การตรวจสอบสิทธิ์สองปัจจัยหรือ 2FA คืออะไร

การตรวจสอบสิทธิ์สองปัจจัยหรือ 2FA คืออะไร

เมื่อพูดถึงการรักษาความปลอดภัยออนไลน์ขององค์กร คุณต้องระมัดระวังเป็นอย่างยิ่ง ปริมาณและความซับซ้อนของภัยคุกคามการรักษาความปลอดภัยทางไซเบอร์เพิ่มขึ้นในอัตราที่รวดเร็ว โดย Malwarebytes รายงานว่าการโจมตีธุรกิจเพิ่มขึ้น 13% ในปี 2019 เป็นผลให้หลายบริษัทกำลังจับตามองแนวทางปฏิบัติในการรักษาความปลอดภัยข้อมูลในปัจจุบันของตนอย่างจริงจัง ในท้ายที่สุด ข้อมูลส่วนบุคคล ข้อมูลด้านการเงิน และข้อมูลที่เป็นความลับจำนวนมากจะถูกเก็บไว้ในบัญชีออนไลน์ของธุรกิจของคุณ และการละเมิดข้อมูลมักส่งผลให้เกิดการสูญเสียรายได้ สำหรับองค์กรส่วนใหญ่ จะมีขั้นตอนที่ง่ายๆ หนึ่งขั้นตอนที่สามารถช่วยปรับปรุงระเบียบวินัยในการรักษาความปลอดภัยทางไซเบอร์ของพนักงานที่มีผลบังคับใช้กับทุกคน ได้แก่ การพิสูจน์ตัวตนแบบสองปัจจัยหรือ 2FA

คำอธิบายเกี่ยวกับการตรวจสอบสิทธิ์สองปัจจัยหรือ

การตรวจสอบสิทธิ์สองปัจจัยคืออะไร การตรวจสอบสิทธิ์เป็นกระบวนการในการตรวจสอบยืนยันตัวตนของผู้ใช้เพื่อสร้างการเข้าถึงระบบคอมพิวเตอร์หรือบัญชีออนไลน์ โดยมี "ปัจจัย" หลัก 3 ประการสำหรับการตรวจสอบสิทธิ์ ได้แก่ ปัจจัยด้านความรู้ (สิ่งที่คุณรู้ เช่น รหัสผ่านหรือ PIN) ปัจจัยในการครอบครอง (สิ่งที่คุณมี เช่น อุปกรณ์เคลื่อนที่หรือบัตรประจำตัวประชาชน) และปัจจัยที่ติดตัวมา (สิ่งที่คุณเป็น เช่น ลายนิ้วมือหรือเสียงของคุณ) นอกจากนี้ยังมี "ปัจจัยด้านตำแหน่ง" และ "ปัจจัยด้านเวลา" แต่พบการใช้ปัจจัยดังกล่าวน้อยมาก การตรวจสอบสิทธิ์สองปัจจัย หมายความว่าระบบการรักษาความปลอดภัยของคุณใช้ปัจจัย 2 ประการในบรรดาปัจจัยเหล่านี้

กล่าวอีกนัยหนึ่ง การตรวจสอบสิทธิ์สองปัจจัยคือการรักษาความปลอดภัยชั้นที่สองเพิ่มเติมจากการใช้รหัสผ่านหรือหมายเลข PIN ของคุณ หลังจากล็อกอินด้วยรหัสผ่าน หากระบบขอให้คุณใส่รหัสตัวเลขที่ส่งถึงคุณบนอุปกรณ์เคลื่อนที่เพื่อพิสูจน์ตัวตนของคุณ คุณจะมีความคุ้นเคยกับ 2FA อยู่แล้ว อย่างไรก็ตาม การรับรหัสทางข้อความไม่ใช่วิธีการตรวจสอบสิทธิ์สองปัจจัยวิธีการเดียวเท่านั้น แต่ยังมีตัวเลือกมากมาย ซึ่งรวมถึงแอปเพื่อการพิสูจน์ตัวตน การแจ้งเตือนแบบพุช โทเคนของซอฟต์แวร์ การพิสูจน์ตัวตนด้วยเสียง และอื่นๆ อย่างไรก็ตาม ในกรณีส่วนใหญ่ การรักษาความปลอดภัยเพิ่มเติมมักจะใช้รหัสข้อความ SMS

