ปัจจัยการยืนยันตัวตน

การยืนยันตัวตนคือการพิสูจน์ว่าคุณเป็นบุคคลตามที่อ้างจริง

การยืนยันตัวตนที่รัดกุมอาศัยการรวมปัจจัยที่แตกต่างกัน โดยแต่ละปัจจัยเป็นหลักฐานคนละประเภท

ปัจจัยสำหรับการยืนยันตัวตนแบ่งเป็นสามประเภท:

• สิ่งที่คุณรู้ (รหัสผ่านหรือ PIN)
• สิ่งที่คุณมี (โทรศัพท์หรือกุญแจรักษาความปลอดภัย)
• สิ่งที่คุณเป็น (ลายนิ้วมือหรือใบหน้า)

ปัจจัยด้านสิ่งที่รู้คือความลับที่คุณจดจำ เช่น รหัสผ่าน PIN และคำถามรักษาความปลอดภัย

ปัจจัยเหล่านี้มีต้นทุนต่ำและคุ้นเคย แต่ถูกหลอกลวงแบบฟิชชิง เดา หรือใช้ซ้ำในหลายเว็บไซต์ได้ง่าย

ปัจจัยด้านสิ่งที่มีคือสิ่งของที่คุณถือครองอยู่จริง:

• โทรศัพท์ที่รับรหัสหรือการแจ้งเตือนเพื่ออนุมัติ
• กุญแจรักษาความปลอดภัยแบบฮาร์ดแวร์
• บัตรอัจฉริยะ

ผู้โจมตีต้องขโมยอุปกรณ์จึงจะนำไปใช้ได้

ปัจจัยด้านชีวมิติได้แก่ ลายนิ้วมือ ใบหน้า ม่านตา หรือเสียง

ปัจจัยเหล่านี้สะดวกและลืมได้ยาก แต่ไม่สามารถเปลี่ยนได้หากถูกบุกรุก จึงควรใช้เป็นหนึ่งในหลายปัจจัย

การยืนยันตัวตนหลายปัจจัย (MFA)ต้องใช้ปัจจัยจากหมวดหมู่ที่แตกต่างกัน

รหัสผ่านรวมกับ PIN ไม่ใช่ MFA เพราะทั้งคู่เป็นปัจจัยด้านสิ่งที่รู้ ส่วนรหัสผ่านรวมกับรหัสจากโทรศัพท์ถือเป็น MFA

การใช้รหัสผ่านเพียงอย่างเดียวเป็นจุดอ่อนที่สุด เพราะรหัสผ่านถูกใช้ซ้ำ ถูกหลอกลวงแบบฟิชชิง และรั่วไหลจากการละเมิดข้อมูล

การเพิ่มปัจจัยที่สองหมายความว่ารหัสผ่านที่ถูกขโมยไปจะไม่เพียงพอสำหรับการเข้าสู่ระบบอีกต่อไป

การยืนยันตัวตนแบบสองปัจจัย (2FA)คือ MFA ที่มีปัจจัยพอดีสองรายการ

MFA เป็นคำที่กว้างกว่าและอาจต้องใช้ตั้งแต่สองปัจจัยขึ้นไป ในทางปฏิบัติ ระบบสำหรับผู้บริโภคส่วนใหญ่ใช้ 2FA

ปัจจัยที่สองโดยทั่วไป เรียงจากอ่อนแอที่สุดไปแข็งแกร่งที่สุด:

• รหัส SMS (เสี่ยงต่อการสับเปลี่ยน SIM)
• รหัสจากแอปยืนยันตัวตน (TOTP)
• การอนุมัติผ่านการแจ้งเตือน
• กุญแจรักษาความปลอดภัยแบบฮาร์ดแวร์ (แข็งแกร่งที่สุด)

ระบบสมัยใหม่ใช้การยืนยันตัวตนแบบปรับตามความเสี่ยง: จะขอปัจจัยเพิ่มเติมเฉพาะเมื่อการเข้าสู่ระบบดูมีความเสี่ยง

สัญญาณเหล่านี้รวมถึงอุปกรณ์ใหม่ ตำแหน่งที่ผิดปกติ หรือการเดินทางที่เป็นไปไม่ได้

บางระบบถือว่าตำแหน่ง (สถานที่ที่คุณอยู่) หรือพฤติกรรม (จังหวะการพิมพ์) เป็นสัญญาณเพิ่มเติม

โดยทั่วไปสิ่งเหล่านี้เป็นข้อมูลนำเข้าด้านความเสี่ยง ไม่ใช่ปัจจัยเดี่ยว ๆ แต่ช่วยเพิ่มความแม่นยำให้การตัดสินใจโดยรวม

การผสมปัจจัยข้อใดต่อไปนี้เข้าข่ายการยืนยันตัวตนหลายปัจจัยอย่างแท้จริง

คุณได้เรียนรู้หมวดหมู่ปัจจัยการยืนยันตัวตนสามประเภท ได้แก่ สิ่งที่รู้ สิ่งที่มี และสิ่งที่เป็น

• MFAที่แท้จริงผสมปัจจัยจากหมวดหมู่ที่แตกต่างกัน
• ปัจจัยที่สองมีตั้งแต่SMSที่อ่อนแอไปจนถึงกุญแจฮาร์ดแวร์ที่แข็งแกร่ง
• การยืนยันตัวตนแบบปรับตามความเสี่ยงจะเพิ่มปัจจัยเฉพาะเมื่อความเสี่ยงสูง

ถัดไป เราจะเจาะลึกวิธีการทำงานของอัลกอริทึมรหัสผ่านใช้ครั้งเดียว