ผู้ให้บริการ VPN เห็นข้อมูลอะไรของคุณบ้าง

เมื่อคุณเชื่อมต่อ VPN ผู้ให้บริการอินเทอร์เน็ตและ Wi-Fi ของร้านกาแฟจะอ่านทราฟฟิกของคุณไม่ได้อีก นั่นคือประโยชน์ที่คนมองเห็นก่อน แต่คำถามถัดมาสำคัญกว่า คือ ถ้าคนเหล่านั้นมองไม่เห็น แล้วใครเห็นบ้าง คำตอบตรง ๆ คือผู้ให้บริการ VPN อยู่ตรงกลาง และในทางเทคนิคแล้วอยู่ในตำแหน่งที่เห็นได้ค่อนข้างมาก

ข้อนี้ไม่ได้แปลว่า VPN เป็นความคิดที่ไม่ดี เพียงแต่เป็นการตัดสินใจเรื่องความไว้วางใจ บทความนี้อธิบายทีละชั้นว่าผู้ให้บริการ VPN เห็นอะไรได้ทางเทคนิค โดยทั่วไปเห็นอะไรไม่ได้ และจะประเมินผู้ให้บริการจากข้อเท็จจริงแทนคำโฆษณาได้อย่างไร เนื้อหาพูดถึง VPN โดยทั่วไป ไม่ได้กล่าวอะไรเกี่ยวกับสิ่งที่บริษัทใดบริษัทหนึ่งบันทึกจริง

VPN ย้ายความไว้วางใจ ไม่ได้ลบมัน

เมื่อไม่ใช้ VPN มีสามฝ่ายอยู่ระหว่างคุณกับเว็บไซต์ คือเครือข่ายที่คุณใช้ ผู้ให้บริการอินเทอร์เน็ต และตัวเว็บไซต์เอง แต่ละฝ่ายเห็นอะไรบางอย่าง เมื่อใช้ VPN อุปกรณ์ของคุณจะสร้างอุโมงค์เข้ารหัสไปยังเซิร์ฟเวอร์ที่ผู้ให้บริการดูแล เครือข่ายและผู้ให้บริการอินเทอร์เน็ตจะเห็นเพียงการเชื่อมต่อแบบเข้ารหัสไปยังเซิร์ฟเวอร์ VPN แทบไม่เห็นอย่างอื่น ส่วนเว็บไซต์จะเห็นที่อยู่ของเซิร์ฟเวอร์ VPN แทนที่อยู่ของคุณ

ผู้ให้บริการ VPN เข้ามาแทนที่ฝ่ายกลางเหล่านั้น VPN ทำงานอย่างไร อธิบายกลไกไว้แล้ว แต่ผลด้านความไว้วางใจนั้นง่ายมาก ก่อนหน้านี้คุณไว้ใจร้านกาแฟและผู้ให้บริการอินเทอร์เน็ตโดยปริยาย ตอนนี้คุณไว้ใจบริษัทเดียวที่คุณเลือก ซึ่งอาจเป็นการแลกเปลี่ยนที่ดี โดยเฉพาะบนเครือข่ายสาธารณะ แต่จะดีก็ต่อเมื่อบริษัทที่คุณเลือกระมัดระวังกับสิ่งที่ตัวเองเห็นได้

คนด้านความปลอดภัยเรียกเรื่องนี้ว่าโมเดลความไว้วางใจ (trust model) ควรคิดเรื่องนี้ให้ชัดก่อนซื้ออะไรก็ตาม คือ ฉันต้องพึ่งพาใคร ในเรื่องอะไร และจะเกิดอะไรขึ้นถ้าเขาทำให้ฉันผิดหวัง

ข้อมูลสี่ชั้น

การแยกคำว่า "ผู้ให้บริการเห็นอะไร" ออกเป็นสี่ชั้นช่วยให้คิดง่ายขึ้น แต่ละชั้นมีความอ่อนไหวและระดับความเสี่ยงต่างกัน

1. ข้อมูลบัญชี

คือสิ่งที่ผู้ให้บริการต้องใช้เพื่อให้บริการคุณ ได้แก่ตัวระบุบัญชี ข้อมูลล็อกอิน และวันที่การใช้งานเริ่มและสิ้นสุด ทั้งนี้ขึ้นกับบริการ อาจรวมถึงอีเมลที่ใช้ส่งการแจ้งเตือนหรือติดต่อฝ่ายช่วยเหลือ

