วิธีใช้: เปิดใช้งานการยืนยันตนเองสองระดับ (Two-factor Authentication)

การยืนยันตนเองสองระดับ (Two-factor authentication หรือ “2FA”) เป็นวิธีที่ให้ผู้ใช้ระบุตัวตนของตนเองต่อผู้ให้บริการโดยใช้วิธีการยืนยันสองวิธีที่ต่างกันร่วมกัน องค์ประกอบที่ใช้เหล่านี้สามารถเป็นสิ่งที่ผู้ใช้ทราบ (เช่น รหัสผ่านหรือ PIN) บางสิ่งบางอย่างที่ผู้ใช้เป็นเจ้าของ (เช่น พวงกุญแจ หรือโทรศัพท์มือถือ) หรือบางสิ่งบางอย่างที่แนบติดกับผู้ใช้หรือไม่สามารถแยกออกได้จากผู้ใช้ (เช่น ลายนิ้วมือ )

บางทีคุณอาจได้ใช้การยืนยันตนเองสองระดับแล้วในส่วนอื่น ๆ ของการดำเนินชีวิต  เมื่อคุณใช้ตู้ ATM เพื่อถอนเงินสด คุณต้องมีทั้งบัตรธนาคารที่จับต้องได้ (คือสิ่งที่คุณเป็นเจ้าของ) และรหัส PIN ของตัวเอง (ข้อมูลที่คุณทราบ)  อย่างไรก็ตามการบริการออนไลน์หลาย ๆ บริการในขณะนี้ใช้เพียงแค่ระดับการยืนยันระดับเดียวเพื่อระบุตัวตนของผู้ใช้โดยค่าเริ่มต้น นั่นคือรหัสผ่าน

2FA ทำงานออนไลน์อย่างไร anchor link

ในช่วงเวลาไม่กี่ปีที่ผ่านมา บริการออนไลน์หลาย ๆ บริการ ที่รวมถึง Facebook, Google และ Twitter ต่างนำเสนอ 2FA เป็นอีกหนึ่งทางเลือกนอกจากการยืนยันด้วยรหัสผ่านเพียงอย่างเดียว เมื่อเปิดใช้งานคุณสมบัตินี้ ผู้ใช้จะถูกร้องขอให้ป้อนรหัสผ่านและให้ทำการยืนยันด้วยวิธีในระดับที่สอง ซึ่งตามปกติอาจเป็นได้ทั้งการป้อนรหัสผ่านสำหรับใช้ครั้งเดียวที่ส่งผ่าน SMS หรือรหัสผ่านสำหรับใช้ครั้งเดียวที่สร้างโดยแอปมือถือเฉพาะที่ทำหน้าที่เก็บรักษาความลับ (เช่น Google Authenticator, Duo Mobile แอปของ Facebook หรือ Clef) ไม่ว่าจะเป็นในกรณีใด การยืนยันในระดับที่สองคือโทรศัพท์มือถือของผู้ใช้ ซึ่งเป็นสิ่งที่ผู้ใช้เป็นเจ้าของ (ตามปกติ) นอกจากนี้บางเว็บไซต์ (รวมถึง Google) ยังให้ความช่วยเหลือสำหรับรหัสผ่านสำรอง ซึ่งสามารถดาวน์โหลดและพิมพ์ลงบนกระดาษเป็นเพื่อใช้เป็นข้อมูลสำรองได้ด้วย  เมื่อผู้ใช้เลือกเข้าร่วมในการใช้ 2FA ผู้ใช้จะต้องกรอกรหัสผ่านและรหัสสำหรับใช้ครั้งเดียวจากโทรศัพท์ของตนเพื่อให้สามารถเข้าถึงบัญชีของตนได้

เพราะเหตุใดฉันจึงควรเปิดใช้งาน 2FA anchor link

2FA นำเสนอการรักษาความปลอดภัยที่มีมากกว่าให้กับบัญชีของคุณ โดยกำหนดให้คุณใช้วิธีการยืนยันตัวตนมากกว่าหนึ่งวิธี ซึ่งหมายความว่า หากมีใครบางคนทราบรหัสผ่านหลักของคุณ บุคคลเหล่านั้นจะไม่สามารถเข้าถึงบัญชีได้ถ้าพวกเขาไม่มีโทรศัพท์มือถือของคุณหรือวิธีอื่นในการยืนยันตัวตนระดับที่สอง

การใช้ 2FA มีข้อเสียหรือไม่ anchor link

แม้ว่า 2FA จะนำเสนอวิธีการยืนยันที่ปลอดภัยมากกว่า แต่มีความเสี่ยงเพิ่มมากขึ้นในการที่ผู้ใช้จะไม่สามารถเข้าถึงบัญชีของตนได้ ตัวอย่างเช่น หากผู้ใช้วางโทรศัพท์ผิดที่หรือทำโทรศัพท์หาย เปลี่ยน SIM หรือเดินทางไปประเทศอื่นโดยไม่ได้เปิดใช้งานโรมมิ่ง