แอปเพื่อการพิสูจน์ตัวตนคืออะไร

แม้ว่าคุณจะคุ้นเคยกับการพิสูจน์ตัวตนสองปัจจัยเกือบทุกประเภท เช่น ข้อความตัวอักษร ข้อความเสียง และการแจ้งเตือนแบบพุช คุณอาจคุ้นเคยกับแอปเพื่อการพิสูจน์ตัวตนน้อยกว่าประเภทอื่นๆ เล็กน้อย ซึ่งอันที่จริงแล้ว เป็นแอปที่ค่อนข้างใช้งานง่ายไม่ซับซ้อน แล้วแอปเพื่อการพิสูจน์ตัวตนคืออะไร โดยหลักแล้ว แอปนี้เป็นแอปในโทรศัพท์เคลื่อนที่ของคุณที่สร้างรหัสการตรวจสอบยืนยันแบบดิจิทัล ซึ่งสามารถใช้เพื่อตรวจสอบยืนยันตัวตนของคุณเมื่อล็อกอินเข้าเว็บไซต์หรือแอปพลิเคชัน แอปเพื่อการพิสูจน์ตัวตนมีให้เลือกมากมาย รวมถึง Google Authenticator App, Duo Mobile และ Authenticator ซึ่งโดยคร่าวๆ แล้วทั้งหมดนี้มีขั้นตอนที่เหมือนกัน

โดยทั่วไปจะถือว่าแอปเพื่อการพิสูจน์ตัวตนเป็นรูปแบบของ 2FA ที่ปลอดภัยกว่าการรับเลขรหัสผ่านทางข้อความ SMS เล็กน้อย นั่นเป็นเพราะในทางเทคนิคแล้วข้อความ SMS ไม่ใช่สิ่งที่คุณมี แต่เป็นสิ่งที่คุณส่ง ดังนั้นจึงมีโอกาสเล็กน้อยที่แฮกเกอร์อาจหลอกลวงผู้ให้บริการของคุณในการพอร์ตหมายเลขโทรศัพท์เคลื่อนที่ของคุณไปยังอุปกรณ์อื่น (การฉ้อโกงประเภทหนึ่งที่เรียกว่า “การเปลี่ยน SIM”) สมมติว่าแฮกเกอร์มีรหัสผ่านของคุณอยู่แล้ว การใช้ข้อความจะช่วยให้ผู้โจมตีสามารถเข้าถึงบัญชีของคุณได้ ในทางกลับกัน รหัสยืนการตรวจสอบยันสำหรับแอปเพื่อการพิสูจน์ตัวตนจะหมดอายุอย่างรวดเร็ว (โดยปกติหลังจาก 20 หรือ 30 วินาที) และรหัสจะยังคงอยู่ภายในแอป

2FA ทำงานอย่างไร เมื่อคุณตั้งค่าการตรวจสอบสิทธิ์สองปัจจัยในระบบของคุณ การใช้งานจะค่อนข้างง่าย ไม่ว่าคุณจะใช้แอปเพื่อการพิสูจน์ตัวตน การแจ้งเตือนแบบพุช หรือข้อความ SMS ต่อไปนี้คือคู่มือแนะนำแบบทีละขั้นตอนสำหรับกระบวนการ 2FA

1. เว็บไซต์หรือแอปพลิเคชันจะแจ้งให้ผู้ใช้ล็อกอิน
2. ผู้ใช้ใส่ชื่อผู้ใช้และรหัสผ่านเพื่อทำตามปัจจัยด้านความปลอดภัยขั้นแรก
   
3. หลังจากที่ไซต์รู้จักผู้ใช้แล้ว ผู้ใช้จะได้รับแจ้งให้เริ่มขั้นตอนที่สองของกระบวนการล็อกอิน ในขั้นตอนนี้ ผู้ใช้จำเป็นต้องพิสูจน์ว่าตนเองมีบางสิ่ง เช่น บัตรประจำตัวประชาชนหรือสมาร์ทโฟน เพื่อทำตามปัจจัยด้านความปลอดภัยขั้นที่สอง คือ “การครอบครอง” ในกรณีส่วนใหญ่ ผู้ใช้จะได้รับเลขรหัสผ่านเพื่อการรักษาความปลอดภัยแบบครั้งเดียวที่สามารถใช้เพื่อยืนยันตัวตนได้
4. ในขั้นตอนสุดท้าย ผู้ใช้ใส่คีย์การรักษาความปลอดภัย และหลังจากที่ไซต์ได้ตรวจสอบสิทธิ์แล้ว ผู้ใช้จะได้รับสิทธิ์การเข้าถึง
   

