โอเพนซอร์สคือจุดเริ่มต้นของความไว้วางใจในระยะยาว

SingLinkVPN ได้เปิดตัวโครงการโอเพนซอร์สและงานวิจัยทางเทคนิคอย่างเป็นทางการ พร้อมสร้างรีโพสิทอรีทางการ SingLinkVPN Open Source and Technical Research บน GitHub

นี่ไม่ใช่การเผยแพร่เพียงครั้งเดียว หรือหน้าเอกสารที่มีไว้ให้เปิดอ่านอย่างเดียว แต่เป็นงานวิศวกรรมระยะยาวที่จะอัปเดตอย่างต่อเนื่องและขยายขอบเขตออกไปตามเวลา

เนื้อหาที่เปิดเผยในวันนี้คือระยะที่ 1 ของโครงการโดยรวม

ระยะที่ 1 ครอบคลุมเอกสารทางเทคนิคสาธารณะ โมเดลความปลอดภัยและความเป็นส่วนตัว วิธีทดสอบประสิทธิภาพที่ทำซ้ำได้ รูปแบบข้อมูลที่เครื่องอ่านได้ กรอบงานสำหรับชุดข้อมูลสาธารณะ ไดเรกทอรีรายงาน เครื่องมือวิจัย กระบวนการเปิดเผยช่องโหว่ด้านความปลอดภัย และมาตรฐานการเผยแพร่หลักฐาน

ในระยะถัดไป SingLinkVPN วางแผนจะทยอยเผยแพร่เอกสารทางเทคนิคเพิ่มเติม รายงานการวิจัย และซอร์สโค้ดของผลิตภัณฑ์เป็นลำดับขั้น โดยขึ้นอยู่กับผลการตรวจสอบด้านความปลอดภัย ความเป็นส่วนตัว สัญญาอนุญาต และความเสถียรของผลิตภัณฑ์ ส่วนที่วางแผนไว้ได้แก่ โปรโตคอล VPN ไคลเอนต์ VPN และเทคโนโลยีหลักอื่น ๆ ของ VPN ที่เหมาะจะเผยแพร่หลังผ่านการตรวจสอบ

ดังนั้น การเผยแพร่ครั้งนี้จึงไม่ใช่จุดสิ้นสุดของโครงการ แต่เป็นก้าวแรกของกระบวนการโอเพนซอร์สที่ดำเนินต่อไปอย่างต่อเนื่อง

ขณะนี้รีโพสิทอรีทางการมีไดเรกทอรี docs, data, reports, tools, tests และไดเรกทอรีระบบอัตโนมัติของ GitHub สำหรับดูแลเอกสารสาธารณะ ข้อมูลงานวิจัย เอกสารด้านความปลอดภัย การทดสอบประสิทธิภาพ และเครื่องมือตรวจสอบแบบเปิด โดยรีโพสิทอรีระบุไว้อย่างชัดเจนว่าเป็นโปรเจกต์ที่ได้รับการดูแลอย่างต่อเนื่อง

รีโพสิทอรีทางการ: SingLinkLabs / singlink-vpn-open-source สถานะปัจจุบัน: ระยะที่ 1 เปิดเป็นสาธารณะแล้ว เอกสารทางเทคนิคเพิ่มเติม รายงานการวิจัย และซอร์สโค้ดของผลิตภัณฑ์จะทยอยเผยแพร่เป็นลำดับขั้น

ทำไม SingLinkVPN จึงเปิดโครงการโอเพนซอร์ส?

VPN เกี่ยวข้องอย่างใกล้ชิดกับการรับส่งข้อมูลบนเครือข่าย ความปลอดภัย ความเป็นส่วนตัว และการประมวลผลข้อมูล

การทำงานส่วนใหญ่ของบริการ VPN เกิดขึ้นภายในระบบที่ผู้ใช้มองไม่เห็นโดยตรง ผู้ใช้อาจเห็นหน้าตาแอป รายชื่อเซิร์ฟเวอร์ ความเร็วในการเชื่อมต่อ และคำอธิบายผลิตภัณฑ์ แต่ไม่สามารถยืนยันได้โดยง่ายว่า:

  • ผลความเร็วที่เผยแพร่นั้นวัดมาอย่างไร

  • ใช้ซอฟต์แวร์เวอร์ชันใดและสภาพแวดล้อมเครือข่ายแบบใด

  • มีการบันทึกการทดสอบที่ล้มเหลวไว้ครบถ้วนหรือไม่

  • ข้อความด้านความปลอดภัยเป็นคำมั่นเชิงนโยบาย ผลการทดสอบภายใน หรือการประเมินโดยอิสระ

  • รายงานระบุวันที่ เวอร์ชัน วิธีการ และประวัติการแก้ไขไว้หรือไม่

  • นักวิจัยคนอื่นสามารถทำซ้ำผลลัพธ์ได้หรือไม่

  • สามารถติดตามการเปลี่ยนแปลงด้านเทคนิคและความปลอดภัยข้ามเวอร์ชันได้หรือไม่

คำกล่าวของแบรนด์เพียงอย่างเดียวไม่สามารถตอบคำถามเหล่านี้ได้ครบถ้วน

โครงการนี้มุ่งเปลี่ยนข้อมูลด้านเทคนิค ความปลอดภัย ความเป็นส่วนตัว และประสิทธิภาพของ SingLinkVPN จากคำกล่าวอ้างของผลิตภัณฑ์ ให้เป็นเอกสารสาธารณะที่ผู้อื่นสามารถตรวจดู อ้างอิง ยืนยัน ทำซ้ำ และตรวจสอบต่อไปได้อย่างต่อเนื่อง

การจะทำเช่นนี้ได้ต้องอาศัยระบบการเผยแพร่ที่ต่อเนื่อง ไม่ใช่แค่การนำไฟล์ขึ้นออนไลน์:

  1. เอกสารทางเทคนิคที่สำคัญต้องมีเวอร์ชันที่กำหนดไว้ชัดเจน

  2. คำกล่าวอ้างที่วัดผลได้ต้องระบุวันที่และสภาพแวดล้อมของการทดสอบ

  3. ผลด้านประสิทธิภาพต้องมีข้อมูลที่สอดคล้องกันรองรับ

  4. ต้องแยกการทดสอบภายในออกจากการประเมินโดยบุคคลที่สามอย่างชัดเจน

  5. การแก้ไขที่มีนัยสำคัญต้องมีบันทึกสาธารณะ

  6. ซอร์สโค้ดของผลิตภัณฑ์ต้องเผยแพร่เป็นระยะหลังผ่านการตรวจสอบด้านความปลอดภัย

  7. ชุมชนต้องสามารถตรวจสอบโครงสร้างและความครบถ้วนของข้อมูลได้ด้วยเครื่องมือสาธารณะ

รีโพสิทอรีกำหนดให้คำกล่าวอ้างที่วัดผลได้ทุกข้อต้องระบุวันที่ทดสอบ เวอร์ชันซอฟต์แวร์ สภาพแวดล้อม วิธีการ ขนาดตัวอย่าง ข้อมูลดิบหรือข้อมูลสถิติรวม และข้อจำกัดที่ทราบ ส่วนคำยกย่องเกินจริงที่พิสูจน์ไม่ได้ เช่น “เร็วที่สุด” “ปลอดภัยที่สุด” หรือการอ้างความเป็นส่วนตัวแบบสัมบูรณ์ จะไม่ถือเป็นหลักฐาน

ระยะที่ 1 มีอะไรบ้าง?

