แอป VPN ฟรีหลายตัวบนระบบ Android นั้น ไม่ปลอดภัย
แอป VPN ฟรีหลายตัวบนระบบ Android นั้น ไม่ปลอดภัยในการใช้งาน
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวอ้างอิงถึงการนำเสนองานวิจัยของทีมวิจัยจาก 3 สถาบัน อันประกอบด้วย มหาวิทยาลัย University of Michigan, มหาวิทยาลัย the University of New Mexico, และ สถาบัน IIT Delhi ณ งานประชุม NDSS Security Conference ในช่วงเดือนกุมภาพันธ์ที่ผ่านมา โดยงานวิจัยดังกล่าวนั้นกล่าวถึงการใช้งานเครื่องมือ MVPNalyzer ซึ่งเป็นเครื่องมือสำหรับใช้ในการตรวจสอบ, วิเคราะห์, ศึกษาวิจัย แอปพลิเคชัน VPN เวอร์ชันโทรศัพท์มือถือ โดยเครื่องมือดังกล่าวนั้นเป็นการพัฒนาต่อยอดมาจาก VPNalyzer ซึ่งเป็นเครื่องมือสำหรับวิเคราะห์แอปพลิเคชัน VPN เวอร์ชันเดสก์ท็อป (Desktop) โดยงานวิจัยนั้นพบสิ่งที่น่าสนใจคือ แอปพลิเคชัน VPN แบบฟรีที่มีให้ดาวน์โหลดบนแอปสโตร์อย่างเป็นทางการของผู้ใช้งานระบบปฏิบัติการ Android อย่าง Google Play Store นั้น มากกว่า 281 แอปมีช่องโหว่หลายอย่างที่อาจส่งผลต่อความปลอดภัยและความเป็นส่วนตัวของผู้ใช้งาน และที่น่าเป็นห่วงก็คือ แอปพลิเคชันเหล่านี้มียอดการดาวน์โหลดรวมแล้วมากกว่า 2.4 พันล้านครั้งจากผู้ใช้งานทั่วโลก ซึ่งช่องโหว่ที่สำคัญต่าง ๆ นั้นมีดังนี้
ช่องโหว่แรกและสำคัญที่สุด การเข้าสวมรอยอุโมงค์ (Tunnel Hijacking)
ในการตรวจสอบแอปพลิเคชัน VPN กลุ่มดังกล่าวนั้น พบว่ามี 5 แอปบน Google Play Store ที่ทำการดาวน์โหลดไฟล์การตั้งค่า (Configuration) ซึ่งเป็นไฟล์สำหรับการสั่งการให้ตัวแอปทำการติดต่อกับเซิร์ฟเวอร์ที่กำหนด ลงมาแบบไฟล์ที่ไม่ได้ถูกเข้ารหัส (Plain Text) ทำให้ถ้าแฮกเกอร์อยู่บนเครือข่าย (Network) เดียวกัน ก็สามารถที่จะเข้าแทรกแซงเขียนทับค่าดังกล่าวเพื่อทำให้แทนที่ผู้ใช้งานจะติดต่อกับเซิร์ฟเวอร์ของผู้ให้บริการ VPN กลับกลายเป็นการติดต่อไปยังเซิร์ฟเวอร์ของแฮกเกอร์แทน ซึ่ง 5 แอปพลิเคชัน พร้อมชื่อเซิร์ฟเวอร์ที่ตัวแอปพลิเคชันติดต่อเพื่อใช้งานนั้น มีดังนี้
BambooVPN: Turbo Fast VPN (free.vpn.unblock.proxy.bamboovpn)
VPN Pro (com.nebulatech.voocvpnpro)
Free VPN (com.appoxide.freevpn)
Hexa VPN (com.secure.vpn.proxy)
