กุญแจแบบพุชและฮาร์ดแวร์

รหัส OTP ที่พิมพ์ใช้งานได้ แต่ไม่สะดวกและเสี่ยงต่อฟิชชิง ปัจจัยยืนยันการครอบครองที่แข็งแกร่งกว่าสองแบบช่วยปรับปรุงทั้งประสบการณ์และความปลอดภัย ได้แก่ การอนุมัติผ่านการแจ้งเตือนและคีย์ความปลอดภัยฮาร์ดแวร์

MFA แบบการแจ้งเตือนจะส่งข้อความแจ้งเตือนไปยังโทรศัพท์ของคุณ คุณแตะ อนุมัติ หรือ ปฏิเสธ แทนการพิมพ์รหัส

วิธีนี้สะดวก และเซิร์ฟเวอร์จะยืนยันการตอบกลับด้วยวิทยาการเข้ารหัสลับ

ข้อความแจ้งเตือนแบบพุชมีช่องโหว่ต่อความล้าจาก MFA (การถล่มด้วยการแจ้งเตือน) ผู้โจมตีส่งคำขออนุมัติจำนวนมาก โดยหวังว่าผู้ใช้จะแตะอนุมัติเพราะรำคาญ

การป้องกันคือการจับคู่หมายเลข ซึ่งผู้ใช้ต้องป้อนหมายเลขที่แสดงบนหน้าจอเข้าสู่ระบบ

คีย์ความปลอดภัยฮาร์ดแวร์คืออุปกรณ์กายภาพขนาดเล็ก (USB, NFC หรือบลูทูธ) ที่ทำการยืนยันตัวตนด้วยวิทยาการเข้ารหัสลับ

คีย์ส่วนตัวจะไม่ออกจากอุปกรณ์ จึงต้านทานการโจรกรรมได้อย่างมาก

ฟีโดรุ่น 2คือมาตรฐานเปิดที่อยู่เบื้องหลังคีย์ความปลอดภัยสมัยใหม่ ส่วนที่ทำงานบนเว็บคือ API ของเบราว์เซอร์ WebAuthn

เมื่อนำมาทำงานร่วมกัน ทั้งสองช่วยให้เว็บไซต์ยืนยันตัวตนผู้ใช้ด้วยวิทยาการเข้ารหัสลับแบบกุญแจสาธารณะ แทนการใช้ความลับร่วม

ขณะลงทะเบียน คีย์จะสร้างคู่กุญแจที่ไม่ซ้ำกันสำหรับแต่ละเว็บไซต์ แล้วส่งกุญแจสาธารณะให้เว็บไซต์

ขณะเข้าสู่ระบบ เซิร์ฟเวอร์จะส่งคำท้าทายมาให้ คีย์จะลงนามด้วยกุญแจส่วนตัว ลายเซ็นนี้พิสูจน์ว่าผู้ใช้ครอบครองคีย์โดยไม่เปิดเผยความลับใด ๆ

ฟีโดรุ่น 2 จะผูกข้อมูลรับรองแต่ละรายการไว้กับต้นทางที่ตรงกันทุกประการของเว็บไซต์ (โดเมน)

เว็บไซต์ฟิชชิงที่ใช้โดเมนเลียนแบบจะไม่ได้รับลายเซ็นที่ถูกต้อง เพราะคีย์ปฏิเสธการยืนยันตัวตนกับต้นทางที่ไม่ถูกต้อง นี่คือสิ่งที่ทำให้วิธีนี้ต้านทานฟิชชิง

พาสคีย์คือข้อมูลรับรองของฟีโดรุ่น 2 ที่สามารถซิงก์ข้ามอุปกรณ์ของคุณผ่านแพลตฟอร์ม เช่น โทรศัพท์หรือแล็ปท็อป

พาสคีย์มีเป้าหมายเพื่อแทนที่รหัสผ่านทั้งหมด พร้อมคงความสามารถในการต้านทานฟิชชิงของฟีโดรุ่น 2 ไว้

คีย์ความปลอดภัยสามารถเพิ่มการตรวจสอบภายในอุปกรณ์ที่เรียกว่าการยืนยันผู้ใช้ได้ เช่น PIN หรือข้อมูลชีวมิติบนตัวอุปกรณ์

วิธีนี้รวมสิ่งที่คุณมีเข้ากับสิ่งที่คุณรู้หรือสิ่งที่เป็นตัวคุณไว้ในการแตะครั้งเดียว

เรียงโดยประมาณจากอ่อนแอที่สุดไปแข็งแกร่งที่สุด:

• รหัส SMS (หลีกเลี่ยงหากทำได้)
• แอป TOTP
• การแจ้งเตือนแบบพุชพร้อมการจับคู่หมายเลข
• ฟีโดรุ่น 2 / พาสคีย์ (ต้านทานฟิชชิง)

เมื่อนำคีย์ฮาร์ดแวร์มาใช้งาน:

• ลงทะเบียนคีย์อย่างน้อยสองรายการต่อผู้ใช้หนึ่งคน (หนึ่งรายการใช้เป็นข้อมูลสำรอง)
• จัดเตรียมช่องทางกู้คืนที่ยังคงต้านทานฟิชชิง
• เลือกใช้ฟีโดรุ่น 2 สำหรับบัญชีที่มีมูลค่าสูง

เหตุใดคีย์ความปลอดภัยฟีโดรุ่น 2 จึงถือว่าต้านทานฟิชชิงได้

คุณได้เรียนรู้เกี่ยวกับปัจจัยยืนยันการครอบครองที่แข็งแกร่งขึ้น

• การแจ้งเตือนแบบพุชสะดวก แต่ต้องใช้การจับคู่หมายเลขเพื่อป้องกันการโจมตีด้วยความล้า
• ฟีโดรุ่น 2 / พาสคีย์ใช้คู่กุญแจแยกสำหรับแต่ละเว็บไซต์และการผูกกับต้นทางเพื่อต้านทานฟิชชิง
• ลงทะเบียนคีย์สำรองไว้

ต่อไป เราจะดูว่า MFA ยังคงถูกหลบเลี่ยงได้อย่างไร และจะทำให้แข็งแกร่งขึ้นได้อย่างไร