ตั้งรหัสผ่านอย่างไรให้ปลอดภัย? วิธีที่ใช้ได้จริง

รหัสผ่านที่ปลอดภัยคือรหัสผ่านที่ยาว เดายาก และใช้กับบัญชีเดียวเท่านั้น วิธีที่แนะนำในปัจจุบันคือใช้วลีรหัสผ่าน (passphrase) ความยาวอย่างน้อย 15 ตัวอักษร ไม่ใช้ข้อมูลส่วนตัว ไม่ใช้ซ้ำหลายเว็บไซต์ และเก็บด้วยโปรแกรมจัดการรหัสผ่าน พร้อมเปิดการยืนยันตัวตนสองชั้นเพื่อเพิ่มความปลอดภัยอีกระดับ

รหัสผ่านแบบไหนที่ถือว่าปลอดภัย?

รหัสผ่านที่ปลอดภัยต้องเดายากสำหรับทั้งคนและโปรแกรมเจาะรหัส และต้องไม่เคยรั่วไหลมาก่อน ปัจจัยที่สำคัญที่สุดคือความยาว เพราะยิ่งยาว จำนวนรูปแบบที่ผู้โจมตีต้องลองก็ยิ่งเพิ่มขึ้นมหาศาล

แนวปฏิบัติ NIST SP 800-63B ฉบับปรับปรุงครั้งที่ 4 ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐอเมริกา (National Institute of Standards and Technology หรือ NIST) กำหนดให้ระบบที่ใช้รหัสผ่านเป็นปัจจัยยืนยันตัวตนเพียงอย่างเดียวต้องกำหนดความยาวขั้นต่ำ 15 ตัวอักษร และควรรองรับรหัสผ่านยาวอย่างน้อย 64 ตัวอักษร นอกจากนี้ยังให้ตรวจรหัสผ่านใหม่กับรายชื่อรหัสผ่านที่ใช้กันบ่อยหรือเคยรั่วไหล

ตั้งรหัสผ่านให้ปลอดภัยมีขั้นตอนอย่างไร?

วิธีที่ทั้งปลอดภัยและจำได้ง่ายคือสร้างวลีรหัสผ่านจากคำหลายคำที่ไม่เกี่ยวข้องกัน แล้วตรวจให้แน่ใจว่าไม่ซ้ำกับบัญชีอื่น ทำตามขั้นตอนต่อไปนี้ได้ทันที

1. เลือกคำ 4–5 คำแบบสุ่มที่ไม่มีความเกี่ยวข้องกัน เช่น คำที่สุ่มจากหนังสือหรือโปรแกรมสร้างรหัสผ่าน
2. นำมาต่อกันให้ยาวอย่างน้อย 15 ตัวอักษร จะเว้นวรรคหรือใส่เครื่องหมายคั่นก็ได้ถ้าระบบรองรับ
3. หลีกเลี่ยงข้อมูลที่คนอื่นหาได้ เช่น ชื่อ วันเกิด เบอร์โทรศัพท์ ชื่อสัตว์เลี้ยง หรือทีมฟุตบอลที่ชอบ
4. ใช้รหัสผ่านนี้กับบัญชีเดียวเท่านั้น
5. บันทึกไว้ในโปรแกรมจัดการรหัสผ่าน แล้วเปิดการยืนยันตัวตนสองชั้นในบัญชีนั้น

ไม่ควรใช้ประโยคที่มีชื่อเสียง เนื้อเพลง หรือคำคมที่คนรู้จักกันทั่วไป เพราะโปรแกรมเจาะรหัสมักมีรายการวลีเหล่านี้อยู่แล้ว

รหัสผ่านยาวกับรหัสผ่านซับซ้อน แบบไหนดีกว่า?

