VPN กับ 2FA ต่างกันและเสริมกันอย่างไร

VPN กับการยืนยันตัวตนสองขั้นตอน (2FA) มักถูกพูดถึงในประโยคเดียวกัน เพราะทั้งคู่อยู่ในรายการตรวจสอบความปลอดภัย บางคนคิดว่าทำหน้าที่เดียวกัน หรือเข้าใจว่ามีอย่างหนึ่งแล้วอีกอย่างไม่จำเป็น ซึ่งไม่จริงทั้งสองข้อ VPN เกี่ยวกับถนนที่ข้อมูลของคุณเดินทาง ส่วน 2FA เกี่ยวกับประตูที่ปลายทาง อย่างแรกกำหนดว่าใครมองเห็นคุณเดินผ่าน อย่างหลังกำหนดว่าใครเดินเข้าไปได้

บทความนี้วางสองอย่างเคียงกัน คุณจะเห็นว่าแต่ละอย่างรับมือการโจมตีแบบใด ทำไมการใช้ VPN บางครั้งทำให้ถูกขอ 2FA เพิ่ม ควรทำอย่างไรเมื่อเจอ และจัดระบบอย่างไรให้ทั้งทนทานและใช้ชีวิตได้สบาย เป็นคำแนะนำทั่วไปสำหรับผู้ใช้ทั่วไป ไม่ได้รับประกันว่ากันได้ทุกการโจมตี

วิธีแยกสองอย่างให้ง่ายที่สุด

ถามคำถามเดียวว่า การป้องกันทำงานตรงช่วงไหนของการเดินทาง

• VPN ทำงานที่การเชื่อมต่อ เข้ารหัสทราฟฟิกระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN สำคัญตอนข้อมูลกำลังเดินทาง โดยเฉพาะบนเครือข่ายที่คุณคุมไม่ได้
• 2FA ทำงานที่การล็อกอิน ต้องมีหลักฐานชิ้นที่สองนอกเหนือจากรหัสผ่านก่อนบัญชีจะให้เข้า สำคัญตอนที่มีใครสักคน ซึ่งอาจไม่ใช่คุณ พยายามล็อกอิน

เพราะทำงานคนละช่วงเวลา จึงแทนกันไม่ได้ คุณอาจเชื่อมต่อผ่าน VPN ที่ดีที่สุดแล้วยังเสียบัญชีให้คนที่รู้รหัสผ่าน หรือมี 2FA สมบูรณ์แบบแต่เจ้าของเครือข่ายโรงแรมยังเห็นข้อมูลว่าคุณเข้าเว็บไหน ภาพรวมว่า VPN ครอบคลุมและไม่ครอบคลุมอะไร ดู VPN ปกป้องอะไรคุณไม่ได้ และพื้นฐานของปัจจัยที่สอง อ่านการยืนยันตัวตนสองขั้นตอนคืออะไร

แต่ละชั้นหยุดการโจมตีแบบไหน

การโจมตี	VPN	2FA
มีคนอ่านทราฟฟิกของคุณบน Wi-Fi ที่ใช้ร่วมกัน	ช่วย	ไม่มีผล
รหัสผ่านของคุณรั่วจากเว็บที่ถูกเจาะ	ไม่มีผล	ช่วยมาก เพราะรหัสผ่านอย่างเดียวไม่พอ
มีการเดาหรือสวมรอยล็อกอินด้วยรหัสที่หลุดมา	ไม่มีผล	ช่วยมาก
คุณพิมพ์รหัสผ่านลงหน้าล็อกอินปลอม	ไม่มีผล	ช่วยบางส่วน รหัสจากแอปอาจถูกหน้าปลอมส่งต่อได้ กุญแจความปลอดภัยและ passkey ต้านได้
ผู้ให้บริการอินเทอร์เน็ตบันทึกเว็บที่คุณเข้า	ช่วย	ไม่มีผล
มีคนขโมยโทรศัพท์แล้วพยายามเปิดแอป	ไม่มีผล	ช่วยถ้าปัจจัยที่สองไม่ได้อยู่ในเครื่องที่ปลดล็อกแล้วเครื่องเดียวกัน
มัลแวร์ในอุปกรณ์	ไม่มีผล	ผลจำกัด
การสลับซิมทำให้ข้อความ SMS ไปอยู่ที่คนร้าย	ไม่มีผล	รหัส SMS ใช้ไม่ได้ผล รหัสจากแอปหรือกุญแจยังทนอยู่