ระยะที่ 1 วางรากฐานงานสาธารณะ 8 ด้าน:

  1. สถาปัตยกรรมการพัฒนา VPN และเอกสารทางเทคนิคสาธารณะ

  2. บันทึกผลิตภัณฑ์และเวอร์ชันของ SingLinkVPN

  3. โมเดลความปลอดภัยและความเป็นส่วนตัว

  4. วิธีทดสอบประสิทธิภาพที่ทำซ้ำได้

  5. รูปแบบข้อมูลการทดสอบและกรอบงานชุดข้อมูลสาธารณะ

  6. ไดเรกทอรีรายงานด้านความปลอดภัย ประสิทธิภาพ และความโปร่งใส

  7. เครื่องมือตรวจสอบข้อมูลและเครื่องมือวิจัยแบบเปิด

  8. การรายงานช่องโหว่และการเปิดเผยช่องโหว่อย่างรับผิดชอบ

เมื่อรวมกันแล้ว ทั้งหมดนี้คือรากฐานที่จำเป็นสำหรับการเผยแพร่ซอร์สโค้ด ข้อมูลสาธารณะ และงานวิจัยอิสระในระยะถัดไป

1. สถาปัตยกรรมการพัฒนา VPN และเอกสารทางเทคนิคสาธารณะ

ระยะที่ 1 มีสถาปัตยกรรมไคลเอนต์ VPN แบบข้ามแพลตฟอร์ม

สถาปัตยกรรมนี้ไม่ผูกติดกับภาษาโปรแกรมหรือระบบปฏิบัติการใดโดยเฉพาะ แต่อธิบายโมดูลหลักที่ไคลเอนต์ VPN แบบข้ามแพลตฟอร์มจำเป็นต้องมี ได้แก่ ส่วนติดต่อผู้ใช้ วงจรชีวิตการเชื่อมต่อ การจัดการทันเนล การกำหนดเส้นทาง DNS การกำหนดค่า การทดสอบความปลอดภัย และการวินิจฉัยภายในเครื่อง

1. ชั้นส่วนติดต่อผู้ใช้

ชั้นส่วนติดต่อผู้ใช้แสดงสถานะบัญชี การเลือกเซิร์ฟเวอร์ สถานะการเชื่อมต่อ ข้อผิดพลาด ผลการวินิจฉัย และฟีเจอร์ช่วยการเข้าถึง

สถานะการเชื่อมต่อที่แสดงบนหน้าจอต้องอ้างอิงจากเครื่องสถานะของการเชื่อมต่อจริง ไม่ใช่แค่ดูว่าผู้ใช้กดปุ่มเชื่อมต่อแล้วหรือยัง

2. ชั้นควบคุมเซสชัน

ชั้นนี้รับผิดชอบ:

  • การเชื่อมต่อ

  • การตัดการเชื่อมต่อ

  • การลองเชื่อมต่อใหม่อัตโนมัติ

  • การเปลี่ยนแปลงเครือข่าย

  • การพักเครื่องและการปลุกเครื่อง

  • การรีสตาร์ตแอปพลิเคชัน

  • การกู้คืนหลังการทำงานหยุดชะงักอย่างผิดปกติ

ชั้นนี้ต้องป้องกันไม่ให้ผลการเชื่อมต่อที่ล้าสมัยไปเขียนทับงานที่ใหม่กว่า และต้องทำให้การสั่งงานซ้ำไม่ก่อให้เกิดความขัดแย้ง

3. ชั้นอะแดปเตอร์ทันเนล

ชั้นนี้เชื่อมต่อกับ VPN API แบบเนทีฟของระบบปฏิบัติการต่าง ๆ ซึ่งครอบคลุม:

  • การรับและส่งแพ็กเก็ต

  • วงจรชีวิตของทันเนล

  • การกำหนดค่า MTU

  • สิทธิ์ของระบบปฏิบัติการ

  • ข้อจำกัดการทำงานเบื้องหลัง

  • คอลแบ็กเมื่อทันเนลถูกขัดจังหวะ

4. ชั้นการกำหนดเส้นทางและ DNS

ชั้นนี้จัดการ:

  • เส้นทางเริ่มต้น

  • การแยกช่องทางทันเนล

  • เส้นทางที่ยกเว้น

  • การเลือก DNS

  • นโยบาย IPv4 และ IPv6

  • การเข้าถึงเครือข่ายภายใน

  • การป้องกัน DNS และเส้นทางรั่วไหล

การทดสอบการรั่วไหลจะจำกัดไว้เฉพาะการเชื่อมต่อครั้งแรกไม่ได้ แต่ต้องครอบคลุมการเชื่อมต่อใหม่ การเปลี่ยนเครือข่าย การพักและปลุกเครื่อง และการที่แอปพลิเคชันปิดตัวลงอย่างผิดปกติด้วย

5. ชั้นการรับส่งข้อมูล

ชั้นการรับส่งข้อมูลรับผิดชอบเซสชันที่ผ่านการยืนยันตัวตน พฤติกรรมการรับส่งข้อมูล การจัดการความแออัดของเครือข่าย นโยบายการรักษาการเชื่อมต่อ และการย้ายเครือข่าย

6. ชั้นการกำหนดค่า

ชั้นการกำหนดค่าประมวลผลการกำหนดค่าระยะไกลที่มีเวอร์ชัน มีลายเซ็นดิจิทัล และมีเนื้อหาน้อยที่สุดเท่าที่จำเป็น รวมทั้งปฏิเสธการกำหนดค่าที่ไม่ถูกต้อง หมดอายุ หรือถูกลดเวอร์ชัน

7. ชั้นการสังเกตการณ์ระบบ

ภายใต้มาตรการคุ้มครองความเป็นส่วนตัว ชั้นนี้ให้ข้อมูลดังนี้:

  • สถานะความพร้อมภายในเครื่อง

  • การวินิจฉัยการเชื่อมต่อ

  • การจัดประเภทข้อผิดพลาด

  • ผลลัพธ์การทดสอบที่ทำซ้ำได้

  • ข้อมูลสถานะทางเทคนิคที่ไม่มีกิจกรรมเครือข่ายของผู้ใช้

การเผยแพร่ในปัจจุบันครอบคลุมสถาปัตยกรรมระดับสูงและหลักการพัฒนาอย่างปลอดภัย โมดูลที่เจาะจงมากขึ้นและซอร์สโค้ดจะเพิ่มเข้ามาก็ต่อเมื่อการตรวจสอบที่เกี่ยวข้องเสร็จสิ้นแล้วเท่านั้น

