การรักษาความปลอดภัยของ Proton VPN

พฤศจิกายน 2025: บทความนี้ได้รับการอัปเดตแล้วเพื่อให้สอดคล้องกับโครงการจ่ายโบนัสล่าสุด จำนวนเงินสูงสุดเพิ่มขึ้นจาก 10,000 $ เป็น 100,000 $

เช่นเดียวกับ Proton Mail เราได้สร้าง Proton VPN โดยให้ความสำคัญกับความปลอดภัยเป็นหลัก วันนี้เรากำลังเปิดตัวโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ เพื่อยกระดับความปลอดภัยของ Proton VPN ให้ดียิ่งขึ้น

ในการให้บริการ VPN ความปลอดภัยไม่ได้เป็นสิ่งที่จำเป็นเฉพาะสำหรับการเชื่อมต่อ VPN และโปรโตคอลเท่านั้น แต่ยังจำเป็นสำหรับโครงสร้างพื้นฐานเซิร์ฟเวอร์ที่รองรับ หน้าเว็บและหน้าหลักของระบบ แอปพลิเคชั่น VPN ระบบการชำระเงิน รวมถึงฐานข้อมูลผู้ใช้ด้วย การปกป้องความเป็นส่วนตัวของผู้ใช้อย่างเหมาะสมนั้น เราจำเป็นต้องปกป้องทุกด้านของบริการจากการโจมตี

ในการสร้าง Proton VPN เราได้นำความเชี่ยวชาญด้านความปลอดภัยที่ได้จากการให้บริการบริการอีเมลที่ปลอดภัยที่ใหญ่ที่สุดในโลก(หน้าต่างใหม่)มาใช้ เรายังได้ร่วมมือกับผู้มีส่วนร่วมด้านความปลอดภัยของ Proton Mail(หน้าต่างใหม่)และชุมชนในวงกว้างเพื่อเสริมความแข็งแกร่งให้กับทุกด้านของ Proton VPN เมื่อไม่นานมานี้ เราได้ร่วมมือกับMazin Ahmed(หน้าต่างใหม่) ผู้มีส่วนร่วมด้านความปลอดภัยของ Proton Mail ที่ร่วมงานกันมานาน เพื่อดำเนินการตรวจสอบความปลอดภัยอย่างครอบคลุมของ Proton VPN และเพิ่มการเสริมความแข็งแกร่งให้มากขึ้น

โปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ของเราช่วยให้เราต่อยอดงานที่เราทำอยู่เป็นประจำทุกวันเพื่อปกป้องผู้ใช้ Proton VPN ด้วยเหตุนี้ เมื่อ Proton VPN เปิดตัวอย่างเป็นทางการแล้ว หนึ่งในสิ่งแรกที่เราทำคือการเปิดตัวโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ของ Proton VPN ด้วยโปรแกรมนี้ เราขอเชิญผู้เชี่ยวชาญด้านความปลอดภัยจากทั่วโลกให้ลองค้นหาจุดอ่อนภายใน Proton VPN และเราจะจ่ายรางวัล (ค่าตอบแทน) สำหรับปัญหาด้านความปลอดภัยที่ถูกรายงานมาหาเราผ่านโปรแกรมนี้ หากคุณเป็นนักวิจัยด้านความปลอดภัย คุณยังสามารถเข้าร่วมโปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ของ Proton Mail(หน้าต่างใหม่)ได้ด้วย

โปรแกรมรางวัลสำหรับผู้เจอช่องโหว่ Proton VPN

กฎ

ขอบเขต: โปรแกรมนี้จำกัดเฉพาะเซิร์ฟเวอร์และแอปพลิเคชั่นเว็บ เดสก์ท็อป และมือถือที่ดำเนินการโดย Proton VPN โปรไฟล์ของเราบน Facebook Twitter Linkedin Eventbrite ฯลฯ ไม่มีสิทธิ์เข้าร่วม เว็บไซต์ที่มีสิทธิ์ได้แก่:

• protonvpn.com
• account.protonvpn.com
• api.protonvpn.ch [หมายเหตุ: .ch ไม่ใช่ .com]

แอปพลิเคชั่น Proton VPN บน Windows MacOS Linux iOS และ Android ก็รวมอยู่ในโปรแกรมนี้ด้วย

