การสร้างรหัสผ่านที่คาดเดายาก

การสร้างรหัสผ่านที่คาดเดาได้ยากโดยใช้โปรแกรมจัดการรหัสผ่าน          anchor link

การใช้รหัสผ่านซ้ำเป็นแนวทางปฏิบัติที่ไม่ดีในการรักษาความปลอดภัย หากผู้ไม่หวังดีรู้รหัสผ่านที่คุณใช้ซ้ำในหลาย ๆ เว็บไซต์ พวกเขาจะสามารถเข้าถึงบัญชีของคุณได้หลายบัญชี ดังนั้น การตั้งรหัสผ่านแบบไม่ซ้ำกันที่คาดเดาได้ยากจึงสำคัญอย่างยิ่ง

โชคดีที่โปรแกรมจัดการรหัสผ่านสามารถช่วยได้ โปรแกรมจัดการรหัสผ่านเป็นเครื่องมือที่ช่วยคุณสร้างและจัดเก็บรหัสผ่าน ทำให้คุณสามารถใช้รหัสผ่านที่ไม่ซ้ำกันได้กับเว็บไซต์และบริการต่าง ๆ โดยไม่ต้องจดจำรหัสดังกล่าว โปรแกรมจัดการรหัสผ่าน :

• สร้างรหัสผ่านที่คาดเดาได้ยากที่มนุษย์ไม่มีแนวโน้มจะสามารถคาดเดาได้
• จัดเก็บรหัสผ่านจำนวนมาก (และคำตอบต่อคำถามที่ใช้รักษาความปลอดภัย) ไว้อย่างปลอดภัย
• รักษาปกป้องรหัสผ่านทั้งหมดของคุณไว้โดยใช้รหัสผ่านหลัก (หรือกลุ่มคำรหัสผ่าน)

KeePassXC คือตัวอย่างของโปรแกรมจัดการรหัสผ่านแบบโอเพ่นซอร์สและไม่มีค่าใช้จ่าย คุณสามารถเก็บเครื่องมือนี้ไว้ในคอมพิวเตอร์หรือใช้โปรแกรมดังกล่าวร่วมกับเว็บเบราว์เซอร์ KeePassXC ไม่ได้บันทึกสิ่งที่คุณเปลี่ยนแปลงโดยอัตโนมัติเมื่อใช้งาน ดังนั้นหากโปรแกรมขัดข้องหลังจากที่คุณเพิ่มรหัสผ่าน จะทำให้รหัสผ่านสูญหายได้แบบถาวร คุณสามารถเปลี่ยนตัวเลือกนี้ได้ในการตั้งค่า

หากสงสัยว่าโปรแกรมจัดการรหัสผ่านเป็นเครื่องมือที่เหมาะกับคุณหรือไม่ หากคุณตกเป็นเป้าหมายของฝ่ายตรงข้ามที่มีอำนาจอิทธิพล อย่างเช่น หน่วยงานของรัฐฯ เครื่องมือนี้อาจไม่เหมาะกับคุณ

โปรดอย่าลืมว่า:

• การใช้โปรแกรมจัดการรหัสผ่านจะทำให้ความล้มเหลวเพียงจุดเดียวสามารถสร้างความเสียหายได้ทั้งระบบ
• โปรแกรมจัดการรหัสผ่านเป็นเป้าหมายโจมตีอย่างเห็นได้ชัดของฝ่ายตรงข้าม
• ข้อมูลจากการวิจัยชี้ว่าโปรแกรมจัดการรหัสผ่านจำนวนมากมีความเสี่ยง

หากคุณกังวลเกี่ยวกับการโจมตีทางดิจิทัลที่สร้างความเสียหายรุนแรง วิธีการที่ไม่ใช้เทคโนโลยีขั้นสูงอาจเป็นตัวเลือกที่ควรพิจารณา คุณสามารถสร้างรหัสที่คาดเดาได้ยากได้ด้วยตัวเอง (ดูที่ “การสร้างรหัสผ่านที่คาดเดาได้ยากโดยใช้ dice” ด้านล่าง) จดรหัสผ่านไว้ แล้วเก็บไว้กับตัวในที่ที่ปลอดภัย

เดี๋ยวก่อนนะ จริง ๆ แล้วเราควรจดจำรหัสผ่านไว้และไม่ควรเขียนรหัสผ่านเก็บไว้ไม่ใช่หรือ จริง ๆ แล้ว การเขียนรหัสผ่านแล้วเก็บไว้ที่ใดที่หนึ่ง เช่น ในกระเป๋าสตางค์ ถือว่ามีประโยชน์ เพราะอย่างน้อยคุณจะทราบได้ในกรณีรหัสผ่านที่จดไว้สูญหายหรือถูกขโมย