ข้อมูลเหล่านี้มีมากน้อยแค่ไหนขึ้นกับรูปแบบการขาย บริการแบบสมัครสมาชิกทั่วไปต้องมีบัญชีลูกค้าเต็มรูปแบบ ส่วนแพ็กเกจเติมเงินล่วงหน้าอาจเรียบง่ายกว่า ตัวอย่างเช่น XPASS ขายแพ็กเกจเติมเงินล่วงหน้าที่มีจำนวนวันตายตัว และชื่อผู้ใช้กับรหัสผ่าน VPN จะแสดงเฉพาะในหน้า My Pass ของลูกค้าหลังล็อกอิน ไม่ส่งทางอีเมลเด็ดขาด ข้อความนี้อธิบายวิธีส่งมอบข้อมูลล็อกอินเท่านั้น ไม่ใช่การยืนยันว่าบริการเก็บหรือไม่เก็บข้อมูลอื่นใด

2. ข้อมูลการชำระเงิน

เมื่อคุณจ่ายเงิน บริษัทรับชำระเงินจะจัดการบัตรของคุณ ผู้ขาย VPN มักได้รับเพียงการยืนยัน จำนวนเงิน และตัวระบุบางอย่าง และมักไม่ได้เห็นหมายเลขบัตรเต็ม แต่ธนาคารและบริษัทรับชำระเงินยังรู้ว่าใครเป็นผู้จ่ายและจ่ายให้ร้านค้าใด การชำระเงินจึงเป็นหนึ่งในจุดเชื่อมที่ระบุตัวตนได้มากที่สุดระหว่างคุณกับบริการ ถ้าคุณจ่ายด้วยบัตร ควรสันนิษฐานว่าผู้ที่มีเหตุอันชอบธรรมในการขอข้อมูลสามารถไล่เส้นทางจากคุณไปถึงผู้ขายได้

3. เมทาดาทาของการเชื่อมต่อ

เมทาดาทาคือข้อมูลเกี่ยวกับการเชื่อมต่อ ไม่ใช่เนื้อหาของมัน สำหรับ VPN อาจรวมถึง

• เวลาที่คุณเชื่อมต่อและตัดการเชื่อมต่อ และระยะเวลาของเซสชัน
• IP address ที่คุณใช้เชื่อมต่อ ซึ่งบอกตำแหน่งคร่าว ๆ และผู้ให้บริการอินเทอร์เน็ตของคุณได้
• ปริมาณข้อมูลที่ส่งผ่าน
• เซิร์ฟเวอร์ VPN ที่ใช้
• ที่อยู่ภายในที่ถูกกำหนดให้คุณระหว่างเซสชัน

เมทาดาทามักถูกประเมินต่ำเกินไป บันทึกที่ว่า "บัญชีนี้เชื่อมต่อจากที่อยู่นี้ตอนสามทุ่ม เป็นเวลาสองชั่วโมง" ไม่บอกเนื้อหาเลย แต่ก็เชื่อมบัญชีเข้ากับบุคคล สถานที่ และกิจวัตรได้ ส่วนจะเก็บเมทาดาทาหรือไม่ และเก็บนานเท่าใด เป็นการตัดสินใจเชิงนโยบาย ส่วนเทคโนโลยีทำให้ผู้ให้บริการมีความสามารถเห็นมันได้ตอนที่การเชื่อมต่อเกิดขึ้น

4. เนื้อหาทราฟฟิกและปลายทาง

ทราฟฟิกของคุณวิ่งผ่านเซิร์ฟเวอร์ของผู้ให้บริการ จึงเห็นที่อยู่ IP ปลายทางและปริมาณข้อมูลได้ ถ้าผู้ให้บริการจัดการการค้นหา DNS ให้ ซึ่ง VPN ส่วนใหญ่ออกแบบให้ทำเช่นนั้น ก็เห็นชื่อโดเมนที่คุณขอด้วย ส่วนเนื้อหาจะอ่านได้แค่ไหนขึ้นอยู่กับว่าเว็บไซต์ใช้ HTTPS หรือไม่

