การยืนยันตัวตนสองขั้นตอน (2FA) คืออะไร

รหัสผ่านเป็นความลับชิ้นเดียว และความลับชิ้นเดียวมีจุดอ่อน คือถ้าใครรู้ เขาก็กลายเป็นคุณได้ รหัสผ่านรั่วไหลจากการแฮกฐานข้อมูล ถูกเดา ถูกใช้ซ้ำหลายเว็บ และถูกส่งให้หน้าล็อกอินปลอม การยืนยันตัวตนสองขั้นตอน (2FA) เพิ่มการตรวจอีกชั้น เพื่อให้รหัสผ่านที่รั่วเพียงอย่างเดียวเปิดบัญชีไม่ได้

คู่มือนี้อธิบายแนวคิด เปรียบเทียบวิธีที่พบบ่อยด้วยภาษาง่าย ๆ พาตั้งค่าและกู้คืน และบอกตรง ๆ ว่า 2FA ทำอะไรไม่ได้

แนวคิด: หลักฐานสองประเภทที่ต่างกัน

การยืนยันตัวตนคือการพิสูจน์ว่าคุณเป็นคนที่อ้าง หลักฐานแบ่งกว้าง ๆ เป็นสามประเภท เรียกว่าปัจจัย

• สิ่งที่คุณรู้: รหัสผ่าน PIN หรือคำตอบของคำถาม
• สิ่งที่คุณมี: โทรศัพท์ กุญแจรักษาความปลอดภัยแบบฮาร์ดแวร์ หรือสมาร์ตการ์ด
• สิ่งที่คุณเป็น: ลายนิ้วมือ ใบหน้า หรือข้อมูลชีวมิติอื่น

2FA ต้องใช้สองอย่างจากคนละประเภท รหัสผ่านบวก PIN เป็น "สิ่งที่คุณรู้" ทั้งคู่ จึงไม่ใช่ 2FA จริง ส่วนรหัสผ่านบวกรหัสจากโทรศัพท์ใช่ เมื่อบริการเปิดให้ใช้มากกว่าสองอย่าง เรียกรวมว่า multi-factor authentication (MFA) และคำแนะนำของ CISA อธิบายว่าทำไมจึงสำคัญกับบัญชีประจำวัน

ประโยชน์ตรงไปตรงมา ผู้โจมตีที่มีรหัสผ่านของคุณต้องควบคุมโทรศัพท์หรือกุญแจของคุณด้วย ซึ่งทำจากระยะไกลได้ยากกว่ามาก

เปรียบเทียบวิธีหลัก

วิธี	ทำงานอย่างไร	จุดแข็ง	จุดอ่อน
รหัส SMS	ข้อความที่มีรหัส	ง่าย ไม่ต้องติดตั้งแอป	ถูกดักได้ ถูกย้ายด้วยการสลับซิม หรือถูกฟิชชิ่ง
รหัสทางอีเมล	รหัสที่ส่งไปกล่องจดหมาย	ง่าย	ปลอดภัยเท่าบัญชีอีเมลเท่านั้น
แอปยืนยันตัวตน	แอปสร้างรหัสที่เปลี่ยนทุก 30 วินาที	ใช้ออฟไลน์ได้ ไม่ต้องมีสัญญาณโทรศัพท์	ยังพิมพ์รหัสลงหน้าปลอมได้
การอนุมัติแบบ push	ข้อความเด้งบนโทรศัพท์ให้กดอนุมัติหรือปฏิเสธ	เร็ว	ผู้ใช้กดอนุมัติสิ่งที่ตนไม่ได้เริ่มเมื่อเหนื่อยหรือรีบ
กุญแจรักษาความปลอดภัยฮาร์ดแวร์	กุญแจจริงที่แตะหรือเสียบ	ทนฟิชชิ่ง แข็งแรงมาก	ต้องพกติดตัว ต้องซื้อสำรอง
Passkey	กุญแจเข้ารหัสลับที่เก็บในอุปกรณ์ ปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือ PIN	ทนฟิชชิ่ง ไม่ต้องพิมพ์รหัสผ่าน	ใช้ได้เฉพาะเว็บและอุปกรณ์ที่รองรับ

