การยืนยันตัวตนสองขั้นตอน (two-factor authentication)

การยืนยันตัวตนสองขั้นตอนคืออะไร

การยืนยันตัวตนสองขั้นตอน (two-factor authentication) ซึ่งมักย่อว่า 2FA คือวิธีเข้าสู่ระบบที่ขอหลักฐานสองประเภทที่ต่างกันเพื่อยืนยันว่าคุณเป็นคนที่อ้างจริง อย่างแรกมักเป็นสิ่งที่คุณรู้ เช่น รหัสผ่าน อย่างที่สองเป็นสิ่งที่คุณมี เช่น โทรศัพท์ที่ใช้แอปยืนยันตัวตน กุญแจความปลอดภัยแบบฮาร์ดแวร์ หรือรหัสทางข้อความ SMS หรือเป็นสิ่งที่เป็นตัวคุณ เช่น ลายนิ้วมือหรือการสแกนใบหน้า

แนวคิดนั้นง่าย รหัสผ่านที่ถูกขโมยหรือถูกเดาไม่เพียงพอด้วยตัวเอง เพราะผู้โจมตียังต้องมีสิ่งที่สองด้วย รหัสผ่านรั่วไหลได้จากการละเมิดข้อมูล ถูกใช้ซ้ำในหลายเว็บไซต์ และอาจถูกจับได้ผ่านหน้าล็อกอินปลอม ปัจจัยที่สองเพิ่มด่านที่การโจมตีทั่วไปเหล่านี้ผ่านไปได้ยาก

สำหรับผู้ที่มีบัญชีโบรกเกอร์ บัญชีซื้อขาย หรือบัญชีชำระเงิน 2FA เป็นหนึ่งในการป้องกันที่มีประสิทธิภาพที่สุดและมีต้นทุนต่ำที่สุดที่มีอยู่ บัญชีเหล่านี้เก็บเงินและเอกสารส่วนบุคคล และใช้สั่งซื้อขายหรือขอถอนเงินได้ จึงเป็นเป้าหมายตามธรรมชาติของอาชญากร บริษัทที่ได้รับการกำกับดูแลหลายแห่งกำหนดหรือสนับสนุนให้ใช้ 2FA อย่างยิ่ง และในบางภูมิภาค กฎการยืนยันตัวตนลูกค้าที่เข้มแข็งสำหรับการชำระเงินทำให้ต้องใช้กับการดำเนินการบางอย่าง ไม่ว่าคุณจะเลือกหรือไม่ก็ตาม

หลักการทำงาน

กระบวนการเพิ่มหนึ่งขั้นตอนหลังรหัสผ่าน

1. คุณใส่ชื่อผู้ใช้และรหัสผ่านตามปกติ
2. บริการขอปัจจัยที่สอง ซึ่งอาจเป็นรหัสหกหลักที่เปลี่ยนทุก 30 วินาที การแจ้งเตือนแบบพุชที่คุณอนุมัติ การแตะกุญแจจริง หรือการตรวจสอบชีวมิติ
3. บริการตรวจสอบปัจจัยที่สองเทียบกับสิ่งที่คาดไว้ หากถูกต้องทั้งสองอย่าง เซสชันจะเริ่มต้น

ประเภทหลักมีความแข็งแรงต่างกัน

• รหัสทาง SMS หรือการโทรด้วยเสียง รหัสถูกส่งไปที่หมายเลขโทรศัพท์ของคุณ ตั้งค่าง่าย แต่อ่อนแอกว่า เพราะหมายเลขโทรศัพท์อาจถูกแย่งผ่านการสลับซิม (SIM swapping) และข้อความอาจถูกดักได้
• แอปยืนยันตัวตน (authenticator app) แอปและบริการแบ่งปันความลับร่วมกันระหว่างการตั้งค่า จากนั้นแอปจะสร้างรหัสผ่านใช้ครั้งเดียวที่อิงเวลาภายในเครื่อง โดยไม่ต้องใช้เครือข่าย นี่คือตัวเลือกมาตรฐานที่ใช้กันทั่วไป
• การอนุมัติแบบพุช บริการส่งข้อความแจ้งไปที่แอปที่ลงทะเบียนไว้ และคุณอนุมัติหรือปฏิเสธ สะดวก แต่อาจถูกใช้ในทางที่ผิดได้หากกดอนุมัติไปตามความเคยชิน
• กุญแจความปลอดภัยแบบฮาร์ดแวร์ (hardware security key) อุปกรณ์ขนาดเล็กที่พิสูจน์ตัวตนด้วยวิธีการเข้ารหัส และผูกกับที่อยู่เว็บไซต์จริง จึงต้านทานหน้าล็อกอินปลอมได้ โดยทั่วไปเป็นตัวเลือกที่แข็งแรงที่สุดสำหรับผู้ใช้ทั่วไป
• ชีวมิติ ลายนิ้วมือหรือการจดจำใบหน้าบนอุปกรณ์ โดยปกติใช้ปลดล็อกข้อมูลรับรองที่เก็บไว้ ไม่ได้ส่งไปให้บริการโดยตรง

