การยืนยันตัวตนสองขั้นตอน (Two-factor authentication) ซึ่งมักเรียกสั้นๆ ว่า 2FA จะเพิ่มขั้นตอนการยืนยันตัวตนอีกหนึ่งขั้นหลังจากป้อนรหัสผ่าน หากมีใครรู้หรือเดารหัสผ่านได้ ก็ยังจำเป็นต้องมีปัจจัยยืนยันตัวตนขั้นที่สองก่อนที่จะสามารถเข้าสู่ระบบได้
คู่มือนี้อธิบายแนวคิดนี้ด้วยภาษาที่เข้าใจง่าย เปรียบเทียบวิธีการ 2FA ที่นิยมใช้ และแสดงให้เห็นว่ารหัสยืนยันตัวตนตามเวลา (time-based authenticator codes) ทำงานอย่างไรในกระบวนการนี้
2FA หมายถึงอะไร?
2FA หมายถึงการยืนยันตัวตนของคุณด้วยหลักฐานสองประเภทที่แตกต่างกัน ปัจจัยการยืนยันตัวตนมักถูกแบ่งออกเป็นสามประเภท:
- สิ่งที่คุณรู้: รหัสผ่านหรือ PIN
- สิ่งที่คุณมี: โทรศัพท์, แอปยืนยันตัวตน หรือกุญแจความปลอดภัยแบบฮาร์ดแวร์
- สิ่งที่คุณเป็น: ลักษณะชีวมิติ เช่น ลายนิ้วมือหรือการสแกนใบหน้า
การใช้รหัสผ่านร่วมกับรหัสผ่านอีกชุดหนึ่งไม่ถือเป็นการยืนยันตัวตนแบบสองปัจจัยที่แท้จริง เนื่องจากทั้งสองล้วนอยู่ในหมวดหมู่ “สิ่งที่คุณรู้” เดียวกัน ส่วนการใช้รหัสผ่านร่วมกับรหัสที่สร้างขึ้นบนอุปกรณ์นั้น จะใช้ปัจจัยสองประเภทที่แตกต่างกัน
ระบบ 2FA ทำงานอย่างไร?
ขั้นตอนที่แน่นอนอาจแตกต่างกันไปตามบริการ แต่การเข้าสู่ระบบทั่วไปจะประกอบด้วยสี่ขั้นตอน:
- คุณป้อนชื่อผู้ใช้และรหัสผ่าน
- บริการจะตรวจสอบรหัสผ่านและขอปัจจัยที่สอง
- คุณยืนยันการแจ้งเตือน เสียบกุญแจความปลอดภัย หรือป้อนรหัสชั่วคราว
- บริการจะตรวจสอบหลักฐานยืนยันขั้นที่สองและอนุญาตให้คุณเข้าถึงได้
ขั้นตอนเพิ่มเติมนี้ช่วยลดความมีค่าของรหัสผ่านที่ถูกขโมย แม้จะไม่สามารถป้องกันการถูกบุกรุกบัญชีได้ทั้งหมด แต่ก็ช่วยป้องกันการโจมตีที่ใช้เพียงรหัสผ่านได้หลายกรณี
รหัส TOTP คืออะไร?