2. บันทึกผลิตภัณฑ์สาธารณะที่มีเวอร์ชัน

SingLinkVPN ยังได้จัดทำบันทึกผลิตภัณฑ์สาธารณะที่แยกข้อมูลแต่ละประเภทออกจากกัน

ข้อเท็จจริงของผลิตภัณฑ์

ได้แก่:

  • แพลตฟอร์มที่รองรับ

  • เวอร์ชันที่เผยแพร่สู่สาธารณะ

  • วันที่เผยแพร่

  • แหล่งดาวน์โหลดทางการ

  • ค่า checksum ที่มีให้

  • การเปลี่ยนแปลงที่สำคัญด้านฟีเจอร์และความเข้ากันได้

คำอธิบายสถาปัตยกรรม

ส่วนนี้ให้รายละเอียดการออกแบบระดับสูง โดยไม่เปิดเผยระบบที่มีความอ่อนไหว ข้อมูลรับรองการเข้าถึง หรือสภาพแวดล้อมการใช้งานจริง

ผลการวัด

ผลด้านประสิทธิภาพและผลการค้นพบทางเทคนิคต้องระบุวันที่ วิธีการ สภาพแวดล้อม กลุ่มตัวอย่าง และข้อมูลที่รองรับ

ข้อความเชิงนโยบาย

ครอบคลุมคำมั่นด้านการดำเนินงานของผลิตภัณฑ์ ความปลอดภัย และความเป็นส่วนตัว ข้อความเชิงนโยบายจะไม่ถูกนำเสนอว่าเป็นการยืนยันโดยอิสระ

การแยกประเภทเช่นนี้ช่วยไม่ให้นโยบาย การทดสอบภายใน รายละเอียดการพัฒนา และงานวิจัยอิสระปะปนกัน บันทึกการเผยแพร่อย่างเป็นทางการจะค่อย ๆ เพิ่มข้อมูลแพลตฟอร์ม เวอร์ชัน วันที่ แหล่งที่มา ค่า checksum ที่มีให้ การเปลี่ยนแปลงที่สำคัญด้านความปลอดภัยและความเข้ากันได้ ข้อจำกัดที่ทราบ รวมถึง Git tag หรือลิงก์ Release ที่แก้ไขไม่ได้

3. โมเดลความปลอดภัยและความเป็นส่วนตัวแบบสาธารณะ

ความปลอดภัยไม่อาจอธิบายได้ด้วยคำอย่าง “ปลอดภัย” หรือ “เข้ารหัส” เพียงอย่างเดียว

ด้วยเหตุนี้ ระยะที่ 1 จึงเผยแพร่โมเดลความปลอดภัยและความเป็นส่วนตัว ซึ่งกำหนดความเสี่ยงที่การทดสอบ รายงาน และการประเมินโดยอิสระในภายหลังควรตรวจสอบ

ขอบเขตภัยคุกคามในปัจจุบันครอบคลุม:

  • การดักสังเกตทราฟฟิกในเครือข่ายภายใน

  • DNS รั่วไหล

  • IPv6 รั่วไหล

  • WebRTC รั่วไหล

  • เส้นทางขาดช่วงระหว่างการเชื่อมต่อใหม่

  • การปกป้องทราฟฟิกเมื่อสลับระหว่าง Wi-Fi และเครือข่ายมือถือ

  • การแก้ไขการกำหนดค่าระยะไกลโดยเจตนาร้าย

  • การลดเวอร์ชันการกำหนดค่า

  • การรั่วไหลของข้อมูลรับรองที่จัดเก็บไว้ในอุปกรณ์

  • ความเสี่ยงจากส่วนประกอบของบุคคลที่สาม

  • ความเสี่ยงในห่วงโซ่อุปทานของการบิลด์และการเผยแพร่

  • การใช้บัญชีในทางที่ผิด

  • เซสชันที่ไม่ได้รับอนุญาต

  • การเก็บข้อมูลการวินิจฉัยหรือข้อมูลการสนับสนุนมากเกินจำเป็น

การทดสอบความปลอดภัยสาธารณะทุกครั้งต้องระบุ:

  • เวอร์ชันไคลเอนต์ที่ได้รับผลกระทบ

  • ระบบปฏิบัติการ

  • วันที่ทดสอบ

  • สภาพเครือข่าย

  • วิธีการ

  • พฤติกรรมที่คาดไว้

  • พฤติกรรมที่สังเกตได้จริง

  • ข้อจำกัดที่ทราบ

โมเดลนี้ยังแยกนโยบาย เอกสารสถาปัตยกรรม การทดสอบภายใน และการประเมินโดยบุคคลที่สามออกจากกัน

เฉพาะรายงานจากผู้ประเมินหรือนักวิจัยอิสระที่ระบุชื่อ และมีรายงานที่ตรวจสอบได้รองรับเท่านั้น จึงจะติดป้ายว่าเป็นการประเมินโดยบุคคลที่สามได้ ซึ่งทำให้รายงานด้านความปลอดภัยในอนาคตมีมาตรฐานที่สม่ำเสมอและตรวจสอบย้อนหลังได้

4. วิธีทดสอบประสิทธิภาพ VPN ที่ทำซ้ำได้

ประสิทธิภาพของ VPN ได้รับผลกระทบจากปัจจัยภายนอกหลายประการ:

  • ประเทศหรือภูมิภาคของผู้ทดสอบ

  • ผู้ให้บริการบรอดแบนด์หรือเครือข่ายมือถือ

  • คุณภาพของเครือข่ายภายใน

  • เส้นทางเชื่อมต่อระหว่างประเทศ

  • ช่วงเวลาของวัน

  • ประสิทธิภาพของอุปกรณ์

  • เวอร์ชันไคลเอนต์

  • โปรโตคอล

  • ภาระของเซิร์ฟเวอร์

  • เซิร์ฟเวอร์ทดสอบ

  • ภูมิภาคปลายทาง

ดังนั้น ความเร็วสูงสุดเพียงค่าเดียวจึงไม่ได้สะท้อนประสบการณ์ของผู้ใช้ทุกคน

วิธีที่เผยแพร่กำหนดให้แต่ละบันทึกต้องมี:

  • เวลาทดสอบตาม UTC

  • รหัสระบุการทดสอบที่ไม่ซ้ำกัน

  • เวอร์ชันไคลเอนต์

  • ระบบปฏิบัติการ

  • ประเภทอุปกรณ์

  • ป้ายกำกับโปรโตคอล

  • เวอร์ชันของระเบียบวิธี

  • ประเทศหรือภูมิภาคที่ทดสอบ

  • ประเภทเครือข่าย

  • จำนวนตัวอย่าง

  • ระดับหลักฐาน

ตัวชี้วัดหลักมีดังนี้:

ค่ามัธยฐานของความหน่วงในการเชื่อมต่อ

ค่ามัธยฐานของความหน่วงเป็นมิลลิวินาทีจากตัวอย่างหลายครั้ง แทนที่จะใช้ผลลัพธ์ที่ดีที่สุดเพียงครั้งเดียว