ตารางนี้แสดงสองคอลัมน์ที่ตรงข้ามกันเกือบหมด และนั่นคือประเด็น คือสองชั้นเสริมกัน

ปัจจัยที่สองทำงานอย่างไร

ปัจจัยที่สองที่พบบ่อยมีสี่แบบ ความแข็งแรงต่างกันมาก จึงควรรู้ความต่าง

วิธี	ทำงานอย่างไร	จุดแข็ง	จุดอ่อน
รหัส SMS	รหัสส่งมาทางข้อความ	ง่าย ใช้ได้กับทุกโทรศัพท์	ถูกดักได้ด้วยการสลับซิม และถูกฟิชชิงได้
แอปยืนยันตัวตน	รหัสตามเวลาที่สร้างบนอุปกรณ์	ไม่ต้องใช้เครือข่าย เป็น TOTP มาตรฐานตาม RFC 6238	หน้าปลอมยังส่งรหัสต่อแบบเรียลไทม์ได้
กุญแจความปลอดภัย	อุปกรณ์ฮาร์ดแวร์เล็ก ๆ ที่แตะหรือเสียบ	ต้านฟิชชิงเพราะตรวจที่อยู่เว็บจริง	ต้องพกติดตัวและมีสำรอง
Passkey	กุญแจเข้ารหัสที่เก็บบนอุปกรณ์หรือซิงก์อย่างปลอดภัย	ต้านฟิชชิงและตัดรหัสผ่านออก	การรองรับยังต่างกันตามบริการ

หน้า CISA เรื่อง multi-factor authentication อธิบายว่าทำไมปัจจัยที่สองแม้อ่อนก็ยังดีกว่าไม่มี และ FIDO Alliance อธิบายการทำงานของ passkey ส่วน NIST SP 800-63B จัดระดับแต่ละวิธี และในแนวทางนั้น SMS เป็นตัวเลือกที่ยอมรับได้ที่อ่อนที่สุด

ทำไม VPN จึงอาจทำให้ถูกขอ 2FA เพิ่ม

นี่คือจุดที่สองเครื่องมือมาพบกันในชีวิตประจำวัน และเป็นต้นเหตุความสับสนที่พบบ่อยที่สุด

บริการที่ใส่ใจความปลอดภัยจะดูบริบทของการล็อกอิน เช่น ประเทศหรือเมืองที่คุณใช้เป็นประจำ อุปกรณ์ที่ใช้ และชนิดของเครือข่าย ถ้าการล็อกอินมาจากที่ผิดปกติ ระบบอาจขอหลักฐานเพิ่มแม้รหัสผ่านถูกต้อง VPN เปลี่ยนที่อยู่ที่บริการเห็นเป็นที่อยู่ของเซิร์ฟเวอร์ VPN ในสายตาของบริการ คุณอาจดูเหมือนอยู่ในเมืองอื่นทันที หรืออยู่บนที่อยู่ที่คนอื่นอีกหลายพันคนใช้ร่วมกัน บริการจึงอาจ

• ขอรหัสทั้งที่ปกติคุณล็อกอินค้างไว้
• ส่งอีเมลแจ้งว่า "มีอุปกรณ์ใหม่ล็อกอิน"
• บล็อกการล็อกอินชั่วคราวและขอให้ยืนยันว่าเป็นคุณ
• แสดง CAPTCHA ก่อนฟอร์มล็อกอิน

