การเข้ารหัสของ VPN คืออะไร

การเข้ารหัสคือเหตุผลที่ทำให้ใช้ VPN บนเครือข่ายที่ไม่น่าไว้ใจได้ ถ้าไม่มีการเข้ารหัส VPN ก็เป็นแค่ทางอ้อม แต่ถ้ามี ทางอ้อมนั้นจะอยู่ในท่อที่ปิดสนิท บทความนี้อธิบายด้วยภาษาง่าย ๆ ว่าอะไรถูกปิดผนึก สองฝ่ายตกลงความลับที่ใช้ปิดผนึกกันอย่างไร และการปกป้องสิ้นสุดตรงไหน

แนวคิดพื้นฐาน

การเข้ารหัสแปลงข้อมูลที่อ่านได้ (plaintext) ให้เป็นข้อมูลที่อ่านไม่ออก (ciphertext) ด้วยสูตรทางคณิตศาสตร์ที่เรียกว่า cipher และค่าลับที่เรียกว่า คีย์ ใครมีคีย์ที่ถูกต้องก็ย้อนกลับได้ ใครไม่มีก็เห็นแต่ข้อมูลมั่ว

เปรียบได้กับกล่องที่ล็อกด้วยกุญแจ รูปแบบกล่องและแม่กุญแจเป็นที่รู้กันทั่วไป เพราะหลายคนใช้แบบเดียวกัน สิ่งที่ทำให้ปลอดภัยคือมีเพียงคุณกับผู้รับที่ถือกุญแจ

เมื่อใช้ VPN อุปกรณ์จะเข้ารหัสทุกแพ็กเก็ตก่อนส่ง แพ็กเก็ตเดินทางผ่าน Wi-Fi ผู้ให้บริการอินเทอร์เน็ต และเครือข่ายภายนอกในรูป ciphertext เซิร์ฟเวอร์ VPN ถือคีย์ที่คู่กัน จึงถอดรหัสแพ็กเก็ตและส่งคำขอเดิมไปยังปลายทาง คำตอบที่กลับมาจะถูกเข้ารหัสสำหรับขากลับ หากอยากเห็นภาพรวม อ่าน VPN ทำงานอย่างไร

การเข้ารหัสสองแบบทำงานร่วมกัน

VPN ผสมสองแนวทางเข้าด้วยกัน เพราะแต่ละแบบมีจุดแข็งต่างกัน

การเข้ารหัสแบบสมมาตร เร็ว ใช้กับตัวข้อมูล

cipher แบบสมมาตรใช้คีย์เดียวกันทั้งล็อกและปลดล็อก มันเร็ว ซึ่งสำคัญเมื่อสตรีมหรือดาวน์โหลด VPN สมัยใหม่มักใช้ cipher ที่ผ่านการศึกษามาอย่างดี เช่น AES หรือ ChaCha20 กับข้อมูลส่วนใหญ่ ความแข็งแรงมาจากความยาวของคีย์และคุณภาพของการออกแบบ ไม่ได้มาจากการปกปิดสูตร

การเข้ารหัสแบบอสมมาตร แลกเปลี่ยนคีย์อย่างปลอดภัย

ปัญหายากคือทำอย่างไรให้สองฝ่ายมีคีย์เดียวกัน โดยไม่ต้องส่งคีย์ผ่านเครือข่ายแบบเปิด วิธีแบบอสมมาตร (public-key) แก้ปัญหานี้ แต่ละฝ่ายมีคีย์คู่หนึ่ง คือคีย์สาธารณะที่แบ่งปันได้ และคีย์ส่วนตัวที่ไม่ออกจากอุปกรณ์ การรวมกันของคีย์เหล่านี้ทำให้สองฝ่ายตกลงความลับร่วมกันได้ แม้มีคนดูการสนทนาทั้งหมดอยู่

ในทางปฏิบัติ เซสชันจะใช้วิธีอสมมาตรช่วงสั้น ๆ ตอนเริ่ม เพื่อตกลงคีย์สมมาตรใหม่ แล้วใช้คีย์สมมาตรที่เร็วนั้นกับข้อมูลที่เหลือ