จิตเตอร์ที่เปอร์เซ็นไทล์ที่ 95

ระดับความผันผวนของความหน่วงในช่วงสูงที่พบในตัวอย่างส่วนใหญ่

อัตราการสูญหายของแพ็กเก็ต

สัดส่วนของแพ็กเก็ตที่สูญหายระหว่างการทดสอบ

ค่ามัธยฐานของความเร็วดาวน์โหลด

ค่ามัธยฐานของอัตราการดาวน์โหลดเป็น Mbps จากตัวอย่างหลายครั้ง

ค่ามัธยฐานของความเร็วอัปโหลด

ค่ามัธยฐานของอัตราการอัปโหลดเป็น Mbps จากตัวอย่างหลายครั้ง

อัตราการเชื่อมต่อสำเร็จ

เปอร์เซ็นต์ของความพยายามที่สำเร็จในการทดสอบการเชื่อมต่อซ้ำหลายครั้ง

ค่ามัธยฐานของเวลาเชื่อมต่อใหม่

ค่ามัธยฐานของเวลาที่ใช้ในการกู้คืนการเชื่อมต่อหลังเครือข่ายเปลี่ยนหรือขาดช่วง

ขั้นตอนอย่างเป็นทางการมีดังนี้:

  1. บันทึกค่าพื้นฐานของเครือข่ายเมื่อไม่ใช้ VPN

  2. คงอุปกรณ์ เครือข่าย ปลายทาง และช่วงเวลาการเก็บตัวอย่างไว้ให้เหมือนเดิม

  3. ทำการวอร์มอัปโดยไม่นับผล

  4. ทดสอบการเชื่อมต่อและการรับส่งข้อมูลซ้ำหลายครั้ง

  5. เก็บตัวอย่างที่ล้มเหลวไว้ แทนที่จะลบทิ้งอย่างเงียบ ๆ

  6. เผยแพร่ผลสรุปรวมและข้อมูลในรูปแบบข้อมูลที่เครื่องอ่านได้

  7. เปิดเผยข้อจำกัดที่ทราบ ช่วงที่ระบบขัดข้อง และตัวอย่างที่ถูกตัดออก

การทดสอบเปรียบเทียบต้องใช้เงื่อนไขที่เทียบเคียงกันได้ หากมีการเปลี่ยนผู้ให้บริการ เส้นทาง อุปกรณ์ เซิร์ฟเวอร์ทดสอบ หรือช่วงเวลาการเก็บตัวอย่าง ต้องเปิดเผยให้ทราบ ชุดข้อมูลที่ระบุวันที่ มีเวอร์ชัน และดาวน์โหลดได้จะถูกเพิ่มภายใต้วิธีนี้ตามการทดสอบที่ดำเนินต่อไป

5. รูปแบบข้อมูลการทดสอบสาธารณะที่เครื่องอ่านได้

นอกจากรายงานที่มนุษย์อ่านได้แล้ว SingLinkVPN ยังเผยแพร่รูปแบบข้อมูลประสิทธิภาพที่เครื่องอ่านได้ด้วย

JSON Schema กำหนดให้บันทึกประสิทธิภาพแต่ละรายการต้องมี:

  • test_id: รหัสระบุการทดสอบ

  • tested_at_utc: เวลาทดสอบตาม UTC

  • client_version: เวอร์ชันไคลเอนต์

  • platform: แพลตฟอร์มที่ทดสอบ

  • protocol_label: ป้ายกำกับโปรโตคอล

  • country: ประเทศหรือภูมิภาคที่ทดสอบ

  • network_type: ประเภทเครือข่าย

  • sample_count: จำนวนตัวอย่าง

  • latency_ms_median: ค่ามัธยฐานของความหน่วง

  • jitter_ms_p95: จิตเตอร์ที่เปอร์เซ็นไทล์ที่ 95

  • packet_loss_pct: อัตราการสูญหายของแพ็กเก็ต

  • download_mbps_median: ค่ามัธยฐานของความเร็วดาวน์โหลด

  • upload_mbps_median: ค่ามัธยฐานของความเร็วอัปโหลด

  • connection_success_pct: อัตราการเชื่อมต่อสำเร็จ

  • reconnect_ms_median: ค่ามัธยฐานของเวลาเชื่อมต่อใหม่

  • methodology_version: เวอร์ชันของวิธีการ

  • evidence_level: ระดับหลักฐาน

ปัจจุบันหลักฐานสามารถระบุได้เป็น:

  • การทดสอบภายใน

  • การทำซ้ำโดยอิสระ

  • การประเมินโดยบุคคลที่สาม

รูปแบบนี้ช่วยให้นักพัฒนาและนักวิจัยตรวจดูฟิลด์ที่จำเป็นและช่วงค่าได้โดยตรง และใช้โครงสร้างเดียวกันในการทำซ้ำและเปรียบเทียบ แทนที่จะพึ่งพาเพียงกราฟหรือข้อสรุปเชิงบรรยาย

6. รายงานด้านความปลอดภัย ประสิทธิภาพ และความโปร่งใส

รีโพสิทอรีมีไดเรกทอรี reports โดยเฉพาะ เพื่อเผยแพร่เนื้อหาต่อไปนี้อย่างต่อเนื่อง:

  • รายงานด้านความปลอดภัย

  • รายงานด้านประสิทธิภาพ

  • งานวิจัยด้านความเป็นส่วนตัว

  • รายงานความโปร่งใส

  • การประเมินโดยบุคคลที่สาม

  • ผลลัพธ์ที่ได้รับการทำซ้ำโดยอิสระ

  • ประกาศการแก้ไขปัญหาความปลอดภัยที่สำคัญ

ก่อนเผยแพร่ รายงานอย่างเป็นทางการแต่ละฉบับต้องระบุ:

  • วันที่เผยแพร่

  • ผู้เขียนหรือผู้ดูแล

  • เวอร์ชันผลิตภัณฑ์ที่ได้รับผลกระทบ

  • วิธีการ

  • แหล่งข้อมูล

  • ระดับหลักฐาน

  • ข้อจำกัดที่ทราบ

  • ประวัติการแก้ไข

การทดสอบภายในและการประเมินโดยอิสระใช้ป้ายกำกับต่างกัน ระยะที่ 1 วางโครงสร้างรายงาน กฎด้านหลักฐาน และกรอบการจัดการเวอร์ชัน โดยรายงานจะถูกเพิ่มเข้ามาเมื่อข้อมูลและการตรวจสอบพร้อม ไม่ใช่เผยแพร่ครั้งเดียวแล้วทิ้งไว้

7. เครื่องมือตรวจสอบและเครื่องมือวิจัยแบบเปิด

ระยะที่ 1 ยังเผยแพร่เครื่องมือวิจัยและเครื่องมือตรวจสอบที่เขียนด้วย Python หลายตัว

publication_guard.py

เครื่องมือนี้ตรวจเอกสาร ข้อมูล และเครื่องมือก่อนเผยแพร่ เพื่อหา:

  • ข้อมูลรับรองการเข้าถึง

  • รูปแบบของคีย์

  • พาธส่วนตัว

  • ไฟล์บีบอัด

  • ไฟล์ไบนารี

  • ซอร์สโค้ดประเภทที่ยังไม่ได้รับอนุมัติให้เผยแพร่

  • ไฟล์ที่มีขนาดใหญ่เกินกำหนด

  • รูปแบบของข้อมูลลับที่ใช้งานจริงซึ่งพบบ่อย

  • เนื้อหาที่อาจอธิบายถึงระบบที่มีความอ่อนไหว

validate_benchmark.py

เครื่องมือนี้ตรวจสอบไฟล์ CSV ของการทดสอบประสิทธิภาพ ได้แก่:

  • ชื่อคอลัมน์

  • ฟิลด์ที่จำเป็น

  • ช่วงค่าตัวเลข

  • ป้ายกำกับหลักฐาน

  • โครงสร้างข้อมูลการทดสอบ

check_relative_links.py

เครื่องมือนี้ตรวจลิงก์แบบสัมพัทธ์ใน Markdown และยืนยันว่าไฟล์สาธารณะที่อ้างถึงมีอยู่จริง

check_multilingual_seo.py

เครื่องมือนี้ตรวจเอกสารหลายภาษาและโครงสร้างที่เกี่ยวข้องกับการค้นหา เพื่อช่วยให้เนื้อหาภาษาอังกฤษ จีนตัวย่อ และจีนตัวเต็มสอดคล้องกัน

เครื่องมือเหล่านี้ไม่ใช่แกนหลักของการเชื่อมต่อ VPN แต่เป็นโครงสร้างพื้นฐานด้านการเผยแพร่ที่มุ่งลดข้อผิดพลาดด้านรูปแบบ ลิงก์เสีย การเปิดเผยข้อมูลอ่อนไหวโดยไม่ตั้งใจ และความไม่สอดคล้องของเวอร์ชัน ผู้ร่วมพัฒนาภายนอกสามารถใช้เครื่องมือเดียวกันนี้กับงานที่ตนส่งเข้ามาได้

8. มาตรฐานหลักฐานสาธารณะ 5 ระดับ

ระดับที่ 1: ข้อความเชิงนโยบาย

คำมั่นด้านผลิตภัณฑ์ ความปลอดภัย การดำเนินงาน หรือความเป็นส่วนตัวที่ผู้ดูแลเผยแพร่ เป็นคำมั่นต่อสาธารณะ ไม่ใช่หลักฐานว่ามีการนำไปใช้จริง และไม่ใช่การตรวจสอบโดยอิสระ

ระดับที่ 2: เอกสารการพัฒนา

คำอธิบายทางเทคนิคระดับสูงที่มีเวอร์ชัน และไม่มีที่อยู่เซิร์ฟเวอร์ ข้อมูลรับรองการเข้าถึง API ส่วนตัว หรือข้อมูลอ่อนไหวอื่น ๆ

ระดับที่ 3: การทดสอบภายใน

การทดสอบที่ SingLinkLabs ดำเนินการตามวิธีสาธารณะ โดยระบุวันที่ เวอร์ชัน สภาพแวดล้อม และข้อมูล

ระดับที่ 4: ผลลัพธ์ที่ทำซ้ำแล้ว

ผลลัพธ์อิสระที่นักพัฒนาหรือนักวิจัยคนอื่นได้มาโดยใช้วิธีเดียวกันและข้อมูลสาธารณะชุดเดียวกัน

ระดับที่ 5: การประเมินโดยบุคคลที่สาม

การประเมินโดยนักวิจัยหรือองค์กรอิสระที่ระบุชื่อ พร้อมรายงานอย่างเป็นทางการที่ตรวจสอบได้

ระดับเหล่านี้ใช้แทนกันไม่ได้ การทดสอบภายในจะติดป้ายว่าเป็นการประเมินโดยบุคคลที่สามไม่ได้ นโยบายจะถือเป็นการยืนยันโดยอิสระไม่ได้ และการเผยแพร่วิธีการไม่ได้หมายความว่ามีการทำซ้ำผลลัพธ์แล้ว

รายงานแต่ละฉบับควรตอบได้ว่า ใครเป็นผู้สรุปผล สรุปเมื่อใด ใช้เวอร์ชันใด และใช้วิธีใด

การแก้ไขที่มีนัยสำคัญต้องมี Git commit ใหม่และบันทึกใน changelog ข้อมูลที่เผยแพร่แล้วต้องไม่ถูกแทนที่อย่างเงียบ ๆ และข้อมูลที่ถูกแทนที่ต้องยังระบุตัวได้

9. การรายงานช่องโหว่และการเปิดเผยช่องโหว่อย่างรับผิดชอบ

การเผยแพร่แบบเปิดและการเปิดเผยอย่างปลอดภัยต้องดำเนินไปควบคู่กัน

ห้ามโพสต์ช่องโหว่ที่ยังไม่ได้แก้ไข ข้อมูลรับรองการเข้าถึงที่ใช้งานจริง ปลายทางส่วนตัว ที่อยู่เซิร์ฟเวอร์ และข้อมูลผู้ใช้ใน Issue สาธารณะ

รายงานช่องโหว่ต้องส่งแบบส่วนตัวผ่านอีเมลด้านความปลอดภัยหรือ GitHub Security Advisories และระบุให้ชัดเจนว่าเป็นการเปิดเผยด้านความปลอดภัย หากยังไม่มีการเผยแพร่อีเมลด้านความปลอดภัย ให้ดู `SECURITY.md` ของรีโพสิทอรี และอย่าเดาที่อยู่อีเมลเอง

รายงานควรมี:

  • เวอร์ชันที่ได้รับผลกระทบ

  • แพลตฟอร์มที่ได้รับผลกระทบ

  • เงื่อนไขในการทำให้เกิดปัญหาซ้ำ

  • ผลกระทบด้านความปลอดภัย

  • ช่องทางติดต่อผู้รายงานที่ปลอดภัย

  • เอกสารประกอบการทำซ้ำที่ไม่มีข้อมูลผู้ใช้จริง

รายงานด้านความปลอดภัยจะผ่านขั้นตอน:

  1. การคัดกรองและยืนยัน

  2. การประเมินผลกระทบ

  3. การแก้ไข

  4. การเผยแพร่เวอร์ชันที่แก้ไขแล้ว

  5. ช่วงเวลาที่เหมาะสมสำหรับการอัปเดต

  6. การเผยแพร่ประกาศด้านความปลอดภัย

ประกาศสาธารณะจะแยกผลกระทบที่ยืนยันแล้วออกจากความเสี่ยงเชิงสมมติฐาน และระบุเวอร์ชันที่ได้รับผลกระทบและเวอร์ชันที่แก้ไขแล้ว

