VPN ฟรีปลอดภัยไหม
VPN ฟรีทุกตัวมีจุดที่ต้องเชื่อใจผู้ให้บริการอยู่ระดับหนึ่งเสมอ คู่มือนี้อธิบายว่าความเชื่อใจนั้นครอบคลุมอะไรบ้างในทางเทคนิค และมีอะไรที่พอตรวจสอบได้จริงจากหน้ารายละเอียดแอปบน Google Play ก่อนติดตั้ง
VPN ทำงานอย่างไร และผู้ให้บริการมองเห็นอะไรได้บ้าง
เมื่อเปิดใช้ VPN อุปกรณ์จะเข้ารหัสการเชื่อมต่อไปยังเซิร์ฟเวอร์ของผู้ให้บริการก่อน แล้วเซิร์ฟเวอร์นั้นจึงส่งต่อคำขอไปยังปลายทางจริงแทน เว็บไซต์ปลายทางจึงเห็น IP ของเซิร์ฟเวอร์ VPN แทน IP จริงของอุปกรณ์ ส่วน ISP หรือค่ายมือถือเห็นเพียงว่าอุปกรณ์เชื่อมต่อไปยังเซิร์ฟเวอร์ VPN โดยไม่เห็นปลายทางที่แท้จริง จุดที่มักถูกมองข้ามคือข้อมูลถูกถอดรหัสอีกครั้งที่เซิร์ฟเวอร์ VPN ก่อนส่งต่อ ผู้ให้บริการจึงเห็นปลายทางและช่วงเวลาการใช้งานทั้งหมดของอุปกรณ์ แม้เนื้อหาที่เข้ารหัสด้วย HTTPS อยู่แล้วจะยังปลอดภัยต่อไปจนถึงปลายทางจริงก็ตาม
สิ่งที่ VPN ซ่อนได้จริง
ซ่อน IP และตำแหน่งโดยประมาณของอุปกรณ์จากเว็บไซต์/แอปปลายทาง และซ่อนรายชื่อปลายทางที่เชื่อมต่อไปจาก ISP หรือเครือข่ายที่กำลังใช้อยู่ (เช่น Wi-Fi สาธารณะ)
สิ่งที่ VPN ไม่ได้ซ่อนเสมอไป
บริการที่ต้องล็อกอินด้วยบัญชีจริงยังรู้ว่าเป็นใครไม่ว่าจะผ่าน VPN หรือไม่ และผู้ให้บริการ VPN เองก็เห็นปลายทางการใช้งาน เว้นแต่มีนโยบายไม่เก็บบันทึก (no-log) จริง ซึ่งต้องมีบุคคลที่สามตรวจสอบจึงยืนยันได้ — หน้ารายละเอียดแอปบน Google Play เพียงอย่างเดียวพิสูจน์เรื่องนี้ไม่ได้
สิทธิ์ที่ Android มอบให้แอปเมื่อกดยอมรับหน้าต่างเชื่อมต่อ VPN
แอป VPN บน Android ทำงานผ่านกลไกของระบบที่ชื่อ VpnService เมื่อเปิดใช้การเชื่อมต่อครั้งแรก Android จะแสดงหน้าต่าง "คำขอการเชื่อมต่อ" (Connection request) ซึ่งเป็นหน้าต่างของระบบปฏิบัติการเอง ไม่ใช่หน้าจอที่แอปวาดขึ้นมาเอง เมื่อกด "ตกลง" แอปจะได้รับความสามารถในการรับ-ส่งทราฟฟิกเครือข่ายของอุปกรณ์ทั้งเครื่องผ่านอุโมงค์ที่ตัวมันควบคุม ไม่ใช่เฉพาะทราฟฟิกของแอปนั้นเอง — เป็นขอบเขตสิทธิ์ที่กว้างโดยจำเป็น เพราะเป็นหน้าที่ของ VPN โดยตรง แต่ความกว้างนี้เองคือเหตุผลที่ต้องพิจารณาว่าใครอยู่อีกฝั่งของการเชื่อมต่อ ตลอดเวลาที่เชื่อมต่ออยู่ Android จะแสดงไอคอนกุญแจหรือสัญลักษณ์ VPN ค้างที่แถบสถานะ เป็นการแจ้งเตือนระดับระบบว่ามีอุโมงค์นี้ทำงานอยู่จริง
หน้าต่างคำขอการเชื่อมต่อยืนยันอะไร และไม่ยืนยันอะไร
หน้าต่างนี้ยืนยันว่าผู้ใช้เห็นชื่อแอปที่ขอสิทธิ์และกดอนุญาตเอง — จึงควรอ่านชื่อแอปให้ตรงกับแอปที่เพิ่งเปิดใช้จริงทุกครั้ง แต่หน้าต่างนี้เป็นกลไกยินยอมของระบบปฏิบัติการเท่านั้น ไม่ใช่การรับรองความน่าเชื่อถือของผู้พัฒนา Android ไม่มีทางตรวจสอบสิ่งที่เกิดขึ้นกับข้อมูลหลังถึงเซิร์ฟเวอร์ของผู้ให้บริการแล้วได้
