คู่มือที่เกี่ยวข้อง
วิธีดูว่าแอป VPN ตัวไหนเสี่ยง
อัปเดต
ทุกไบต์ที่อุปกรณ์ของคุณส่งออกไปต้องผ่านแอป VPN และมันจะดูอะไรก็ได้ตามใจ มีสองแบบที่ควรสงสัยเป็นพิเศษ แบบแรกคือแอปที่มีหน่วยงานรัฐหนุนหลัง ซึ่งบังคับลงทะเบียนด้วยชื่อจริงในนาม “ถูกต้องตามกฎหมาย” แล้วส่งบันทึกขึ้นไปข้างบน แบบที่สองคือตัวเร่งความเร็วฟรีที่ไม่รู้ที่มา ซึ่งหาเงินจากข้อมูลของคุณ อุปกรณ์ของคุณ หรือสิ่งที่มันแอบฝังไว้ ทั้งสองแบบมีจุดร่วมกันอย่างหนึ่ง คือใช้งานได้ดี ปัญหาอยู่ในส่วนที่คุณมองไม่เห็น ด้านล่างคือสัญญาณสิบข้อที่คุณตรวจเองได้ สิ่งที่ต้องทำถ้าติดตั้งไปแล้ว และวิธีเช็กตัวเองภายในสามนาที
ทำไมแอป VPN เสี่ยงกว่าแอปทั่วไป
VPN ทำงานในระดับระบบ มันรับข้อมูลของทุกโปรแกรมในเครื่อง รวมถึงโปรแกรมที่ทำงานเบื้องหลังโดยที่คุณไม่รู้ แอปทั่วไปรั่วได้แค่ข้อมูลที่มันเก็บเอง แต่ VPN รั่วได้ทุกอย่างที่คุณทำบนอุปกรณ์นั้น มาตรฐานในการเลือกจึงต้องสูงกว่ามาก
“ไม่เห็นมีอะไรเกิดขึ้น” ไม่ใช่หลักฐานว่าปลอดภัย การบันทึก การรายงาน และการแทรกข้อมูลเกิดขึ้นบนเซิร์ฟเวอร์หรือเบื้องหลัง ซึ่งผู้ใช้ไม่รู้สึกอะไรเลย ผลที่ตามมามักมาถึงหลายเดือนต่อมา และสืบย้อนไปหาแอปตัวไหนไม่ได้
สัญญาณสิบข้อ
- ไม่รู้ที่มา: ไฟล์ติดตั้งมาทางกลุ่มแชต ลิงก์แชร์ไฟล์ หรือ QR โค้ด ไม่มีเว็บทางการหรือหน้าในสโตร์ ไคลเอนต์ที่ถูกต้องมาจากสโตร์แอป เว็บของผู้พัฒนา หรือหน้าเผยแพร่ที่ตรวจลายเซ็นได้
- ขอให้ติดตั้งใบรับรองราก: “เชื่อถือใบรับรองนี้” “ติดตั้งโปรไฟล์นี้” หรือให้เชื่อถือ CA เมื่อมีใบรับรองรากแล้ว มันถอดรหัส HTTPS ทั้งหมดของคุณได้ รวมถึงธนาคารและอีเมล VPN ปกติไม่ต้องใช้สิ่งนี้เลย
- ขอสิทธิ์เกินจำเป็น: VPN ที่ขอรายชื่อผู้ติดต่อ SMS ประวัติการโทร ตำแหน่งแบบละเอียด หรือคลังรูปภาพ VPN ต้องการแค่สิทธิ์สร้างอุโมงค์
- ยืนยันตัวตน: สมัครต้องใช้บัตรประชาชน สแกนใบหน้า หรือเบอร์มือถือจีน นี่คือวิธีที่ VPN แบบ “ถูกกฎหมาย” ผูกตัวตนของคุณกับบันทึกการใช้งาน บริการที่ถูกต้องใช้แค่อีเมล
- โปรโตคอลเฉพาะและไคลเอนต์ปิด: ใช้ได้แค่ผ่านแอปของมัน ไม่รองรับโปรโตคอลมาตรฐานใดเลย (AnyConnect, OpenVPN, WireGuard, Hiddify) คุณจึงใช้ไคลเอนต์โอเพนซอร์สตรวจไม่ได้ว่ามันส่งอะไรออกไปจริงๆ