TOTP ย่อมาจาก time-based one-time password (รหัสผ่านแบบใช้ครั้งเดียวตามเวลา) ในระหว่างการตั้งค่า เว็บไซต์และอุปกรณ์ยืนยันตัวตนของคุณจะได้รับกุญแจส่วนตัวสำหรับการตั้งค่าเดียวกัน อุปกรณ์ยืนยันตัวตนของคุณจะนำกุญแจลับนั้นมาผสมกับเวลาปัจจุบันเพื่อคำนวณรหัสสั้น ๆ ซึ่งโดยปกติมีหกหลัก และจะเปลี่ยนทุก ๆ ประมาณ 30 วินาที
เว็บไซต์จะทำการคำนวณแบบเดียวกัน หากรหัสที่คุณป้อนตรงกับค่าที่คาดไว้สำหรับช่วงเวลาปัจจุบัน ระบบจะยอมรับขั้นตอนที่สอง ไม่จำเป็นต้องส่งข้อความ SMS และอุปกรณ์สามารถคำนวณรหัสได้แม้อยู่ในโหมดออฟไลน์
หากคุณมีกุญแจตั้งค่า Base32 ที่ได้รับการอนุมัติแล้ว คุณสามารถใช้เครื่องมือสร้างรหัส 2FA บนเบราว์เซอร์ของเราเพื่อคำนวณรหัส TOTP ได้ โปรดอ่านวิธีการค้นหากุญแจลับ 2FA ก่อนที่จะป้อนข้อมูลใดๆ เพราะรหัสผ่านหรือรหัสกู้คืนไม่ใช่ค่าเดียวกัน
ประเภททั่วไปของ 2FA
รหัสจากแอปยืนยันตัวตน
แอปยืนยันตัวตนสร้างรหัส TOTP จากคีย์ลับที่ใช้ร่วมกัน แอปเหล่านี้ทำงานได้แม้ไม่มีสัญญาณมือถือและได้รับการสนับสนุนอย่างกว้างขวาง ความเสี่ยงหลักคือการสูญเสียอุปกรณ์โดยไม่มีข้อมูลสำรอง หรือการเปิดเผยคีย์ตั้งค่า
รหัสผ่าน SMS หรือเสียง
บริการจะส่งรหัสชั่วคราวไปยังหมายเลขโทรศัพท์ของคุณ SMS เข้าถึงได้ง่ายและดีกว่าการใช้เพียงรหัสผ่านเท่านั้น แต่อาจถูกโจมตีด้วยการสลับซิม (SIM-swap), การเปลี่ยนหมายเลข, การดักจับข้อมูล หรือปัญหาในการส่งข้อความ
การแจ้งเตือนแบบพุช
แอปจะขอให้คุณอนุมัติหรือปฏิเสธการเข้าสู่ระบบ การยืนยันแบบ push สะดวก แต่คุณควรอ่านข้อความแจ้งเตือนอย่างละเอียดและปฏิเสธคำขอที่ไม่คาดคิด การแจ้งเตือนซ้ำๆ อาจเป็นความพยายามที่จะทำให้คุณอนุมัติโดยไม่ได้ตั้งใจ
กุญแจความปลอดภัยแบบฮาร์ดแวร์และรหัสผ่านแบบฮาร์ดแวร์
กุญแจความปลอดภัยและรหัสผ่านใช้การเข้ารหัสแบบกุญแจสาธารณะ และสามารถให้การป้องกันที่แข็งแกร่งกว่าต่อการฟิชชิ่ง หากมีให้บริการ มักเป็นตัวเลือกหลักที่ดีกว่าสำหรับบัญชีสำคัญ โดยวิธีการกู้คืนจะถูกเก็บรักษาอย่างปลอดภัย
รหัสสำรอง
รหัสกู้คืนหรือรหัสสำรองเป็นข้อมูลรับรองสำหรับกรณีฉุกเฉิน ไม่ใช่รหัส TOTP ที่ใช้ในชีวิตประจำวัน ควรเก็บไว้แบบออฟไลน์หรือในตัวจัดการรหัสผ่านที่ปลอดภัย และทำเครื่องหมายว่าใช้แล้วสำหรับแต่ละรหัสเมื่อจำเป็น
2FA เหมือนกับ MFA หรือไม่?