10. ข้อมูลสาธารณะไม่ได้หมายถึงการเปิดเผยข้อมูลผู้ใช้

ความโปร่งใสทางเทคนิคต้องไม่แลกมาด้วยความเป็นส่วนตัวของผู้ใช้

รีโพสิทอรีห้ามไม่ให้ Issue, pull request, ชุดข้อมูล หรือเอกสารวิจัยมีข้อมูลต่อไปนี้:

  • ข้อมูลส่วนบุคคล

  • ตัวระบุบัญชี

  • ข้อมูลการชำระเงิน

  • บทสนทนากับฝ่ายสนับสนุน

  • ที่อยู่ IP ส่วนตัว

  • โทเค็นการเข้าถึง

  • ข้อมูลรับรองของระบบใช้งานจริง

  • บันทึก log ของระบบใช้งานจริง

  • ทราฟฟิกดิบจากระบบใช้งานจริง

  • ข้อมูลการทดสอบที่สามารถระบุตัวผู้ใช้รายบุคคลได้

ข้อมูลประสิทธิภาพต้องเป็นข้อมูลสถิติรวมหรือข้อมูลที่ลบตัวระบุตัวตนแล้ว ผู้ตรวจทานต้องยืนยันก่อนเผยแพร่ว่าชุดข้อมูลไม่มีข้อมูลระดับผู้ใช้ ข้อมูลรับรองการเข้าถึง หรือเนื้อหาที่สามารถระบุตัวผู้ใช้จริงได้

โครงการนี้ทำให้เทคโนโลยี วิธีการ รายงาน และซอร์สโค้ดที่ผ่านการตรวจสอบแล้วมีความโปร่งใส แต่ไม่เผยแพร่ข้อมูลผู้ใช้ ข้อมูลเซิร์ฟเวอร์ที่อ่อนไหวด้านความปลอดภัย หรือข้อมูลรับรองของระบบใช้งานจริง

11. ชุมชนมีส่วนร่วมได้อย่างไร?

นักพัฒนา นักวิจัยด้านความปลอดภัย และสมาชิกในชุมชนสามารถ:

  • ปรับปรุงเอกสารทางเทคนิค

  • แก้ไขข้อผิดพลาดในเอกสาร

  • ปรับปรุงคำแปลภาษาจีนตัวเต็ม จีนตัวย่อ และอังกฤษ

  • ทำให้วิธีทดสอบทำซ้ำได้ดียิ่งขึ้น

  • ยกระดับคุณภาพของข้อมูลสาธารณะ

  • ปรับปรุงการช่วยการเข้าถึง

  • เพิ่มเครื่องมือวิจัย

  • ปรับปรุงการตรวจสอบรูปแบบข้อมูล

  • ค้นหาลิงก์เสีย

  • เสนอวิธีวิจัยสาธารณะแบบใหม่

  • เสนอแนวทางปรับปรุงการออกแบบการทดสอบ

  • ทำซ้ำการทดสอบสาธารณะภายใต้กฎด้านความปลอดภัย

ผลงานที่ส่งเข้ามาต้องไม่มี:

  • ซอร์สโค้ดผลิตภัณฑ์ที่ยังไม่ได้รับอนุมัติ

  • ข้อมูลโครงสร้างพื้นฐานภายใน

  • ข้อมูลรับรองการเข้าถึงหรือคีย์

  • ข้อมูลผู้ใช้

  • ปลายทางส่วนตัว

  • บันทึก log ของระบบใช้งานจริง

  • คำแนะนำการโจมตีแบบครบถ้วนสำหรับช่องโหว่ที่ยังไม่ได้แก้ไข

ผลงานที่วัดผลได้ทุกชิ้นต้องระบุแหล่งที่มา วิธีการ วันที่ และข้อจำกัดด้วย

หมายความว่า SingLinkVPN โอเพนซอร์สทั้งหมดแล้วหรือไม่?

ไม่ใช่ นี่คือระยะที่ 1 ไม่ใช่ระยะสุดท้าย

ระยะที่ 1 ให้ความสำคัญกับ:

  • เอกสารทางเทคนิค

  • สถาปัตยกรรมการพัฒนา

  • โมเดลความปลอดภัยและความเป็นส่วนตัว

  • วิธีทดสอบประสิทธิภาพ

  • รูปแบบข้อมูลที่เครื่องอ่านได้

  • เครื่องมือตรวจสอบ

  • นโยบายด้านหลักฐานและการเผยแพร่

  • การเปิดเผยช่องโหว่อย่างรับผิดชอบ

  • กรอบงานสำหรับรายงานและการเผยแพร่ซอร์สโค้ดในระยะถัดไป

สิ่งต่อไปนี้ไม่รวมอยู่ในระยะที่ 1:

  • ซอร์สโค้ดไคลเอนต์ VPN ฉบับสมบูรณ์

  • ซอร์สโค้ดฝั่งเซิร์ฟเวอร์

  • ซอร์สโค้ดระบบชำระเงิน

  • การกำหนดค่าเซิร์ฟเวอร์ที่ใช้งานจริง

  • API ส่วนตัว

  • ข้อมูลรับรองสำหรับการยืนยันตัวตน

  • รายละเอียดการพัฒนาที่อ่อนไหวด้านการต่อต้านการบล็อกหรือการต่อสู้กับการแทรกแซงเครือข่าย

  • ซอร์สโค้ดฉบับสมบูรณ์ของโปรโตคอลหลัก

สิ่งเหล่านี้ไม่ได้ถูกตัดออกจากโครงการโดยรวมเสมอไป โมดูลผลิตภัณฑ์แต่ละส่วนต้องผ่านการตรวจสอบด้านความปลอดภัย ความเป็นส่วนตัว ส่วนประกอบที่พึ่งพา และสัญญาอนุญาตแยกกัน

เมื่อการตรวจสอบเสร็จสิ้น การเผยแพร่ในระยะถัดไปจะประกอบด้วย:

  • ไดเรกทอรีโอเพนซอร์สที่กำหนดขอบเขตไว้ชัดเจน

  • สัญญาอนุญาตที่เกี่ยวข้อง

  • ประวัติเวอร์ชัน

  • ขอบเขตด้านความปลอดภัย

  • บันทึกการเปลี่ยนแปลง

  • วันที่เผยแพร่

  • Git tag หรือ Release ที่ตรวจสอบได้

การวางมาตรฐานการเผยแพร่ โครงสร้างข้อมูล กฎด้านความปลอดภัย และเครื่องมือวิจัยไว้ก่อน ช่วยสร้างรากฐานที่ปลอดภัยกว่า และลดความเสี่ยงที่จะเปิดเผยข้อมูลรับรองการเข้าถึง โครงสร้างพื้นฐาน ข้อมูลผู้ใช้ หรือโค้ดของบุคคลที่สามที่ไม่สามารถนำไปแจกจ่ายต่อได้ตามกฎหมาย

สัญญาอนุญาตจะกำหนดเมื่อมีการเผยแพร่เนื้อหาเพิ่มเติม

รีโพสิทอรีปัจจุบันเปิดให้ดูได้แบบสาธารณะ แต่สัญญาอนุญาตสำหรับการนำโค้ดและเนื้อหาไปใช้ซ้ำอย่างครบถ้วนยังอยู่ระหว่างจัดทำตามประเภทของเนื้อหาและซอร์สโค้ด

