2FA (Two-Factor Authentication) หรือการยืนยันตัวตนสองขั้นตอน คือการเข้าสู่ระบบที่ต้องใช้หลักฐานยืนยันตัวตนสองอย่างที่ต่างประเภทกัน เช่น รหัสผ่านคู่กับรหัสจากแอปในโทรศัพท์ ถึงมิจฉาชีพจะได้รหัสผ่านไป ก็ยังเข้าบัญชีไม่ได้ถ้าไม่มีปัจจัยที่สอง การเปิด 2FA จึงเป็นหนึ่งในวิธีที่ง่ายและได้ผลที่สุดในการป้องกันบัญชีออนไลน์ถูกแฮ็ก
2FA คืออะไร
2FA คือการยืนยันตัวตนด้วยปัจจัย (factor) สองประเภทก่อนเข้าใช้บัญชี โดยปัจจัยแต่ละประเภทต้องมาจากคนละกลุ่ม ไม่ใช่รหัสผ่านสองชุด แนวคิดนี้เป็นส่วนหนึ่งของ MFA (Multi-Factor Authentication) หรือการยืนยันตัวตนหลายปัจจัย ซึ่งหมายถึงการใช้ตั้งแต่สองปัจจัยขึ้นไป
สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) แบ่งปัจจัยยืนยันตัวตนเป็น 3 กลุ่ม ดังนี้
| กลุ่มปัจจัย | ความหมาย | ตัวอย่าง |
|---|---|---|
| สิ่งที่คุณรู้ | ข้อมูลที่จำไว้ในหัว | รหัสผ่าน, PIN |
| สิ่งที่คุณมี | อุปกรณ์ที่อยู่กับตัว | โทรศัพท์ที่รับรหัส, แอปยืนยันตัวตน, กุญแจความปลอดภัย (security key) |
| สิ่งที่คุณเป็น | ลักษณะทางชีวภาพ | ลายนิ้วมือ, ใบหน้า |
ทำไมควรเปิดใช้ 2FA
เพราะรหัสผ่านเพียงอย่างเดียวรั่วไหลได้ง่าย ทั้งจากการถูกหลอกให้กรอกในเว็บปลอม การใช้รหัสซ้ำหลายเว็บ หรือฐานข้อมูลของบริการต่าง ๆ ถูกเจาะ เมื่อเปิด 2FA ผู้โจมตีต้องได้ปัจจัยที่สองด้วย ซึ่งยากกว่ามาก CISA ระบุว่าผู้ที่เปิดใช้ MFA มีโอกาสถูกแฮ็กน้อยลงอย่างมีนัยสำคัญ และ MFA แบบใดก็ยังดีกว่าไม่มีเลย
บัญชีที่ควรเปิด 2FA ก่อน ได้แก่ อีเมลหลัก (เพราะใช้รีเซ็ตรหัสผ่านบัญชีอื่น) แอปธนาคารและกระเป๋าเงินดิจิทัล โซเชียลมีเดีย บริการเก็บไฟล์ออนไลน์ และบัญชีที่ใช้ทำงาน
2FA มีกี่แบบ และแบบไหนปลอดภัยที่สุด
2FA ที่ใช้กันทั่วไปมีหลายแบบ ความปลอดภัยต่างกัน แบบที่ต้านการหลอกลวงทางเว็บ (phishing-resistant) ได้ดีที่สุดคือกุญแจความปลอดภัยและพาสคีย์ (passkey) ตามมาตรฐาน FIDO ส่วนรหัสผ่านทาง SMS สะดวกแต่ปลอดภัยน้อยที่สุดในกลุ่มนี้ อย่างไรก็ตาม การใช้แบบใดก็ตามยังดีกว่าไม่เปิดเลย
| รูปแบบ | วิธีทำงาน | จุดเด่น | ข้อควรระวัง |
|---|---|---|---|
| รหัส OTP ทาง SMS | ระบบส่งรหัสใช้ครั้งเดียว (OTP: One-Time Password) ไปยังเบอร์โทรศัพท์ | ใช้ง่าย ไม่ต้องติดตั้งแอป | ถูกหลอกให้บอกรหัสได้ และเสี่ยงหากถูกสวมรอยซิมการ์ด |
| แอปยืนยันตัวตน (authenticator app) | แอปสร้างรหัส 6 หลักที่เปลี่ยนทุก ๆ 30 วินาที | ไม่ต้องพึ่งเครือข่ายมือถือ | ยังถูกหลอกให้กรอกรหัสในเว็บปลอมได้ |
| การกดยืนยันผ่านแอป (push notification) | แอปเด้งถามให้กดอนุมัติการเข้าสู่ระบบ | สะดวกมาก | อาจถูกส่งคำขอซ้ำ ๆ จนเผลอกดอนุมัติ ควรใช้แบบจับคู่ตัวเลข |