ทั้งหมดนี้ไม่ได้แปลว่า VPN เสียหรือบัญชีถูกแฮก แต่หมายความว่าระบบความปลอดภัยสังเกตเห็นความเปลี่ยนแปลง โดยส่วนใหญ่ บริการจะเรียนรู้รูปแบบหลังล็อกอินไม่กี่ครั้งแล้วผ่อนลง หากไม่ผ่อนลง ดูการอภิปรายที่ยาวกว่าเรื่องแอปที่เข้มงวดได้ที่การใช้แอปธนาคารกับ VPN

ทำอย่างไรเมื่อคำถามยืนยันเริ่มขวางทาง

ทำตามลำดับนี้

1. ทำการยืนยันให้เสร็จ รหัสเพิ่มคือระบบทำหน้าที่ของมัน ใส่รหัสตามปกติ
2. ทำให้ข้อมูลกู้คืนเป็นปัจจุบัน ตรวจว่าอีเมลสำรองและรหัสสำรองใช้ได้ก่อนจะต้องใช้
3. ทำให้สม่ำเสมอ การสลับระหว่าง VPN ไม่ใช้ VPN และเน็ตมือถือบ่อย ๆ ดูน่าสงสัยกว่ารูปแบบที่คงที่ เลือกรูปแบบเดียวสำหรับบัญชีสำคัญและใช้ต่อเนื่อง
4. หยุด VPN ชั่วคราวถ้าบริการบล็อกคุณเลย ทำเฉพาะบนเครือข่ายที่ไว้ใจ เช่น Wi-Fi ที่บ้านหรือเน็ตมือถือ ล็อกอินให้เสร็จแล้วเปิดกลับ คู่มือปิด VPNแสดงวิธีทำ
5. หลีกเลี่ยงการลองซ้ำที่ล้มเหลว ความล้มเหลวหลายครั้งติดกันอาจทำให้บัญชีถูกล็อก
6. ติดต่อบริการผ่านช่องทางทางการ หากยังเข้าไม่ได้ อย่ากดลิงก์ในข้อความที่ไม่ได้คาดหมาย

สถานการณ์ตัวอย่าง

นักเดินทาง พลอยลงเครื่องในอีกประเทศ เชื่อมต่อ Wi-Fi สนามบิน เปิด VPN แล้วเปิดอีเมล ผู้ให้บริการอีเมลส่งข้อความ "มีการล็อกอินใหม่จากที่ใหม่" เธออนุมัติจากโทรศัพท์ผ่านพรอมต์ในแอปของผู้ให้บริการ ซึ่งไม่ขึ้นกับตำแหน่งเครือข่าย เธอไม่ถูกล็อกเพราะเก็บรหัสสำรองไว้และมีแอปยืนยันตัวตน หากพึ่ง SMS ซิมที่บ้านอาจรับข้อความไม่ได้ในต่างประเทศ

คนทำงานระยะไกล อรุณล็อกอินเครื่องมือของบริษัทจากร้านกาแฟคนละแห่งทุกวัน นายจ้างบังคับให้ใช้ 2FA เขาใช้กุญแจความปลอดภัยกับโน้ตบุ๊ก การล็อกอินของบริษัทตรวจเครือข่ายด้วย ที่อยู่ VPN จึงอาจกระตุ้นการตรวจรอบสอง ทีมไอทีบอกเขาแล้วว่าพฤติกรรม VPN แบบใดไม่เป็นไร และแบบใดควรเลี่ยง เขาทำตามกฎของบริษัทแทนการเดา เพราะระบบงานมักมีนโยบายของตัวเอง ดูแนวคิดทั่วไปที่VPN สำหรับทำงานระยะไกล