101 VPN (com.shwe.vpn101)
ช่องโหว่ที่สอง การร ั่วไหลของข้อมูล (Leak)
เมื่อตรวจสอบด้านความปลอดภัยลึกลงไป ทางทีมวิจัยก็พบว่าจากจำนวน 29 แอปพลิเคชัน มี 24 แอปที่เกิดการรั่วไหลในส่วนของการจราจรทาง DNS ทำให้ข้อมูลว่าผู้ใช้งานนั้นกำลังเข้าเว็บไซต์อะไรอยู่รั่วไหลไปสู่โลกภายนอก ซึ่งแอปพลิเคชันเหล่านี้นั้นมีผู้ดาวน์โหลดมากถึง 360 ล้านราย โดยในจำนวนนี้นั้น 6 แอปที่ข้อมูลการเยี่ยมชมเว็บไซต์ทั้งหมดรั่วไหลสู่โลกภายนอก และ 4 แอปมีการใช้งานอุโมงค์โดยไม่มีการเข้ารหัส (Encryption) เลย
ในการตรวจสอบที่แยกจากการตรวจสอบข้างต้นนั้น มีการตรวจพบว่าทางผู้ให้บริการแอปกว่า 169 แอป ไม่ได้มีความพยายามในการปลอมตัว (Disguisse) การจราจรของข้อมูล ทำให้หน่วยงานเซ็นเซอร์ของรัฐบาลต่าง ๆ นั้นสามารถตรวจจับและบล็อกการใช้งานได้ง่าย ทั้งยังสร้างความเสี่ยงให้กับผู้ใช้งานได้อีกด้วย
ช่องโหว่ที่สาม การติดตามพฤติกรรมการใช้งาน (Tracking)
ผู้คนมักจะใช้งาน VPN เพื่อความเป็นส่วนตัว เช่น เลี่ยงการถูกติดตามตัว แต่ผู้ให้บริการ VPN แบบฟรีเหล่านี้กลับติดตามพฤติกรรมผู้ใช้งานเสียเอง โดยแอปพลิเคชันกว่า 76 ตัว ทำการส่งหมายเลขระบุผู้รับโฆษณาของผู้ใช้งาน VPN แต่ละเครื่อง (Advertisement ID) ให้กับผู้โฆษณาในการยิงโฆษณาใส่ให้ตรงกับพฤติกรรมผู้ใช้งาน
นอกจากนั้นยังพบอีกว่า กว่า 80% ของแอปพลิเคชัน VPN ฟรีจำนวน 246 แอป ได้มีการส่งข้อมูลต่าง ๆ ของผู้ใช้งานแอปพลิเคชันอย่าง รุ่นโทรศัพท์มือถือ, ขนาดหน้าจอ, และ เวอร์ชันของระบบปฏิบัติการ ให้กับผู้โฆษณา หนักไปกว่านั้นยังพบว่ามีแอปพลิเคชันหนึ่งส่งตำแหน่งแบบแม่นยำ (Exact Location) ของผู้ใช้งานให้กับผู้โฆษณา เรียกได้ว่าผู้ให้บริการจำนวนมากละเมิดความเป็นส่วนตัวของผู้ใช้ งานอย่างรุนแรง
ช่องโหว่ที่สี่ องค์ประกอบต่าง ๆ (Setup) ที่อ่อนแอมาก
ทางทีมวิจัยยังพบข้อกังวลอื่น ๆ บนแอปพลิเคชัน VPN แบบฟรีอีกมากมาย เช่น กว่า 89% ของแอปพลิเคชันทั้งหมดนั้นมีการใช้การยืนยันตัวตน (Authentication) แค่ชั้นเดียว เช่น การใช้งานรหัสผ่าน (Password) หรือ การใช้ใบรับรอง (Certificate) อย่างใดอย่างหนึ่งแทนที่จะใช้ทั้ง 2 อย่างพร้อมกัน ไม่เพียงเท่านั้น ประมาณ 1 ใน 5 ของแอปพลิเคชันทั้งหมดนั้นยังมีการใช้ระบบการเข้ารหัสที่ล้าสมัยไปแล้ว ใช้ การเข้ารหัสแบบ Blowfish cipher และ triple DES ทำให้ถูกเจาะได้ง่าย ซึ่งวิธีการเข้ารหัสทั้ง 2 นั้นมีช่องโหว่ด้านความปลอดภัยให้แฮกเกอร์สามารถเข้าใช้งานได้ อย่าง CVE-2016-6329 และ CVE-2016-2183 อีกด้วย
