No-Logs VPN คืออะไร? อ่านนโยบายเก็บ Log อย่างไร

ผู้ขาย VPN เกือบทุกรายใช้วลีทำนอง "No-Logs" ฟังดูเหมือนคำรับประกัน และผู้ซื้อหลายคนมองว่าเป็นฟีเจอร์ที่สำคัญที่สุดข้อเดียว แต่ความจริงมันเป็นเพียงคำกล่าวอ้าง และคำกล่าวอ้างแต่ละแห่งต่างกันมากทั้งขอบเขต ความละเอียด และว่ามีใครตรวจสอบหรือไม่

บทความนี้เป็นความรู้ทั่วไป อธิบายว่า log คืออะไร คำกล่าวอ้างแบบ No-Logs บอกอะไรได้และบอกอะไรไม่ได้ วิธีอ่านนโยบายการเก็บข้อมูลของ VPN ทีละบรรทัด และสิ่งที่การตรวจสอบกับรายงานความโปร่งใสพิสูจน์ได้จริง บทความนี้ไม่ใช่คำกล่าวเกี่ยวกับการเก็บข้อมูลของบริการใดโดยเฉพาะ ไม่ว่าคุณจะใช้บริการไหน ให้อ่านนโยบายความเป็นส่วนตัวและข้อกำหนดของบริการนั้นเอง

"Log" ในบริบทของ VPN หมายถึงอะไร

log คือบันทึกเท่านั้น เซิร์ฟเวอร์ แอป และเครือข่ายสร้างบันทึกตลอดเวลา ด้วยเหตุผลที่ดี เช่น แก้ไขข้อผิดพลาด และเหตุผลที่น่าอึดอัดกว่า เช่น สร้างโปรไฟล์ผู้ใช้ เมื่อคนพูดว่า VPN เก็บหรือไม่เก็บ log มักหมายถึงข้อมูลหลายชนิดรวมกัน

log การเชื่อมต่อ (metadata) บอกว่าคุณเชื่อมต่อ เช่น เวลาที่เชื่อมต่อและตัดการเชื่อมต่อ ปริมาณข้อมูลที่ส่ง เซิร์ฟเวอร์ VPN ที่ใช้ และอาจรวมถึง IP ต้นทางที่คุณเชื่อมต่อมา แม้ไม่มีบันทึกว่าเข้าเว็บไหน log การเชื่อมต่อก็อาจแสดงว่าใครออนไลน์เมื่อไร

log กิจกรรมหรือการใช้งาน บอกว่าคุณทำอะไรขณะเชื่อมต่อ เช่น เว็บไซต์หรือโดเมนที่เข้า คำขอ DNS ไฟล์ที่ดาวน์โหลด แอปที่ใช้ นี่คือบันทึกที่ละเอียดอ่อนที่สุด และเป็นสิ่งที่คนส่วนใหญ่หมายถึงเมื่อถามว่า VPN "เก็บ log" หรือไม่

log วินิจฉัยและข้อผิดพลาด ซอฟต์แวร์ล่มและพัง วิศวกรต้องใช้ข้อมูลเพื่อซ่อม log ทางเทคนิคช่วงสั้น ๆ เกี่ยวกับข้อผิดพลาดเป็นเรื่องปกติ คำถามคือมีข้อมูลอะไรและลบเร็วแค่ไหน

ข้อมูลบัญชีและการชำระเงิน ผู้ขายมักเก็บอีเมล ประวัติคำสั่งซื้อ และการยืนยันการชำระเงิน เพราะต้องจัดการเรื่องการเรียกเก็บเงิน การคืนเงิน และภาระทางกฎหมาย ข้อมูลเหล่านี้ไม่ใช่ log การท่องเว็บ แต่เชื่อมตัวตนของคุณกับการซื้อ

สถิติรวม ตัวเลข เช่น ปริมาณแบนด์วิดท์รวมของเซิร์ฟเวอร์ ช่วยวางแผนความจุ เมื่อรวมกลุ่มอย่างถูกต้องจะไม่ชี้ไปที่รายบุคคล แต่นโยบายควรระบุไว้

การมองประเภทเหล่านี้แยกกันคือก้าวแรกในการอ่านนโยบายใด ๆ ผู้ให้บริการอาจพูดตามจริงว่าไม่เก็บ log กิจกรรม แต่ยังเก็บเวลาการเชื่อมต่อช่วงสั้น ๆ ทั้งสองประโยคไม่ได้โกหก เพียงแต่พูดถึงสิ่งที่ต่างกัน

