยเลือกกุญแจความปลอดภัยหรือแอปยืนยันตัวตนแทน SMS
• ไม่ลบข้อมูลประกอบ (metadata) เอกสาร รูปภาพ และบันทึกเสียงมีข้อมูลอย่างชื่อผู้เขียน ตำแหน่ง และเวลา ตรวจไฟล์ก่อนแชร์
• ไม่ซ่อนตัวตนจากบริการที่คุณล็อกอิน หากใช้บัญชีจริงดูหัวข้ออ่อนไหว เจ้าของบัญชีก็ปรากฏต่อบริการนั้น
• ไม่หยุดฟิชชิง ซึ่งเป็นเส้นทางหลักในการเจาะนักข่าว ข้อความที่ดูเหมือนมาจากบรรณาธิการ แหล่งข่าว หรือผู้จัดงานอาจมีลิงก์อันตราย ดู วิธีสังเกตเว็บไซต์ฟิชชิง
• ไม่ทำให้คุณนิรนาม อ่าน VPN ทำให้คุณนิรนามได้ไหม
• ไม่เอาชนะฝ่ายตรงข้ามที่บังคับหรือเจาะผู้ให้บริการ VPN ได้
• ไม่ทำให้สิ่งผิดกฎหมายกลายเป็นถูกกฎหมาย และไม่รับประกันว่าเว็บหรือแอปจะใช้งานได้ กฎหมายและกฎของที่ทำงานยังมีผลอยู่

แนวปฏิบัติที่สมเหตุสมผลตามสถานการณ์

ข้อเสนอแนะเหล่านี้ตั้งใจให้เรียบง่ายและเน้นการเปิดเผยในชีวิตประจำวัน ไม่ใช่คำแนะนำสำหรับหลบเลี่ยงใคร

ทำข่าวท้องถิ่นจากร้านกาแฟหรือห้องแถลงข่าว เชื่อมต่อ VPN ก่อนเปิดอีเมลหรือเครื่องมือเอกสาร ใช้โปรไฟล์เบราว์เซอร์แยกสำหรับงาน เปิดการยืนยันตัวตนสองขั้นตอน และอย่าทิ้งอุปกรณ์โดยไม่มีคนดู

เดินทางไปปฏิบัติงาน อัปเดตอุปกรณ์ก่อนออกเดินทาง สำรองไฟล์สำคัญแบบเข้ารหัสไว้ในที่ที่คุณไว้ใจ พกเฉพาะที่จำเป็น และตระหนักว่ากฎเรื่องอุปกรณ์และข้อมูลที่ด่านต่างกันมากในแต่ละประเทศ ตรวจคำแนะนำทางการสำหรับเส้นทางของคุณและนโยบายการเดินทางขององค์กร

วิจัยเชิงวิชาการที่มีผู้เข้าร่วมอ่อนไหว ทำตามจริยธรรมและกฎคุ้มครองข้อมูลของสถาบันก่อน เก็บข้อมูลที่ระบุตัวตนแยกจากไฟล์วิเคราะห์ จำกัดผู้เข้าถึง และใช้ที่เก็บข้อมูลที่ปลอดภัยของสถาบัน VPN ส่วนบุคคลไม่ได้มาแทนกฎเหล่านั้น และบางสถาบันกำหนดให้ใช้เครื่องมือของตัวเอง

ตรวจสอบข้อความหรือไฟล์น่าสงสัย อย่าเปิดบนอุปกรณ์หลักของคุณ ถามผู้ส่งผ่านช่องทางอื่น หากต้องจัดการไฟล์น่าสงสัยจำนวนมาก ให้ถามผู้ดูแลด้านความปลอดภัยขององค์กรเกี่ยวกับกระบวนการตรวจสอบที่ปลอดภัย

ทำงานกับแหล่งข่าวที่มีความเสี่ยง นี่คือกรณีที่ VPN อย่างเดียวไม่เพียงพอ ขอความช่วยเหลือจากองค์กรของคุณ หรือติดต่อสายด่วนความปลอดภัยดิจิทัลสำหรับนักข่าวที่เป็นที่ยอมรับ พวกเขาประเมินสถานการณ์จริงของคุณได้ ซึ่งบทความทั่วไปทำไม่ได้

ประเมินผู้ให้บริการ VPN สำหรับการใช้ในงานอาชีพ

หากคุณตัดสินใจว่า VPN เป็นชั้นป้องกันที่สมเหตุสมผล ให้ประเมินด้วยความรอบคอบเท่ากับที่ประเมินแหล่งข่าวใด ๆ คำถามที่ควรถาม

