Authentication (การยืนยันตัวตน) ใน Network Security
Authentication คือกระบวนการตรวจสอบว่าผู้ใช้หรืออุปกรณ์เป็น "ผู้ที่แท้จริง" ตามที่อ้างอ้าง ก่อนอนุญาตให้เข้าถึงทรัพยากรเครือข่าย เป็น Control ประเภท Preventive (ป้องกัน) และเป็นควบคุมพื้นฐานของ Access Control (AAA: Authentication, Authorization, Accounting)
Authentication Factors (3+1 Factors)
| Factor | ประเภท | ตัวอย่าง | ความแข็งแกร่ง |
|---|---|---|---|
| Something You Know | Knowledge | Password, PIN, Passphrase, Security Questions | อ่อน (ถูกเดา/โจมตีได้) |
| Something You Have | Possession | Smartphone (OTP), Hardware Token (YubiKey), Smart Card, Certificate | ปานกลาง-สูง |
| Something You Are | Inherence (Biometrics) | Fingerprint, Face ID, Iris, Voice, Behavioral Biometrics | สูง (ยากปลอม) |
| Somewhere You Are | Location/Context | GPS, IP Geolocation, Network Context, Time-based | เสริม (Adaptive Auth) |
ประเภท Authentication หลัก
- Single-Factor (SFA): ใช้แค่ 1 Factor (เช่น Password เท่านั้น) - ไม่แนะนำสำหรับระบบสำคัญ
- Two-Factor (2FA): ใช้ 2 Factors (Password + OTP) - มาตรฐานขั้นต่ำปัจจุบัน
- Multi-Factor (MFA): ใช้ 2+ Factors - แนะนำให้ใช้ทุกระบบสำคัญ
- Single Sign-On (SSO): ล็อกอินครั้งเดียว เข้าระบบหลายระบบ (SAML, OIDC, Kerberos)
- Passwordless: ไม่ใช้รหัสผ่าน ใช้ FIDO2/WebAuthn, Magic Links, Certificates
โปรโตคอลและมาตรฐานสำคัญ
- Kerberos: Ticket-based, Mutual Authentication, ใช้ใน Windows Active Directory
- RADIUS (AAA): Centralized Auth สำหรับ Network Access (VPN, Wi-Fi 802.1X)
- TACACS+: Cisco proprietary, แยก Auth/Authz/Acct ชัดเจน
- SAML 2.0 / OIDC / OAuth 2.0: Federation, SSO, Web/Mobile Apps
- FIDO2 / WebAuthn / CTAP: Passwordless, Hardware Security Keys (YubiKey)
- EAP (Extensible Authentication Protocol): Framework สำหรับ Wi-Fi/VPN (EAP-TLS, PEAP, EAP-TTLS)
Network Access Control (NAC) และ Authentication
NAC ใช้ Authentication ร่วมกับ Posture Assessment (Health Check) ก่อนปล่อยเข้าถึงเครือข่าย:
- 802.1X (Port-based NAC) - มาตรฐานอุตสาหกรรม
- Agent-based vs Agentless (Dissolvable)
- Integration กับ MDM/EMM สำหรับ BYOD
- Guest/Captive Portal Authentication
Best Practices
- บังคับ MFA ทุกระบบ Critical (VPN, Admin Console, Email, Cloud)
- ใช้ Passwordless / FIDO2 ที่ทำได้
- Password Policy: ความยาว 12+ ไม่ซ้ำ ไม่หมุนเวียน บังคับใช้ Password Manager
- Adaptive/Context-aware Auth: ประเมิน Risk (Device, Location, Behavior) ปรับระดับ Auth
- Session Management: Timeout, Re-auth สำหรับการกระทำเสี่ยง
- Audit & Monitor: Log ทุก Authentication Event ส่ง SIEM
Authentication vs Authorization
Authentication (AuthN): "คุณคือใคร?" - ยืนยันตัวตน
Authorization (AuthZ): "คุณได้ทำอะไร?" - ให้สิทธิ์ตาม Role/Policy (RBAC, ABAC, PBAC)