- ฟรีโดยไม่เห็นรายได้: ไม่มีแพ็กเกจเสียเงิน ไม่มีโฆษณา ไม่มีลูกค้าธุรกิจ แต่เปิดมาหลายปี แบนด์วิดท์ขาออกจากจีนแผ่นดินใหญ่คิดเงินตามการใช้ บริการที่ไม่เก็บเงินคุณก็ต้องไปเก็บจากที่อื่น
- ไม่มีบริษัท ไม่มีซัพพอร์ต ไม่มีประวัติ: หาตัวผู้ดำเนินงานไม่เจอ ติดต่อใครไม่ได้ โดเมนจดทะเบียนไม่ถึงปี และเปลี่ยนชื่อบ่อย
- ข้อมูลเบื้องหลังผิดปกติ: เครื่องอัปโหลดตลอดทั้งที่ไม่ได้ใช้ แบตและเน็ตหมดเร็ว อาจกำลังใช้เครื่องของคุณเป็นทางออกให้คนอื่น หรือกำลังซิงก์ข้อมูลของคุณ
- การตลาดที่เน้นคำว่า “ทางการ” “จดทะเบียนแล้ว” “ถูกต้องตามกฎหมาย” และพูดเป็นนัยว่าเจ้าอื่นผิดกฎหมายหมด นี่คือคำขายคลาสสิกของแอปที่รัฐหนุนหลัง ซึ่ง “ถูกกฎหมาย” ในที่นี้หมายถึงการบันทึกและรายงาน
- คะแนนในสโตร์ดีเลิศเหมือนกันหมด รีวิวอ่านแล้วคล้ายกัน และยอดดาวน์โหลดไม่สมกับจำนวนรีวิว: ซื้อมา
ตรวจอย่างไร
- เช็กโปรโตคอล: เว็บบอกไหมว่าใช้โปรโตคอลอะไร และใช้ไคลเอนต์บุคคลที่สามได้ไหม บริการที่ต่อได้ด้วย OpenVPN, AnyConnect, Hiddify หรือ Tailscale ทำให้คุณดักดูได้ว่ามันส่งอะไรออกไป
- เช็กสิทธิ์: หลังติดตั้ง เปิดการตั้งค่าระบบ เพิกถอนทุกสิทธิ์ยกเว้นสิทธิ์ VPN แล้วดูว่ายังใช้ได้ไหม ถ้าใช้ไม่ได้ ถอนการติดตั้ง
- เช็กใบรับรอง: iOS ไปที่ การตั้งค่า → ทั่วไป → VPN และการจัดการอุปกรณ์ Android ไปที่ การตั้งค่า → ความปลอดภัย → การเข้ารหัสและข้อมูลรับรอง → ข้อมูลรับรองที่เชื่อถือได้ → ผู้ใช้ (Settings → Security → Encryption & credentials → Trusted credentials → User) Windows ไปที่ตัวจัดการใบรับรอง → Trusted Root Certification Authorities อะไรที่มันติดตั้งไว้ ลบทิ้งแล้วถอนแอป
- เช็กการรั่ว: ขณะเชื่อมต่อ เปิดหน้าทดสอบ DNS รั่วและหน้าทดสอบ IPv6 เพื่อยืนยันว่าการค้นหาชื่อและที่อยู่วิ่งผ่านเซิร์ฟเวอร์ของมัน จากนั้นเปิดเว็บ HTTPS แล้วดูว่าผู้ออกใบรับรองเป็น CA จริงของเว็บนั้น
- เช็กผู้ให้บริการ: เว็บระบุชื่อบริษัทหรือทีมไหม เปิดมานานแค่ไหน ซัพพอร์ตอยู่ที่ไหน มีนโยบายคืนเงินไหม และนโยบายความเป็นส่วนตัวบอกชัดเจนไหมว่าบันทึกอะไร
ถ้าติดตั้งไปแล้ว
- ถอนการติดตั้ง แล้วเช็กตามตำแหน่งข้างบน และลบใบรับรองหรือโปรไฟล์ที่มันติดตั้งไว้