การสร้างรหัสผ่านที่คาดเดาได้ยากโดยใช้ Dice anchor link

มีรหัสผ่านอยู่สองสามแบบที่คุณควรจดจำและควรเป็นรหัสผ่านที่คาดเดาได้ยากอย่างแท้จริง รหัสผ่านดังกล่าวได้แก่:

• รหัสผ่านที่ใช้ปลดล็อกอุปกรณ์
• รหัสผ่านสำหรับการเข้ารหัส (เช่น การเข้ารหัสฮาร์ดดิสก์)
• รหัสผ่านหลัก “กลุ่มคำรหัสผ่าน” สำหรับปลดล็อกโปรแกรมจัดการรหัสผ่านที่คุณใช้งาน
• รหัสผ่านสำหรับบัญชีอีเมลของคุณ

หนึ่งในปัญหาที่พบเมื่อผู้คนส่วนใหญ่ตั้งรหัสผ่านคือ ผู้คนส่วนใหญ่มักไม่สามารถตั้งรหัสผ่านแบบสุ่มที่คาดเดาไม่ได้ วิธีที่มีประสิทธิภาพในการสร้างรหัสผ่านที่คาดเดาได้ยากและจดจำได้คือใช้ dice และรายชื่อคำเพื่อเลือกคำที่จะใช้แบบสุ่ม เมื่อคำเหล่านี้รวมกันเข้าจะกลายเป็น “กลุ่มคำรหัสผ่าน” "กลุ่มคำรหัสผ่าน" เป็นรหัสผ่านประเภทหนึ่งที่ยาวกว่าเพื่อใช้รักษาความปลอดภัยเพิ่มเติม สำหรับการเข้ารหัสฮาร์ดดิสก์และโปรแกรมจัดการรหัสผ่าน เราขอแนะนำให้เลือกรหัสผ่านขั้นต่ำจำนวน 6 คำ

ทำไมจึงใช้จำนวนคำขั้นต่ำหกคำ ทำไมจึงใช้ dice เพื่อเลือกคำแบบสุ่มในกลุ่มคำ ยิ่งรหัสผ่านมีความยาวและเป็นแบบสุ่มมากเท่าไหร่ ก็จะทำให้การคาดเดาของทั้งคอมพิวเตอร์และมนุษย์ยากลำบากมากขึ้น หากต้องการทราบเหตุผลที่คุณต้องใช้รหัสผ่านที่ยาวและคาดเดาได้ยาก ดูข้อมูลได้ที่คำอธิบายผ่านวิดีโอ

ลองใช้กลุ่มคำรหัสผ่านโดยใช้หนึ่งในรายชื่อคำศัพท์ของ EFF

หากคอมพิวเตอร์หรืออุปกรณ์ของคุณตกอยู่ในอันตรายและมีสปายแวร์ติดตั้งอยู่ สปายแวร์ดังกล่าวจะสามารถเห็นรหัสผ่านหลักที่คุณพิมพ์และสามารถขโมยเนื้อหาข้อมูลในโปรแกรมจัดการรหัสผ่าน ดังนั้น สิ่งสำคัญคือต้องรักษาคอมพิวเตอร์และอุปกรณ์อื่น ๆ ให้ปราศจากมัลแวร์ เมื่อใช้โปรแกรมจัดการรหัสผ่าน

ข้อสำคัญเกี่ยวกับ “คำถามที่ใช้รักษาความปลอดภัย” anchor link

ควรระวังเกี่ยวกับ “คำถามที่ใช้รักษาความปลอดภัย” ที่เว็บไซต์ต่าง ๆ ใช้เพื่อยืนยันข้อมูลส่วนตัวของคุณ คำตอบที่ซื่อตรงต่อคำถามเหล่านี้มักเป็นข้อเท็จจริงที่สามารถค้นพบได้อย่างเปิดเผย ซึ่งฝ่ายตรงข้ามสามารถค้นพบและใช้เพื่อเลี่ยงการใช้รหัสผ่านของคุณได้โดยสิ้นเชิง

ดังนั้น ให้ใช้คำตอบที่สร้างขึ้นที่ไม่มีใครรู้นอกจากคุณคนเดียว ตัวอย่างเช่น  หากคำถามที่ใช้รักษาความปลอดภัยถามว่า:

“สัตว์เลี้ยงตัวแรกของคุณชื่ออะไร”

