Credentials (ข้อมูลประจำตัว) ใน Cybersecurity คืออะไร?
Credentials (ข้อมูลประจำตัว / ตราประจำตัว) คือ ข้อมูลที่ใช้เพื่อ ยืนยันตัวตน (Authentication) และ อนุญาตสิทธิ์ (Authorization) ให้เข้าถึงทรัพยากรระบบ/เครือข่าย/แอปพลิเคชัน เป็นหลักฐานพิสูจน์ว่า "คุณคือคุณที่คุณอ้างว่า"
ประเภทของ Credentials (Authentication Factors)
แบ่งเป็น 3 หมวดหลัก (3 Factors of Authentication):
| Factor | ชื่อเรียก | ตัวอย่าง | ความแข็งแกร่ง |
|---|---|---|---|
| Something You Know (Knowledge) | ความรู้ | Password, PIN, Passphrase, Security Questions, Pattern | อ่อนที่สุด (ถูกเดา/ขโมย/Phishing ได้) |
| Something You Have (Possession) | ของครอง | Hardware Token (YubiKey), Smartphone (Authenticator App), Smart Card, SMS/Email OTP, FIDO2 Security Key | ปานกลาง-สูง (ต้องมีของในมือ) |
| Something You Are (Inherence) | ลักษณะเฉพาะตัว | Fingerprint, Face ID, Iris Scan, Voice Recognition, Behavioral Biometrics | สูง (ยากที่จะปลอมแปลง) |
รูปแบบ Credentials ทางเทคนิค
- Username/Password: พื้นฐานสุด (Single Factor)
- API Keys / Access Tokens / JWT: Machine-to-Machine, Service Accounts
- Certificates (X.509): PKI, Mutual TLS, Smart Cards
- SSH Keys: Public/Private Key Pair (Linux/Server Admin)
- Kerberos Tickets: Enterprise Authentication (Active Directory)
- SAML/OIDC Tokens: SSO, Federation, Cloud Identity
- FIDO2/WebAuthn Credentials: Passwordless, Phishing-resistant
Credential Acceptability (ความยอมรับในข้อมูลประจำตัว) คืออะไร?
ในบริบท Cybersecurity Credential Acceptability หมายถึง เกณฑ์และกระบวนการตัดสินใจว่า Credential ใดถือว่า "ถูกต้อง" "น่าเชื่อถือ" และ "เพียงพอ" สำหรับการเข้าถึงทรัพยากรเฉพาะ
องค์ประกอบของ Credential Acceptability
- Validity (ความถูกต้อง): รูปแบบถูกต้อง ไหมวดหมดอายุ Signature ถูกต้อง
- Trustworthiness (ความน่าเชื่อถือ): ออกโดย Identity Provider (IdP) ที่ไว้ใจได้ (Google, Microsoft, Okta, Gov CA, Internal CA)
- Freshness (ความทันสมัย): ไม่ใช่ Replay Token, Timestamp ใกล้เคียง, Nonce ถูกต้อง
- Sufficiency (ความเพียงพอ): ตรงตาม Policy (MFA Required? Hardware Key Required? LoA Level?)
