ความปลอดภัยบัญชี รหัสผ่าน การยืนยันสองชั้น และสัญญาณผิดปกติ

บัญชีถูกเข้าถึงส่วนใหญ่ไม่ได้เกิดจากการเจาะระบบ แต่เกิดจากรหัสผ่านที่ใช้ซ้ำและการกรอกข้อมูลผิดที่ บทความนี้อธิบายว่ารหัสผ่านที่แข็งแรงจริงหน้าตาเป็นอย่างไร การยืนยันสองชั้นแต่ละแบบต่างกันตรงไหน และสัญญาณอะไรบอกว่ามีคนอื่นเข้าใช้บัญชีแล้ว

บัญชีถูกเข้าถึงได้อย่างไร

ช่องทางที่พบบ่อยที่สุดคือรหัสผ่านชุดเดียวกันถูกใช้หลายบริการ เมื่อบริการใดบริการหนึ่งข้อมูลรั่ว รายชื่อผู้ใช้และรหัสจะถูกนำไปไล่ลองกับบริการอื่นแบบอัตโนมัติ วิธีนี้ไม่ต้องเจาะอะไรเลยแต่ได้ผลสูงมาก

อีกช่องทางคือหน้าเข้าสู่ระบบปลอมที่ส่งมาทางแชทหรือโฆษณา ผู้ใช้กรอกเองด้วยความเคยชิน ข้อมูลจึงไปถึงมือคนอื่นตั้งแต่วินาทีแรก โดยที่หน้าเว็บยังเด้งกลับไปหน้าจริงให้ดูเหมือนไม่มีอะไรเกิดขึ้น

รหัสผ่านที่แข็งแรงจริงหน้าตาเป็นแบบไหน

ความยาวมีผลมากกว่าความซับซ้อน รหัสสั้นที่มีอักขระพิเศษเดาได้เร็วกว่ารหัสยาวที่เป็นคำหลายคำต่อกัน เพราะจำนวนความเป็นไปได้โตตามความยาวแบบทวีคูณ การใช้วลีสี่ถึงห้าคำที่ไม่เกี่ยวกันจึงจำง่ายและเดายาก ที่สำคัญกว่านั้นคือห้ามใช้รหัสเดียวซ้ำหลายบริการ

การยืนยันสองชั้นทำงานอย่างไร

การยืนยันสองชั้นคือการขอหลักฐานเพิ่มอีกอย่างนอกจากรหัสผ่าน โดยทั่วไปคือรหัสหกหลักที่เปลี่ยนทุกสามสิบวินาที ถึงคนอื่นจะรู้รหัสผ่านของคุณ เขาก็ยังเข้าไม่ได้ถ้าไม่มีอุปกรณ์ที่สร้างรหัสนั้น

รหัสที่ส่งทางข้อความสั้นสะดวกที่สุดแต่ปลอดภัยน้อยที่สุด เพราะเบอร์ถูกย้ายหรือถูกดักได้ ส่วนแอปสร้างรหัสทำงานบนเครื่องโดยไม่ต้องพึ่งสัญญาณ จึงเป็นตัวเลือกที่สมดุลระหว่างความสะดวกกับความปลอดภัย

อีเมลกู้คืนคือประตูหลังที่คนลืม

ต่อให้ตั้งรหัสยาวและเปิดยืนยันสองชั้นแล้ว ถ้าอีเมลที่ใช้กู้คืนบัญชียังใช้รหัสเก่าและไม่มีการป้องกันชั้นที่สอง คนที่เข้าอีเมลได้ก็สั่งรีเซ็ตรหัสของบริการอื่นได้ทั้งหมด ความปลอดภัยจึงเท่ากับจุดที่อ่อนที่สุด

สิ่งที่ควรทำคือยกระดับอีเมลหลักก่อนเสมอ ตั้งรหัสเฉพาะที่ไม่ซ้ำกับที่ใด เปิดยืนยันสองชั้น และไล่ดูว่ามีการตั้งค่าส่งต่อจดหมายไปที่อื่นหรือกฎกรองจดหมายแปลก ๆ ที่ตัวเองไม่ได้สร้างไว้หรือไม่