พ่อแม่ที่ระวัง ใหม่ช่วยพ่อตั้งค่าบัญชี เธอใส่รหัสผ่านยาวไม่ซ้ำและแอปยืนยันตัวตนให้อีเมลของพ่อ จดรหัสสำรองลงกระดาษ และติดตั้ง VPN ให้แท็บเล็ตสำหรับ Wi-Fi ร้านกาแฟที่พ่อใช้ เธออธิบายว่าถ้าธนาคารขอรหัสตอนเปิด VPN ให้กรอกได้ และห้ามอ่านรหัสให้ผู้โทรเข้าฟังเด็ดขาด

วิธีที่ 2FA ถูกเจาะ และทำไม VPN ไม่ช่วย

• ฟิชชิงแบบเรียลไทม์ หน้าปลอมขอรหัสผ่านและรหัส 2FA แล้วส่งต่อไปยังเว็บจริงทันที VPN ตรวจจับไม่ได้ เรียนรู้สัญญาณของหน้าฟิชชิง
• ถล่มคำขออนุมัติ ผู้โจมตีที่มีรหัสผ่านส่งคำขออนุมัติรัว ๆ จนคุณกด "อนุมัติ" เพราะรำคาญ ให้ปฏิเสธทุกพรอมต์ที่ไม่คาดหมายและเปลี่ยนรหัสผ่าน
• สลับซิม คนร้ายหลอกผู้ให้บริการมือถือให้ย้ายเบอร์ของคุณไปซิมของเขา ควรใช้แอปหรือกุญแจ และตั้ง PIN กับผู้ให้บริการ
• วิศวกรรมสังคม ผู้โทรแอบอ้างเป็นธนาคารและขอให้อ่านรหัส รหัสเป็นของคุณคนเดียว เจ้าหน้าที่จริงไม่ขอ
• ขโมยเซสชัน มัลแวร์ขโมยเซสชันที่ล็อกอินอยู่ในเครื่อง อัปเดตซอฟต์แวร์และไม่ติดตั้งแอปที่ไม่รู้จัก

ใช้ทั้งสองอย่างโดยไม่สะดุด

กิจวัตรที่ใช้ได้จริงซึ่งเลี่ยงทั้งการติดล็อกและช่องโหว่

1. เปิด 2FA ที่อีเมล ธนาคาร พื้นที่คลาวด์ และโซเชียลก่อน บัญชีอีเมลคือกุญแจหลักของการรีเซ็ต จึงควรป้องกันมากที่สุด
2. เก็บรหัสสำรองแบบออฟไลน์ พิมพ์หรือจดไว้และแยกจากโทรศัพท์
3. เลือกแอปยืนยันตัวตน กุญแจ หรือ passkey แทน SMS ทุกครั้งที่บริการให้เลือก
4. ใช้ VPN บนเครือข่ายที่ใช้ร่วมกันและสาธารณะ และเมื่องานหรือความเป็นส่วนตัวต้องการ ลูกค้า XPASS ล็อกอินแอป VPNclient ฟรีด้วยชื่อผู้ใช้และรหัสผ่านในหน้า My Pass และหน้าดาวน์โหลดแสดงรายการแอป
5. คาดว่าจะมีพรอมต์เพิ่มในครั้งแรก ที่ล็อกอินพร้อมเปิด VPN อนุมัติอย่างตั้งใจหลังตรวจแล้วว่าเป็นคุณ
6. ปกป้องล็อกอิน VPN ด้วย เก็บข้อมูลไว้ในตัวจัดการรหัสผ่าน ใช้รหัสไม่ซ้ำ และไม่แชร์
7. ทบทวนทุกไตรมาส ลบอุปกรณ์เก่า ลองใช้รหัสสำรองหนึ่งอัน และรีเฟรชอีเมลกู้คืน