HTTPS เปลี่ยนอะไร

เว็บไซต์ส่วนใหญ่ในปัจจุบันใช้ HTTPS ซึ่งเข้ารหัสเนื้อหาระหว่างเบราว์เซอร์กับเว็บไซต์ด้วย TLS (RFC 8446 อธิบายเวอร์ชันปัจจุบัน) เมื่อคุณใช้ HTTPS ผ่าน VPN ผู้ให้บริการ VPN จะเห็น Stream ที่เข้ารหัสวิ่งไปยังที่อยู่ปลายทาง ไม่สามารถอ่านหน้าเว็บ รหัสผ่าน หรือข้อมูลในฟอร์มที่อยู่ข้างใน ดูพื้นฐานได้ใน บทแนะนำ HTTPS ของ Cloudflare

นี่คือเหตุผลที่ HTTPS กับ VPN ป้องกันคนละเรื่อง ซึ่ง HTTPS กับ VPN ต่างกันอย่างไร อธิบายไว้ละเอียดกว่า

ชั้นข้อมูล	ผู้ให้บริการ VPN เห็นหรือไม่	หมายเหตุ
IP address จริงของคุณ	เห็น	จำเป็นต่อการสร้างการเชื่อมต่อ
เวลาเชื่อมต่อและปริมาณข้อมูล	เห็น	จะเก็บหรือไม่เป็นเรื่องนโยบาย
IP address ปลายทาง	เห็น	ผู้ให้บริการส่งต่อทราฟฟิกของคุณ
ชื่อโดเมนที่ค้นหา	โดยทั่วไปเห็น	หาก VPN จัดการ DNS ให้
เนื้อหาหน้าเว็บบนเว็บ HTTPS	ไม่เห็น	เข้ารหัสตั้งแต่ต้นทางถึงปลายทาง
เนื้อหาหน้าเว็บบนเว็บ HTTP ธรรมดา	เห็น	ควรหลีกเลี่ยงเว็บแบบนี้
เนื้อหาในแอปที่เข้ารหัสเอง	โดยทั่วไปไม่เห็น	ขึ้นกับแอป
ชื่อและหมายเลขบัตรของคุณ	โดยทั่วไปไม่เห็น	อยู่กับบริษัทรับชำระเงิน

สิ่งที่ผู้ให้บริการ VPN มองไม่เห็น

ขีดจำกัดก็สำคัญไม่แพ้กัน

• โดยทั่วไปอ่านเนื้อหา HTTPS รหัสผ่านที่คุณพิมพ์ลงเว็บที่ปลอดภัย หรือข้อความในแอปแชตที่เข้ารหัสแบบต้นทางถึงปลายทางไม่ได้
• มองไม่เห็นกิจกรรมบนอุปกรณ์ที่ไม่ได้ผ่านอุโมงค์ เช่น การใช้ไฟล์ในเครื่อง
• มองไม่เห็นสิ่งที่คุณทำตอนปิด VPN ซึ่งเป็นเหตุผลให้ควรมี kill switch เพราะช่องว่างของการป้องกันสำคัญพอ ๆ กับตัวการป้องกัน
• ไม่เห็นบัญชีอื่น ๆ ของคุณ นอกจากคุณล็อกอินบัญชีเหล่านั้นขณะเชื่อมต่อ ซึ่งในกรณีนั้นปลายทางเป็นฝ่ายเห็นการล็อกอิน ไม่ใช่ผู้ให้บริการ VPN

ตัวอย่าง: นักเดินทางบน Wi-Fi โรงแรม

มีอาอยู่ในการเดินทางไปทำงาน เธอเชื่อมต่อเครือข่ายของโรงแรม ล็อกอินเว็บธนาคาร และอ่านข่าว

• ไม่ใช้ VPN เครือข่ายโรงแรมเห็นว่าโน้ตบุ๊กของเธอติดต่อธนาคารและเว็บข่าว หน้าเว็บของธนาคารได้รับการป้องกันด้วย HTTPS แต่ชื่อปลายทางมองเห็นได้
• ใช้ VPN เครือข่ายโรงแรมเห็นเพียงการเชื่อมต่อแบบเข้ารหัสไปยังเซิร์ฟเวอร์ VPN ผู้ให้บริการ VPN มาอยู่ในตำแหน่งที่เครือข่ายโรงแรมเคยอยู่ คือเห็นว่าทราฟฟิกไปที่ไหน หน้าเว็บธนาคารยังเป็น HTTPS เนื้อหาจึงยังอ่านไม่ได้ทั้งสองฝ่าย