ลำดับการตั้งค่าที่ควรทำ

ถ้ายังไม่เคยจัดระเบียบเรื่องนี้ ให้เริ่มจากบัญชีที่ใช้กู้คืนบัญชีอื่นก่อน แล้วค่อยไล่ไปยังบัญชีที่มีเงินเกี่ยวข้อง ลำดับด้านล่างใช้เวลารวมไม่นาน แต่ลดความเสี่ยงได้มากที่สุดต่อเวลาที่ลง โดยทั่วไปใช้เวลาราวห้าถึงสิบนาทีต่อหนึ่งบัญชี

1. 1. เริ่มที่อีเมลหลัก

   ตั้งรหัสเฉพาะที่ไม่ซ้ำกับที่ใด แล้วเปิดยืนยันสองชั้นให้อีเมลก่อนบัญชีอื่น

2. 2. เลิกใช้รหัสซ้ำ

   ไล่เปลี่ยนบัญชีที่เคยใช้รหัสชุดเดียวกัน เริ่มจากบัญชีที่ผูกกับเงิน

3. 3. เปิดยืนยันสองชั้น

   ถ้าเลือกได้ให้ใช้แอปสร้างรหัสแทนข้อความสั้น เพราะไม่ต้องพึ่งเครือข่ายมือถือ

4. 4. เก็บรหัสสำรองแยกที่

   บันทึกรหัสกู้คืนไว้คนละที่กับโทรศัพท์ เพื่อไม่ให้หายพร้อมกันทั้งสองอย่าง

5. 5. ตรวจประวัติเข้าใช้งาน

   เปิดดูอุปกรณ์และเวลาที่เข้าระบบเดือนละครั้ง แล้วสั่งออกจากระบบอุปกรณ์ที่ไม่รู้จัก

สัญญาณว่าบัญชีถูกเข้าถึง

สัญญาณที่ชัดที่สุดคือได้รหัสยืนยันทั้งที่ไม่ได้กดเข้าสู่ระบบเอง แปลว่ามีคนรู้รหัสผ่านแล้วและติดอยู่แค่ชั้นที่สอง กรณีนี้ควรเปลี่ยนรหัสทันที ไม่ใช่แค่ปล่อยผ่านเพราะเขายังเข้าไม่ได้

สัญญาณอื่นคือถูกบังคับออกจากระบบเอง ประวัติการเข้าใช้งานมีอุปกรณ์หรือเวลาที่ไม่ใช่ของเรา อีเมลแจ้งเตือนการเปลี่ยนข้อมูลที่เราไม่ได้ทำ หรือจดหมายบางฉบับหายไปจากกล่องขาเข้าโดยไม่ทราบสาเหตุ

ข้อจำกัดและความเสี่ยงที่เหลืออยู่

ข้อแรก การยืนยันสองชั้นไม่กันทุกกรณี ถ้าถูกหลอกให้บอกรหัสหกหลักทางแชท ชั้นที่สองก็ถูกข้ามได้ทันที ข้อสอง ถ้าเครื่องมีโปรแกรมแฝงอยู่ รหัสที่พิมพ์ทุกตัวก็ถูกอ่านได้ตั้งแต่ต้นทาง

ข้อสาม การเก็บรหัสสำรองไว้ในที่เดียวกับอุปกรณ์หลักทำให้เสียทั้งสองอย่างพร้อมกันเมื่อเครื่องหาย และข้อสุดท้าย ไม่มีการตั้งค่าใดกันได้ร้อยเปอร์เซ็นต์ การตรวจประวัติเข้าใช้งานเป็นระยะจึงยังจำเป็น

สรุป

ความปลอดภัยของบัญชีมาจากสามอย่างที่ทำได้เองทั้งหมด คือรหัสยาวและไม่ซ้ำ การยืนยันสองชั้นที่ไม่พึ่งข้อความสั้นถ้าเลือกได้ และอีเมลกู้คืนที่แข็งแรงพอกัน

ที่เหลือคือนิสัยประจำวัน ไม่กรอกข้อมูลเข้าสู่ระบบจากลิงก์ที่คนอื่นส่งมา ไม่บอกรหัสยืนยันให้ใคร และเข้าไปดูประวัติการเข้าใช้งานสักครั้งทุกเดือน สามข้อนี้กันกรณีที่พบบ่อยได้เกือบทั้งหมด

คำถามที่พบบ่อย