คำกล่าวอ้างแบบ No-Logs บอกอะไรและไม่ได้บอกอะไร

คำกล่าวอ้างแบบ No-Logs บอกว่าผู้ให้บริการไม่เก็บบันทึกบางชุดที่กำหนดไว้เกี่ยวกับผู้ใช้ แต่ลำพังมันไม่บอกว่าบันทึกอะไร เก็บนานเท่าไร หรือใครจะยืนยันได้อย่างไร ตารางด้านล่างแสดงช่องว่างระหว่างคำกล่าวอ้างทั่วไปกับสิ่งที่คุณอยากรู้

คำกล่าวอ้างบอกว่า	สิ่งที่ยังเปิดอยู่
เราไม่เก็บ log	log ชนิดไหน เฉพาะกิจกรรม หรือรวมข้อมูลการเชื่อมต่อด้วย
เราไม่ติดตามกิจกรรมของคุณ	ข้อมูลการเชื่อมต่อ เช่น เวลา ถูกเก็บไว้หรือไม่
เราลบข้อมูลทันที	"ทันที" นิยามอย่างไร และเขียนลงที่ไหนก่อน
ผ่านการตรวจสอบอิสระ	ตรวจอะไร ขอบเขตใด เมื่อไร และรายงานเปิดเผยหรือไม่
เราไม่เคยได้รับคำร้องที่ถูกต้องตามกฎหมาย	มีรายงานความโปร่งใสที่เผยแพร่ยืนยันหรือไม่

ช่องว่างเหล่านี้ไม่ได้แปลว่าผู้ให้บริการไม่ซื่อสัตย์ แต่แสดงว่าป้ายชื่ออย่างเดียวไม่พอ และรายละเอียดคือสิ่งสำคัญ

ทำไมการเก็บ log จึงสำคัญ

ควรเข้าใจความเสี่ยงอย่างเป็นรูปธรรม เพื่อชั่งน้ำหนักอย่างมีเหตุผลไม่ใช่ตามอารมณ์

• ข้อมูลรั่วไหล บันทึกที่มีอยู่รั่วได้ ผู้ให้บริการที่ไม่เคยเก็บบางอย่างย่อมทำสิ่งนั้นหายไม่ได้
• คำร้องทางกฎหมาย ผู้ให้บริการอาจถูกศาลหรือหน่วยงานในเขตอำนาจของตนบังคับให้ส่งมอบสิ่งที่มีอยู่ ถ้าข้อมูลไม่มี ก็มีให้ส่งน้อยลง
• คนในองค์กรและการใช้ในทางที่ผิด พนักงานหรือผู้รับจ้างที่เข้าถึงบันทึกละเอียดเป็นความเสี่ยงในองค์กรใดก็ตาม
• การนำไปหาประโยชน์เชิงพาณิชย์ บริการฟรีบางแห่งหารายได้จากการใช้หรือขายข้อมูลผู้ใช้ นี่คือเหตุผลสำคัญที่ควรตรวจว่า VPN ฟรีหารายได้จากอะไร

จุดประสงค์ของ VPN คือการย้ายความไว้วางใจ ถ้าไม่มี VPN ผู้ให้บริการอินเทอร์เน็ตหรือผู้ดูแล Wi-Fi เห็นได้ว่าทราฟฟิกของคุณไปที่ไหน ถ้ามี VPN ความสามารถในการมองเห็นนั้นย้ายไปอยู่ที่ผู้ให้บริการ VPN นโยบายการเก็บข้อมูลคือคำแถลงของผู้ให้บริการว่าจะจัดการความไว้วางใจนั้นอย่างไร บทความVPN ปกป้องอะไรได้จริงอธิบายว่าอะไรย้ายและอะไรไม่ย้าย

วิธีอ่านนโยบายการเก็บข้อมูลของ VPN

นโยบายเป็นเอกสาร และคุณอ่านอย่างวิพากษ์ได้ในไม่กี่นาที ลองไล่ตามคำถามเหล่านี้

1. ระบุรายละเอียด หรือมีแต่สโลแกน

นโยบายที่ดีระบุชัดว่าเก็บอะไรและไม่เก็บอะไร เช่น ที่อยู่ IP เวลา คำขอ DNS แบนด์วิดท์ ระยะเวลาเซสชัน รหัสอุปกรณ์ นโยบายที่พูดแค่ว่าเราใส่ใจความเป็นส่วนตัวของคุณคือการตลาด ไม่ใช่นโยบาย

2. แยกข้อมูลการเชื่อมต่อออกจากข้อมูลกิจกรรมหรือไม่

มองหาทั้งสองอย่าง ถ้าข้อความพูดถึงเฉพาะกิจกรรมการท่องเว็บ แต่เงียบเรื่องเวลาเชื่อมต่อหรือ IP ต้นทางของคุณ ช่องว่างนั้นควรถามฝ่ายสนับสนุน