การตัดสิน: คณะกรรมการตัดสินเพื่อกำหนดรางวัลประกอบด้วยนักพัฒนา Proton VPN และ Proton Mail โดยมีผู้เชี่ยวชาญภายนอกหนึ่งคนหรือมากกว่าซึ่งเป็นส่วนหนึ่งของกลุ่มด้านความปลอดภัยของเราคอยช่วยเหลือ ผู้เข้าร่วมโปรแกรมตกลงที่จะเคารพการตัดสินใจขั้นสุดท้ายของคณะกรรมการ

การเปิดเผยอย่างมีความรับผิดชอบ: เราขอให้รายงานช่องโหว่ทั้งหมดมาที่ security@proton.me เราเชื่อว่าการเปิดเผยจุดบกพร่องให้กับบุคคลที่สามเพื่อวัตถุประสงค์อื่นนอกเหนือจากการแก้ไขบั๊กจริง ๆ นั้นขัดกับเจตนารมณ์ของโปรแกรมนี้ ผู้เข้าร่วมตกลงที่จะไม่เปิดเผยบั๊กที่พบจนกว่าจะได้รับการแก้ไขแล้ว และประสานการเปิดเผยกับทีมของเราผ่านบันทึกประจำรุ่น เพื่อหลีกเลี่ยงความสับสน

การทดสอบอย่างมีความรับผิดชอบ: โปรดอย่าแฮ็กบัญชีผู้ใช้ ทำให้ฐานข้อมูลเสียหาย หรือรั่วไหลข้อมูลที่อาจเป็นข้อมูลอ่อนไหว เรายังไม่สนับสนุนการทดสอบช่องโหว่ที่ทำให้คุณภาพการบริการสำหรับผู้ใช้ของเราลดลง หากมีข้อสงสัย สามารถติดต่อทีมความปลอดภัยของเราได้ที่ security@proton.me

การปฏิบัติตามกฎ: การเข้าร่วมโปรแกรมนี้ถือว่าคุณตกลงที่จะปฏิบัติตามกฎและเงื่อนไขข้างต้น ต้องปฏิบัติตามกฎทั้งหมดจึงจะมีสิทธิ์ได้รับรางวัล

ช่องโหว่ที่มีสิทธิ์

ปัญหาใด ๆ ด้านการออกแบบหรือการนำไปใช้ที่ส่งผลกระทบอย่างมีนัยสำคัญต่อความลับหรือความสมบูรณ์ของข้อมูลผู้ใช้ มีแนวโน้มที่จะอยู่ในขอบเขตของโปรแกรม ซึ่งรวมถึงแต่ไม่จำกัดเพียง:

แอปพลิเคชั่นเว็บ

• Cross-site scripting
• Cross-site request forgery
• สคริปต์แบบ mixed content
• ข้อบกพร่องด้านการยืนยันตัวตนหรือการอนุญาต
• บั๊กจากการรันโค้ดฝั่งเซิร์ฟเวอร์
• ช่องโหว่ของ REST API

เซิร์ฟเวอร์

• การเข้าถึงเชลล์โดยไม่ได้รับอนุญาต
• การยกระดับสิทธิ์
• การรันโค้ดจากระยะไกล

แอปพลิเคชั่น

• ข้อบกพร่องด้านการยืนยันตัวตนหรือการอนุญาต
• การละเมิดความปลอดภัยของข้อมูลภายในเครื่องโดยไม่ต้องรูท

เราเชื่อในการทำงานอย่างใกล้ชิดกับนักวิจัยด้านความปลอดภัย และยินดีแชร์รายละเอียดทางเทคนิค เช่น ข้อมูลจำเพาะของ API ซอร์สโค้ด หรือรายละเอียดโครงสร้างพื้นฐาน ให้กับนักวิจัยที่ได้รับเลือก โดยมีเป้าหมายเพื่อปรับปรุงความปลอดภัยให้กับผู้ใช้ Proton Mail ทุกคน โปรดติดต่อ security@proton.me เพื่อดูรายละเอียดเพิ่มเติม

การปรับปรุงที่มีสิทธิ์

บางครั้ง รางวัลจะมอบให้กับข้อเสนอแนะในการปรับปรุงที่ไม่อยู่ในหมวดหมู่ข้างต้นใด ๆ ซึ่งทีมของเราจะพิจารณาเป็นรายกรณีไป ตัวอย่างเช่น:

• การปรับปรุงการกำหนดค่าเซิร์ฟเวอร์
• การกำหนดค่าไฟร์วอลล์
• มาตรการป้องกัน DoS/DDoS ที่ได้รับการปรับปรุง
• การเปิดเผยเส้นทาง/ข้อมูล