คุณสามารถใช้รหัสผ่านแบบสุ่มที่โปรแกรมจัดการรหัสผ่านสร้างขึ้นเป็นคำตอบของคำถามดังกล่าวได้ คุณสามารถเก็บคำตอบปลอมที่สร้างขึ้นเหล่านี้ไว้ในโปรแกรมจัดการรหัสผ่าน

นึกถึงเว็บไซต์ที่คุณใช้คำถามเพื่อรักษาความปลอดภัยแล้วลองพิจารณาเปลี่ยนคำตอบ อย่าใช้รหัสผ่านเดียวกันหรือใช้คำตอบของคำถามรักษาความปลอดภัยเดียวกันในหลาย ๆ บัญชีที่ใช้กับเว็บไซต์หรือบริการต่าง ๆ

การซิงค์รหัสผ่านกับอุปกรณ์จำนวนมาก anchor link

โปรแกรมจัดการรหัสผ่านจำนวนมากให้คุณสามารถเข้าถึงรหัสผ่านได้ในหลาย ๆ อุปกรณ์ โดยใช้คุณสมบัติการซิงค์รหัสผ่าน ในที่นี้หมายความว่า เมื่อคุณซิงค์ไฟล์รหัสผ่านในหนึ่งอุปกรณ์ จะมีการอัปเดตข้อมูลในอุปกรณ์ทั้งหมดของคุณ

โปรแกรมจัดการรหัสผ่านสามารถจัดเก็บรหัสผ่านไว้ “ในคลาวด์” ซึ่งหมายถึงมีการเข้ารหัสไว้ในเซิร์ฟเวอร์ระยะไกล เมื่อคุณต้องการใช้รหัสผ่าน โปรแกรมจัดการรหัสผ่านเหล่านี้จะเรียกข้อมูลและถอดรหัสของรหัสผ่านดังกล่าวโดยอัตโนมัติ โปรแกรมจัดการรหัสผ่านที่ใช้เซิร์ฟเวอร์ของตัวเองในการจัดเก็บข้อมูลหรือช่วยคุณซิงค์รหัสผ่านมีความสะดวกมากกว่า แต่มีความเสี่ยงที่จะถูกโจมตีมากกว่าเล็กน้อย หากรหัสผ่านของคุณจัดเก็บอยู่ทั้งในคอมพิวเตอร์และในคลาวด์ ผู้โจมตีไม่จำเป็นต้องใช้คอมพิวเตอร์ของคุณเพื่อค้นหารหัสผ่านของคุณ (แต่อย่างไรก็ตาม ผู้โจมตีจะต้องขโมยกลุ่มคำรหัสผ่านของคุณที่ใช้ปลดล็อกโปรแกรมจัดการรหัส)

หากกรณีนี้ทำให้คุณกังวล อย่าซิงค์รหัสผ่านไปที่คลาวด์ แต่ให้เลือกจัดเก็บรหัสผ่านไว้ในอุปกรณ์เท่านั้น

โดยสำรองฐานข้อมูลของรหัสผ่านไว้เผื่อจำเป็น การมีข้อมูลสำรองไว้เป็นสิ่งที่มีประโยชน์ในกรณีที่ฐานข้อมูลรหัสผ่านสูญหายเมื่อเกิดการขัดข้อง หรือในกรณีที่อุปกรณ์ของคุณถูกขโมยไปหรือไม่ได้อยู่กับคุณ โปรแกรมจัดการรหัสผ่านมักมีวิธีสำรองข้อมูลไฟล์ หรือคุณสามารถใช้โปรแกรมสำรองข้อมูลที่ใช้ตามปกติก็ได้

การยืนยันตัวตนแบบหลายขั้นตอนและรหัสผ่านแบบใช้ครั้งเดียว anchor link

รหัสผ่านที่แตกต่างไม่ซ้ำและคาดเดาได้ยากจะทำให้ผู้ไม่หวังดีเข้าถึงบัญชีของคุณได้ยากขึ้น ในการปกป้องบัญชีเพิ่มเติม ให้เปิดใช้งานการยืนยันตัวตนแบบสองขั้นตอน

บางบริการนำเสนอการยืนยันตัวตนแบบสองขั้นตอน (หรือที่เรียกกว่า 2FA การยืนยันตัวตนแบบหลายขั้นตอน หรือการยืนยันตัวตนแบบสองขั้นตอน) ซึ่งกำหนดให้ผู้ใช้ต้องมีองค์ประกอบในการยืนยันตัวตนสองอย่าง (ได้แก่ รหัสผ่าน และองค์ประกอบที่สอง) เพื่อให้สามารถเข้าถึงบัญชีของตัวเองได้ องค์ประกอบที่สองอาจเป็นรหัสลับแบบใช้ครั้งเดียวหรือหมายเลขที่โปรแกรมในอุปกรณ์เคลื่อนที่สร้างขึ้น

