บทวิเคราะห์ข้อกล่าวอ้างอันเป็นเท็จโดย Venak Security

ตั้งแต่ปี 2014 Proton ได้ดำเนินโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่แบบสาธารณะเพื่อส่งเสริมให้นักวิจัยด้านความปลอดภัยค้นหาช่องโหว่ในซอฟต์แวร์ Proton และรับรางวัลเป็นเงินสดสำหรับสิ่งที่ค้นพบและรายงานเข้ามา ยิ่งมีผู้ตรวจสอบรหัสโอเพนซอร์สมากขึ้นเท่าใด ก็จะยิ่งสามารถระบุปัญหาที่อาจเกิดขึ้นและนำการแก้ไขไปใช้เพื่อปกป้องผู้ใช้งานได้เร็วขึ้นเท่านั้น

ขอขอบคุณชุมชนผู้เชี่ยวชาญทั่วโลกที่สนับสนุนโปรแกรมนี้เป็นอย่างยิ่ง แต่เป็นที่น่าเสียดายว่า ในบางครั้งอาจได้รับข้อกล่าวอ้างในโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ที่ไม่ผ่านการตรวจสอบอย่างละเอียด ซึ่งมักเป็นผลมาจากความเข้าใจทางเทคนิคที่ไม่เพียงพอ

เพื่อตอบคำถามของชุมชน วันนี้จึงขอชี้แจงข้อกล่าวอ้างจาก Venak Security เกี่ยวกับ Proton Pass และ Proton VPN แม้ว่าจะได้อธิบายให้นักวิจัยของ Venak ทราบถึงสาเหตุที่ข้อกล่าวอ้างเป็นเท็จในตอนที่ปฏิเสธรางวัลสำหรับผู้เจอช่องโหว่ไปแล้ว แต่ในเวลาต่อมา Venak ก็ยังคงเผยแพร่ข้อกล่าวอ้างเหล่านั้น จึงทำให้จำเป็นต้องชี้แจงข้อเท็จจริงให้ถูกต้อง

เริ่มต้นด้วยประเด็นสำคัญ: ข้อกล่าวอ้างโดยรวมของ Venak ที่ว่า — “Proton VPN และ Proton Pass กำลังประสบปัญหาเรื่องการป้องกันหน่วยความจำ ข้อมูลผู้ใช้มีความเสี่ยง!” — นั้นเป็นเท็จ หากต้องการทราบเหตุผล ขอเจาะลึกรายละเอียดเพิ่มเติมของแต่ละข้อกล่าวอ้าง

Proton Pass

ข้อกล่าวอ้างที่ 1

“ช่องโหว่ของโปรแกรมจัดการรหัสผ่าน Proton: ข้อมูลบัตรเครดิตที่ไม่ปลอดภัยมีความเสี่ยง!“

ความเป็นจริง: ใน Proton Pass เช่นเดียวกับโปรแกรมจัดการรหัสผ่านอื่นๆ เมื่อผู้ใช้กำลังดูรายการใดรายการหนึ่งอยู่ (เช่น หมายเลขบัตรเครดิต) ข้อมูลนั้นจะต้องถูกจัดเก็บไว้ในหน่วยความจำโดยไม่ได้เข้ารหัสลับ เนื่องจากไม่สามารถเข้ารหัสข้อมูลในหน่วยความจำได้ มิฉะนั้นแอปพลิเคชั่นจะไม่สามารถใช้ข้อมูลนั้นในขณะที่ทำงานอยู่ได้ และไม่มีวิธีใดที่จะแสดงข้อมูลให้ผู้ใช้เห็นโดยไม่จัดเก็บข้อมูลนั้นไว้ในหน่วยความจำ นี่คือวิธีทำงานของโปรแกรมจัดการรหัสผ่านทุกโปรแกรม และไม่ใช่บั๊ก

ใน Proton Pass ข้อมูลที่ละเอียดอ่อนทั้งหมด รวมถึงหมายเลขบัตรเครดิต จะยังคงได้รับการเข้ารหัสบนดิสก์เมื่อไม่ได้ใช้งาน นอกจากนี้ยังมีการดำเนินมาตรการป้องกันเพิ่มเติมด้วยการพรางข้อมูล (obfuscating) ที่ละเอียดอ่อนในหน่วยความจำเมื่อไม่ได้ใช้งาน และจะทำการยกเลิกการพรางข้อมูล (de-obfuscating) นั้นเฉพาะเมื่อผู้ใช้ร้องขอเพื่อดูรายการอย่างชัดเจนเท่านั้น

Proton VPN

ข้อกล่าวอ้างที่ 2

“คีย์ส่วนตัวแบบคงที่อาจทำให้ข้อมูลของผู้ใช้เสี่ยงต่อการถูกโจมตีแบบ MITM ได้!”