ผู้ให้บริการ 2FA หลาย ๆ รายนำเสนอรายการรหัส “สำรอง” หรือรหัส “การกู้คืน” ซึ่งเป็นรหัสที่ใช้งานได้เสมอเพื่อปลดล็อคบัญชีของคุณ หากกังวลว่าจะไม่สามารถใช้โทรศัพท์หรืออุปกรณ์ที่ใช้ยืนยันตัวตนอื่น ๆ ได้ คุณควรพิมพ์รหัสเหล่านี้และนำติดตัวไปด้วย รหัสดังกล่าวจะสามารถใช้งานได้ในฐานะเป็น "สิ่งที่คุณมีอยู่กับตัว" ตราบใดที่คุณทำขึ้นเพียงสำเนาเดียวและเก็บไว้กับตัว โปรดจำว่าให้ระมัดระวังอย่างยิ่งในการเก็บรักษารหัสให้ปลอดภัยและให้แน่ใจว่าไม่มีใครเห็นรหัสหรือเข้าถึงรหัสได้ไม่ว่าเมื่อใดก็ตาม

อีกหนึ่งปัญหาของระบบ 2FA ที่ใช้ข้อความ SMS คือการส่งข้อความ SMS นั้นไม่ปลอดภัยมากนัก มีความเป็นไปได้สำหรับผู้โจมตีที่เชี่ยวชาญ (เช่น หน่วยงานด้านข่าวกรอง หรือการดำเนินงานของกลุ่มอาชญากรรม) ที่สามารถเข้าถึงเครือข่ายเพื่อดักฟังและใช้รหัสที่ส่งผ่านข้อความ SMS นอกจากนี้ยังมีในกรณีของผู้โจมตีที่เชี่ยวชาญน้อยกว่า (เช่น บุคคลทั่วไป) ที่ได้หาทางเพื่อให้ได้สายการโทรติดต่อหรือข้อความ ที่จริง ๆ แล้วจะถูกส่งถึงหมายเลขหนึ่ง โดยให้ส่งต่อสายการโทรหรือข้อความดังกล่าวถึงตนเองแทน หรือเข้าถึงบริการของบริษัทโทรศัพท์ที่แสดงข้อความที่จะถูกส่งถึงหมายเลขโทรศัพท์โดยไม่จำเป็นต้องมีโทรศัพท์ได้

หากคุณกังวลเกี่ยวกับการโจมตีในระดับนี้ ให้ปิดการยืนยันทาง SMS และให้ใช้เฉพาะแอปเครื่องมือยืนยัน อย่างเช่น Google Authenticator หรือ Authy เท่านั้น น่าเสียดายที่คุณสมบัตินี้ไม่ได้มีให้ใช้ได้กับทุกบริการที่มีการเปิดใช้ 2FA

นอกจากนี้ 2FA ยังอาจหมายถึงว่าคุณได้ส่งมอบข้อมูลให้กับบริการมากกว่าที่คุณรู้สึกสะดวกใจที่จะส่งมอบให้ สมมุติว่าคุณเป็นผู้ใช้ Twitter และได้ลงทะเบียนสมัครโดยใช้นามแฝง แม้ว่าคุณจะหลีกเลี่ยงการให้ข้อมูลการระบุตัวตนของตนเองอย่างระมัดระวังที่สุด และแม้ว่าคุณจะเข้าถึงบริการโดยใช้ Tor หรือ VPN เท่านั้นก็ตาม แต่หากคุณเปิดใช้งาน 2FA โดยใช้ SMS ทาง Twitter ยังจำเป็นจะต้องมีข้อมูลหมายเลขโทรศัพท์มือถือของคุณ โดยในที่นี้หมายความว่า หากศาลบังคับ Twitter จะสามารถเชื่อมโยงบัญชีของคุณเข้ากับตัวคุณผ่านหมายเลขโทรศัพท์ของคุณได้ สิ่งนี้อาจไม่เป็นปัญหาสำหรับคุณ โดยเฉพาะหากคุณใช้ชื่อตามกฎหมายของตนเองกับบริการดังกล่าวอยู่แล้ว แต่หากการรักษาการไม่เปิดเผยชื่อเป็นสิ่งสำคัญสำหรับคุณ คุณอาจต้องทบทวนอีกครั้งเกี่ยวกับการใช้ 2FA โดยใช้ SMS

ประการสุดท้าย การวิจัยได้แสดงให้เห็นว่า ผู้ใช้บางคนจะตั้งรหัสผ่านที่ไม่แข็งแกร่งนักหลังจากเปิดใช้งาน 2FA โดยรู้สึกว่าระดับที่สองของการยืนยันจะช่วยให้ตนเองปลอดภัย ตรวจให้แน่ใจว่ารหัสผ่านที่เลือกใช้มีความแข็งแกร่งแม้กระทั่งหลังเปิดใช้งาน 2FA แล้วก็ตาม

ฉันจะเปิดใช้งาน 2FA ได้อย่างไร anchor link

กรณีนี้แตกต่างกันออกไปตามแพลตฟอร์ม รวมถึงคำศัพท์ที่ใช้ด้วย Facebook เรียกกระบวนการนี้ว่า “การอนุมัติล็อกอิน (login approvals)” Twitter เรียกว่า “การตรวจสอบยืนยันล็อกอิน (login verification)” และ Google เรียกว่า “การตรวจสอบยืนยัน 2 ขั้นตอน (2-step verification)” ในการเปิดใช้ 2FA ในเกือบทุกแพลตฟอร์ม คุณจะใช้เพียงแค่โทรศัพท์มือถือที่สามารถรับข้อความ SMS ได้

รายชื่อเว็บไซต์จำนวนมากที่รองรับ 2FA มีให้ดูได้ที่ https://twofactorauth.org/ หากคุณต้องการการปกป้องการโจรกรรมรหัสผ่านที่ดีกว่า คุณควรตรวจสอบรายการนี้ และเปิดใช้งาน 2FA สำหรับบัญชีเว็บไซต์ที่สำคัญทั้งหมดที่คุณใช้งาน