เพราะเหตุใดจึงต้องใช้การตรวจสอบสิทธิ์สองปัจจัย

เมื่อพูดถึงการรักษาความปลอดภัยออนไลน์ ปัจจัยการตรวจสอบสิทธิ์ที่พบบ่อยที่สุดคือ การใช้ชื่อผู้ใช้/รหัสผ่านรวมกัน ซึ่งหมายความว่าระบบส่วนใหญ่ใช้การตรวจสอบสิทธิ์ปัจจัยเดียวเท่านั้น แม้ว่ารหัสผ่านจะเป็นมาตรฐานการรักษาความปลอดภัยที่ใช้กันอย่างแพร่หลายมานานหลายทศวรรษ แต่ก็มีหลายเหตุผลว่าทำไมอาจถึงเวลาที่ต้องเปลี่ยนเป็นวิธีอื่นที่ไม่ใช่รหัสผ่านอย่างสิ้นเชิง สำหรับการเริ่มต้น รหัสผ่านเป็นวิธีที่ค่อนข้างง่ายสำหรับการเล่นเกม คนเรามักจะมีความจำไม่ดีและในหลายๆ กรณี รหัสผ่านที่เราเลือกอาจเดาได้ง่าย เช่น "password", "12345", "qwerty" และอื่นๆ

สิ่งสำคัญคือต้องไม่ลืมว่าคนเรามีบัญชีออนไลน์มากกว่าตอนที่มีการใช้รหัสผ่านครั้งแรก ซึ่งหมายความว่าบ่อยครั้งที่มักจะมีรหัสผ่านมากเกินกว่าที่จะจำได้ ซึ่งอาจนำไปสู่ "การรีไซเคิลรหัสผ่าน" ซึ่งเมื่อใช้รหัสผ่านเดียวกันสำหรับหลายบัญชีจะทำให้แฮกเกอร์เข้าถึงได้ง่ายขึ้น เมื่อคุณคำนึงถึงอาชญากรรมไซเบอร์และการละเมิดข้อมูลที่เพิ่มขึ้น เช่น การขโมยข้อมูลของ Yahoo 2013 ที่มีการแฮกข้อมูล 3 พันล้านบัญชี จะเห็นได้อย่างง่ายดายว่าทำไมรหัสผ่านอาจไม่ใช่รูปแบบการป้องกันที่ปลอดภัยที่สุดอีกต่อไป

บางเว็บไซต์ใช้คำถามเพื่อการรักษาความปลอดภัยเป็นปัจจัยที่สอง แทนที่จะใช้ 2FA อย่างเต็มรูปแบบ ยกตัวอย่างเช่น คุณอาจต้องตอบคำถาม เช่น “นามสกุลเดิมของแม่คุณคืออะไร” หรือ “สัตว์เลี้ยงในวัยเด็กของคุณชื่ออะไร” อย่างไรก็ตาม วิธีปฏิบัตินี้มีจุดอ่อนมากมายเช่นเดียวกัน แฮกเกอร์มักจะสามารถเดาคำตอบสำหรับคำถามพื้นฐานเหล่านี้ได้โดยใช้ข้อมูลส่วนตัวที่มีอยู่มากมายบนเว็บ นอกจากนี้ สิ่งสำคัญคือต้องทราบว่าวิธีปฏิบัตินี้ไม่ใช่ 2FA "อย่างแท้จริง" เพราะคำถามเพื่อการรักษาความปลอดภัยเป็นเพียงปัจจัยด้านความรู้ซึ่งเป็นเพียงปัจจัยที่สอง โดยหลักแล้ว คุณกำลังสำรองข้อมูลรหัสผ่านด้วยรหัสผ่านอีกรายการ ในแง่นี้ น่าจะใกล้เคียงกับการยืนยันแบบสองขั้นตอน (2SV) มากกว่า ซึ่งเป็นรูปแบบการตรวจสอบสิทธิ์ที่ไม่ต้องใช้ปัจจัยที่แตกต่างกัน เพียงแค่ใช้หลายขั้นตอน