1. ใครเป็นผู้ดำเนินการ บริษัทระบุตัวตนได้ มีที่อยู่ติดต่อและนโยบายความเป็นส่วนตัวที่เผยแพร่หรือไม่
2. บอกว่าบันทึกอะไร และนานแค่ไหน อ่านข้อความจริง ไม่ใช่หน้าการตลาด ระวังคำสัญญาแบบสัมบูรณ์
3. ตั้งอยู่ที่ไหน และมีข้อผูกพันอะไรที่นั่นอาจใช้ได้ เขตอำนาจบอกว่าคำสั่งทางกฎหมายใดอาจเอื้อมถึงบริษัท
4. จัดการการชำระเงินและบัญชีอย่างไร รูปแบบเติมเงินที่ไม่ต่ออายุอัตโนมัติมีบันทึกที่เกิดซ้ำน้อยกว่า แม้ข้อมูลการชำระเงินจะยังอยู่กับผู้ประมวลผลการชำระเงิน
5. เผยแพร่รายละเอียดทางเทคนิคหรือการตรวจสอบอิสระหรือไม่ รายงานความโปร่งใสและการตรวจสอบเป็นสัญญาณที่มีประโยชน์ แต่ไม่เคยรับประกันพฤติกรรมในอนาคต
6. แอปได้รับการดูแลหรือไม่ ดูประวัติการอัปเดตและดูว่าฝ่ายสนับสนุนตอบหรือไม่
7. โอ้อวดเกินจริงหรือไม่ ถ้อยคำอย่างตามรอยไม่ได้ แฮ็กไม่ได้ หรือระดับทหาร เป็นเหตุผลให้มองที่อื่น อ่าน วิธีเปรียบเทียบผู้ให้บริการ VPN สำหรับสกอร์การ์ด

แอปฟรีควรระวังเป็นพิเศษเมื่องานของคุณอ่อนไหว ดู VPN ฟรีปลอดภัยไหม หากเลือก XPASS โปรดจำไว้ว่าคุณเชื่อมต่อผ่านแอป VPNclient ที่ใช้ฟรี ด้วยชื่อผู้ใช้และรหัสผ่านในหน้า My Pass และ หน้าดาวน์โหลด รวมแอปทางการไว้ เราไม่กล่าวอ้างเรื่องวิธีที่ VPN ใด ๆ จัดการบันทึกหรือเรื่องความนิรนาม อ่านข้อกำหนดก่อนพึ่งพาบริการใด ๆ

แผนหนึ่งหน้าที่เขียนได้วันนี้

คัดลอกโครงนี้ไปไว้ในโน้ตและกรอกสำหรับโครงการปัจจุบันของคุณ

1. โครงการ หนึ่งประโยค
2. ทรัพย์สิน สามสิ่งที่ถ้าเสียไปจะเจ็บปวดที่สุด
3. ฝ่ายตรงข้าม ใครอาจต้องการมัน และมีความสามารถแค่ไหน
4. เส้นทางที่เป็นไปได้ Wi-Fi ที่ใช้ร่วมกัน ฟิชชิง อุปกรณ์หาย การยึดบัญชี คนใน ข้อความที่ถูกส่งต่อ
5. มาตรการที่ใช้อยู่แล้ว อัปเดต รหัสผ่านไม่ซ้ำ การยืนยันตัวตนสองขั้นตอน ที่เก็บข้อมูลแบบเข้ารหัส
6. มาตรการที่จะเพิ่ม อย่างมากหนึ่งถึงสองข้อ พร้อมวันที่
7. VPN อยู่ตรงไหน จะใช้บนเครือข่ายใด และความเสี่ยงใดที่มันไม่ครอบคลุม
8. จะขอความช่วยเหลือจากใคร เพื่อนร่วมงานที่ระบุชื่อ ผู้ดูแลความปลอดภัยขององค์กร หรือสายด่วนความปลอดภัยดิจิทัล
9. วันทบทวน สามเดือนจากนี้ หรือเมื่อโครงการเปลี่ยน

ทบทวนแผนทุกครั้งที่สถานการณ์เปลี่ยน เรื่องที่เริ่มเป็นงานปกติอาจกลายเป็นเรื่องอ่อนไหวได้

สรุป

สำหรับนักข่าวและนักวิจัย VPN เป็นชั้นที่สมเหตุสมผลบนเครือข่ายที่ใช้ร่วมกันและไม่คุ้นเคย แต่ครอบคลุมเฉพาะเส้นทางเครือข่าย ไม่ปกป้องเนื้อหาข้อความ อุปกรณ์ บัญชี ข้อมูลประกอบ หรือตัวตนที่บริการที่คุณใช้เห็น และย้ายความไว้วางใจบางส่วนไปที่ผู้ให้บริการ สร้างแบบจำลองภัยคุกคามสั้น ๆ ระบุทรัพย์สินและฝ่ายตรงข้าม และใช้ VPN กับความเสี่ยงที่มันแก้ได้จริง สำหรับความเสี่ยงร้ายแรง ให้พึ่งแนวปฏิบัติที่กว้างกว่าและความช่วยเหลือจากผู้เชี่ยวชาญ แทนที่จะพึ่งเครื่องมือเดียว

หากตัวเลือกแบบเติมเงินง่าย ๆ เหมาะกับเครือข่ายที่คุณใช้ทำงาน คุณสามารถดู หน้าราคา ได้ตามสบาย