อ่านหน้ารายละเอียดแอปบน Google Play ก่อนตัดสินใจ
หน้ารายละเอียดแอปสาธารณะบน Google Play คือหลักฐานชุดแรกที่ตรวจสอบได้ก่อนติดตั้งจริง โดยไม่ต้องเชื่อคำโฆษณาในแอป
โฆษณาและการซื้อในแอป บอกอะไรเกี่ยวกับรายได้
Google Play ระบุไว้ชัดเจนว่าแอปมีโฆษณาหรือมีการซื้อในแอปหรือไม่ ตัวเลขนี้บอกส่วนหนึ่งว่าแอปฟรีตัวนั้นหารายได้มาจากทางไหน — ในแคตตาล็อกของ hexey.dev ขณะนี้ 14 จาก 14 แอปที่แสดงบนเว็บไซต์นี้ระบุว่ามีโฆษณา และ 0 แอปมีการซื้อในแอป หากแอปใดอ้างว่าฟรีสมบูรณ์โดยไม่มีทั้งโฆษณาและการซื้อในแอปเลย ควรตั้งคำถามเพิ่มว่าต้นทุนค่าเซิร์ฟเวอร์และแบนด์วิดท์ของผู้ให้บริการมาจากไหน
ผู้พัฒนาและเว็บไซต์ที่ระบุไว้
หน้ารายละเอียดแอปแสดงชื่อผู้พัฒนาและมักมีลิงก์เว็บไซต์กำกับไว้ด้วย ซึ่งมักเป็นที่ที่นโยบายความเป็นส่วนตัวฉบับเต็มถูกเผยแพร่ ตัวอย่างเช่นหน้ารายละเอียดของ Hexey VPN และ MST VPN บน hexey.dev ต่างก็แสดงเว็บไซต์ของผู้พัฒนาไว้ เป็นจุดเริ่มต้นให้ตามไปอ่านนโยบายความเป็นส่วนตัวของผู้พัฒนาแต่ละรายได้โดยตรง แทนที่จะเชื่อคำอธิบายในแอปเพียงอย่างเดียว
ความถี่ในการอัปเดต
วันที่อัปเดตล่าสุดเป็นสัญญาณคร่าว ๆ ว่าผู้พัฒนายังดูแลแอปต่อเนื่องหรือไม่ แอปที่ไม่มีการอัปเดตมานานอาจไม่ได้รับการแก้ไขช่องโหว่ แต่การอัปเดตบ่อยก็ไม่ได้แปลว่าปลอดภัย เป็นเพียงสัญญาณเดียวที่ควรพิจารณาร่วมกับข้ออื่น
ข้อจำกัดของการตรวจสอบด้วยวิธีนี้
สถานะโฆษณา/การซื้อในแอป ชื่อผู้พัฒนาและเว็บไซต์ วันที่อัปเดต และคะแนนรีวิว ล้วนช่วยประเมินเบื้องต้นได้ แต่ไม่มีข้อใดพิสูจน์ว่าผู้ให้บริการมีนโยบายไม่เก็บบันทึกจริง ไม่บอกว่าเซิร์ฟเวอร์หรือบริษัทเจ้าของตั้งอยู่ที่ใด ไม่เปิดเผยว่าไลบรารีโฆษณาที่ฝังอยู่ในแอปเก็บข้อมูลอะไรเพิ่มเติมนอกเหนือจากที่ Google Play สรุปไว้ และไม่บอกพฤติกรรมจริงของโค้ดหลังได้รับสิทธิ์ VPN ไปแล้ว คะแนนและจำนวนรีวิวเองก็เป็นตัวเลขที่ถูกปั่นให้สูงขึ้นได้ ซึ่ง hexey.dev เองก็ไม่ได้ทดลองใช้งานหรือให้คะแนนเพิ่มเติมจากที่ Google Play เผยแพร่ไว้เช่นกัน ทางที่ตรวจสอบได้จริงกว่าคือตามลิงก์เว็บไซต์ของผู้พัฒนาไปอ่านนโยบายความเป็นส่วนตัวฉบับเต็มด้วยตนเอง และปฏิบัติต่อคำกล่าวอ้างเรื่อง "ไม่เก็บบันทึก" เป็นเพียงคำโฆษณา จนกว่าจะมีหลักฐานที่ตรวจสอบได้มากกว่านี้
ดูตารางเปรียบเทียบแอปเพื่อดูโฆษณา การซื้อในแอป และวันที่อัปเดตของแอป VPN ทั้งหมดในรายการเทียบกันในหน้าเดียวก่อนตัดสินใจ