Virtual Private Network (VPN) เป็นเครื่องมือที่มีประโยชน์มากในการปกป้องความเป็นส่วนตัวและความเป็น المجهول (anonymity) ออนไลน์ VPN ทำงานโดยส่งการเชื่อมต่ออินเทอร์เน็ตของคุณผ่านคอมพิวเตอร์อีกเครื่องหนึ่ง (เรียกว่า "endpoint") ผ่านอุโมงค์เข้ารหัส (encrypted tunnel) หมายความว่าใครก็ตามระหว่างคอมพิวเตอร์ของคุณและ endpoint ไม่สามารถมองเห็นได้ว่าคุณทำอะไรอยู่ และคุณจะถูกปิดบังเป็น endpoint ต่อคอมพิวเตอร์ที่คุณเชื่อมต่อไป กล่าวง่ายๆ คือ ซ่อนที่อยู่ IP ของคุณ
แต่ช่องโหว่ในผู้ให้บริการ VPN หลายราย ที่ Perfect Privacy ค้นพบเมื่อเร็วๆ นี้ ทำให้จุดสุดท้ายนี้สั่นคลอน ช่องโหว่ด้านความปลอดภัยนี้อาจทำให้ผู้คนสูญเสียความเป็น المجهول ขณะใช้ VPN นี่คือวิธีการทำงาน
ช่องโหว่ (The Vulnerability)
โจมตีที่เรียกว่า "Port Fail" ทำงานอย่างไร? ก่อนอื่น ต้องมีเงื่อนไขหลายประการ:
ขั้นแรก ผู้ให้บริการ VPN และผู้โจมตี ต้องเปิดใช้งาน port-forwarding (การส่งต่อพอร์ต) นี่คือที่ที่ที่อยู่ IP และหมายเลขพอร์ตเปลี่ยนไปขณะที่แพ็กเก็ตข้ามเครือข่าย สำหรับข้อมูลพื้นฐาน อ่านบทความของเราเกี่ยวกับ Network Address Translation (NAT) โจมตีนี้ยังทำงานได้แม้เหยื่อจะไม่ได้เปิด port forwarding
ผู้โจมตีต้องมีบัญชีกับ VPN เป้าหมาย และรู้ที่อยู่ IP ของ VPN endpoint ที่เหยื่อใช้ สามารถหาได้จากการดู BitTorrent swarm (พีอาร์ทั้งหมดที่เชื่อมต่อกับ torrent เดียว) หรือการตรวจสอบ IRC
จากนั้น ผู้โจมตีเชื่อมต่อไปที่ VPN endpoint เดียวกับเหยื่อ และรอให้เหยื่อเข้าชมเว็บเพจอันตรายที่อยู่ภายใต้การควบคุมของผู้โจมตี สามารถทำได้โดยการฝังเว็บเพจในเว็บไซต์ที่ถูกต้อง ไม่ว่าจะเป็นภาพที่โฮสต์บนเว็บเซิร์ฟเวอร์ หรือเป็น iFrame จากนั้นจึงสามารถสรุปที่อยู่ IP จริงของเป้าหมายได้
ผู้ได้รับผลกระทบ
ชื่อดังในวงการ VPN หลายรายได้รับผลกระทบจากช่องโหว่นี้ รวมถึง Ovpn.to, nVPN, และ Private Internet Access (PIA) ทุกแห่งได้รับแจ้งเกี่ยวกับช่องโหว่ก่อนการเปิดเผยสาธารณะ และสามารถออก patch แก้ไขได้ก่อนที่จะเป็นข่าวสาธารณะ Private Internet Access บอก TorrentFreak ว่า:
"เราได้นำกฎไฟร์วอลล์ (firewall rules) ไปใช้ที่ระดับเซิร์ฟเวอร์ VPN เพื่อบล็อกการเข้าถึงพอร์ตที่ส่งต่อจากที่อยู่ IP จริงของลูกค้า การแก้ไขถูกปรับใช้บนเซิร์ฟเวอร์ทั้งหมดภายใน 12 ชั่วโมงหลังจากได้รับรายงานครั้งแรก"
PIA ยังให้เงินรางวัล bug bounty 5,000 ดอลลาร์แก่ Perfect Privacy เพื่อชมเชยความพยายามและการเปิดเผยช่องโหว่อย่างรับผิดชอบ ในอดีตเราเขียนอย่างกว้างขวางเกี่ยวกับจริยธรรมการเปิดเผยช่องโหว่ และว่าการแจ้งผู้ขายก่อนปล่อยสู่สาธารณะเป็นสิ่งที่ดีกว่าเกือบทุกครั้ง
แน่นอนว่ามีผู้ให้บริการ VPN หลายพันราย แม้บางรายจะออก patch แล้ว แต่ nhiềuรายน่าจะยังไม่ได้ทำ
ทำไมเรื่องนี้จึงสำคัญ
ผู้คนใช้ VPN เพื่อหลายเหตุผล หลายคนใช้เพื่อเลิกข้อจำกัดภูมิศาสตร์ของเว็บไซต์ทีวีออนไลน์ บางคนใช้เพื่อรักษาความปลอดภัยการสื่อสารบน Wi-Fi สาธารณะ อื่นๆ ใช้เพื่อเอาชนะการตรวจสอบและควบคุมของรัฐบาล หรือดาวน์โหลดหนังเพลงผิดกฎหมายโดยไม่ถูกลงโทษ
สำหรับกลุ่มหลังนี้ การค้นพบช่องโหว่นี้จะเป็นความกังวลจริง ตามปกติ ตัวเลือกเดียวคือ "โหวตด้วยกระเป๋าเงิน" (vote with your wallet) คือ สมัครสมาชิกผู้ให้บริการ VPN ที่ยืนยันแล้วว่า patch ช่องโหว่นี้แล้ว
ส่วนตัวผมชื่นชอบ Private Internet Access มาก และแนะนำได้ทุกวัน สำหรับภาพรวมตลาดรายละเอียด ดูรายชื่อบริการ VPN ที่ดีที่สุดของเรา มี VPN ฟรีบางตัวด้วย
อยู่ในภาวะปลอดภัย
เมื่อใช้ VPN มีหลายอย่างที่ทำได้เพื่อเพิ่มความเป็นส่วนตัว ขั้นแรก กำหนดค่าคอมพิวเตอร์ป้องกัน DNS leaks ซึ่งทำลายความเป็น المجهول ทั้งหมด นอกจากนี้ พิจารณาปิด JavaScript (JavaScript คืออะไร?) เพื่อป้องกันโจมตี Canvas Fingerprinting โปรดทราบว่าสิ่งนี้อาจส่งผลเสียต่อประสบการณ์การท่องเว็บ และหลายคน (รวมถึง James Bruce หัวหน้าเว็บของเรา) ไม่แนะนำให้ทำ
คุณมีกลยุทธ์อื่นในการเพิ่มความเป็นส่วนตัวขณะใช้ VPN ไหม? บอกมาในความคิดเห็นด้านล่าง!