รหัสจากแอปยืนยันตัวตนทำงานอย่างไร

แอปยืนยันตัวตนใช้มาตรฐานรหัสผ่านใช้ครั้งเดียวตามเวลา หรือ TOTP ซึ่งกำหนดไว้ใน RFC 6238 ตอนลงทะเบียน เว็บและแอปของคุณแชร์ความลับร่วมกัน มักผ่าน QR code หลังจากนั้นทั้งสองฝั่งคำนวณรหัสสั้น ๆ ตัวเดียวกันจากความลับและเวลาปัจจุบัน รหัสจึงเปลี่ยนทุก 30 วินาทีและใช้ได้โดยไม่ต้องมีเครือข่าย

เพราะความลับถูกเก็บไว้ในอุปกรณ์ของคุณ ให้ถือว่าอุปกรณ์และการสำรองข้อมูลของแอปเป็นของสำคัญ

กุญแจรักษาความปลอดภัยและ passkey

กุญแจรักษาความปลอดภัยและ passkey สร้างบนมาตรฐานของ FIDO Alliance แทนที่จะให้คุณพิมพ์รหัส อุปกรณ์พิสูจน์ว่าครอบครองกุญแจส่วนตัวที่ไม่เคยออกจากเครื่อง กุญแจผูกกับที่อยู่เว็บจริง หน้าปลอมที่เลียนแบบจึงใช้ไม่ได้ นี่คือเหตุผลที่ถือว่าเป็นตัวเลือกที่แข็งแรงที่สุดต่อฟิชชิ่ง ซึ่งอ่านเพิ่มได้ที่วิธีสังเกตเว็บไซต์ฟิชชิ่ง

แนวปฏิบัติด้าน digital identity ของ NIST อธิบายลำดับเดียวกันด้วยภาษาเทคนิคมากขึ้น โดยจัด SMS เป็นวิธีที่อ่อนกว่าและ "จำกัด" และแนะนำตัวเลือกที่ทนฟิชชิ่งสำหรับบัญชีที่เสี่ยงสูง

เปิดใช้ที่ไหนก่อน

ไม่จำเป็นต้องปกป้องทุกบัญชีในวันแรก เริ่มจากที่ที่ถูกยึดแล้วเสียหายมากที่สุด

1. บัญชีอีเมลหลักของคุณ เป็นกุญแจรีเซ็ตรหัสผ่านทุกที่อื่น
2. บัญชีธนาคาร ชำระเงิน และช็อปปิ้ง
3. บัญชีคลาวด์และรูปภาพ
4. โซเชียลมีเดียและแอปแชท การยึดบัญชีเหล่านี้ใช้หลอกคนในรายชื่อของคุณ
5. บัญชีที่ทำงาน ตามนโยบายของนายจ้าง
6. โปรแกรมจัดการรหัสผ่านทุกตัว

วิธีตั้งค่า

ขั้นตอนต่างกันเล็กน้อยในแต่ละบริการ แต่ลำดับมักเหมือนกัน

1. เปิดการตั้งค่าความปลอดภัยของบัญชี หาคำว่า "การยืนยันแบบสองขั้นตอน" "2FA" หรือ "multi-factor authentication"
2. เลือกวิธี หากทำได้ เลือกแอปยืนยันตัวตน กุญแจรักษาความปลอดภัย หรือ passkey แทน SMS
3. หากใช้แอป สแกน QR code ด้วยแอปยืนยันตัวตนแล้วกรอกรหัสแรกเพื่อยืนยัน
4. บันทึกรหัสสำรองที่บริการแสดงให้ เก็บไว้แบบออฟไลน์หรือในโปรแกรมจัดการรหัสผ่าน ไม่ใช่ภาพหน้าจอที่อยู่ในโทรศัพท์เครื่องเดียวกัน
5. ลงทะเบียนวิธีหรืออุปกรณ์ที่สอง หากบริการอนุญาต เช่นกุญแจเครื่องที่สอง
6. ทดสอบโดยออกจากระบบแล้วล็อกอินใหม่