โดยทั่วไปรหัสผ่านที่ยาวปลอดภัยกว่าและจำง่ายกว่ารหัสผ่านสั้นที่บังคับให้มีตัวพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์ เพราะคนมักแก้ปัญหาความซับซ้อนด้วยรูปแบบที่เดาได้ เช่น ใส่ตัวพิมพ์ใหญ่ตัวแรกและตัวเลขต่อท้าย

ด้วยเหตุนี้ แนวปฏิบัติของ NIST จึงห้ามระบบบังคับกฎการผสมตัวอักษร (composition rules) และหันมาเน้นความยาวกับการตรวจรายชื่อรหัสผ่านที่รั่วไหลแทน อย่างไรก็ตาม หากเว็บไซต์ที่ใช้อยู่ยังบังคับให้มีอักขระหลายประเภท ก็ทำตามเงื่อนไขนั้นได้โดยยังคงให้รหัสผ่านยาวไว้

ลักษณะรหัสผ่าน	ความปลอดภัย	จำง่ายหรือไม่
สั้นและเป็นคำทั่วไป เช่น ชื่อหรือวันเกิด	ต่ำมาก	ง่าย
สั้นแต่ผสมตัวพิมพ์ใหญ่ ตัวเลข สัญลักษณ์	ปานกลาง มักมีรูปแบบที่เดาได้	ยาก
วลีรหัสผ่านจากคำสุ่ม 4–5 คำ ยาว 15 ตัวอักษรขึ้นไป	สูง	ค่อนข้างง่าย
รหัสผ่านสุ่มยาวที่สร้างโดยโปรแกรมจัดการรหัสผ่าน	สูงมาก	ไม่ต้องจำ เพราะโปรแกรมจำให้

ทำไมไม่ควรใช้รหัสผ่านเดียวกันหลายบัญชี?

เพราะเมื่อเว็บไซต์ใดเว็บไซต์หนึ่งถูกเจาะและรหัสผ่านรั่วไหล ผู้โจมตีจะนำรหัสผ่านนั้นไปลองเข้าสู่ระบบบัญชีอื่นของเราโดยอัตโนมัติ วิธีนี้เรียกว่า credential stuffing ถ้าใช้รหัสผ่านซ้ำ บัญชีอีเมล โซเชียลมีเดีย หรือแอปการเงินก็อาจถูกยึดตามไปด้วย

บัญชีที่สำคัญที่สุดคืออีเมลหลัก เพราะใช้รีเซ็ตรหัสผ่านของบริการอื่นได้เกือบทั้งหมด จึงควรตั้งรหัสผ่านที่ไม่ซ้ำใครและเปิดการยืนยันตัวตนสองชั้นเป็นอันดับแรก

โปรแกรมจัดการรหัสผ่านปลอดภัยหรือไม่?

โปรแกรมจัดการรหัสผ่าน (password manager) จากผู้ให้บริการที่น่าเชื่อถือถือว่าปลอดภัยและเป็นวิธีที่หน่วยงานด้านไซเบอร์หลายแห่งแนะนำ เพราะช่วยสร้างรหัสผ่านสุ่มที่ยาวและไม่ซ้ำกันให้ทุกบัญชี โดยเราจำเพียงรหัสผ่านหลัก (master password) รหัสเดียว

• ตั้งรหัสผ่านหลักเป็นวลีรหัสผ่านที่ยาวและไม่ใช้ที่อื่น
• เปิดการยืนยันตัวตนสองชั้นกับบัญชีโปรแกรมจัดการรหัสผ่าน
• เลือกโปรแกรมที่มีการเข้ารหัสข้อมูลและอัปเดตสม่ำเสมอ
• ใช้ฟีเจอร์เติมรหัสผ่านอัตโนมัติ ซึ่งช่วยลดความเสี่ยงจากการพิมพ์รหัสผ่านในเว็บไซต์ปลอม

การยืนยันตัวตนสองชั้นช่วยอะไรได้บ้าง?