MFA หมายถึงการยืนยันตัวตนหลายปัจจัย (multi-factor authentication) ซึ่งครอบคลุมการยืนยันตัวตนที่ใช้สองปัจจัยหรือมากกว่า 2FA เป็นกรณีเฉพาะที่จำเป็นต้องใช้ปัจจัยสองอย่างเท่านั้น ในอินเทอร์เฟซผลิตภัณฑ์ทั่วไป คำทั้งสองนี้มักถูกใช้สลับกันได้
วิธีเปิดใช้งาน 2FA อย่างปลอดภัย
- เปิดการตั้งค่าความปลอดภัยอย่างเป็นทางการของบัญชี
- เลือกแอปยืนยันตัวตน, passkey หรือกุญแจความปลอดภัย หากระบบรองรับ
- สแกนรหัส QR หรือป้อนรหัสตั้งค่าด้วยตนเองบนอุปกรณ์ที่เชื่อถือได้
- ป้อนรหัสแรกที่สร้างขึ้นเพื่อยืนยันการตั้งค่า
- ดาวน์โหลดรหัสกู้คืนและเก็บไว้แยกจากอุปกรณ์ที่คุณใช้ทุกวัน
- เพิ่มวิธีการกู้คืนบัญชีแบบที่สอง หากบริการนั้นรองรับเพิ่มวิธีการกู้คืนบัญชีแบบที่สอง หากบริการนั้นรองรับ
อย่าแบ่งปันรหัส QR หรือรหัสตั้งค่าด้วยตนเองเด็ดขาด ผู้ใดก็ตามที่รู้ข้อมูลลับนี้สามารถสร้างรหัส TOTP ที่เหมือนกันได้ในอนาคต นโยบายความเป็นส่วนตัวของเราอธิบายว่าเครื่องมือสาธารณะนี้จัดการข้อมูลการยืนยันตัวตนอย่างไร
ทำไมรหัส 2FA ของผมถูกปฏิเสธ?
ปัญหา TOTP ที่พบบ่อยที่สุดคือนาฬิกาของอุปกรณ์ไม่ตรงกัน สาเหตุอื่นๆ ได้แก่ การใช้รหัสที่หมดอายุ การคัดลอกรหัสลับผิด การเลือกตัวเลือกตัวตรวจสอบความถูกต้องผิด หรือการพยายามใช้รหัสสำรองในช่อง TOTP โปรดทำตามรายการตรวจสอบตามลำดับของเราเมื่อรหัส 2FA ไม่ทำงาน
คำถามที่พบบ่อย
2FA สามารถแทนที่รหัสผ่านที่ปลอดภัยได้หรือไม่?
ไม่ครับ ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบริการ และเปิดใช้งาน 2FA เป็นชั้นความปลอดภัยเพิ่มเติม โปรแกรมจัดการรหัสผ่านสามารถช่วยสร้างและเก็บรักษารหัสผ่านที่ไม่ซ้ำกันได้
2FA สามารถถูกแฮ็กได้หรือไม่?
ไม่มีระบบควบคุมความปลอดภัยใดที่สมบูรณ์แบบ ผู้โจมตีอาจใช้วิธีการฟิชชิ่ง การขโมยเซสชัน มัลแวร์ การละเมิดกระบวนการกู้คืน หรือรหัสลับที่ถูกขโมย วิธีการที่ต้านทานการฟิชชิ่ง เช่น กุญแจความปลอดภัยและพาสคีย์ สามารถลดความเสี่ยงหลายประการเหล่านี้ได้
ควรใช้เครื่องมือสร้าง 2FA ออนไลน์หรือไม่?
สำหรับการใช้งานประจำวันในระยะยาว โดยทั่วไปแล้วควรเลือกใช้ตัวตรวจสอบความถูกต้องแบบออฟไลน์ที่เชื่อถือได้ หรือวิธีการที่ได้รับการสนับสนุนจากฮาร์ดแวร์ เครื่องมือในเบราว์เซอร์อาจมีประโยชน์สำหรับการทดสอบที่ได้รับอนุญาตหรือขั้นตอนการทำงานชั่วคราว แต่ควรใช้เฉพาะบนอุปกรณ์และสภาพแวดล้อมเบราว์เซอร์ที่คุณเชื่อถือได้เท่านั้น
คำตอบสั้นๆ
2FA ปกป้องบัญชีโดยต้องการหลักฐานสองประเภทที่แตกต่างกัน รหัสยืนยันตัวตนแบบ TOTP เป็นปัจจัยที่สองที่นิยมใช้ ส่วน passkey และกุญแจความปลอดภัยแบบฮาร์ดแวร์สามารถให้การป้องกันการฟิชชิ่งที่แข็งแกร่งยิ่งขึ้น ไม่ว่าคุณจะเลือกวิธีใด ก็ควรปกป้องรหัสกู้คืนและข้อมูลลับในการตั้งค่าอย่างระมัดระวังเช่นเดียวกับรหัสผ่าน