ข้อสรุป: รหัสผ่านเป็นรูปแบบการรักษาความปลอดภัยขั้นต่ำที่สุด ซึ่งเป็นสาเหตุให้การตรวจสอบสิทธิ์สองปัจจัยกำลังกลายเป็นมาตรฐานความปลอดภัยขั้นพื้นฐานสำหรับองค์กรเพิ่มมากขึ้น

วิธีการอื่นที่นอกเหนือไปจากการตรวจสอบสิทธิ์สองปัจจัย

ตามที่คุณได้เห็นแล้วว่า 2FA มีประโยชน์มาก แต่การตรวจสอบสิทธิ์สองปัจจัยไม่ใช่ปลายทางสุดท้ายสำหรับการรักษาความปลอดภัยข้อมูล แต่เป็นคนละเรื่องเลย เพราะการตรวจสอบสิทธิ์สองปัจจัยอาจผิดพลาดได้ หากผู้โจมตีต้องการเข้าถึงระบบคอมพิวเตอร์ของคุณ การค้นหาสถานที่ของคุณอาจทำให้ผู้โจมตีพบ ID พนักงานหรืออุปกรณ์เก็บข้อมูลที่ไม่ใช้แล้วที่มีรหัสผ่านได้ นอกจากนี้ แฮกเกอร์สามารถสกัดกั้นข้อความผ่านอีเมลฟิชชิ่ง ซึ่งอาจทำให้สามารถข้ามปัจจัยการตรวจสอบสิทธิ์ปัจจัยที่สองไปได้ ในท้ายที่สุด 2FA จึงเป็นองค์ประกอบที่แข็งแกร่งพอๆ กับเป็นองค์ประกอบที่มีช่องโหว่มากที่สุดของกระบวนการรักษาความปลอดภัย

แล้วมีวิธีใดอีกบ้าง อันที่จริงแล้ว 2FA เป็นเพียงส่วนหนึ่งของแนวคิดที่ใหญ่กว่า ซึ่งก็คือ การตรวจสอบสิทธิ์หลายปัจจัย (MFA) ในทางทฤษฎี คุณอาจมีการตรวจสอบสิทธิ์สามปัจจัย การตรวจสอบสิทธิ์สี่ปัจจัย การตรวจสอบสิทธิ์ห้าปัจจัย และอื่นๆ แบบไม่มีที่สิ้นสุด ในขณะที่ผู้ใช้ทั่วไปไม่น่าจะใช้วิธีใดๆ เลยนอกจากการตรวจสอบสิทธิ์สองปัจจัย แต่ผู้ที่ทำงานในสภาพแวดล้อมที่มีการรักษาความปลอดภัยสูงอาจจำเป็นต้องใช้การตรวจสอบสิทธิ์สามปัจจัย (3FA) ซึ่งโดยทั่วไปจะเกี่ยวข้องกับการใช้ปัจจัยที่ติดตัวมา เช่น การสแกนลายนิ้วมือหรือม่านตา

การรักษาความปลอดภัยไฟล์ของคุณด้วยการตรวจสอบสิทธิ์สองปัจจัย

การประเมินความสำคัญของการรักษาความปลอดภัยให้กับไฟล์และเนื้อหาของธุรกิจของคุณต้องมีการประเมินไว้ในระดับสูง ทั้งนี้ คาดว่าความเสียหายจากอาชญากรรมไซเบอร์ทั่วโลกจะสูงถึงประมาณ 6 ล้านล้านดอลลาร์ต่อปี ภายในปี 2564 ค่าใช้จ่ายที่เกี่ยวข้องกับอาชญากรรมไซเบอร์ ได้แก่ การทำลายข้อมูล/การใช้ข้อมูลในทางที่ผิด เงินที่ถูกโจรกรรม การหยุดชะงักหลังการโจมตี การโจรกรรมทรัพย์สินทางปัญญา และการสูญเสียความสามารถในการทำงาน แต่คุณต้องคิดเกี่ยวกับค่าใช้จ่ายที่อาจเกิดขึ้นจากการกู้คืนข้อมูล/ระบบที่ถูกแฮก การสืบสวนทางนิติวิทยาศาสตร์ และความเสียหายต่อชื่อเสียง เนื่องจากภัยคุกคามมีความซับซ้อนมากขึ้นเรื่อยๆ และทั่วโลกใช้การตรวจสอบสิทธิ์สองปัจจัยเป็นมาตรฐาน ธุรกิจที่ไม่มีความเสี่ยงปล่อยให้ตนเองมีความเสี่ยงจากแฮกเกอร์ที่มองหาเหยื่อ ซึ่งเหมือนกับการไม่คาดเข็มขัดนิรภัยเพราะรถมีถุงลมนิรภัยนั่นเอง ในทางเทคนิคแล้ว คุณได้รับการปกป้องแต่ไม่ได้รับการปกป้องเท่าที่ควรจะเป็น