Handshake ทีละขั้น

ทุก VPN protocol มีช่วงเริ่มต้นการเชื่อมต่อ มักเรียกว่า handshake แบบย่อมีดังนี้

1. ทักทาย อุปกรณ์ติดต่อเซิร์ฟเวอร์ VPN และสองฝ่ายตกลงว่าจะใช้วิธีใดที่ทั้งคู่รองรับ
2. ยืนยันตัวตน แต่ละฝ่ายพิสูจน์ว่าตนเป็นใคร อุปกรณ์พิสูจน์ว่ามีข้อมูลเข้าสู่ระบบที่ถูกต้อง และเซิร์ฟเวอร์พิสูจน์ว่าเป็นเซิร์ฟเวอร์ VPN จริง ไม่ใช่ตัวปลอม โดยมักใช้ใบรับรองหรือคีย์สาธารณะที่ตกลงกันไว้ล่วงหน้า
3. ตกลงคีย์ สองฝ่ายคำนวณคีย์ลับร่วมกัน การออกแบบที่ดีจะสร้างคีย์ใหม่ทุกเซสชัน คีย์ของเมื่อวานจึงไม่ปลดล็อกข้อมูลของวันนี้ คุณสมบัตินี้เรียกว่า forward secrecy
4. เริ่มอุโมงค์ ข้อมูลไหลผ่านโดยเข้ารหัสด้วยคีย์ของเซสชัน และคีย์จะถูกเปลี่ยนเป็นระยะระหว่างที่เชื่อมต่ออยู่

หากอยากดูมาตรฐานเบื้องหลัง ข้อกำหนด TLS 1.3 (RFC 8446), IKEv2 (RFC 7296) และ เอกสารเผยแพร่ของ WireGuard อธิบายวิธีที่ต่างกันไว้

ความสมบูรณ์ของข้อมูล ไม่ใช่แค่การปิดลับ

การเข้ารหัสที่ดียังตรวจด้วยว่าข้อมูลไม่ถูกแก้ไขระหว่างทาง การออกแบบสมัยใหม่ใช้ "authenticated encryption" คือแต่ละแพ็กเก็ตมีค่าตรวจสอบ ถ้ามีใครแก้แพ็กเก็ตระหว่างทาง การตรวจจะไม่ผ่านและแพ็กเก็ตถูกทิ้ง วิธีนี้ป้องกันทั้งการดักอ่านและการดัดแปลง

protocol เกี่ยวข้องอย่างไร

VPN protocol คือกฎทั้งชุดสำหรับ handshake การเข้ารหัส และรูปแบบแพ็กเก็ต protocol ต่างกันเลือก cipher และวิธี handshake ต่างกัน และต่างกันที่ความเร็ว ความซับซ้อน และความสามารถในการรับมือเครือข่ายที่เปลี่ยนไป ในแอปส่วนใหญ่คุณไม่ต้องเลือกชื่อ cipher เอง เพราะแอปใช้ค่าเริ่มต้นที่เหมาะสม หากต้องการเปรียบเทียบตัวที่พบบ่อย ดู VPN protocol คืออะไร และ WireGuard เทียบกับ OpenVPN ส่วนแนวทางทั่วไปในการออกแบบ VPN อยู่ใน NIST SP 800-77 Rev. 1

ตัวอย่าง Wi-Fi สาธารณะ

สมมุติคุณส่งข้อความผ่านเว็บเมลบน Wi-Fi โรงแรม ถ้าหน้านั้นใช้ HTTP ธรรมดาและไม่มี VPN ใครก็ตามที่รันเครื่องมือดักแพ็กเก็ตในเครือข่ายเดียวกันอ่านได้ แต่ถ้ามี VPN ตัวดักจะจับได้เพียง ciphertext ที่ไปยังเซิร์ฟเวอร์ VPN และถ้าหน้านั้นใช้ HTTPS ด้วย จะมีสองชั้น คือ HTTPS ปกป้องการเชื่อมต่อไปยังเว็บไซต์ และ VPN ปกป้องทุกอย่างระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN ดู HTTPS เทียบกับ VPN เพื่อเข้าใจความต่างของแต่ละชั้น