- เปลี่ยนรหัสผ่าน ทั้งธนาคาร อีเมล และบัญชีที่ใช้ประจำ โดยเฉพาะบัญชีที่ล็อกอินระหว่างที่ใช้มัน
- บัญชีที่เปิดการยืนยันสองขั้นตอน ให้ดูประวัติการล็อกอินแล้วลบอุปกรณ์ที่ไม่รู้จัก
- ถ้าติดตั้งลงเราเตอร์ ให้รีเซ็ตเป็นค่าโรงงาน แล้วแฟลชเฟิร์มแวร์ทางการหรือเฟิร์มแวร์ที่ตรวจสอบได้
เราทำให้ตัวเองตรวจสอบได้อย่างไร
ไคลเอนต์ทุกตัวของ LeoTun มาจากผู้ผลิตทางการและองค์กรโอเพนซอร์สที่มีชื่อเสียง คือ Cisco, OpenVPN, Hiddify, Tailscale นำมาให้ดาวน์โหลดแบบไม่ดัดแปลง และคุณเปลี่ยนจากไฟล์ที่ดาวน์โหลดจากเราไปใช้รุ่นทางการหรือรุ่นโอเพนซอร์สได้ทุกเมื่อ ทุกโปรโตคอลเป็นมาตรฐาน และตรวจได้ด้วยการดักจับแพ็กเก็ต
สมัครใช้แค่อีเมล ไม่ต้องใช้เบอร์โทร ไม่ต้องใช้บัตรประชาชน สิ่งที่เราบันทึกเขียนไว้ในหน้าเกี่ยวกับเรา ได้แก่ อีเมล แพ็กเกจ วันหมดอายุ และระยะเวลากับปริมาณข้อมูลของแต่ละการเชื่อมต่อ เพื่อใช้คิดเงิน ไม่บันทึกเนื้อหา ไม่แทรกโฆษณา ไม่ขายข้อมูล
ไม่ขอใบรับรอง ไม่ขอรายชื่อผู้ติดต่อ ไม่ขอตำแหน่ง ถ้ามีไคลเอนต์ที่อ้างว่าเป็นของเราขอให้คุณติดตั้งใบรับรองราก นั่นไม่ใช่ของเรา
FAQ
ของฟรีไม่ปลอดภัยทั้งหมดเลยไหม?
ไคลเอนต์โอเพนซอร์ส เช่น OpenVPN, Hiddify, Tailscale ฟรีและไว้ใจได้ ความเสี่ยงอยู่ที่บริการฟรี ไม่ใช่ซอฟต์แวร์ฟรี ให้ถามว่าบริการนั้นอยู่ได้ด้วยอะไร
แอปที่อยู่ในสโตร์ปลอดภัยไหม?
การได้ขึ้นสโตร์แค่แปลว่าผ่านการตรวจอัตโนมัติของสโตร์ ไม่ได้บอกอะไรเรื่องการบันทึกบนเซิร์ฟเวอร์ ให้เช็กสิทธิ์ การยืนยันตัวตน โปรโตคอล และผู้ให้บริการตามสัญญาณสิบข้อ สโตร์ไม่ได้ทำส่วนนี้ให้คุณ
จะรู้ได้อย่างไรว่า VPN บันทึกเนื้อหาของฉันไหม?
จากฝั่งไคลเอนต์รู้ไม่ได้ ทำได้แค่ดูว่ามันเปิดให้ตรวจสอบได้แค่ไหน คือใช้โปรโตคอลมาตรฐาน ใช้ไคลเอนต์โอเพนซอร์ส มีนโยบายความเป็นส่วนตัวที่ชัดเจน และระบุตัวผู้ให้บริการได้ ถ้าไม่มีสักข้อในสี่ข้อนี้ ให้ถือว่ามันบันทึก
เฟิร์มแวร์เราเตอร์มีความเสี่ยงแบบเดียวกันไหม?
มี เฟิร์มแวร์ที่ไม่รู้ที่มาสามารถยึดเครือข่ายทั้งบ้านได้ แฟลชเฉพาะ OpenWrt ทางการ หรือเฟิร์มแวร์ที่ตรวจซอร์สได้ ของเราสร้างจาก OpenWrt และเพิ่มแค่ส่วนประกอบของเส้นทางกับกฎแยกเส้นทาง