Authentication (การยืนยันตัวตน) ใน Network Security คืออะไร?
กระบวนการ ตรวจสอบความถูกต้องของข้อมูลประจำตัว (Credentials) เพื่อยืนยันว่า "คุณคือใคร" ก่อนอนุญาตให้เข้าถึงทรัพยากรเครือข่าย แตกต่างจาก Authorization (การอนุญาต) ที่ตัดสินว่า "คุณทำอะไรได้บ้าง"
3 ปัจจัยการยืนยันตัวตน (Authentication Factors)
| Factor | ชื่อเรียก | ตัวอย่าง | ความปลอดภัย |
|---|---|---|---|
| Something You Know | Knowledge Factor | Password, PIN, Passphrase, Security Questions | ต่ำ (เดาได้, โดนขโมย, Phishing) |
| Something You Have | Possession Factor | Phone (OTP), Hardware Token (YubiKey), Smart Card, Badge | ปานกลาง-สูง (ต้องมีอุปกรณ์จริง) |
| Something You Are | Inherence Factor (Biometrics) | Fingerprint, Face ID, Iris/Retina, Voice, Typing Pattern | สูง (ยากที่จะปลอม) แต่ไม่สามารถเปลี่ยนได้หากรั่วไหล |
ประเภทการยืนยันตัวตน (Authentication Types)
- Single-Factor (SFA): 1 Factor (มักแค่ Password) - ไม่ปลอดภัย
- Two-Factor (2FA): 2 Factors จากหมวดต่างกัน (Password + OTP) - มาตรฐานขั้นต่ำ
- Multi-Factor (MFA): 2+ Factors - แนะนำสำหรับระบบสำคัญ
- Three-Factor (3FA): Password + Token + Biometric - ความปลอดภัยสูงสุด
- Single Sign-On (SSO): Login 1 ครั้ง เข้าระบบหลายระบบ (Kerberos, SAML, OIDC)
- Passwordless: ไม่ใช้ Password ใช้ FIDO2/WebAuthn, Magic Link, Biometrics
โปรโตคอลการยืนยันตัวตนเครือข่าย (Network Authentication Protocols)
| Protocol | Layer | คุณสมบัติ | ใช้งาน |
|---|---|---|---|
| PAP | PPP/L2 | Clear-text, 2-way | Legacy, ไม่แนะนำ |
| CHAP | PPP/L2 | Challenge-Response, 3-way, Periodic re-auth | PPP, VPN Legacy |
| MS-CHAPv2 | PPP/L2 | Microsoft CHAP, Mutual Auth, Weak Crypto | PPTP, Old VPN |
| EAP-MD5 | EAP/L2 | CHAP ใน EAP, No Mutual Auth | Rare |
| EAP-TLS | EAP/L2 | Certificate-based, Mutual Auth, Strongest | Enterprise Wi-Fi (802.1X), VPN |
| PEAP (EAP-MSCHAPv2) | EAP/L2 | TLS Tunnel + MS-CHAPv2, Server Cert Only | Enterprise Wi-Fi, VPN (Common) |
| EAP-TTLS | EAP/L2 | TLS Tunnel + Any Inner Auth | Enterprise Wi-Fi |
| EAP-FAST | EAP/L2 | PAC-based, No Cert Required | Cisco Wireless |
| Kerberos | L7/Application | Ticket-based, SSO, Mutual Auth, Windows Domain | Active Directory, Enterprise SSO |
| SAML 2.0 | L7/Application | XML-based, IdP/SP, Web SSO, Federation | Cloud Apps, Enterprise SSO |
| OIDC / OAuth 2.0 | L7/Application | JSON/REST, IdP/IdP, Modern Web/Mobile SSO | Google, Microsoft, GitHub, Modern Apps |
| RADIUS | L7/Application | AAA Protocol (Auth, Authz, Accounting) | 802.1X, VPN, ISP, Network Devices |
| TACACS+ | L7/Application | Cisco AAA, Separate Auth/Authz/Acc, TCP | Network Device Admin (CLI) |
| FIDO2 / WebAuthn | L7/Application | Passwordless, Public Key Crypto, Hardware Key | Modern Web Auth, YubiKey, Passkeys |
802.1X / EAP Framework (Enterprise Wi-Fi/VPN)
- Supplicant: Client (Laptop, Phone)
- Authenticator: Switch/AP/Controller (Pass-through)
- Authentication Server: RADIUS (FreeRADIUS, ISE, NPS, Aruba ClearPass)
- Flow: Supplicant → EAPOL → Authenticator → RADIUS (EAP) → Accept/Reject
Best Practices สำหรับ Authentication Security
- Enforce MFA ทุกที่ที่เป็นไปได้ (Admin, VPN, Cloud, Email, Critical Systems)
- ใช้ Passwordless / FIDO2 / Passkeys ลดความเสี่ยง Phishing/Credential Theft
- Password Policy: Min 12 chars, No Complexity Requirement (NIST 800-63B), Check Breached Passwords (HaveIBeenPwned)
- Account Lockout / Rate Limiting ป้องกัน Brute Force
- Session Management: Short TTL, Secure Cookies (HttpOnly, Secure, SameSite), Invalidate on Password Change
- Privileged Access Management (PAM): Just-in-Time Access, Session Recording, Approval Workflow
- Certificate-based Auth (EAP-TLS, mTLS) สำหรับ Machine-to-Machine, IoT, VPN
- Monitor & Alert: Failed Logins, Impossible Travel, New Device, MFA Fatigue (Push Spam)
- Zero Trust: Never Trust, Always Verify - Continuous Authentication
คำถามที่พบบ่อย
Authentication vs Authorization ต่างกันยังไง?
Authentication (AuthN): คุณคือใคร? (Who are you?) → Identity
Authorization (AuthZ): คุณทำอะไรได้บ้าง? (What can you do?) → Permissions
Biometrics ปลอดภัยที่สุดไหม?
Biometrics เป็น Factor ที่แข็งแกร่ง (Something You Are) แต่ ไม่สามารถเปลี่ยนได้ หากรั่วไหล ควรใช้ร่วมกับ Factor อื่น (MFA) ไม่ใช่ Single Factor
Kerberos vs SAML vs OIDC
- Kerberos: Enterprise Internal, Windows Domain, Ticket-based
- SAML: Enterprise Web SSO, Federation, XML, Older
- OIDC/OAuth2: Modern Web/Mobile, JSON/REST, API-Friendly, Standard Now
สรุป
Authentication เป็นบ่อนกลางความปลอดภัย ต้องใช้ MFA ขั้นต่ำ แนะนำ Passwordless/FIDO2 สำหรับระบบสำคัญ เลือก Protocol ให้เหมาะสม: EAP-TLS/PEAP (802.1X), Kerberos (AD), OIDC (Cloud/App), RADIUS/TACACS+ (Network Device), FIDO2 (User Login) และติดตาม Log/Alert อย่างต่อเนื่อง