จากประสบการณ์การใช้งาน VPN บนระบบ Android ผมได้สังเกตเห็นว่าหลายคนเลือกใช้แอป VPN ฟรีโดยไม่รู้ถึงความเสี่ยงที่ซ่อนอยู่เบื้องหลังงานวิจัยล่าสุดจากทีมวิจัย 3 สถาบัน ซึ่งแสดงให้เห็นถึงช่องโหว่ในการใช้งาน VPN ฟรีหลายแอปที่มีผลกระทบอย่างมากต่อความเป็นส่วนตัวและความปลอดภัยของผู้ใช้งาน หนึ่งในช่องโหว่ที่น่ากลัวคือการเข้าสวมรอยอุโมงค์ (Tunnel Hijacking) ซึ่งเกิดจากการที่แอปบางตัวดาวน์โหลดไฟล์การตั้งค่าที่ไม่ถูกเข้ารหัส ทำให้แฮกเกอร์ในเครือข่ายเดียวกันสามารถแทรกแซงและเปลี่ยนเส้นทางข้อมูลจากเซิร์ฟเวอร์ VPN ไปยังเซิร์ฟเวอร์ที่แฮกเกอร์ควบคุมแทน ส่งผลให้ข้อมูลทั้งหมดของเราเสี่ยงถูกขโมยและสอดแนมได้ง่าย นอกจากนี้ การรั่วไหลของข้อมูล (Leak) ยังเป็นอีกประเด็นที่น่ากังวล เพราะข้อมูลการเข้าชมเว็บไซต์ผ่าน DNS ถูกเปิดเผยออกไป ทำให้ความเป็นส่วนตัวที่คาดหวังจากการใช้ VPN ถูกทำลายลง ผู้ใช้จำนวนมากไม่รู้ว่าแอป VPN ที่เลือกใช้อาจไม่ได้เข้ารหัสข้อมูลเสียด้วยซ้ำ การติดตามพฤติกรรมผู้ใช้งานก็ยังเป็นปัญหาใหญ่ ผู้ให้บริการ VPN ฟรีเกินกว่าครึ่งทำการส่งข้อมูลตัวระบุผู้ใช้ และข้อมูลอุปกรณ์ให้กับผู้โฆษณา ซึ่งเป็นการละเมิดความเป็นส่วนตัวอย่างมาก เดินทางที่ใช้ VPN เพื่อหนีการถูกติดตามกลับกลายเป็นถูกติดตามแบบละเอียดแทน สุดท้าย ยังมีความอ่อนแอในระบบยืนยันตัวตนและการเข้ารหัสที่ล้าสมัย ซึ่งเปิดโอกาสให้แฮกเกอร์เจาะเข้าสู่ระบบได้ง่าย การใช้มาตรการความปลอดภัยสองชั้นและอัลกอริธึมการเข้ารหัสที่ทันสมัยจึงเป็นสิ่งจำเป็นอย่างยิ่งสำหรับการปกป้องข้อมูลของผู้ใช้งาน จากสิ่งที่ผมเรียนรู้ แนะนำให้ผู้ที่ต้องการใช้ VPN ควรศึกษาข้อมูลผู้ให้บริการให้ดี เลือกใช้แอปที่มีรีวิวดี ได้รับการตรวจสอบความปลอดภัย และไม่ให้บริการฟรีอย่างสมบูรณ์แบบโดยแลกกับข้อมูลส่วนตัว รวมถึงไม่ควรเปิดเผยข้อมูลสำคัญหรือทำธุรกรรมที่มีความเสี่ยงผ่านแอป VPN ที่ไม่เชื่อถือ เพื่อปกป้องความปลอดภัยในโลกออนไลน์ได้อย่างแท้จริง