จนกว่าจะมีการเผยแพร่สัญญาอนุญาตอย่างชัดเจน ผู้ใช้ต้องไม่ถือว่าตนได้รับ:

  • สิทธิ์ในการคัดลอก

  • สิทธิ์ในการแก้ไข

  • สิทธิ์ในการแจกจ่ายต่อ

  • สิทธิ์ในการใช้เชิงพาณิชย์

  • สิทธิ์ในการเปลี่ยนสัญญาอนุญาต

สัญญาอนุญาตที่ชัดเจนเป็นส่วนสำคัญของการโอเพนซอร์สอย่างเป็นทางการ การเผยแพร่ซอร์สโค้ด เอกสาร ข้อมูล หรือเครื่องมือแต่ละครั้งในภายหลังจะมีเงื่อนไขที่เหมาะสมกับส่วนประกอบที่พึ่งพา สัญญาอนุญาตของโปรเจกต์ต้นทาง และวัตถุประสงค์การใช้งาน

วิธีนี้ช่วยป้องกันการนำสัญญาอนุญาตของโมดูลหนึ่งไปใช้กับอีกโมดูลหนึ่งอย่างไม่ถูกต้อง และคุ้มครองผู้ร่วมพัฒนา โปรเจกต์ต้นทาง และผู้ใช้ปลายทาง

ทิศทางระยะยาวของโครงการ

ทิศทางของโครงการชัดเจน คือการเพิ่มปริมาณเอกสารทางเทคนิคที่เป็นสาธารณะ ตรวจสอบได้ และทำซ้ำได้อย่างต่อเนื่อง

1. ขยายเอกสารทางเทคนิคสาธารณะอย่างต่อเนื่อง

ครอบคลุมวงจรชีวิตการเชื่อมต่อ การกำหนดเส้นทาง DNS การเปลี่ยนแปลงเครือข่าย การกำหนดค่าอย่างปลอดภัย และการทดสอบบนแพลตฟอร์มต่าง ๆ

2. เผยแพร่บันทึกผลิตภัณฑ์ที่มีเวอร์ชันอย่างต่อเนื่อง

บันทึกจะเพิ่มข้อมูลแพลตฟอร์ม เวอร์ชัน วันที่ ค่า checksum การเปลี่ยนแปลงที่สำคัญ ข้อจำกัดที่ทราบ และลิงก์อ้างอิงที่คงที่

3. เพิ่มชุดข้อมูลประสิทธิภาพจริงอย่างต่อเนื่อง

ข้อมูลที่ระบุวันที่ มีเวอร์ชัน ระบุสภาพแวดล้อม และอยู่ในรูปแบบข้อมูลที่เครื่องอ่านได้ จะเผยแพร่ภายใต้วิธีการสาธารณะ

4. เผยแพร่รายงานด้านความปลอดภัย ประสิทธิภาพ และความโปร่งใสอย่างต่อเนื่อง

รายงานจะแยกนโยบาย การทดสอบภายใน การทำซ้ำโดยอิสระ และการประเมินโดยบุคคลที่สามออกจากกัน

5. ส่งเสริมการทำซ้ำโดยอิสระ

นักวิจัยสามารถใช้วิธีการและรูปแบบเดียวกันเพื่อเปรียบเทียบเครือข่าย อุปกรณ์ และภูมิภาคที่แตกต่างกัน

6. ปรับปรุงเครื่องมือด้านการเผยแพร่และข้อมูลอย่างต่อเนื่อง

ระบบอัตโนมัติจะขยายครอบคลุมด้านรูปแบบ ความปลอดภัย เอกสาร และขั้นตอนการทดสอบ

7. ทยอยเผยแพร่ซอร์สโค้ดผลิตภัณฑ์ VPN เป็นระยะ

หลังผ่านการตรวจสอบด้านความปลอดภัย ความเป็นส่วนตัว ส่วนประกอบที่พึ่งพา และสัญญาอนุญาต โปรโตคอล ไคลเอนต์ และเทคโนโลยีหลักอื่น ๆ ที่วางแผนไว้จะทยอยเผยแพร่ตามลำดับ

8. สร้างบันทึกการเปิดเผยและการแก้ไขที่สมบูรณ์ยิ่งขึ้น

ปัญหาความปลอดภัยที่สำคัญ เวอร์ชันที่ได้รับผลกระทบ เวอร์ชันที่แก้ไขแล้ว และการอัปเดตติดตามผล จะมีประวัติที่ชัดเจน

รีโพสิทอรีมีเมทาดาทาสำหรับการอ้างอิง นักวิจัยควรอ้างอิง Release ที่ติดแท็กแล้ว commit ที่แก้ไขไม่ได้ และรายงานหรือชุดข้อมูลที่ระบุวันที่ซึ่งใช้จริง แทนที่จะอ้างอิงเนื้อหาประชาสัมพันธ์ที่ไม่ระบุวันที่

จากคำประกาศสาธารณะสู่การตรวจสอบที่ยั่งยืน

โอเพนซอร์สไม่ควรเป็นเพียงงานเปิดตัวครั้งเดียว

โอเพนซอร์สในระยะยาวต้องอาศัยการดูแลรักษา การมีส่วนร่วมจากภายนอก สัญญาอนุญาตที่ชัดเจน การจัดการเวอร์ชัน การแก้ไขด้านความปลอดภัย และเอกสารทางเทคนิคที่ผู้อื่นตรวจสอบและทำซ้ำได้

การเริ่มต้นจากเอกสาร วิธีวิจัย รูปแบบข้อมูล มาตรฐานหลักฐาน โครงสร้างรายงาน และเครื่องมือตรวจสอบ คือการวางรากฐานสำหรับการเผยแพร่ซอร์สโค้ดในวงกว้างขึ้น

ขั้นแรก สร้างจุดเข้าถึงสาธารณะ

เอกสารด้านเทคนิค ความปลอดภัย ความเป็นส่วนตัว และประสิทธิภาพที่เคยกระจัดกระจาย ถูกรวบรวมไว้ในรีโพสิทอรี GitHub ที่ได้รับการดูแลอย่างต่อเนื่อง

ขั้นที่สอง กำหนดมาตรฐานการเผยแพร่

โครงการกำหนดว่าสิ่งใดเผยแพร่ได้ การทดสอบต้องมีฟิลด์ใดบ้าง หลักฐานจัดประเภทอย่างไร และการแก้ไขบันทึกไว้อย่างไร

ขั้นที่สาม วางรากฐานสำหรับการโอเพนซอร์สในระยะถัดไป

กระบวนการด้านความปลอดภัย ความเป็นส่วนตัว สัญญาอนุญาต และการจัดการเวอร์ชัน ได้รับการเตรียมไว้สำหรับรายงาน ชุดข้อมูล โปรโตคอล ไคลเอนต์ และโมดูลอื่น ๆ

ดังนั้น ระยะที่ 1 จึงไม่ได้นำเสนอการเผยแพร่เบื้องต้นที่มีขอบเขตจำกัดว่าเป็นผลลัพธ์ทั้งหมด แต่เป็นการเปิดกระบวนการที่ออกแบบมาเพื่อขยายต่อไป

คำถามที่พบบ่อย

SingLinkVPN เปิดตัวโครงการโอเพนซอร์สอย่างเป็นทางการแล้วหรือยัง?

