การใช้งานบริการต่าง ๆ ในปัจจุบัน ส่วนใหญ่ผู้ให้บริการจะแนะนำให้เปิดใช้งาน 2FA (2 Factor Authentication) ซึ่งเป็นการยืนยันตัวตัวอีกชั้นนอกเหนือจากการใช้รหัสผ่านเพียงอย่างเดียวเพื่อเพิ่มความปลอดภัยในการใช้งาน

อะไรคือ 2 Factor Authentication

2 Factor Authentication (2FA) คือระบบยืนยันตัวตนที่ต้องใช้ปัจจัยในการยืนยัน 2 อย่างขึ้นไป เพื่อเพิ่มความปลอดภัยในการเข้าถึงบัญชีผู้ใช้ โดยทั่วไปจะประกอบด้วย:

  1. สิ่งที่คุณรู้ เช่น รหัสผ่าน
  2. สิ่งที่คุณมี เช่น โทรศัพท์มือถือ
  3. สิ่งที่เป็นตัวคุณ เช่น ลายนิ้วมือหรือใบหน้า

การใช้ 2FA ช่วยป้องกันการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต แม้ว่ารหัสผ่านจะถูกขโมยไป เพราะผู้บุกรุกยังต้องการปัจจัยที่สองในการยืนยันตัวตน

การทำงานของ Authenticator App ในมือถือ

Authenticator App เป็นแอปพลิเคชันที่สร้างรหัสยืนยันตัวตนแบบใช้ครั้งเดียว (One-Time Password หรือ OTP) สำหรับ 2FA โดยทั่วไปจะทำงานดังนี้:

  1. เมื่อเปิดใช้งาน 2FA บนเว็บไซต์หรือบริการ คุณจะได้รับ QR code หรือรหัสลับ
  2. สแกน QR code หรือป้อนรหัสลับลงในแอป Authenticator
  3. แอปจะสร้างรหัส OTP 6 หลักที่เปลี่ยนทุก 30 วินาที โดยใช้อัลกอริทึมที่ซิงค์กับเซิร์ฟเวอร์ของบริการนั้น ๆ
  4. เมื่อต้องการล็อกอิน ให้ป้อนรหัสผ่านปกติและรหัส OTP จากแอป

ข้อดีของ Authenticator App คือไม่ต้องใช้อินเทอร์เน็ตในการสร้างรหัส OTP และมีความปลอดภัยสูงกว่าการรับรหัสผ่าน SMS

ทำไมไม่ควรใช้ Cloud Backup ใน Google Authenticator

แม้ว่า Google จะเพิ่มฟีเจอร์ Cloud Backup ใน Google Authenticator เมื่อเร็วๆ นี้ แต่มีเหตุผลสำคัญที่ไม่ควรใช้งาน:

  1. ไม่มีการเข้ารหัสแบบ End-to-End: รหัส 2FA ที่สำรองบน Google Cloud ไม่ได้รับการเข้ารหัสแบบ End-to-End ซึ่งหมายความว่า Google สามารถเข้าถึงรหัสเหล่านี้ได้
  2. เพิ่มความเสี่ยงด้านความปลอดภัย: หากบัญชี Google ของคุณถูกแฮ็ก ผู้บุกรุกอาจเข้าถึงรหัส 2FA ทั้งหมดของคุณได้ ซึ่งขัดกับวัตถุประสงค์หลักของ 2FA ในการเพิ่มความปลอดภัย
  3. ลดประสิทธิภาพของ Hardware Token: การสำรองรหัส TOTP บน Cloud ทำให้ประโยชน์ของ Hardware Token ลดลง เพราะผู้บุกรุกอาจเข้าถึงรหัสผ่านได้โดยไม่ต้องมีอุปกรณ์จริง
  4. ไม่มีตัวเลือกปิดการใช้งาน: Google ไม่ได้ให้ตัวเลือกในการปิดการสำรองข้อมูลบน Cloud อย่างชัดเจน ทำให้ผู้ใช้อาจเปิดใช้งานโดยไม่รู้ตัว

แทนที่จะใช้ Cloud Backup ใน Google Authenticator ควรพิจารณาทางเลือกอื่น เช่น:

  • ใช้แอป Authenticator อื่นที่มีความปลอดภัยสูงกว่า เช่น Authy หรือ Microsoft Authenticator
  • สร้างสำเนา QR code หรือรหัสสำรองด้วยตนเอง และเก็บไว้ในที่ปลอดภัย
  • ใช้ Hardware Token เช่น YubiKey สำหรับบัญชีที่สำคัญ

โดยสรุป แม้ว่า Cloud Backup จะสะดวก แต่ก็มาพร้อมกับความเสี่ยงด้านความปลอดภัยที่ไม่ควรมองข้าม การรักษาความปลอดภัยของรหัส 2FA ด้วยตนเองยังคงเป็นวิธีที่ปลอดภัยที่สุดสำหรับผู้ใช้ที่ต้องการความปลอดภัยสูงสุด