การยืนยันตัวตนสองชั้น (Two-Factor Authentication หรือ 2FA) คือการเพิ่มขั้นตอนพิสูจน์ตัวตนอีกหนึ่งอย่างนอกจากรหัสผ่าน เช่น รหัสจากแอปยืนยันตัวตน กุญแจความปลอดภัย หรือการยืนยันบนโทรศัพท์ ทำให้แม้รหัสผ่านรั่วไหล ผู้อื่นก็ยังเข้าบัญชีไม่ได้ง่าย ๆ

ถ้ามีตัวเลือก ควรใช้แอปยืนยันตัวตนหรือพาสคีย์ (passkey) มากกว่ารหัส OTP ทาง SMS เพราะทนต่อการหลอกลวงและการดักรหัสได้ดีกว่า และไม่ควรบอกรหัส OTP กับใครทั้งสิ้น แม้อีกฝ่ายจะอ้างว่าเป็นเจ้าหน้าที่ธนาคารหรือหน่วยงานรัฐ

ควรเปลี่ยนรหัสผ่านบ่อยแค่ไหน?

ไม่จำเป็นต้องเปลี่ยนรหัสผ่านตามรอบเวลา หากรหัสผ่านยาว ไม่ซ้ำ และไม่มีสัญญาณว่ารั่วไหล แนวปฏิบัติของ NIST ระบุว่าระบบไม่ควรบังคับให้เปลี่ยนรหัสผ่านเป็นระยะ เพราะมักทำให้คนตั้งรหัสผ่านที่อ่อนลงหรือแค่เปลี่ยนตัวเลขท้าย

สิ่งที่ควรทำคือเปลี่ยนรหัสผ่านทันทีเมื่อมีเหตุ เช่น ได้รับแจ้งว่าเว็บไซต์ถูกเจาะข้อมูล พบการเข้าสู่ระบบที่ไม่รู้จัก เผลอกรอกรหัสผ่านในเว็บไซต์ที่น่าสงสัย หรือเคยบอกรหัสผ่านให้ผู้อื่น

คำถามที่พบบ่อยเกี่ยวกับการตั้งรหัสผ่านให้ปลอดภัย

รหัสผ่านภาษาไทยปลอดภัยกว่าภาษาอังกฤษหรือไม่?

ไม่จำเป็นเสมอไป และหลายระบบไม่รองรับอักษรไทย การพิมพ์คำไทยด้วยแป้นภาษาอังกฤษก็เป็นรูปแบบที่ผู้โจมตีรู้จัก ความยาวและความสุ่มสำคัญกว่าภาษาที่ใช้

จดรหัสผ่านไว้ในกระดาษได้ไหม?

ได้ ถ้าเก็บไว้ในที่ปลอดภัยที่บ้านและไม่ติดไว้ใกล้คอมพิวเตอร์ แต่การใช้โปรแกรมจัดการรหัสผ่านสะดวกและปลอดภัยกว่าเมื่อมีหลายบัญชี

รู้ได้อย่างไรว่ารหัสผ่านเคยรั่วไหล?

เบราว์เซอร์และโปรแกรมจัดการรหัสผ่านหลายตัวมีฟีเจอร์ตรวจรหัสผ่านที่รั่วไหลและแจ้งเตือนอัตโนมัติ ถ้าได้รับการแจ้งเตือน ให้เปลี่ยนรหัสผ่านของบัญชีนั้นทันที

พาสคีย์ (passkey) คืออะไร?

พาสคีย์เป็นวิธีเข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่าน อาศัยการปลดล็อกอุปกรณ์ด้วยลายนิ้วมือ ใบหน้า หรือ PIN ช่วยป้องกันเว็บไซต์ปลอมได้ดี ถ้าบริการใดรองรับก็ควรเปิดใช้

แหล่งอ้างอิง: NIST SP 800-63B-4: Authentication and Authenticator Management · CISA: Use Strong Passwords · NCSC (UK): Use a strong and separate password for email

ภาพหน้าปกโดย Sasun Bughdaryan จาก Unsplash