Authentication (การยืนยันตัวตน) ใน Network Security คืออะไร?
กระบวนการ ยืนยันตัวตน ว่าผู้ใช้ อุปกรณ์ หรือกระบวนการ (Process) เป็น "ผู้ที่แท้จริง" ตามที่อ้าง ก่อนอนุญาตให้เข้าถึงทรัพยากรเครือข่าย (Network Resources, Data, Applications)
แตกต่างจาก Authorization (การอนุญาต) ที่ตัดสินว่าผู้ใช้ที่ยืนยันตัวตนแล้ว "มีสิทธิ์ทำอะไรได้บ้าง"
3 ปัจจัยหลักของการยืนยันตัวตน (Authentication Factors)
| Factor | ชื่อเรียก | ตัวอย่าง |
|---|---|---|
| Something You Know | Knowledge Factor | Password, PIN, Passphrase, Security Question |
| Something You Have | Possession Factor | Smartphone (OTP App), Hardware Token (YubiKey), Smart Card, SMS/Email OTP |
| Something You Are | Inherence Factor (Biometrics) | Fingerprint, Face ID, Iris Scan, Voice Recognition, Palm Vein |
ประเภทการยืนยันตัวตนตามจำนวนปัจจัย
- Single-Factor (SFA): ใช้แค่ 1 ปัจจัย (มักแค่ Password) - อ่อนแอ
- Two-Factor (2FA): ใช้ 2 ปัจจัย (Password + OTP) - มาตรฐานขั้นต่ำปัจจุบัน
- Multi-Factor (MFA): ใช้ 2 ปัจจัยขึ้นไป (อาจรวม Biometric) - แนะนำให้ใช้
- Four-Factor (4FA): เพิ่ม Location/Time (Geolocation, Time-based) - ความปลอดภัยสูงสุด
โปรโตคอลและวิธีการยืนยันตัวตนสำคัญในเครือข่าย
1. ระบบเก่า / พื้นฐาน
- PAP (Password Authentication Protocol): ส่ง Password แบบ Clear Text - ไม่ปลอดภัย
- CHAP (Challenge-Handshake Authentication Protocol): Server ส่ง Challenge → Client Hash (Password+Challenge) ส่งกลับ → Server Verify - ดีกว่า PAP แต่ยังมีช่องโหว่
- MS-CHAPv2: Microsoft version ใช้ใน VPN/PPTP แบบเก่า
2. 802.1X / EAP (Extensible Authentication Protocol) - มาตรฐาน Enterprise
Framework สำหรับ Authentication แบบปลอดภัย ใช้กับ WPA2/WPA3-Enterprise, VPN, Wired 802.1X
- EAP-TLS: ใช้ Certificate ทั้ง Client และ Server (ปลอดภัยที่สุด ต้องมี PKI)
- PEAP-MSCHAPv2 (PEAPv0/EAP-MSCHAPv2): ใช้ Server Certificate + User/Pass (นิยม Enterprise)
- EAP-TTLS/PAP: Tunnel TLS + PAP ภายใน (รองรับ Legacy)
- EAP-FAST: Cisco PAC-based (เร็วกว่า PEAP)
- EAP-SIM/AKA/AKA': ใช้ SIM Card (Mobile Network)
3. Kerberos
Ticket-based Authentication ใช้ใน Windows Active Directory (Domain) ใช้ Symmetric Key + TGT (Ticket Granting Ticket) + Service Tickets
4. RADIUS / TACACS+
- RADIUS (UDP 1812/1813): AAA (Authentication, Authorization, Accounting) ใช้กับ 802.1X, VPN, Wi-Fi Enterprise
- TACACS+ (TCP 49): Cisco Proprietary แยก Auth/Authz/Acct ชัดเจน ใช้จัดการ Network Device (Router/Switch/Firewall)
5. Modern / Cloud Identity
- SAML 2.0: Web SSO (Enterprise Apps)
- OAuth 2.0 / OpenID Connect (OIDC): Authorization/Authentication สำหรับ Web/Mobile/API
- FIDO2 / WebAuthn / Passkeys: Passwordless Authentication (Hardware Key, Biometric) - อนาคตของ Authentication
6. VPN Authentication
- IPsec VPN: Pre-shared Key (PSK) + XAUTH (User/Pass) หรือ Certificate (IKEv2)
- SSL VPN: User/Pass + MFA (OTP/Push)
- WireGuard: Public/Private Key Pair (Simple, Modern)
ทำไม Authentication จึงสำคัญ?
- เส้นป้องกันแรก (First Line of Defense) ป้องกัน Unauthorized Access
- ลดความเสี่ยง Credential Theft, Phishing, Brute Force
- ปฏิบัติตาม Compliance (PCI-DSS, HIPAA, GDPR ต้องการ MFA)
- รองรับ Zero Trust Architecture (Verify Explicitly)
แนวทางปฏิบัติที่ดีที่สุด (Best Practices)
- บังคับ MFA ทุกที่ที่เป็นไปได้ (Admin, VPN, Cloud Console, Email)
- เลิกใช้ Password เดี่ยว ใช้ Passphrase ยาว + MFA
- ใช้ Password Manager สร้าง/จัดเก็บรหัสผ่านที่ซับซ้อนและไม่ซ้ำ
- Deploy 802.1X (WPA3-Enterprise) สำหรับ Wi-Fi บริษัท
- ใช้ FIDO2/WebAuthn (Passkeys) แทน Password เมื่อรองรับได้
- Monitor & Alert: Failed logins, Impossible travel, New device/location
- Privileged Access Management (PAM): จัดการ Credential ระดับ Admin แยกต่างหาก