ช่องโหว่ที่ไม่มีสิทธิ์

• ข้อบกพร่องที่ส่งผลกระทบต่อเบราว์เซอร์รุ่นเก่า (ขออภัย ปัญหาด้านความปลอดภัยของ IE6 ไม่มีสิทธิ์)
• ปัญหาด้านความปลอดภัยที่อยู่นอกขอบเขตแบบจำลองภัยคุกคามของ Proton VPN
• การโจมตีแบบฟิชชิ่ง(หน้าต่างใหม่)หรือวิศวกรรมสังคม
• บั๊กที่ต้องอาศัยการโต้ตอบจากผู้ใช้ซึ่งแทบไม่น่าเกิดขึ้นจริง
• บั๊กของ WordPress (แต่โปรดรายงานให้ WordPress ทราบ)
• ซอฟต์แวร์รุ่นเก่า – ด้วยเหตุผลหลายประการ เราไม่ได้ใช้ซอฟต์แวร์เวอร์ชันล่าสุดเสมอไป แต่เราใช้ซอฟต์แวร์ที่แพตช์ครบถ้วนแล้ว
• บั๊กของซอฟต์แวร์ใน OpenVPN หรือ IKEv2 (แต่โปรดรายงานให้ผู้พัฒนาโปรแกรมนั้นทราบ)

จำนวนรางวัล

ขนาดของรางวัลที่เราจ่ายจะพิจารณาเป็นรายกรณี และส่วนใหญ่ขึ้นอยู่กับความรุนแรงของปัญหา โดยทั่วไปคุณจะต้องเป็นบุคคลแรกที่รายงานปัญหาจึงจะได้รับรางวัล แม้ว่าบางครั้งอาจมีข้อยกเว้น แนวทางคร่าว ๆ เกี่ยวกับรางวัลมีดังนี้:

• รางวัลสูงสุด: 100,000 USD.
• ความรุนแรงระดับวิกฤต: 25,000 USD – 50,000 USD — การค้นพบช่องโหว่ที่เปิดช่องให้ควบคุมสภาพแวดล้อมของบริการได้อย่างเต็มที่และต่อเนื่องโดยไม่ได้รับอนุญาต หรือโจมตีความลับหรือความสมบูรณ์ของข้อมูลผู้ใช้ทั้งหมด โดยไม่ต้องมีเงื่อนไขพิเศษหรือการเข้าถึงก่อนหน้า
• ความรุนแรงระดับสูง: 2,500 USD – 25,000 USD — การค้นพบช่องโหว่ที่นำไปสู่การควบคุมสภาพแวดล้อมของบริการส่วนใหญ่ได้อย่างต่อเนื่องโดยไม่ได้รับอนุญาต หรือการละเมิดข้อมูลอย่างมีนัยสำคัญที่กระทบต่อความลับหรือความสมบูรณ์ของข้อมูล ซึ่งส่งผลต่อผู้ใช้กลุ่มใหญ่ โดยไม่ต้องมีเงื่อนไขพิเศษหรือการเข้าถึงก่อนหน้า แต่ยังไม่ถึงขั้นโจมตีบริการทั้งหมด
• ความรุนแรงระดับปานกลาง: 1,000 USD – 2,500 USD — การค้นพบช่องโหว่ที่เปิดช่องให้ควบคุมสภาพแวดล้อมของบริการบางส่วนโดยไม่ได้รับอนุญาต หรือโจมตีความสมบูรณ์หรือความลับของข้อมูลผู้ใช้สำหรับผู้ใช้รายเดียวหรือกลุ่มเล็ก หรืออาจเป็นช่องโหว่ที่ส่งผลกระทบกว้างกว่าแต่ต้องอาศัยการมีส่วนร่วมของผู้ใช้อย่างมีนัยสำคัญหรือเงื่อนไขเฉพาะ แต่ยังนำไปสู่การเปิดเผยข้อมูลหรือการควบคุมที่ละเอียดอ่อน
• ความรุนแรงระดับต่ำ: พิจารณาเป็นรายกรณี ไม่มีรางวัลเป็นเงินโดยค่าเริ่มต้น — การค้นพบช่องโหว่ที่ส่งผลกระทบจำกัดหรือมีเงื่อนไขที่ไม่น่าเกิดขึ้น

แนวทางการรายงาน

โปรดรายงานปัญหาที่ security@proton.me การรายงานปัญหาควรมีคำแนะนำที่ชัดเจนเกี่ยวกับวิธีทำให้เกิดปัญหาซ้ำ และ/หรือข้อพิสูจน์แนวคิด

ขอแสดงความนับถือ
ทีมงาน Proton