3. ระบุระยะเวลาเก็บหรือไม่

"เราไม่เก็บ" ต่างจาก "เราเก็บ 24 ชั่วโมง" ทั้งสองแบบอาจสมเหตุสมผล แต่แบบหลังแม่นยำกว่า ระวังวลีอย่าง "นานเท่าที่จำเป็น" ที่ไม่มีตัวเลข

4. ครอบคลุมแอปและเว็บไซต์ด้วยหรือไม่

อุโมงค์ VPN เป็นเรื่องหนึ่ง แต่เว็บไซต์ขาย แอป ตั๋วสนับสนุน และตัวรายงานการล่มอาจเก็บข้อมูลของตัวเอง เช่น ข้อมูลวิเคราะห์และข้อมูลอุปกรณ์ นโยบายที่ละเอียดจะครอบคลุมสิ่งเหล่านี้ด้วย

5. พูดอย่างไรเกี่ยวกับข้อมูลการชำระเงินและบัญชี

คุณควรคาดว่าอีเมลและบันทึกคำสั่งซื้อมีอยู่ นโยบายควรอธิบายว่าข้อมูลการชำระเงินส่วนใดผู้ขายเก็บ และส่วนใดอยู่กับผู้ประมวลผลการชำระเงิน เช่น การจ่ายด้วยบัตรอาจจัดการโดยผู้ประมวลผลทั้งหมด ทำให้ผู้ขายไม่เห็นเลขบัตรเต็มของคุณ

6. แบ่งปันข้อมูลกับใคร

มองหาคำว่าบุคคลที่สาม พันธมิตร และบริษัทในเครือ แล้วถามว่ามีผู้โฆษณาหรือผู้ให้บริการวิเคราะห์ข้อมูลรวมอยู่หรือไม่

7. จัดการคำร้องทางกฎหมายอย่างไร

นโยบายที่ชัดเจนบอกว่าผู้ให้บริการทำอย่างไรเมื่อได้รับคำร้องที่ถูกต้อง และเผยแพร่ข้อมูลเกี่ยวกับคำร้องเหล่านั้นหรือไม่

8. ลงวันที่และมีเวอร์ชันหรือไม่

นโยบายที่ลงวันที่และเก็บฉบับเก่าให้ดูได้น่าเชื่อถือกว่าฉบับที่เปลี่ยนไปเงียบ ๆ

อธิบายการตรวจสอบ สิ่งที่พิสูจน์ได้และไม่ได้

คำว่า VPN audit ปรากฏในหน้าขายจำนวนมาก ในทางปฏิบัติคำนี้ครอบคลุมกิจกรรมที่ต่างกันมาก จึงควรรู้ประเภทหลักของการตรวจสอบความปลอดภัยของ VPN

ประเภทการตรวจสอบ	ตรวจอะไร	แสดงอะไรได้
ตรวจ log หรือนโยบาย	ระบบและการตั้งค่าตรงกับนโยบายที่ประกาศหรือไม่	ในเวลานั้นการตั้งค่าของผู้ให้บริการตรงกับที่อ้าง
ตรวจโครงสร้างพื้นฐาน	เซิร์ฟเวอร์ การตั้งค่า การควบคุมการเข้าถึง	บริการถูกสร้างและดำเนินการอย่างไร
ตรวจความปลอดภัยของแอป	แอปและโค้ด มักผ่านการทดสอบเจาะระบบ	พบช่องโหว่ซอฟต์แวร์ประเภทที่รู้จักหรือไม่
ตรวจโปรโตคอลหรือการเข้ารหัส	โปรโตคอลการเชื่อมต่อและการใช้การเข้ารหัส	การออกแบบและการนำไปใช้ถูกต้องหรือไม่

เมื่อเห็นการกล่าวถึงการตรวจสอบ ให้ถามไม่กี่ข้อ

1. ใครเป็นผู้ตรวจ บริษัทนั้นเป็นอิสระจากผู้ให้บริการและมีประวัติผลงานหรือไม่
2. ขอบเขตคืออะไร การตรวจเซิร์ฟเวอร์ไม่กี่เครื่องไม่ใช่การตรวจทุกอย่าง ขอบเขตมักระบุในสรุปรายงาน
3. ทำเมื่อไร ระบบเปลี่ยนแปลงได้ การตรวจเมื่อหลายปีก่อนบอกเรื่องวันนี้ได้น้อย
4. รายงานเปิดเผยหรือไม่ รายงานที่เผยแพร่ หรืออย่างน้อยสรุปที่เผยแพร่ ประเมินได้ง่ายกว่าโลโก้กับคำว่า "ผ่านการตรวจสอบ"
5. พบปัญหาและแก้ไขหรือไม่ รายงานที่มีข้อค้นพบซึ่งแก้ไขแล้วมักน่าเชื่อกว่ารายงานที่สะอาดเอี่ยมแต่ไม่มีรายละเอียด

