ตั้งรหัสผ่านให้ปลอดภัยจริง เปิด 2FA ยังไง และทำไมรหัสยากๆ แบบเดิมถึงใช้ไม่ได้แล้ว

คำแนะนำเรื่องรหัสผ่านที่เราคุ้นเคยกันมาสิบกว่าปี คือให้ตั้งรหัสยากๆ มีตัวพิมพ์ใหญ่ ตัวเลข เครื่องหมายพิเศษ แล้วเปลี่ยนทุกสามเดือน

ปัจจุบันแนวทางนี้ถูกทบทวนใหม่แล้ว หน่วยงานมาตรฐานอย่าง NIST ของสหรัฐฯ ปรับคำแนะนำไปในทางที่ต่างจากเดิมมาก และเหตุผลน่าสนใจ

ทำไมรหัสยากๆ ถึงไม่ได้ช่วยเท่าที่คิด

ปัญหาคือรหัสแบบ P@ssw0rd! ยากสำหรับคน แต่ไม่ได้ยากสำหรับคอมพิวเตอร์ เพราะโปรแกรมเดารหัสรู้จักรูปแบบการแทนตัวอักษรพวกนี้หมดแล้ว

ที่แย่กว่านั้นคือ เมื่อบังคับให้คนตั้งรหัสยากและเปลี่ยนบ่อย คนจะทำสิ่งที่คาดเดาได้มาก เช่น เปลี่ยนจาก Summer2025! เป็น Summer2026! หรือจดใส่กระดาษแปะหน้าจอ ความปลอดภัยจึงลดลงแทนที่จะเพิ่ม

สิ่งที่มีผลจริงคือความยาว รหัสยิ่งยาว จำนวนความเป็นไปได้ยิ่งเพิ่มแบบทวีคูณ รหัสสั้นที่ซับซ้อนแพ้รหัสยาวที่จำง่ายเสมอ

วิธีตั้งรหัสที่ทั้งยาวและจำได้

ใช้วลีที่ประกอบจากคำหลายคำ เช่น แมวส้มกินปลาทูตอนบ่ายสาม หรือเขียนเป็นอักษรโรมันก็ได้ ยาวพอ จำได้ และเดายากกว่ารหัสสั้นที่มีสัญลักษณ์เยอะ

หลักที่ควรทำ

• ยาวอย่างน้อย 12 ตัวอักษร ถ้าเป็นบัญชีสำคัญให้ 16 ขึ้นไป
• ห้ามใช้ข้อมูลที่คนอื่นหาได้ เช่น ชื่อลูก วันเกิด ทะเบียนรถ ชื่อสัตว์เลี้ยง ซึ่งอยู่ในเฟซบุ๊กของเราเองทั้งนั้น
• ห้ามใช้รหัสเดิมซ้ำหลายเว็บเด็ดขาด ข้อนี้สำคัญที่สุดในบทความนี้

ทำไมการใช้รหัสซ้ำถึงอันตรายที่สุด

เวลาเว็บใดเว็บหนึ่งถูกแฮ็กและข้อมูลรั่ว คนร้ายจะได้ทั้งอีเมลและรหัสของคุณ จากนั้นเขาเอาคู่นี้ไปลองล็อกอินกับเว็บอื่นเป็นร้อยเว็บโดยอัตโนมัติ วิธีนี้เรียกว่า credential stuffing และเป็นสาเหตุของบัญชีถูกยึดจำนวนมหาศาลในแต่ละปี

นั่นแปลว่าต่อให้รหัสคุณแข็งแรงแค่ไหน ถ้าใช้ซ้ำแล้วเว็บที่อ่อนแอที่สุดที่คุณเคยสมัครไว้โดนแฮ็ก บัญชีธนาคารและอีเมลของคุณก็เสี่ยงทันที

เช็คได้ว่าอีเมลตัวเองเคยหลุดหรือยังที่เว็บ haveibeenpwned.com ซึ่งเป็นบริการฟรีที่รวบรวมข้อมูลรั่วไหลจากเหตุการณ์ต่างๆ

โปรแกรมจัดการรหัสผ่าน ทางออกที่ใช้ง่ายกว่าที่คิด

Password manager คือโปรแกรมที่เก็บรหัสทั้งหมดไว้ในที่เดียว เข้ารหัสไว้ คุณจำแค่รหัสหลักตัวเดียว

