home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

วิธีการยืนยันตัวตน (Authentication) ในความปลอดภัยเครือข่าย: ประเภท ตัวอย่าง และแนวทางเลือกใช้

Authentication คืออะไร?

กระบวนการตรวจสอบยืนยันตัวตนของผู้ใช้ อุปกรณ์ หรือกระบวนการ ว่าเป็นผู้ที่แท้จริงก่อนอนุญาตให้เข้าถึงทรัพยากร เป็นฐานสำคัญของ Access Control (I&A - Identification and Authentication)

3 ปัจจัยหลักของการยืนยันตัวตน (Authentication Factors)

ปัจจัย (Factor)คำอธิบายตัวอย่างข้อดี/ข้อเสีย
Something You Know (Knowledge)ข้อมูลลับที่ผู้ใช้จดจำได้Password, PIN, Passphrase, Security Questionsง่าย/ราคาถูก แต่เสี่ยงต่อการโจมตี (Phishing, Brute-force, Reuse)
Something You Have (Possession)อุปกรณ์หรือวัตถุครอบครองSmartphone (OTP App), Hardware Token (YubiKey), Smart Card, SMS/Email OTPปลอดภัยกว่า Password เดียว แต่อาจสูญหาย/เสียหาย/โดนขโมย SIM Swap
Something You Are (Inherence/Biometric)ลักษณะเฉพาะทางกายวิภาค/พฤติกรรมFingerprint, Face ID, Iris, Voice, Typing Rhythm, Gaitสะดวก ไม่จำได้ยากลอก แต่มีปัญหาความเป็นส่วนตัว False Accept/Reject Rate ไม่สามารถเปลี่ยนได้หากรั่วไหล

ประเภทและวิธีการยืนยันตัวตนที่นิยมใช้

1. Single-Factor Authentication (SFA)

ใช้เพียง 1 ปัจจัย (มักเป็น Password) - ไม่แนะนำสำหรับระบบสำคัญ

2. Two-Factor Authentication (2FA) / Multi-Factor Authentication (MFA)

รวม 2 ปัจจัยขึ้นไป จากกลุ่มที่ต่างกัน (เช่น Password + OTP App) - มาตรฐานขั้นต่ำปัจจุบัน

  • TOTP (Time-based OTP): Google Authenticator, Microsoft Authenticator, Authy (RFC 6238)
  • Push Notification: Duo, Okta Verify, Microsoft Authenticator (ต้องมีอินเทอร์เน็ต)
  • Hardware Token (FIDO2/WebAuthn): YubiKey, Google Titan, Feitian - กัน Phishing ได้ดีที่สุด
  • SMS/Email OTP: ใช้ง่าย แต่ถูก NISTDeprecate สำหรับระบบสำคัญ (เสี่ยง SIM Swap, SS7 Attack)

3. Certificate-Based Authentication (PKI)

ใช้ Digital Certificate (X.509) ที่ออกโดย CA ทรัสต์ ใช้ใน Mutual TLS (mTLS), VPN, Wi-Fi Enterprise (EAP-TLS), Smart Card/PIV

4. Biometric Authentication

Fingerprint, Face Recognition, Iris Scan, Voice, Behavioral (Keystroke, Mouse Dynamics) ใช้ร่วมกับ MFA (Biometric + PIN/Token)

5. Token-Based Authentication (OAuth 2.0 / OpenID Connect / SAML)

  • Access Token (JWT): ใช้เรียก API/Resource Server
  • ID Token: ข้อมูลตัวตนผู้ใช้ (OpenID Connect)
  • Refresh Token: ขอ Access Token ใหม่โดยไม่ต้อง Login ซ้ำ
  • SAML Assertion: Enterprise SSO (AD FS, Azure AD, Okta, PingFederate)

6. Kerberos (Ticket-Granting Ticket)

Protocol มาตรฐานสำหรับ Authentication ใน Windows Domain (Active Directory) ใช้ Symmetric Key Cryptography และ Trusted Third Party (KDC)

7. RADIUS / TACACS+ (Network Device Authentication)

Centralized AAA สำหรับ Network Devices (Switch, Router, Firewall, VPN, Wi-Fi 802.1X)

4 รูปแบบทั่วไปของ Credential (General Forms)

  1. Knowledge: Password, PIN, Passphrase
  2. Possession: Token, Phone, Smart Card
  3. Inherence: Biometric
  4. Location/Context: GPS, IP Reputation, Device Fingerprint, Time (Adaptive/Context-Aware Authentication)

การเลือกใช้วิธีการยืนยันตัวตนที่เหมาะสม (Risk-Based / Adaptive Authentication)

ระดับความเสี่ยงตัวอย่างสถานการณ์วิธีการแนะนำ
ต่ำเข้าถึงข่าวสารสาธารณะ, BlogSFA (Password) หรือ Passwordless (Magic Link)
ปานกลางEmail ส่วนตัว, Social Media, Shopping2FA (TOTP App / Push)
สูงInternet Banking, VPN 企業, Admin Console, ข้อมูลสุขภาพMFA (FIDO2 Hardware Key + Biometric) หรือ Certificate-Based
วิกฤตRoot CA, Nuclear Launch, Air-gapped SystemsMulti-person Control (Dual Control), Hardware Token + Biometric + Physical Access

โปรโตคอลและมาตรฐานสำคัญ

  • FIDO2 / WebAuthn / CTAP: Passwordless, Phishing-resistant, Hardware-backed
  • OAuth 2.0 / OpenID Connect: Delegated Authorization & Authentication สำหรับ Web/Mobile App
  • SAML 2.0: Enterprise SSO, Federation
  • RADIUS (RFC 2865) / TACACS+: Network Device Admin & 802.1X
  • Kerberos (RFC 4120): Windows Domain Authentication
  • LDAP / Active Directory: Directory Service Authentication

แนวทางปฏิบัติที่ดีที่สุด (Best Practices)

  1. บังคับ MFA สำหรับทุกบัญชีที่มีสิทธิ์สูง และการเข้าถึงระยะไกล (VPN, Remote Desktop)
  2. เลิกใช้ Password เดียว (SFA) สำหรับระบบสำคัญ
  3. ใช้ Password Manager สร้าง/จัดเก็บรหัสผ่านที่ซับซ้อนและไม่ซ้ำกัน
  4. นำ FIDO2/WebAuthn Hardware Key (YubiKey) มาใช้สำหรับ Admin/Developer/High-value Targets
  5. ปิดใช้งาน SMS/Email OTP สำหรับระบบที่มีความเสี่ยงสูง
  6. ติดตามและวิเคราะห์ Log การ Login (Failed attempts, Impossible travel, New device) ผ่าน SIEM/UEBA
  7. มีกระบวนการ Account Recovery ที่ปลอดภัย (ไม่ใช่แค่ Security Questions)
  8. ฝึกอบรมผู้ใช้ตลอดเวลาเกี่ยวกับ Phishing, Social Engineering, MFA Fatigue Attacks

สรุป

ไม่มีวิธีการยืนยันตัวตนแบบ "ดีที่สุด" สำหรับทุกสถานการณ์ ต้องเลือกใช้แบบ Risk-Based/Adaptive MFA รวม Knowledge + Possession + Inherence + Context ให้เข้ากับค่าของทรัพยากรและระดับความเสี่ยง โดยปัจจุบัน FIDO2 Hardware Key + Biometric ให้ความปลอดภัยสูงสุดต่อการโจมตี Phishing และ Credential Theft