ความเป็นจริง: แม้จะอ้างว่าเข้าถึงคีย์ส่วนตัวได้ แต่ Venak ก็ไม่เคยแสดงหลักฐานในเรื่องนี้ ทว่าในโพสต์ระบุว่า “นี่คือภาพหน้าจอบางส่วนของคีย์สาธารณะที่ดึงมาจากหน่วยความจำ” อย่างไรก็ตาม คีย์สาธารณะไม่ใช่ข้อมูลที่ละเอียดอ่อน แต่มีไว้เพื่อเผยแพร่เป็นสาธารณะ ดังที่ชื่อระบุไว้ คีย์สาธารณะและคีย์ส่วนตัวนั้นไม่เหมือนกัน ยิ่งไปกว่านั้น แม้ว่าคีย์ส่วนตัวจะถูกดึงออกมาจากหน่วยความจำ แต่คีย์เหล่านั้นไม่ใช่แบบคงที่ หากแต่ถูกสร้างขึ้นเมื่อเข้าสู่ระบบตามอุปกรณ์ของผู้ใช้แต่ละราย ซึ่งหมายความว่า แม้จะสามารถเข้าถึงคีย์เหล่านี้ได้ ผู้โจมตีก็จะไม่สามารถถอดรหัสทราฟฟิกของผู้ใช้ได้

ข้อกล่าวอ้างที่ 3

“ผู้ประสงค์ร้ายสามารถดึงข้อมูลและถอดรหัสทราฟฟิกในหน่วยความจำ หรือใช้การโจมตีแบบ MITM ได้อย่างง่ายดาย”

ความเป็นจริง: ข้อกล่าวอ้างในที่นี้คือคีย์ส่วนตัวที่จัดเก็บไว้ในหน่วยความจำสามารถนำมาใช้เพื่อถอดรหัสทราฟฟิกของผู้ใช้ได้ อย่างไรก็ตาม โปรโตคอล VPN แบบโอเพนซอร์สอย่าง WireGuard® ที่ Proton VPN ใช้งานไม่ได้ทำงานเช่นนั้น WireGuard มอบ “ความลับส่งต่อที่สมบูรณ์แบบ” (perfect forward secrecy)(หน้าต่างใหม่) ซึ่งหมายความว่าการโจมตีความลับในขณะนี้จะไม่ส่งผลกระทบต่อทราฟฟิกที่เข้ารหัสไว้ก่อนหน้านี้หรือทราฟฟิกใดๆ ในอนาคตเลย

ผู้โจมตีที่ได้รับคีย์ส่วนตัวไปอาจยืนยันตัวตนเป็นผู้ใช้ได้ แต่จะไม่สามารถถอดรหัสทราฟฟิกใดๆ ได้ ทราฟฟิก VPN จะถูกเข้ารหัสโดย “คีย์เซสชัน” แยกต่างหาก ซึ่งจะหมุนเวียนโดยอัตโนมัติทุกสองนาที และไม่ได้ถูกเข้ารหัสด้วยคีย์ส่วนตัวตามที่ Venak กล่าวอ้าง สรุปสั้นๆ คือ ช่องโหว่ที่กล่าวอ้างนั้นไม่มีอยู่จริง แน่นอนว่าผู้โจมตีที่มีสิทธิ์เข้าถึงระดับผู้ดูแลระบบของอุปกรณ์ของผู้ใช้สามารถสร้างความเสียหายได้ แต่นั่นไม่ใช่สิ่งที่ VPN ใดๆ จะสามารถป้องกันได้

ข้อกล่าวอ้างที่ 4

“Proton ตัดสินใจใช้ค่าคงที่สำหรับแต่ละเซิร์ฟเวอร์ ซึ่งสามารถดึงออกจากหน่วยความจำได้ง่ายในระหว่างการสร้างคีย์”

ความเป็นจริง: ตามที่ได้อธิบายไว้ข้างต้น คีย์สาธารณะของเซิร์ฟเวอร์ VPN จะไม่มีการเปลี่ยนแปลงและเปิดเผยต่อสาธารณะ เนื่องจากเป็นคีย์สาธารณะ นี่จึงไม่ใช่ปัญหาด้านความปลอดภัย

ดังนั้น ข้อมูลจึงมีความเสี่ยงจริงๆ หรือไม่?

ไม่เลย “ช่องโหว่” ที่รายงานเข้ามานั้นไม่มีมูลความจริง และนั่นคือสาเหตุที่รายงานเหล่านั้นถูกปฏิเสธโดยทีมงานโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่

เรายังคงยืนหยัดในผลิตภัณฑ์และให้ความสำคัญกับความเป็นส่วนตัวและความปลอดภัยของผู้ใช้งานเป็นอันดับแรกเสมอ เรายินดีรับฟังความคิดเห็นและการมีส่วนร่วมจากชุมชนความปลอดภัยเสมอ ไม่ว่าจะโดยตรงผ่าน โครงการซอฟต์แวร์โอเพนซอร์ส(หน้าต่างใหม่) หรือ โปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ เรายังคงมุ่งมั่นต่อโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ พร้อมทั้งตั้งตารอที่จะมอบรางวัลสำหรับช่องโหว่ที่ตรงตามเกณฑ์อย่างต่อเนื่อง