การตรวจสอบคือภาพนิ่งในช่วงเวลาหนึ่ง มันไม่พิสูจน์ว่าผู้ให้บริการจะทำเหมือนเดิมในปีหน้า และไม่พิสูจน์ว่าไม่มีอะไรเปลี่ยนหลังผู้ตรวจกลับไปแล้ว แต่ก็ยังเป็นหลักฐานที่มีประโยชน์ ดีกว่าสโลแกนที่ไม่มีอะไรรองรับมาก

รายงานความโปร่งใส

รายงานความโปร่งใสคือสิ่งที่เผยแพร่เป็นระยะ ระบุจำนวนและประเภทของคำร้องทางกฎหมายที่ผู้ให้บริการได้รับและวิธีตอบสนอง มีประโยชน์สองทาง คือแสดงว่าผู้ให้บริการยินดีเผยแพร่ข้อมูลเกี่ยวกับการปฏิบัติของตน และแสดงว่าเกิดอะไรขึ้นเมื่อมีคนขอข้อมูลจากผู้ให้บริการ รายงานที่ออกสม่ำเสมอ ละเอียด และลงวันที่มีประโยชน์กว่าหน้าเดียวที่ไม่เคยอัปเดต

อ่านนโยบายตัวอย่างสามข้ออย่างวิพากษ์

ตัวอย่างสมมติเหล่านี้แสดงการอ่านที่เป็นประโยชน์ ไม่ได้อ้างอิงบริการจริง

ข้อความ A "เราให้ความสำคัญกับความเป็นส่วนตัวของคุณมาก และไม่เคยขายข้อมูลของคุณ" ประโยคนี้บอกว่าผู้ขายไม่ทำอะไรกับข้อมูล แต่ไม่บอกว่าเก็บอะไรและนานเท่าไร การไม่ขายข้อมูลเป็นเรื่องดี แต่ไม่เท่ากับการไม่เก็บ

ข้อความ B "เราไม่เก็บประวัติการท่องเว็บ คำขอ DNS หรือเนื้อหาทราฟฟิก เวลาการเชื่อมต่อและ IP ต้นทางจะถูกลบเมื่อเซสชันสิ้นสุด ข้อมูลบัญชีและการชำระเงินเก็บตามระยะเวลาที่กฎหมายกำหนด" ข้อความนี้เฉพาะเจาะจง ระบุหมวดหมู่ บอกว่าลบอะไรและเมื่อไร และยอมรับว่าเก็บข้อมูลบัญชีบางส่วน คุณยังถามฝ่ายสนับสนุนได้ว่าข้อมูลเซสชันจัดการจริงอย่างไร แต่ข้อความนี้เป็นจุดเริ่มต้นที่ใช้งานได้

ข้อความ C "อาจเก็บข้อมูลวินิจฉัยจำนวนจำกัดเพื่อปรับปรุงบริการ" ข้อความนี้คลุมเครือ ข้อมูลอะไร เก็บนานเท่าไร แบ่งปันกับใคร ควรถามหรือหาฉบับเต็มในนโยบายความเป็นส่วนตัว

สังเกตว่าประโยคที่ซื่อตรงที่สุดมักไม่ค่อยน่าฟังที่สุด นโยบายที่ยอมรับว่าเก็บข้อมูลบางอย่างและบอกเหตุผลมักควรเชื่อถือมากกว่านโยบายที่สัญญาว่าลบทุกอย่าง