มีอาลดการเปิดเผยต่อเครือข่ายของคนแปลกหน้า และยอมรับการเปิดเผยต่อผู้ให้บริการที่เธอเลือก ถ้าเธอเลือกอย่างรอบคอบ ผลลัพธ์นี้ดี แต่ถ้าเธอหยิบแอปฟรีตัวแรกที่เจอ เธออาจทำให้สถานการณ์แย่ลง Wi-Fi สาธารณะคือสถานการณ์ที่การแลกเปลี่ยนแบบนี้สมเหตุสมผลที่สุด

ตัวอย่าง: นักศึกษาที่แชร์ห้องพัก

อรุณอยู่ห้องเช่าร่วมกับอีกสี่คนบนเราเตอร์ตัวเดียวที่เจ้าของตึกดูแล เขาใช้ VPN เพื่อไม่ให้เจ้าของเราเตอร์และเพื่อนร่วมห้องเห็นการท่องเว็บของเขาบนเครือข่ายร่วม ผู้ให้บริการ VPN ยังเห็นเวลาเชื่อมต่อและที่อยู่ที่เขาเชื่อมต่อจาก เขายอมรับเรื่องนี้เพราะมองว่าบริษัทที่มีนโยบายเป็นลายลักษณ์อักษรรับผิดชอบได้มากกว่าเจ้าของเราเตอร์ที่ไม่รู้จัก นี่คือการตัดสินใจเชิงโมเดลความไว้วางใจที่อรุณทำโดยรู้ตัว

ทำไมคำว่า "ปกปิดตัวตน" จึงไม่ถูกต้อง

การตลาดบางแห่งพูดถึงการใช้ VPN แบบไม่เปิดเผยตัวตน แต่ผู้ให้บริการ VPN มักรู้ IP address ที่คุณเชื่อมต่อเข้ามา และในระดับหนึ่งก็รู้บัญชีของคุณ การชำระเงินผ่านบริษัทที่มีการกำกับดูแล และเว็บไซต์ติดตามคุณได้ด้วยคุกกี้และการล็อกอินโดยไม่เกี่ยวกับ IP ทั้งหมดนี้คือเหตุผลที่ VPN เป็นเครื่องมือด้านความเป็นส่วนตัว ไม่ใช่เครื่องมือปกปิดตัวตน ดูเพิ่มที่ VPN ทำให้คุณไม่เปิดเผยตัวตนได้ไหม

สำหรับคนที่ต้องการการปกปิดตัวตนอย่างจริงจัง VPN อย่างเดียวไม่ใช่เครื่องมือที่เหมาะ และแหล่งข้อมูลอย่าง คู่มือ Surveillance Self-Defense ของ EFF เป็นจุดเริ่มต้นที่ดีกว่า

ประเมินผู้ให้บริการจากข้อเท็จจริงอย่างไร

คุณมองเข้าไปในผู้ให้บริการไม่ได้ จึงต้องประเมินจากสัญญาณรอบตัวเขา รายการตรวจสอบ

1. อ่านนโยบายความเป็นส่วนตัว มองหาข้อความเฉพาะเจาะจงว่าเก็บอะไร ทำไม และนานเท่าใด คำสัญญากว้าง ๆ หรือนโยบายที่มีเพียงไม่กี่บรรทัดเป็นสัญญาณเตือน
2. ตรวจว่าใครเป็นผู้ดำเนินบริการ บริษัทที่มีชื่อ ข้อมูลติดต่อ และที่ตั้งกิจการ รับผิดชอบได้มากกว่าแบรนด์นิรนาม
3. มองหาหลักฐานอิสระ เช่น รายงานที่เผยแพร่จากผู้รีวิวหรือผู้ตรวจสอบซึ่งอธิบายวิธีการ ใช้ความระมัดระวังกับตรารับรองและสโลแกน
4. เทียบข้อมูลที่บริการต้องใช้จริง ผู้ให้บริการที่ต้องใช้ข้อมูลส่วนบุคคลน้อยกว่าเพื่อดูแลบัญชีของคุณ ก็มีสิ่งที่อาจเสียหรือต้องส่งมอบน้อยกว่า
5. ระวังคำกล่าวอ้างแบบเด็ดขาด คำสัญญาว่าปลอดภัยสมบูรณ์หรือปกปิดตัวตนได้เต็มที่ ไม่ใช่คำสัญญาที่ซื่อสัตย์สำหรับบริการใดเลย
6. อ่านว่าจัดการคำร้องจากหน่วยงานรัฐอย่างไร หากมีการเผยแพร่ข้อมูลเรื่องนี้
7. หลีกเลี่ยงเครื่องมือฟรีที่ไม่ทราบที่มา การให้บริการ VPN มีต้นทุน ถ้าคุณไม่ได้จ่ายเงิน ให้หาคำตอบว่าผู้ให้บริการหารายได้จากอะไร