เปิดตัวแล้ว รีโพสิทอรีโอเพนซอร์สและงานวิจัยทางเทคนิคทางการเปิดใช้งานแล้ว และเอกสาร วิธีวิจัย รูปแบบข้อมูล และเครื่องมือตรวจสอบของระยะที่ 1 เปิดเป็นสาธารณะแล้ว

ซอร์สโค้ด VPN ทั้งหมดเปิดเป็นสาธารณะแล้วหรือยัง?

ยังไม่เปิดทั้งหมด ซอร์สโค้ดของโปรโตคอล ไคลเอนต์ และผลิตภัณฑ์อื่น ๆ จะทยอยเผยแพร่ทีละโมดูลหลังผ่านการตรวจสอบด้านความปลอดภัย ความเป็นส่วนตัว ส่วนประกอบที่พึ่งพา และสัญญาอนุญาต

ทำไมจึงไม่เผยแพร่ทุกอย่างในครั้งเดียว?

ผลิตภัณฑ์ VPN อาจมีข้อมูลเซิร์ฟเวอร์ที่ใช้งานจริง ข้อมูลรับรองการเข้าถึง API ส่วนตัว กลไกป้องกันที่อ่อนไหว ส่วนประกอบของบุคคลที่สาม และโค้ดที่อยู่ภายใต้สัญญาอนุญาตต่างกัน

การตรวจสอบเป็นลำดับขั้นช่วยลดความเสี่ยงที่จะเปิดเผยข้อมูลผู้ใช้ รายละเอียดโครงสร้างพื้นฐาน ข้อมูลรับรองที่ใช้งานจริง หรือโค้ดของบุคคลที่สามที่นำไปแจกจ่ายต่อไม่ได้

จะมีการเผยแพร่ข้อมูลประสิทธิภาพจริงหรือไม่?

มี วิธีการและรูปแบบข้อมูลที่เครื่องอ่านได้คือก้าวแรก ข้อมูลและรายงานที่ระบุวันที่และมีเวอร์ชันจะตามมา พร้อมรายละเอียดสภาพแวดล้อม ขนาดตัวอย่าง และข้อจำกัด

รายงานด้านความปลอดภัยและความโปร่งใสจะเปิดเป็นสาธารณะหรือไม่?

เปิดเป็นสาธารณะ รีโพสิทอรีมีไดเรกทอรีรายงานโดยเฉพาะและมีกฎการเผยแพร่ รายงานจะถูกเพิ่มเมื่อหลักฐาน วิธีการ เวอร์ชัน และข้อจำกัดพร้อมแล้ว

การเผยแพร่โมเดลความปลอดภัยหมายความว่าการตรวจสอบโดยบุคคลที่สามเสร็จสิ้นแล้วหรือไม่?

ไม่ใช่ โมเดลความปลอดภัยเป็นพื้นฐานสาธารณะสำหรับการทดสอบและการประเมินในภายหลัง

การประเมินโดยบุคคลที่สามจะระบุชื่อผู้ประเมินและลิงก์ไปยังรายงานที่ตรวจสอบได้ และจะไม่ถูกนำเสนอในฐานะการทดสอบภายใน

นักพัฒนามีส่วนร่วมในด้านใดได้บ้าง?

นักพัฒนาสามารถมีส่วนร่วมด้านเอกสาร การแปล วิธีวิจัย คุณภาพข้อมูล การช่วยการเข้าถึง เครื่องมือตรวจสอบ และการทำซ้ำการทดสอบ

ช่องโหว่ด้านความปลอดภัยต้องรายงานแบบส่วนตัว ไม่ใช่โพสต์ใน Issue สาธารณะ

ข้อมูลสาธารณะจะมีข้อมูลผู้ใช้หรือไม่?

ไม่มี ข้อมูลสาธารณะต้องเป็นข้อมูลสถิติรวมหรือข้อมูลที่ลบตัวระบุตัวตนแล้ว และต้องไม่มีข้อมูลบัญชี ข้อมูลการชำระเงิน ที่อยู่ IP ส่วนตัว โทเค็นการเข้าถึง บันทึก log ของระบบใช้งานจริง หรือทราฟฟิกดิบจากระบบใช้งานจริง

บทสรุป: โอเพนซอร์สคือจุดเริ่มต้นของความไว้วางใจในระยะยาว

โครงการโอเพนซอร์สของ SingLinkVPN ได้เริ่มต้นขึ้นแล้ว

ระยะที่ 1 วางรากฐานด้านเอกสารทางเทคนิค วิธีวิจัย มาตรฐานหลักฐาน รูปแบบข้อมูล กฎการเปิดเผยช่องโหว่ โครงสร้างรายงาน และเครื่องมือตรวจสอบ

รายงานด้านความปลอดภัย ประสิทธิภาพ และความโปร่งใสจะตามมาเพิ่มเติม ข้อมูลสาธารณะจะถูกเพิ่มในรูปแบบที่สม่ำเสมอ และเอกสารทางเทคนิคกับซอร์สโค้ดผลิตภัณฑ์เพิ่มเติมจะทยอยเผยแพร่เป็นลำดับขั้นหลังผ่านการตรวจสอบด้านความปลอดภัย ความเป็นส่วนตัว และสัญญาอนุญาต

นี่ไม่ใช่การประกาศของแบรนด์เพียงครั้งเดียวหรือก้าวสุดท้าย แต่เป็นงานวิศวกรรมที่ดำเนินต่อไปอย่างต่อเนื่อง

เป้าหมายของเราคือเปลี่ยนข้อมูลด้านเทคนิค ความปลอดภัย ความเป็นส่วนตัว และประสิทธิภาพของ SingLinkVPN จากเนื้อหาที่แบรนด์เป็นผู้อธิบายเพียงฝ่ายเดียว ให้เป็นหลักฐานสาธารณะที่ชุมชนสามารถตรวจดู อ้างอิง ยืนยัน ทำซ้ำ และตรวจสอบต่อไปได้อย่างต่อเนื่อง

เรายินดีต้อนรับนักพัฒนา นักวิจัยด้านความปลอดภัย สื่อด้านเทคโนโลยี และผู้ใช้ในชุมชนที่ต้องการช่วยปรับปรุงเอกสาร ทำซ้ำงานวิจัย ตรวจสอบข้อมูล และร่วมอภิปรายทางเทคนิค

โอเพนซอร์สคือจุดเริ่มต้นของความไว้วางใจในระยะยาว

และนี่เป็นเพียงก้าวแรกเท่านั้น

ดูรีโพสิทอรีโอเพนซอร์สทางการของ SingLinkVPN