การใช้งานบริการต่าง ๆ ในปัจจุบัน ส่วนใหญ่ผู้ให้บริการจะแนะนำให้เปิดใช้งาน 2FA (2 Factor Authentication) ซึ่งเป็นการยืนยันตัวตัวอีกชั้นนอกเหนือจากการใช้รหัสผ่านเพียงอย่างเดียวเพื่อเพิ่มความปลอดภัยในการใช้งาน
อะไรคือ 2 Factor Authentication
2 Factor Authentication (2FA) คือระบบยืนยันตัวตนที่ต้องใช้ปัจจัยในการยืนยัน 2 อย่างขึ้นไป เพื่อเพิ่มความปลอดภัยในการเข้าถึงบัญชีผู้ใช้ โดยทั่วไปจะประกอบด้วย:
- สิ่งที่คุณรู้ เช่น รหัสผ่าน
- สิ่งที่คุณมี เช่น โทรศัพท์มือถือ
- สิ่งที่เป็นตัวคุณ เช่น ลายนิ้วมือหรือใบหน้า
การใช้ 2FA ช่วยป้องกันการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต แม้ว่ารหัสผ่านจะถูกขโมยไป เพราะผู้บุกรุกยังต้องการปัจจัยที่สองในการยืนยันตัวตน
การทำงานของ Authenticator App ในมือถือ
Authenticator App เป็นแอปพลิเคชันที่สร้างรหัสยืนยันตัวตนแบบใช้ครั้งเดียว (One-Time Password หรือ OTP) สำหรับ 2FA โดยทั่วไปจะทำงานดังนี้:
- เมื่อเปิดใช้งาน 2FA บนเว็บไซต์หรือบริการ คุณจะได้รับ QR code หรือรหัสลับ
- สแกน QR code หรือป้อนรหัสลับลงในแอป Authenticator
- แอปจะสร้างรหัส OTP 6 หลักที่เปลี่ยนทุก 30 วินาที โดยใช้อัลกอริทึมที่ซิงค์กับเซิร์ฟเวอร์ของบริการนั้น ๆ
- เมื่อต้องการล็อกอิน ให้ป้อนรหัสผ่านปกติและรหัส OTP จากแอป
ข้อดีของ Authenticator App คือไม่ต้องใช้อินเทอร์เน็ตในการสร้างรหัส OTP และมีความปลอดภัยสูงกว่าการรับรหัสผ่าน SMS
ทำไมไม่ควรใช้ Cloud Backup ใน Google Authenticator
แม้ว่า Google จะเพิ่มฟีเจอร์ Cloud Backup ใน Google Authenticator เมื่อเร็วๆ นี้ แต่มีเหตุผลสำคัญที่ไม่ควรใช้งาน:
- ไม่มีการเข้ารหัสแบบ End-to-End: รหัส 2FA ที่สำรองบน Google Cloud ไม่ได้รับการเข้ารหัสแบบ End-to-End ซึ่งหมายความว่า Google สามารถเข้าถึงรหัสเหล่านี้ได้
- เพิ่มความเสี่ยงด้านความปลอดภัย: หากบัญชี Google ของคุณถูกแฮ็ก ผู้บุกรุกอาจเข้าถึงรหัส 2FA ทั้งหมดของคุณได้ ซึ่งขัดกับวัตถุประสงค์หลักของ 2FA ในการเพิ่มความปลอดภัย
- ลดประสิทธิภาพของ Hardware Token: การสำรองรหัส TOTP บน Cloud ทำให้ประโยชน์ของ Hardware Token ลดลง เพราะผู้บุกรุกอาจเข้าถึงรหัสผ่านได้โดยไม่ต้องมีอุปกรณ์จริง
- ไม่มีตัวเลือกปิดการใช้งาน: Google ไม่ได้ให้ตัวเลือกในการปิดการสำรองข้อมูลบน Cloud อย่างชัดเจน ทำให้ผู้ใช้อาจเปิดใช้งานโดยไม่รู้ตัว
แทนที่จะใช้ Cloud Backup ใน Google Authenticator ควรพิจารณาทางเลือกอื่น เช่น:
- ใช้แอป Authenticator อื่นที่มีความปลอดภัยสูงกว่า เช่น Authy หรือ Microsoft Authenticator
- สร้างสำเนา QR code หรือรหัสสำรองด้วยตนเอง และเก็บไว้ในที่ปลอดภัย
- ใช้ Hardware Token เช่น YubiKey สำหรับบัญชีที่สำคัญ
โดยสรุป แม้ว่า Cloud Backup จะสะดวก แต่ก็มาพร้อมกับความเสี่ยงด้านความปลอดภัยที่ไม่ควรมองข้าม การรักษาความปลอดภัยของรหัส 2FA ด้วยตนเองยังคงเป็นวิธีที่ปลอดภัยที่สุดสำหรับผู้ใช้ที่ต้องการความปลอดภัยสูงสุด