บริการต่าง ๆ ยังออกรหัสสำรองตอนตั้งค่าด้วย รหัสเหล่านี้ให้คุณเข้าได้หากอุปกรณ์หาย และควรเก็บไว้แบบออฟไลน์

ตัวอย่างสถานการณ์

นี่เป็นสถานการณ์สมมติเพื่อประกอบการอธิบาย เทรดเดอร์รายหนึ่งใช้รหัสผ่านเดียวกันทั้งในเว็บบอร์ดและในบัญชีโบรกเกอร์ เว็บบอร์ดถูกเจาะ และรหัสผ่านไปปรากฏในรายชื่อที่ขายทางออนไลน์

เมื่อไม่มี 2FA

1. ผู้โจมตีลองอีเมลและรหัสผ่านที่รั่วไหลบนหน้าล็อกอินของโบรกเกอร์
2. ได้ผล ผู้โจมตีเข้าบัญชี เปลี่ยนรายละเอียดการติดต่อ และพยายามส่งคำขอถอนเงิน

เมื่อมี 2FA ผ่านแอปยืนยันตัวตน

1. ผู้โจมตีลองอีเมลและรหัสผ่านเดียวกัน
2. โบรกเกอร์ขอรหัสหกหลัก ผู้โจมตีไม่มีโทรศัพท์ของเทรดเดอร์และสร้างรหัสไม่ได้
3. การล็อกอินล้มเหลว เทรดเดอร์อาจได้รับการแจ้งเตือนเกี่ยวกับความพยายามที่ล้มเหลวและสามารถเปลี่ยนรหัสผ่านได้

รหัสผ่านที่รั่วไหลเป็นรหัสเดียวกันในทั้งสองกรณี ความต่างคือด่านที่สอง หากผู้โจมตีหลอกให้เทรดเดอร์พิมพ์รหัสลงในหน้าล็อกอินปลอมแบบเรียลไทม์แทน รหัสจากแอปก็ยังอาจถูกส่งต่อได้ ซึ่งเป็นเหตุผลที่กุญแจฮาร์ดแวร์และวิธีที่ต้านทานฟิชชิงได้รับการให้คุณค่า

ทำไมจึงสำคัญ

การยึดบัญชีเป็นสาเหตุหลักของการฉ้อโกงในการซื้อขายรายย่อย และผลที่ตามมาอาจรวมถึงการซื้อขายที่ไม่ได้รับอนุญาต ความพยายามถอนเงินโดยทุจริต การขโมยตัวตน และการนำเอกสารที่คุณอัปโหลดเพื่อยืนยันตัวตนไปใช้ในทางที่ผิด การกู้คืนอาจช้า และไม่ใช่ทุกความเสียหายที่จะได้รับการชดเชย เพราะเงื่อนไขขึ้นอยู่กับบริษัทและขึ้นอยู่กับว่าคุณประมาทเลินเล่อกับข้อมูลรับรองหรือไม่

ฟีเจอร์ด้านความปลอดภัยยังต่างกันระหว่างโบรกเกอร์ บางแห่งบังคับใช้ 2FA ทุกครั้งที่ล็อกอินและเมื่อถอนเงิน บางแห่งให้เป็นทางเลือก และบางแห่งรองรับเฉพาะ SMS การป้องกันการถอนเงิน เช่น การยืนยันเพิ่มเมื่อเพิ่มบัญชีธนาคารใหม่ อาจสำคัญเท่ากับการล็อกอินเอง แนวทางการยืนยันตัวตนของโบรกเกอร์เป็นสัญญาณหนึ่งว่าบริษัทให้ความสำคัญกับความปลอดภัยของลูกค้ามากเพียงใด ควบคู่กับบัญชีแยกเงินลูกค้า (segregated accounts) และมาตรการควบคุมอื่น ๆ