สามารถยืนยันตัวตนแบบสองขั้นตอนโดยใช้โทรศัพท์มือถือได้โดยใช้หนึ่งในสองวิธีต่อไปนี้

• โทรศัพท์ของคุณสามารถใช้แอปพลิเคชันยืนยันตัวตนที่สร้างรหัสรักษาความปลอดภัย (เช่น Google Authenticator หรือ Authy) หรือสามารถใช้อุปกรณ์ฮาร์ดแวร์แยกต่างหาก (เช่น YubiKey) หรือ
• บริการดังกล่าวสามารถส่งข้อความ SMS ที่มีรหัสรักษาความปลอดภัยที่คุณต้องใช้เพื่อป้อนเมื่อเข้าสู่ระบบ

ถ้าเลือกได้ ให้เลือกแอปพลิเคชันยืนยันตัวตนหรืออุปกรณ์ฮาร์ดแวร์แยก แทนการใช้รหัสที่ส่งผ่านข้อความ ผู้โจมตีสามารถส่งต่อรหัสเหล่านี้ไปยังโทรศัพท์ของตัวเองได้ง่ายกว่าการที่จะเลี่ยงโปรแกรมตรวจสอบสิทธิ์

บางบริการ อย่างเช่น Google จะอนุญาตให้คุณสร้างรายการรหัสผ่านแบบใช้ครั้งเดียว ที่เรียกว่ารหัสผ่านใช้ครั้งเดียว ควรพิมพ์หรือจดรหัสเหล่านี้ไว้ในกระดาษและพกติดตัวไว้ รหัสแต่ละตัวเหล่านี้จะใช้ได้เพียงครั้งเดียว ดังนั้นหากรหัสถูกสปายแวร์ขโมยไปเมื่อคุณป้อนรหัส ผู้ที่ขโมยไปจะไม่สามารถใช้รหัสดังกล่าวได้อีกในอนาคต

หากคุณหรือองค์กรของคุณดูแลโครงสร้างพื้นฐานด้านการสื่อสารของตัวเอง มีซอฟต์แวร์แบบไม่มีค่าใช้จ่ายที่สามารถใช้เพื่อเปิดใช้งานการยืนยันสิทธิ์แบบสองขั้นตอนเพื่อเข้าถึงระบบได้ มองหาซอฟต์แวร์ที่นำเสนอการใช้งาน “รหัสผ่านตามเวลาแบบใช้ครั้งเดียว (Time-Based One-Time Passwords)” มาตรฐานแบบเปิดหรือ RFC 6238

บางครั้งคุณอาจจำเป็นต้องเปิดเผยรหัสผ่าน anchor link

กฎหมายเกี่ยวกับการเปิดเผยรหัสผ่านแตกต่างกันออกไปในแต่ละพื้นที่ ในบางเขตการปกครอง คุณอาจสามารถขัดขืนคำสั่งเพื่อขอรหัสผ่านของคุณได้ตามกฎหมาย ในขณะที่กฎหมายท้องถิ่นบางแห่งอนุญาตให้รัฐบาลออกคำสั่งให้มีการเปิดเผยรหัสผ่าน หรือแม้กระทั่งสามารถดำเนินการจำคุกกับคุณในกรณีที่สงสัยว่าคุณอาจรู้รหัสผ่านหรือคีย์ การข่มขู่ทำร้ายร่างกายสามารถถูกนำไปใช้เพื่อบังคับให้บุคคลเปิดเผยรหัสผ่านของตน หรือบางทีคุณอาจพบว่าตัวเองตกอยู่ในสถานการณ์ อย่างเช่น การเดินทางข้ามเขตแดนซึ่งเจ้าหน้าที่ในพื้นที่สามารถหน่วงเวลากักตัวคุณหรือยึดอุปกรณ์ของคุณ หากคุณปฏิเสธที่จะเปิดเผยรหัสผ่านหรือปลดล็อกอุปกรณ์

เรามีคู่มือการข้ามเขตแดนของสหรัฐฯ แยกต่างหากเพื่อให้คำแนะนำเกี่ยวกับวิธีจัดการกับคำขอเพื่อเข้าถึงข้อมูลในอุปกรณ์เมื่อเดินทางไปหรือออกจากสหรัฐฯ สำหรับสถานการณ์อื่น ๆ คุณควรนึกถึงวิธีการที่ใครบางคนอาจบังคับให้คุณหรือบุคคลอื่นเปิดเผยรหัสผ่าน และผลลัพธ์ที่อาจจะเกิดขึ้น