ข้อจำกัดและสิ่งที่ควรระวัง

แม้นโยบายที่ดีที่สุดก็มีขอบเขต การเข้าใจขอบเขตทำให้ความคาดหวังของคุณสมจริง

• ครอบคลุมเฉพาะผู้ให้บริการ เว็บไซต์ที่คุณเข้าเก็บบันทึกของตัวเอง แอปบนโทรศัพท์คุยกับเซิร์ฟเวอร์ของตัวเอง ถ้าคุณล็อกอินบัญชี บริการนั้นรู้ว่าคุณเป็นใคร ไม่ว่า VPN จะทำอะไร
• VPN ไม่ได้ทำให้คุณนิรนาม การลดสิ่งที่ฝ่ายหนึ่งบันทึกได้ไม่เท่ากับการนิรนาม ดูVPN ทำให้คุณนิรนามได้หรือไม่สำหรับเหตุผล
• นโยบายคือคำสัญญา ไม่ใช่กลไก ถ้าตรวจสอบไม่ได้ คุณกำลังไว้ใจคำพูดของผู้ให้บริการและกรอบกฎหมายของเขา นี่คือเหตุผลที่การตรวจสอบและรายงานความโปร่งใสมีประโยชน์แม้ไม่สมบูรณ์
• เขตอำนาจศาลสำคัญ แต่ไม่ง่ายนัก กฎที่ผู้ให้บริการต้องปฏิบัติขึ้นกับที่ตั้งและที่ที่ดำเนินงาน อย่าสันนิษฐานว่าประเทศหนึ่งปลอดภัยหรือไม่ปลอดภัยโดยอัตโนมัติ ให้อ่านสิ่งที่ผู้ให้บริการบอกเรื่องคำร้องทางกฎหมาย
• บริการฟรีควรตรวจสอบเป็นพิเศษ ถ้าคุณไม่จ่ายเงิน ให้ถามว่าบริการหารายได้อย่างไร คำตอบอาจเกี่ยวกับข้อมูลของคุณ
• อุปกรณ์ของคุณก็เป็นแหล่ง log ประวัติเบราว์เซอร์ แคชของแอป และบันทึกระบบปฏิบัติการมีอยู่บนโทรศัพท์หรือแล็ปท็อปของคุณ โหมดส่วนตัวกับ VPN แก้คนละเรื่อง ดูความเชื่อผิด ๆ เกี่ยวกับความปลอดภัยของ VPN

เช็คลิสต์สั้น ๆ ก่อนเชื่อคำกล่าวอ้างเรื่อง log

1. ฉันบอกได้ว่าผู้ให้บริการอ้างว่าไม่เก็บข้อมูลหมวดใดบ้าง
2. ฉันรู้ว่ามีการกล่าวถึงข้อมูลการเชื่อมต่อหรือไม่
3. ระบุระยะเวลาเก็บไว้ ไม่ใช่แค่พูดเป็นนัย
4. นโยบายครอบคลุมแอป เว็บไซต์ และฝ่ายสนับสนุน ไม่ใช่แค่อุโมงค์
5. การตรวจสอบใด ๆ มีชื่อบริษัท ขอบเขต วันที่ และสรุปที่เปิดเผย
6. มีรายงานความโปร่งใสหรือคำแถลงที่ชัดเจนเรื่องคำร้องทางกฎหมาย
7. ถ้อยคำยอมรับข้อจำกัดแทนที่จะสัญญาว่าสมบูรณ์แบบ
8. ฉันเข้าใจว่าคำกล่าวอ้างนี้ก็ยังไม่ทำให้ฉันนิรนาม

ถ้าติ๊กไม่ได้ส่วนใหญ่ นั่นไม่ใช่หลักฐานว่าแย่ แต่เป็นเหตุผลให้เลือกการผูกพันที่สั้นกว่าและตั้งความคาดหวังอย่างพอประมาณ เช็คลิสต์ก่อนซื้อที่กว้างกว่านี้ครอบคลุมการเรียกเก็บเงิน การคืนเงิน และการสนับสนุนควบคู่กับความเป็นส่วนตัว

สรุป

คำกล่าวอ้างแบบ No-Logs คือคำแถลงของผู้ให้บริการ VPN เกี่ยวกับบันทึกที่เก็บหรือไม่เก็บ และอาจมีความหมายต่างกันมาก ให้เรียนรู้ประเภทของ log อ่านนโยบายเพื่อหารายละเอียด ระยะเวลาเก็บ และขอบเขต และมองการตรวจสอบกับรายงานความโปร่งใสเป็นหลักฐานที่มีประโยชน์แต่จำกัด ซึ่งใช้กับขอบเขตที่ระบุและช่วงเวลาหนึ่ง ขอให้จำไว้ว่าไม่มีนโยบายการเก็บข้อมูลใดครอบคลุมเว็บไซต์ที่คุณใช้ อุปกรณ์ของคุณ หรือบัญชีของคุณเอง

ถ้าอยากได้พาส VPN จำนวนวันแน่นอนที่ไม่ต่ออายุอัตโนมัติ ระหว่างที่คุณประเมินเงื่อนไขความเป็นส่วนตัวของผู้ให้บริการด้วยตัวเอง หน้าราคาแสดงวิธีทำงานของพาสของเรา