วิธีใช้ในทางปฏิบัติ

1. เปิด 2FA สำหรับโบรกเกอร์ อีเมล ธนาคาร และบัญชีชำระเงินหรือคริปโตทุกบัญชีของคุณ อีเมลสำคัญมาก เพราะใช้รีเซ็ตรหัสผ่านอื่น ๆ ทั้งหมดได้
2. เลือกใช้แอปยืนยันตัวตนหรือกุญแจฮาร์ดแวร์แทน SMS หากบริการมีให้
3. เก็บรหัสสำรองแบบออฟไลน์ เช่น พิมพ์ออกมาและเก็บไว้อย่างปลอดภัย ไม่ใช่เก็บไว้ในบัญชีอีเมลเดียวกัน
4. ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบริการ โดยควรสร้างและเก็บไว้ในตัวจัดการรหัสผ่าน
5. ตรวจสอบว่าโบรกเกอร์มีการยืนยันเพิ่มเติมสำหรับการถอนเงินและการเปลี่ยนรายละเอียดบัญชีธนาคารหรือไม่ และเปิดใช้งาน
6. อัปเดตหมายเลขโทรศัพท์และอีเมลให้เป็นปัจจุบัน เพื่อให้กู้คืนการเข้าถึงได้
7. อย่าบอกรหัสกับใครเด็ดขาด รวมถึงผู้ที่อ้างว่าเป็นฝ่ายสนับสนุน เจ้าหน้าที่ตัวจริงไม่ขอรหัสนี้
8. ตรวจสอบการแจ้งเตือนการล็อกอินและอุปกรณ์จากโบรกเกอร์เป็นประจำ

ข้อผิดพลาดและความเข้าใจผิดที่พบบ่อย

• คิดว่ารหัส SMS แข็งแรงเท่ากับรหัสจากแอป แม้ดีกว่าไม่มีเลย แต่เสี่ยงต่อการสลับซิม
• อนุมัติข้อความพุชที่ตัวเองไม่ได้เป็นคนเริ่ม ข้อความที่ไม่คาดคิดควรปฏิเสธและเปลี่ยนรหัสผ่าน
• ทำอุปกรณ์เครื่องเดียวหายโดยไม่มีสำรอง หากไม่มีรหัสสำรอง การกู้คืนอาจต้องผ่านการตรวจสอบตัวตนที่ใช้เวลานาน
• เชื่อว่า 2FA ทำให้ฟิชชิงไม่เป็นอันตราย การโจมตีแบบส่งต่อแบบเรียลไทม์สามารถจับรหัสใช้ครั้งเดียวได้ ควรตรวจสอบที่อยู่เว็บก่อนใส่รหัส
• ใช้ 2FA กับโบรกเกอร์แต่ไม่ใช้กับบัญชีอีเมล ผู้โจมตีที่ควบคุมอีเมลได้มักรีเซ็ตรหัสผ่านโบรกเกอร์และบางครั้งรีเซ็ตปัจจัยที่สองได้
• บอกรหัสให้ใครทางโทรศัพท์เพราะเขาบอกว่าเป็นการตรวจสอบความปลอดภัย

ความเสี่ยงและข้อจำกัด

การยืนยันตัวตนสองขั้นตอนลดความเสี่ยงแต่ไม่ได้ขจัดไปทั้งหมด มัลแวร์บนอุปกรณ์ การส่งต่อแบบฟิชชิง การหลอกลวงเจ้าหน้าที่ฝ่ายสนับสนุน และขั้นตอนการกู้คืนที่อ่อนแอ ยังอาจนำไปสู่การถูกบุกรุกได้ วิธีที่แข็งแรงยังอาจทำให้คุณเข้าบัญชีไม่ได้หากอุปกรณ์หายและไม่มีสำรอง กฎเกณฑ์และวิธีที่มีให้ใช้แตกต่างกันตามประเทศและบริษัท และ 2FA ปกป้องการเข้าถึงบัญชี ไม่ได้ปกป้องมูลค่าของการลงทุนในบัญชี จึงไม่ใช่การป้องกันการขาดทุนจากตลาด

มุมมองของ Brokeli

เมื่อเรารวบรวมข้อมูลวิจัยโบรกเกอร์ เราจะบันทึกว่ามีตัวเลือกการยืนยันตัวตนใดบ้าง 2FA เป็นข้อบังคับหรือทางเลือก และมีการตรวจสอบเพิ่มเติมสำหรับการถอนเงินหรือไม่ นี่เป็นหนึ่งในหลายรายการด้านความปลอดภัยของบัญชีที่เราบันทึกควบคู่กับการกำกับดูแล การแยกเงินของลูกค้า และกระบวนการยืนยันตัวตน เราอธิบายสิ่งที่โบรกเกอร์เผยแพร่ และไม่ได้ทดสอบหรือรับรองความปลอดภัยของโบรกเกอร์