การยืนยันตัวตน (Authentication) คืออะไร?
กระบวนการตรวจสอบว่าผู้ใช้เป็นบุคคลที่แท้จริงตามที่อ้างไว้ โดยใช้หลักฐาน (Credentials) 3 ประเภทหลัก:
- Something you know - รหัสผ่าน, PIN, คำถามความลับ
- Something you have - โทรศัพท์, Token, Smart Card, Security Key
- Something you are - นิ้วมือ, ใบหน้า, ราตินา, เสียง (Biometrics)
Two-Factor Authentication (2FA) คืออะไร?
ระบบที่ต้องการ 2 ประเภทของหลักฐาน จากหมวดหมู่ที่ต่างกัน ตัวอย่างทั่วไป:
- รหัสผ่าน (Knowledge) + รหัส OTP ทาง SMS/Authenticator App (Possession)
- รหัสผ่าน (Knowledge) + นิ้วมือ/ใบหน้า (Inherence)
Multi-Factor Authentication (MFA) ต่างจาก 2FA อย่างไร?
MFA ใช้หลักฐาน 2 ประเภทขึ้นไป อาจมากกว่า 2 ขั้นตอน ขึ้นอยู่กับระดับความปลอดภัยที่ต้องการ
ประเภทของ 2FA/MFA ที่นิยมใช้
| ประเภท | ตัวอย่าง | ระดับความปลอดภัย |
|---|---|---|
| SMS OTP | รหัสส่งทางข้อความ | ปานกลาง (มีความเสี่ยง SIM Swap) |
| Authenticator App (TOTP) | Google Authenticator, Microsoft Authenticator, Authy | สูง |
| Push Notification | Duo, Microsoft Authenticator ส่งการแจ้งเตื่อนอนุมัติ | สูง |
| Hardware Security Key (FIDO/U2F) | YubiKey, Google Titan Key | สูงสุด (กัน Phishing ได้ดีที่สุด) |
| Biometrics | Fingerprint, Face ID, Windows Hello | สูง (สะดวก แต่ไม่สามารถเปลี่ยนได้หากรั่วไหล) |
| Backup Codes | รหัสสำรองพิมพ์ไว้ | สำรองฉุกเฉิน |
โปรโตคอลการยืนยันตัวตนเครือข่าย
- PAP (Password Authentication Protocol) - ส่งรหัสผ่านแบบ Clear Text ไม่ปลอดภัย
- CHAP (Challenge-Handshake Authentication Protocol) - ใช้ Challenge-Response ปลอดภัยกว่า
- EAP (Extensible Authentication Protocol) - Framework รองรับหลายวิธี (EAP-TLS, EAP-TTLS, PEAP, EAP-FAST)
- RADIUS - เซิร์ฟเวอร์กลางจัดการ Authentication, Authorization, Accounting (AAA)
Single Sign-On (SSO) คืออะไร?
ระบบให้ผู้ใช้ Login ครั้งเดียว เข้าถึงหลายระบบ/แอปพลิเคชันได้ โดยมักรวมกับ Identity Provider (IdP) เช่น Azure AD, Okta, Keycloak
2FA ปลอดภัย 100% ไหม?
ไม่ แม้ 2FA เพิ่มความปลอดภัยมาก แต่ยังมีความเสี่ยง:
- Phishing แบบ Real-time - แฮกเกอร์สร้างเว็บปลอม ขอรหัสผ่าน แล้วขอ OTP ทันที
- SIM Swapping - โอนเบอร์โทรศัพท์ไปยัง SIM ของแฮกเกอร์ (เฉพาะ SMS OTP)
- Malware บนอุปกรณ์ - ขโมย Session Cookie หรือ Token
- Social Engineering - หลอกให้ผู้ใช้กด Approve บน Push Notification
แนะนำ: ใช้ Hardware Security Key (FIDO2/WebAuthn) หรือ Authenticator App แทน SMS
ตัวอย่าง 2FA ในชีวิตประจำวัน
- ATM - บัตร ATM (Possession) + PIN (Knowledge)
- Internet Banking - รหัสผ่าน + OTP Token/App
- Office 365/Google Workspace - รหัสผ่าน + Authenticator App
วิธีเปิดใช้งาน 2FA
- เข้า Settings > Security > Two-Factor Authentication
- เลือกวิธี: Authenticator App (แนะนำ), SMS, Security Key
- สแกน QR Code ด้วยแอป Authenticator
- บันทึก Backup Codes ไว้ที่ปลอดภัย
- ทดสอบ Login ใหม่
สรุป
2FA/MFA เป็นมาตรการพื้นฐานที่ทุกองค์กรและบุคคลควรเปิดใช้งาน สำคัญคือ เลือกวิธีที่ปลอดภัย (Authenticator App/Hardware Key) และ เก็บ Backup Codes ไว้เผื่ออุปกรณ์หลักหาย