ตัวอย่าง

สมชายใช้รหัสผ่านเดียวกันทั้งกับเว็บช็อปปิ้งเก่าและอีเมล เว็บช็อปปิ้งถูกแฮก ผู้โจมตีนำรหัสนั้นมาลองกับอีเมลของเขา

• ถ้าไม่มี 2FA บัญชีอีเมลเปิดได้ ผู้โจมตีใช้ลิงก์รีเซ็ตรหัสผ่านยึดบัญชีอื่นของสมชายต่อ
• ถ้ามีแอปยืนยันตัวตน ผู้โจมตีมีรหัสผ่านแต่ไม่มีรหัสหกหลัก การล็อกอินล้มเหลว และสมชายอาจได้รับการแจ้งเตือนเรื่องความพยายามนั้นด้วย

การใช้รหัสผ่านซ้ำยังเป็นความผิดพลาด แต่ปัจจัยที่สองกันไม่ให้กลายเป็นการยึดบัญชีเต็มรูปแบบ ดีกว่านั้นคือสมชายใช้รหัสผ่านไม่ซ้ำกันทุกเว็บและเก็บในโปรแกรมจัดการรหัสผ่าน แล้วเปิด 2FA เพิ่มอีกชั้น

เมื่ออุปกรณ์หาย

การวางแผนรับมือความล้มเหลวเป็นส่วนหนึ่งของการตั้งค่า

• เก็บรหัสสำรองไว้ในที่ที่เข้าถึงได้โดยไม่ต้องใช้โทรศัพท์
• เพิ่มอุปกรณ์หรือกุญแจเครื่องที่สอง หากบริการรองรับ
• รู้ขั้นตอนกู้คืนของบริการ อาจต้องรอหลายวันหรือพิสูจน์ตัวตน
• หากโทรศัพท์หายหรือถูกขโมย ล็อกอินจากอุปกรณ์อื่น ลบเครื่องเดิมออกจากบัญชี แล้วเปลี่ยนรหัสผ่านของบัญชีสำคัญ

ข้อจำกัดและสิ่งที่ควรระวัง

• ฟิชชิ่งยังชนะวิธีที่อ่อนกว่าได้ หน้าปลอมที่แนบเนียนขอรหัสผ่านและรหัสหกหลักของคุณแบบเรียลไทม์ แล้วส่งต่อให้เว็บจริง กุญแจรักษาความปลอดภัยและ passkey ออกแบบมาเพื่อปิดทางนี้
• ความล้าจากการกดอนุมัติเป็นเรื่องจริง หากได้รับ push ที่ไม่ได้คาดไว้ ให้ปฏิเสธและเปลี่ยนรหัสผ่านทันที เพราะอาจมีคนมีรหัสผ่านของคุณแล้ว
• การสลับซิม ผู้โจมตีอาจหลอกผู้ให้บริการมือถือให้ย้ายหมายเลขของคุณไปซิมของเขา ตั้ง PIN หรือล็อกหมายเลขหากผู้ให้บริการมีให้
• เส้นทางกู้คืนคือจุดอ่อนที่สุด หากบัญชีรีเซ็ตได้ด้วยอีเมลที่ไม่มีปัจจัยที่สอง บัญชีอีเมลนั้นคือเป้าหมายจริง
• VPN ไม่ช่วยตรงนี้ มันปกป้องการเชื่อมต่อ ไม่ใช่การล็อกอิน ดู สิ่งที่ VPN ปกป้องคุณไม่ได้

สรุป

2FA ทำให้รหัสผ่านที่ถูกขโมยไม่พออีกต่อไป แอปยืนยันตัวตน กุญแจรักษาความปลอดภัย และ passkey แข็งแรงกว่า SMS และปัจจัยที่สองแบบใดก็ดีกว่าไม่มี เปิดใช้กับบัญชีอีเมลและบัญชีเกี่ยวกับเงินก่อน บันทึกรหัสสำรอง และระวังหน้าล็อกอินปลอม เพราะการโจมตีที่เหลืออาศัยสิ่งนั้น หากอยากปกป้องการเชื่อมต่อบนเครือข่ายสาธารณะด้วย ดูราคา XPASS