- Contextual Appropriateness (เหมาะสมกับบริบท): Device Health, Location, Time, Risk Score (Adaptive/Continuous Authentication)
- Authorization Alignment: Credential นี้ให้สิทธิ์เข้าถึง Resource นี้ได้จริงหรือไม่ (RBAC/ABAC/PBAC)
Credential Management Best Practices
สำหรับองค์กร (Enterprise)
- Centralized Identity (IAM/IdP): Single Source of Truth (Entra ID, Okta, Ping, Keycloak)
- MFA Everywhere: บังคับ MFA ทุกบัญชี (Phishing-resistant: FIDO2, Passkeys)
- Passwordless Authentication: ลดการพึ่งพา Password (Windows Hello, FIDO2, Magic Links)
- Privileged Access Management (PAM): Just-in-Time Access, Session Recording, Credential Vaulting (CyberArk, BeyondTrust, HashiCorp Vault)
- Secrets Management: API Keys, DB Passwords, Certs → Vault (ไม่ Hardcode ใน Code/Config)
- Credential Rotation/Expiration: Auto-rotate Service Accounts, Certs, Keys
- Monitoring & Detection: Impossible Travel, Credential Stuffing, Token Replay, Anomalous Access
- Offboarding: Revoke ทันทีเมื่อพนักงานลาออก (SCIM/Provisioning)
สำหรับบุคคล (Individual)
- ใช้ Password Manager (Bitwarden, 1Password, KeePass, Apple/Google/Chrome)
- สร้าง Unique Password ทุกไซต์ (Generator 16+ chars)
- เปิด MFA (2FA) ทุกที่ที่รองรับ เรียงความปลอดภัย: FIDO2/Hardware Key > Authenticator App (TOTP) > Push > Email > SMS
- ใช้ Passkeys (FIDO2/WebAuthn) แทน Password หากรองรับ
- ตรวจสอบ Data Breach Exposure (Have I Been Pwned, Password Manager Watchtower)
- ไม่แชร์ Credentials (แม้กับ IT Support จริง - ใช้ Secure Sharing Feature ของ Password Manager)
Credential Attacks และการป้องกัน
| การโจมตี | คำอธิบาย | การป้องกัน |
|---|---|---|
| Credential Stuffing | ใช้ Username/Password ที่รั่วไหลจากที่อื่น มาลองเข้าไซต์เป้าหมาย | Unique Passwords, MFA, Rate Limiting, Bot Detection, Breach Monitoring |
| Phishing / Spear Phishing | หลอกให้กรอก Credentials บน Fake Site | Phishing-resistant MFA (FIDO2/Passkeys), DMARC/DKIM/SPF, Training, Email Security |
| Brute Force / Password Spray | เดารหัสผ่าน (Common passwords / One password many accounts) | Account Lockout, MFA, Strong Passwords, CAPTCHA, WAF |
| Man-in-the-Middle (MitM) | ขโมย Credentials ระหว่างการส่ง (Unencrypted Wi-Fi, Rogue AP) | TLS Everywhere, Certificate Pinning, VPN, Encrypted DNS |
| Pass-the-Hash / Pass-the-Ticket | ใช้ NTLM Hash / Kerberos Ticket ที่ขโมยมาจาก Memory (LSASS) | Credential Guard, LSASS Protection, Restricted Admin Mode, Tiered Admin |
| Token Theft / Session Hijacking | ขโมย Session Cookie / JWT / OAuth Token | Short TTL, HttpOnly Secure SameSite Cookies, Token Binding, Continuous Auth |
| Supply Chain / CI/CD Credential Theft | ขโมย Secrets จาก Repo, Pipeline, Container, Developer Machine | Secrets Scanning, GitGuardian, TruffleHog, OIDC Tokens (No Static Secrets) |
มาตรฐานและเฟรมเวิร์กที่เกี่ยวข้อง
- NIST SP 800-63B (Digital Identity Guidelines): Authentication & Authenticator Assurance Levels (AAL1/2/3)
- NIST SP 800-53 (IA Family): Identification & Authentication Controls
- ISO/IEC 27001 Annex A.9: Access Control
- Zero Trust Architecture (NIST SP 800-207): Never Trust, Always Verify - Credential เป็น Core
- FIDO2 / WebAuthn / CTAP: Passwordless Standard
- OAuth 2.0 / OpenID Connect (OIDC): Delegated Authorization / Federation
สรุป
Credential Acceptability ใน Cybersecurity ไม่ใช่แค่ "รหัสผ่านถูกต้อง" แต่อย่างใด แต่เป็น กระบวนการประเมินหลายมิติ: Validity, Trustworthiness, Freshness, Sufficiency, Context, Authorization การยุคนี้กำลังเคลื่อนไปสู่ Passwordless, Phishing-resistant MFA (FIDO2/Passkeys), Continuous/Adaptive Authentication, และ Zero Trust โดยที่ Credential ถูกประเมินซ้ำๆ ตลอด Session ไม่ใช่แค่ตอน Login