| กุญแจความปลอดภัยและพาสคีย์ (FIDO) | อุปกรณ์ยืนยันกับเว็บไซต์โดยตรงด้วยการเข้ารหัส | ต้านเว็บปลอมได้ดี | ต้องตั้งค่าอุปกรณ์สำรองไว้ด้วย |
พาสคีย์คือข้อมูลยืนยันตัวตนตามมาตรฐาน FIDO ที่เก็บอยู่ในอุปกรณ์ ใช้เข้าสู่ระบบด้วยวิธีเดียวกับการปลดล็อกเครื่อง เช่น สแกนนิ้วหรือใบหน้า เนื่องจากพาสคีย์ผูกกับโดเมนของเว็บไซต์จริง จึงใช้กับเว็บปลอมไม่ได้
เปิดใช้ 2FA อย่างไร
บริการส่วนใหญ่มีเมนูเปิด 2FA อยู่ในส่วนการตั้งค่าความปลอดภัยของบัญชี ขั้นตอนโดยทั่วไปใช้เวลาไม่กี่นาที และควรเตรียมวิธีกู้คืนบัญชีไว้ตั้งแต่ตอนตั้งค่า
- เข้าสู่ระบบบัญชีที่ต้องการ แล้วเปิดเมนูการตั้งค่าความปลอดภัย (Security) หรือการเข้าสู่ระบบ
- มองหาตัวเลือก “การยืนยันแบบ 2 ขั้นตอน” “Two-factor authentication” หรือ “Passkey”
- เลือกวิธีที่ปลอดภัยที่สุดที่บริการรองรับ เช่น พาสคีย์หรือแอปยืนยันตัวตน แทน SMS หากเลือกได้
- ทำตามขั้นตอนบนหน้าจอ เช่น สแกนคิวอาร์โค้ดด้วยแอปยืนยันตัวตน แล้วกรอกรหัสเพื่อยืนยัน
- บันทึกรหัสสำรอง (backup codes) เก็บไว้ในที่ปลอดภัย แยกจากโทรศัพท์
- ทดลองออกจากระบบแล้วเข้าใหม่ เพื่อให้แน่ใจว่าตั้งค่าสำเร็จ
เปิด 2FA แล้วต้องระวังอะไรบ้าง
2FA ช่วยได้มาก แต่ไม่ได้ป้องกันทุกอย่าง จุดอ่อนที่พบบ่อยคือการถูกหลอกให้บอกรหัสหรือกดอนุมัติเอง และการทำโทรศัพท์หายโดยไม่มีวิธีกู้คืนบัญชี
- ไม่บอกรหัส OTP กับใครทั้งสิ้น แม้อีกฝ่ายอ้างว่าเป็นธนาคาร เจ้าหน้าที่รัฐ หรือฝ่ายบริการลูกค้า
- ถ้ามีคำขอยืนยันเข้าสู่ระบบที่ไม่ได้ทำเอง อย่ากดอนุมัติ และให้เปลี่ยนรหัสผ่านทันที
- ตรวจชื่อเว็บไซต์ทุกครั้งก่อนกรอกรหัสผ่านหรือรหัส OTP
- ใช้รหัสผ่านที่ไม่ซ้ำกันในแต่ละบัญชีควบคู่กับ 2FA
- เมื่อเปลี่ยนโทรศัพท์ ให้ย้ายแอปยืนยันตัวตนหรือพาสคีย์ให้เรียบร้อยก่อนล้างเครื่องเก่า
คำถามที่พบบ่อยเกี่ยวกับ 2FA
2FA กับ MFA ต่างกันอย่างไร
2FA ใช้สองปัจจัยพอดี ส่วน MFA หมายถึงสองปัจจัยขึ้นไป 2FA จึงเป็น MFA รูปแบบหนึ่ง
ถ้าโทรศัพท์หายจะเข้าบัญชีได้อย่างไร
ใช้รหัสสำรองที่บันทึกไว้ อุปกรณ์สำรองที่ลงทะเบียนไว้ หรือขั้นตอนกู้คืนบัญชีของผู้ให้บริการ จึงควรตั้งค่าวิธีสำรองตั้งแต่วันแรก
การสแกนนิ้วเข้าแอปธนาคารนับเป็น 2FA ไหม
ขึ้นกับระบบ ถ้าการสแกนนิ้วใช้ปลดล็อกข้อมูลที่ผูกกับอุปกรณ์ที่ลงทะเบียนไว้ ก็เท่ากับใช้สิ่งที่คุณเป็นร่วมกับสิ่งที่คุณมี แต่ถ้าใช้แทนรหัสผ่านอย่างเดียวบนอุปกรณ์ใดก็ได้ จะนับเป็นปัจจัยเดียว
SMS OTP ไม่ปลอดภัยแล้วควรเลิกใช้ไหม
ถ้าบริการมีตัวเลือกที่ดีกว่า เช่น พาสคีย์หรือแอปยืนยันตัวตน ควรเปลี่ยนไปใช้ แต่ถ้ามีแค่ SMS ก็ยังควรเปิดไว้ เพราะดีกว่าการใช้รหัสผ่านอย่างเดียว
แหล่งอ้างอิง: CISA: More than a Password (MFA) · CISA: Implementing Phishing-Resistant MFA · FIDO Alliance: Passkeys
ภาพหน้าปกโดย Dan Nelson จาก Unsplash