อ่านเพิ่มได้ที่ สิ่งที่ควรตรวจก่อนจ่ายเงินซื้อ VPN

วิธีลดสิ่งที่ผู้ให้บริการรายใดเรียนรู้ได้

• ใช้เว็บ HTTPS และอัปเดตเบราว์เซอร์ให้ใหม่อยู่เสมอ เพื่อให้เนื้อหายังคงเข้ารหัสอยู่ในอุโมงค์
• ให้ข้อมูลบัญชีเท่าที่จำเป็น และใช้อีเมลที่คุณสบายใจ
• เก็บข้อมูลล็อกอิน VPN ให้ปลอดภัย หากบริการแสดงข้อมูลเฉพาะในหน้าหลังล็อกอิน ให้ใช้หน้านั้นและตัวจัดการรหัสผ่าน แทนการคัดลอกไปไว้ในแชตหรือโน้ตที่ซิงก์ไปทุกที่
• เปิด VPN เมื่ออยู่บนเครือข่ายเสี่ยง แทนการมองว่าเป็นหน้ากากถาวร หากเหมาะกับวิธีทำงานของคุณ
• จำไว้ว่าผู้ให้บริการเป็นเพียงหนึ่งในหลายฝ่าย เว็บไซต์ แอป และระบบปฏิบัติการของอุปกรณ์ก็เก็บข้อมูลเช่นกัน

ข้อจำกัดและสิ่งที่ต้องระวัง

• ความสามารถทางเทคนิคไม่เท่ากับการปฏิบัติจริง ผู้ให้บริการที่เห็นบางอย่างได้ อาจเก็บหรือไม่เก็บก็ได้ คุณตรวจสอบจากภายนอกไม่ได้ ความไว้วางใจจึงมาจากประวัติ ความโปร่งใส และการตรวจสอบอิสระ
• มีคำร้องตามกฎหมาย ผู้ให้บริการดำเนินการภายใต้กฎหมายของสถานที่ที่ตั้ง และอาจต้องให้ความร่วมมือในการสืบสวนที่ชอบด้วยกฎหมาย บทความเรื่อง VPN Jurisdiction อธิบายวิธีคิดเรื่องนี้โดยไม่เกินจริง
• การรั่วไหลเป็นไปได้ บริษัทที่เก็บข้อมูลก็ถูกโจมตีได้ ยิ่งเก็บน้อย ก็ยิ่งมีให้รั่วน้อย
• VPN แก้ปัญหาอุปกรณ์ที่รั่วหรือการล็อกอินที่ประมาทไม่ได้ ให้มองว่าเป็นหนึ่งชั้นในหลายชั้น

สรุป

ผู้ให้บริการ VPN อยู่กลางทราฟฟิกของคุณ จึงเห็นได้ทางเทคนิคทั้งที่อยู่ที่คุณเชื่อมต่อ เวลาเชื่อมต่อ ปริมาณข้อมูล และปลายทาง แต่โดยทั่วไปไม่เห็นเนื้อหาหน้า HTTPS การชำระเงินมักเป็นจุดเชื่อมที่ระบุตัวตนได้มากที่สุด สิ่งที่สำคัญคือผู้ให้บริการเก็บและรักษาข้อมูลนั้นหรือไม่ ซึ่งประเมินได้จากนโยบาย ความรับผิดชอบ และหลักฐานอิสระ VPN ย้ายความไว้วางใจ ดังนั้นเลือกฝ่ายที่คุณไว้ใจอย่างตั้งใจ หากคุณสนใจแพ็กเกจเติมเงินล่วงหน้าที่ไม่ต่ออายุอัตโนมัติ ดูตัวเลือกได้ที่ ราคา XPASS