เมื่อโทรศัพท์หายหรือเปลี่ยนเครื่อง

ปัญหาติดล็อกที่พบบ่อยที่สุดของ 2FA ไม่เกี่ยวกับ VPN เลย แต่เกิดตอนโทรศัพท์หาย พัง หรือเปลี่ยนเครื่อง และแอปยืนยันตัวตนอยู่ในเครื่องเดิมเครื่องเดียว ควรเตรียมก่อนวันนั้นมาถึง

• ก่อนเปลี่ยนเครื่อง ย้ายแอปยืนยันตัวตนไปเครื่องใหม่ตามวิธีที่แอปกำหนด อย่าเพิ่งรีเซ็ตหรือลบเครื่องเก่า จนกว่าจะล็อกอินบัญชีสำคัญด้วยเครื่องใหม่ได้ครบ
• เก็บรหัสสำรองไว้คนละที่กับโทรศัพท์ กระดาษในที่เก็บเอกสารที่บ้านดีกว่ารูปในอัลบั้มของโทรศัพท์เครื่องเดียวกัน
• ลงทะเบียนกุญแจสำรอง ถ้าใช้กุญแจความปลอดภัย ควรมีอย่างน้อยสองอัน และเก็บอันหนึ่งไว้ที่ปลอดภัย
• ตั้งวิธีกู้คืนที่สอง เช่น อีเมลสำรองที่เปิด 2FA ไว้ด้วย
• ถ้าโทรศัพท์หาย ให้ล็อกหรือลบเครื่องจากระยะไกล แจ้งผู้ให้บริการมือถือเพื่อระงับซิม แล้วเปลี่ยนรหัสผ่านอีเมลก่อนบัญชีอื่น
• เมื่ออยู่ต่างประเทศ อย่าพึ่ง SMS อย่างเดียว เพราะซิมประจำของคุณอาจรับข้อความไม่ได้ ใช้แอปหรือรหัสสำรองแทน

ทั้งหมดนี้ไม่ขึ้นกับว่าคุณเปิด VPN หรือไม่ และเป็นตัวอย่างว่าทำไม 2FA จึงต้องมีแผนของมันเอง แยกจากการเลือกเครื่องมือเครือข่าย

ข้อจำกัดที่ควรจำ

2FA ลดโอกาสที่รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวจะเปิดบัญชีได้ แต่ไม่ได้ทำให้คุณอยู่ยงคงกระพัน VPN ลดสิ่งที่เครือข่ายสังเกตได้ แต่ไม่ทำให้คุณไม่เปิดเผยตัวตนหรือปลอดภัยจากฟิชชิง ทั้งสองอย่างไม่หยุดคุณไม่ให้ถูกหลอกให้อนุมัติอะไรเอง นิสัยที่ดีที่สุดคือหยุดคิดสักครู่ก่อนอนุมัติหรือกรอกรหัส ใครขอ ที่ไหน และทำไม หากอยากรู้ว่าตัวซอฟต์แวร์ VPN ถูกโจมตีได้ไหม อ่าน VPN ถูกแฮกได้ไหม

สรุป

VPN เฝ้าการเชื่อมต่อ ส่วน 2FA เฝ้าการล็อกอิน สองอย่างรับมือการโจมตีต่างกัน จึงแทนกันไม่ได้ VPN อาจทำให้ถูกขอ 2FA เพิ่มเพราะเปลี่ยนที่อยู่ที่บริการเห็น ซึ่งเป็นปฏิกิริยาปกติไม่ใช่ความผิดพลาด ใช้ปัจจัยที่สองที่แข็งแรงที่สุดเท่าที่มี เก็บรหัสสำรองแบบออฟไลน์ ใช้รูปแบบที่สม่ำเสมอสำหรับบัญชีสำคัญ และระวังพรอมต์หรือคำขอรหัสที่ไม่คาดหมาย

หากอยากได้ชั้นการเชื่อมต่อในรูปแบบเติมเงินที่เรียบง่าย คุณสามารถดูหน้าราคาได้ตามสะดวก