ข้อดี

• สร้างรหัสสุ่มยาวๆ ให้ทุกเว็บโดยไม่ต้องจำ
• กรอกให้อัตโนมัติ ทำให้ไม่ตกเป็นเหยื่อเว็บปลอม เพราะโปรแกรมจะไม่กรอกให้ถ้าโดเมนไม่ตรง
• ซิงก์ข้ามอุปกรณ์ได้
• ตัวที่มีในมือถือและเบราว์เซอร์อยู่แล้วก็ใช้ได้ ไม่ต้องเสียเงิน

ข้อควรระวังคือรหัสหลักต้องแข็งแรงมากและต้องไม่ลืม ควรเปิดการยืนยันสองชั้นกับตัวโปรแกรมด้วย

2FA คืออะไร และทำไมสำคัญกว่ารหัสผ่าน

2FA หรือ two-factor authentication คือการยืนยันตัวตนสองชั้น นอกจากรหัสผ่านซึ่งเป็นสิ่งที่คุณรู้ ยังต้องมีสิ่งที่คุณมีอยู่ในมือด้วย เช่น มือถือ

ผลคือ ต่อให้คนร้ายได้รหัสผ่านคุณไป เขาก็ยังเข้าไม่ได้ นี่เป็นมาตรการเดียวที่ได้ผลชัดเจนที่สุดต่อการถูกยึดบัญชี

รูปแบบของ 2FA เรียงจากปลอดภัยน้อยไปมาก

• รหัส OTP ทาง SMS ดีกว่าไม่มี แต่เสี่ยงถูกสวมซิม และเสี่ยงโดนหลอกให้บอกรหัส
• แอปสร้างรหัส เช่น Google Authenticator, Microsoft Authenticator หรือแอปที่คล้ายกัน ปลอดภัยกว่า SMS มาก เพราะรหัสเกิดในเครื่อง ไม่ผ่านเครือข่ายมือถือ
• กุญแจความปลอดภัยแบบฮาร์ดแวร์ ปลอดภัยสูงสุด เหมาะกับคนที่มีข้อมูลสำคัญมาก
• Passkey เทคโนโลยีใหม่ที่ใช้ลายนิ้วมือหรือใบหน้าแทนรหัสผ่านทั้งหมด กันเว็บปลอมได้โดยธรรมชาติ และหลายบริการใหญ่เริ่มรองรับแล้ว

บัญชีที่ควรเปิด 2FA ก่อนใคร

เรียงตามลำดับความสำคัญ

1. อีเมลหลัก เพราะเป็นกุญแจของทุกบัญชี ใครเข้าอีเมลคุณได้ก็กดลืมรหัสผ่านของเว็บอื่นได้ทั้งหมด

2. แอปธนาคารและกระเป๋าเงินออนไลน์

3. บัญชีโซเชียลและไลน์ ซึ่งมักถูกยึดไปหลอกยืมเงินคนรู้จัก

4. บัญชีร้านค้าออนไลน์ที่ผูกบัตรไว้

5. บัญชีที่ทำงาน

อย่าลืมเก็บรหัสสำรอง หรือ backup code ที่ระบบให้มาตอนเปิด 2FA ไว้ในที่ปลอดภัย เพราะถ้ามือถือหายจะใช้กู้บัญชีได้

ข้อควรระวังที่คนพลาดบ่อย

• ห้ามบอกรหัส OTP ให้ใครทั้งสิ้น ไม่ว่าจะอ้างเป็นธนาคาร ตำรวจ หรือขนส่ง หน่วยงานจริงไม่มีวันขอ
• ระวังหน้าเว็บล็อกอินปลอมที่ส่งมาทางลิงก์ ให้พิมพ์ชื่อเว็บเองหรือเข้าผ่านแอปเสมอ
• อย่าล็อกอินบัญชีสำคัญบนไวไฟสาธารณะที่ไม่รู้จัก
• ตั้งค่าอัปเดตระบบอัตโนมัติ ช่องโหว่ที่ถูกใช้โจมตีจริงส่วนใหญ่มีแพตช์ออกมาแล้ว แต่คนไม่ได้อัปเดต
• ตรวจดูอุปกรณ์ที่ล็อกอินค้างอยู่ในบัญชีเป็นระยะ แล้วเตะเครื่องที่ไม่รู้จักออก

สรุป

รหัสยาวจำง่ายดีกว่ารหัสสั้นซับซ้อน ห้ามใช้รหัสซ้ำข้ามเว็บ ใช้โปรแกรมจัดการรหัสผ่านช่วยจำ และเปิดยืนยันสองชั้นกับอีเมลหลักและแอปธนาคารให้ได้ภายในวันนี้ สามข้อนี้ป้องกันได้มากกว่าการเปลี่ยนรหัสทุกสามเดือนหลายเท่า