Two-Factor Authentication (2FA) มีข้อบกพร่องอย่างไร?

Two-Factor Authentication (2FA) กลายเป็นที่นิยมในสภาพแวดล้อมที่ละเอียดอ่อน เช่น การธนาคาร การประมวลผลการชำระเงิน โซเชียลมีเดีย และแพลตฟอร์มอื่นๆ ที่คุณแชร์ข้อมูลส่วนตัวมาก ที่คุณแน่ใจว่าไม่ต้องการให้คนอื่นมือถึง มันเป็นวิธีที่ทรงพลังมากในการรับรองว่าคุณคือคนเดียวที่เข้าถึงข้อมูลได้ แต่มีข่าวร้าย: มันมีข้อบกพร่อง ไม่ใช่ทุกอย่างเป็นข่าวร้าย บางบริษัทกำลังทำงานบนรูปแบบการยืนยันตัวตนใหม่ที่คำนึงถึงข้อบกพร่องเหล่านี้

พื้นฐาน Two-Factor Authentication

ใจความคือ: หากคุณต้องใช้สิ่งอื่นนอกจากแค่ Username และ Password เพื่อเข้าบัญชี คุณน่าจะใช้ 2FA เข้าไป

บ่อยครั้งเห็นเมื่อล็อกอินแอปธนาคาร หรือใช้แอปอย่าง Uber ครั้งแรก มักมาในรูปแบบ SMS Confirmation เพื่อยืนยันว่าคุณเป็นเจ้าของเบอร์โทรที่ลงทะเบียนกับบัญชี

ธนาคารบางแห่งให้ Token Generator แบบดิจิทัล (คล้าย Google Authenticator App) ที่สร้างชุดตัวเลขทุกนาที ประมาณนั้น ที่คุณต้องใช้เพื่อล็อกอินบัญชี

แอปอื่นๆ ใช้ระบบตรวจจับอัตโนมัติฉลาดที่โทรหาเบอร์ของคุณ และรับสายเมื่อสายเข้ามา เพื่อบอกว่าคุณเป็นเจ้าของโทรศัพท์

ในบางกรณี 2FA อาจเกี่ยวข้องกับ Biometrics เช่น นิ้วมือ หรือใบหน้า บางวิธีใช้แทน Password สำหรับทำบางอย่าง เช่น ปลดล็อกโทรศัพท์

ทุกวิธีเหล่านี้ถูกสร้างขึ้นเพื่อพิสูจน์อย่างแม่นยำว่าคุณคือคุณ

จุดบกพร่อง (The Fly in the Ointment)

ข้อบกพร่องใหญ่ที่สุดของวิธีการยืนยันตัวตนสมัยใหม่คือ ไม่ได้คำนึงถึงว่ามนุษย์คือผู้ใช้ เราหาวิธีใหม่และสร้างสรรค์ในการใช้ข้อมูลของเราผิดทางตลอดเวลา และไม่มีมาตรการความปลอดภัยที่มีอยู่วันนี้ที่สามารถชดเชยได้จริง

ในหลายกรณี เราตกเป็นเหยื่อ Social Engineering Schemes ที่หลอกให้เราเปิดเผยข้อมูลสำคัญให้คนที่พยายามเข้าบัญชีของเรา

ยังมีความเสี่ยงการขโมย หากใครขโมยโทรศัพท์คุณ พวกเขาตอนนี้มีวิธีรับ SMS ยืนยัน หากใครขโมย Token ของคุณ พวกเขาสามารถยืนยันบัญชีธนาคารได้

นิ้วมือ? ก็ย่อมมีช่องโหว่ การจดจำใบหน้าก็เช่นกัน

พื้นที่ใหม่พร้อมข้อขัดข้องของตัวเอง

ฤดูใบไม้ร่วง 2017 กลุ่มผู้ให้บริการมือถือในสหรัฐฯ ประกาศว่าจะปล่อยรูปแบบการยืนยันตัวตนใหม่ที่ควรแก้ข้อบกพร่องข้างต้น แม้จะดูน่าประทับใจ แต่ไม่มีรายละเอียดมากเกี่ยวกับ วิธีการ ที่การยืนยันตัวตนใหม่นี้จะทำงาน

กลุ่มที่รู้จักว่า Mobile Authentication Taskforce กล่าวว่าวิธีใหม่จะ "ลดความเสี่ยงข้อมูลระบุตัวตนมือถือ โดยวิเคราะห์ข้อมูลและรูปแบบกิจกรรมบนเครือข่ายมือถือ เพื่อทำนายด้วยระดับความมั่นใจสูง ว่าผู้ใช้คือผู้ที่พวกเขากล่าวว่าเป็น"

นี่ดูเหมือนว่าพวกเขาจะติดตามการเคลื่อนไหวและรูปแบบข้อมูลจากผู้ใช้มือถือ และใช้สร้าง "Fingerprint" ของข้อมูลระบุตัวตน หากมีการเบี่ยงเบนมากเกินไปจากรูปแบบนี้ (เช่น โทรศัพท์ของคุณอยากลับ 런던 ทันใดนั้น และไม่ล็อกอินเว็บไซต์ที่คุณมักเข้า) จึงปลอดภัยที่จะสรุปว่าข้อมูลระบุตัวตนของผู้ใช้ถูกคุกคาม

แม้จะดูน่าตื่นเต้นบ้าง แต่มันก็ก่อให้เกิดความกังวลในผู้อื่นที่กังวลเรื่องความเป็นส่วนตัวและความสามารถควบคุมข้อมูลของตน คนมากอาจไม่สบายใจกับผู้ให้บริการมือถือติดตามการเคลื่อนไหวทุกอย่าง และข้อมูลทั้งหมดที่ส่งผ่านเว็บ และถ้ารัฐบาลต้องการสั่งโอนบันทึกข้อมูลนี้ ล่ะ?

คุณฝ่ายไหน? คุณเชื่อว่า วิธีการยืนยันตัวตนใหม่ของ MAT เป็นขั้นตอนไปข้างหน้าในการหยุดแฮกเกอร์? หรือความกังวลเรื่องความเป็นส่วนตัวพอที่จะทำให้คุณลดใจ? บอกเราในความคิดเห็น!