สิ่งที่การเข้ารหัสไม่ครอบคลุม

การเข้ารหัสทรงพลังแต่ขอบเขตแคบ มันปกป้องข้อมูลเฉพาะช่วงทางที่มันครอบคลุม

คำถาม	คำตอบ
ข้อมูลถูกเข้ารหัสระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN ไหม	ใช่ นั่นคืออุโมงค์
หลังเซิร์ฟเวอร์ VPN ส่งต่อแล้วยังเข้ารหัสไหม	เฉพาะเมื่อเว็บไซต์ใช้ HTTPS เอง เพราะหลังเซิร์ฟเวอร์ VPN เป็นการเชื่อมต่ออินเทอร์เน็ตปกติ
ผู้ให้บริการ VPN เห็นข้อมูลของฉันไหม	เซิร์ฟเวอร์ของเขาถอดรหัสอุโมงค์ คุณจึงกำลังไว้ใจผู้ให้บริการในตำแหน่งนั้น
การเข้ารหัสป้องกันมัลแวร์หรือฟิชชิงได้ไหม	ไม่ได้ ข้อมูลที่เข้ารหัสจากเว็บอันตรายก็ยังอันตราย
ซ่อนได้ไหมว่าฉันใช้ VPN	ไม่ได้ ผู้ให้บริการและเครือข่ายในพื้นที่เห็นการเชื่อมต่อไปยังเซิร์ฟเวอร์ VPN
ปกป้องอุปกรณ์ที่ถูกบุกรุกแล้วได้ไหม	ไม่ได้ มัลแวร์บนอุปกรณ์อ่านข้อมูลได้ก่อนถูกเข้ารหัส

ความเข้าใจผิดที่พบบ่อย

• "เข้ารหัสระดับทหาร" เป็นวลีการตลาด ไม่ใช่มาตรฐานที่วัดได้ ให้ดูชื่อ cipher และ protocol จริง ไม่ใช่สโลแกน
• "ตัวเลขใหญ่กว่าดีกว่าเสมอ" ความยาวคีย์สำคัญ แต่การออกแบบ การติดตั้ง และความถี่ในการอัปเดตซอฟต์แวร์สำคัญไม่น้อยกว่ากัน
• "เข้ารหัสแปลว่าไม่เปิดเผยตัวตน" การเข้ารหัสซ่อนเนื้อหาจากผู้สังเกตบนเส้นทาง แต่ไม่ได้ลบบัญชี คุกกี้ หรือ fingerprint ของคุณ อ่านความต่างได้ที่ VPN ทำให้ไม่เปิดเผยตัวตนได้หรือไม่

ขั้นตอนปฏิบัติ

1. ใช้แอปหรือโปรไฟล์การเชื่อมต่อที่ระบุไว้ในหน้าบัญชีของคุณ แทนการตั้งค่าสุ่มจากอินเทอร์เน็ต
2. อัปเดตระบบปฏิบัติการและแอป VPN อยู่เสมอ เพราะการแก้จุดอ่อนมากับการอัปเดต
3. ปล่อยการตั้งค่าขั้นสูงเป็นค่าเริ่มต้น เว้นแต่คุณเข้าใจผลของการเปลี่ยน
4. ตั้งล็อกหน้าจอและเข้ารหัสอุปกรณ์บนโทรศัพท์และแล็ปท็อป เพื่อไม่ให้ข้อมูลรั่วเมื่อเครื่องหาย
5. ใช้ VPN ร่วมกับรหัสผ่านที่แข็งแรงและการยืนยันตัวตนสองขั้นตอน

ข้อจำกัดและสิ่งที่ควรระวัง

• การเข้ารหัสเพิ่มภาระการประมวลผล ความเร็วจึงอาจเปลี่ยนเล็กน้อย ผลขึ้นกับอุปกรณ์ protocol และเครือข่าย
• VPN ที่ตั้งค่าด้วยวิธีเก่าหรืออ่อน จะทำให้อุโมงค์ทั้งเส้นอ่อนแอ ควรระวังตัวเลือก protocol ที่เก่ามาก
• การเข้ารหัสปกป้องเนื้อหา แต่เมทาดาตา เช่น เวลาและปริมาณข้อมูล ยังมองเห็นได้โดยผู้ที่ขนส่งข้อมูลของคุณ
• ไม่มีการเข้ารหัสใดป้องกันคุณจากการให้รหัสผ่านกับคนผิดได้

สรุป

การเข้ารหัสของ VPN ทำให้ข้อมูลระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN อ่านไม่ออก โดยใช้ cipher แบบสมมาตรที่เร็วกับตัวข้อมูล และ handshake ที่ตกลงคีย์ใหม่ทุกเซสชัน มันกันไม่ให้คนในเครือข่ายเดียวกันอ่านหรือแก้ไขข้อมูล แต่ไม่ครอบคลุมสิ่งที่เกิดหลังเซิร์ฟเวอร์ VPN ไม่ป้องกันอุปกรณ์ที่ถูกบุกรุก และไม่ได้ทำให้คุณไม่เปิดเผยตัวตน ให้มองว่ามันเป็นหนึ่งชั้นที่แข็งแรงจากหลายชั้น

ถ้าอยากใช้บนเครือข่ายที่คุณควบคุมไม่ได้ พาส XPASS แบบเติมเงิน ซื้อเป็นจำนวนวันที่แน่นอนโดยไม่ต่ออายุอัตโนมัติ และ ศูนย์ช่วยเหลือ อธิบายการตั้งค่า