วิธีการใช้ 2FA ของ Dropbox

คุณจะเห็นได้อย่างชัดเจนว่าการเปิดใช้งานการพิสูจน์ตัวตนสองปัจจัยมีประโยชน์อย่างมากต่อธุรกิจของคุณ แต่กระบวนการนำ 2FA มาใช้ทั่วทั้งบริษัทของคุณอาจเป็นเรื่องที่น่ากังวลเล็กน้อย โชคดีที่นั่นไม่ได้เป็นเรื่องท้าทายมากจนเกินไป Dropbox นำเสนอการตรวจสอบสิทธิ์สองปัจจัย หากคุณเปิดใช้งาน 2FA Dropbox จะขอให้คุณและทีมของคุณมีการพิสูจน์ตัวตนรูปแบบที่สอง (เช่น รหัสผ่าน 6 หลักหรือคีย์การรักษาความปลอดภัย) ทุกครั้งที่คุณล็อกอินเข้าใช้บัญชีของคุณหรือลิงก์แท็บเล็ต คอมพิวเตอร์ หรือโทรศัพท์ใหม่ นอกจากนี้ Dropbox ยังมีรายการที่แนะนำสำหรับการป้องกันรหัสผ่านจำนวนมากที่ช่วยให้คุณปลอดภัย และควบคุมข้อมูลที่ละเอียดอ่อนทางธุรกิจของคุณได้ ในขณะที่คุณยังสามารถกำหนดวันที่หมดอายุสำหรับลิงก์ที่แบ่งปัน และรหัสผ่านเพื่อป้องกันไฟล์ PDF และโฟลเดอร์ของคุณได้ด้วย

ทั้งนี้ ยังมีมาตรการรักษาความปลอดภัยทางไซเบอร์อื่นๆ ที่คุณสามารถนำมาใช้กับ Dropbox เพื่อช่วยรักษาความปลอดภัยไฟล์ของคุณได้อย่างมีประสิทธิภาพมากยิ่งขึ้น การรักษาความปลอดภัยบนระบบคลาวด์ของ Dropbox เป็นส่วนเสริมที่สมบูรณ์แบบสำหรับการพิสูจน์ตัวตนสองปัจจัย อธิบายง่ายๆ คือ การปกป้องข้อมูลบนระบบคลาวด์เป็นเรื่องสำคัญอันดับแรกของ Dropbox การปกป้องแบบหลายชั้นในโครงสร้างพื้นฐานระบบคลาวด์แบบกระจายทำให้คุณมั่นใจได้ว่า ไฟล์ออนไลน์ทั้งหมดของคุณจะได้รับการปกป้องในระดับเดียวกัน นอกจากนี้ ยังสามารถใช้บริการพื้นที่จัดเก็บบนคลาวด์ที่เข้ารหัสระดับองค์กรของ Dropbox เพื่อให้เป็นไปตามมาตรฐานการกำกับดูแลที่ใช้กันมากที่สุดทั่วโลกได้อีกด้วย

สรุป

การตรวจสอบสิทธิ์สองปัจจัยมีการรักษาความปลอดภัยเพิ่มเติมอีกชั้นหนึ่งสำหรับไฟล์ออนไลน์ของธุรกิจของคุณ ทำให้ข้อมูลที่ละเอียดอ่อนของคุณได้รับการป้องกันจากภัยคุกคามทางไซเบอร์ที่อาจเกิดขึ้น