MFA (Multi-Factor Authentication)
การยืนยันตัวตนหลายชั้น
MFA คือระบบความปลอดภัยที่ต้องใช้สองปัจจัยหรือมากกว่าเพื่อยืนยันตัวตนผู้ใช้งาน
ความหมาย
MFA (Multi-Factor Authentication) หรือการยืนยันตัวตนหลายชั้น คือแนวทางรักษาความปลอดภัยที่บังคับให้ผู้ใช้งานยืนยันตัวตนด้วยอย่างน้อยสองจากสามปัจจัยหลัก ได้แก่ สิ่งที่คุณรู้ (รหัสผ่าน), สิ่งที่คุณมี (สมุดโทรศัพท์, บัตรประจำตัว), และสิ่งที่คุณเป็น (ลายนิ้วมือ, การอ่านเสียงพูด)
การใช้ MFA เพิ่มความปลอดภัยอย่างมาก เพราะแม้รหัสผ่านจะรั่วไหลหรือถูกเดารหัส ก็ยังต้องผ่านชั้นป้องกันอีกหลายชั้นจึงจะเข้าระบบได้
หลักการทำงาน
MFA ทำงานโดยแบ่งปัจจัยการยืนยันออกเป็น 3 ประเภท:
- สิ่งที่คุณรู้ เช่น รหัสผ่าน, รหัส PIN
- สิ่งที่คุณมี เช่น โทรศัพท์มือถือ, ยูเอสบีฮาร์ดแวร์ (HSM), บัตรประจำตัวอิเล็กทรอนิกส์
- สิ่งที่คุณเป็น เช่น การสแกนลายนิ้วมือ, การอ่านใบหน้า, การวิเคราะห์พฤติกรรมการพิมพ์
ระบบจะตรวจสอบให้ครบตามจำนวนปัจจัยที่กำหนดก่อนอนุญาตให้เข้าสู่ระบบ เช่น รหัสผ่าน + รหัส OTP จากแอปพลิเคชันบนมือถือ
ตัวอย่างการใช้งานจริง
MFA ถูกนำไปใช้ในหลายภาคส่วนที่ต้องการความปลอดภัยสูง:
- ธนาคารออนไลน์: ต้องกรอกรหัสผ่าน + รหัส OTP จากแอปหรือ SMS ก่อนทำรายการโอนเงิน
- ระบบงานขององค์กร: พนักงานต้องยืนยันตัวตนด้วยรหัสจากแอป Authenticator และลายนิ้วมือเมื่อเข้าถึงระบบภายใน
- บริการคลาวด์ (เช่น Google Workspace, Microsoft 365): เปิดใช้งาน MFA โดยค่าเริ่มต้นเพื่อป้องกันการโจมตีแบบฟิชชิง
ความสับสนที่พบบ่อย
- MFA กับ OTP ไม่เหมือนกัน: OTP (One-Time Password) เป็นเพียงหนึ่งในหลายปัจจัยของ MFA เท่านั้น
- การใช้ SMS ไม่ปลอดภัยพอ: การส่งรหัสผ่านชั่วคราวผ่าน SMS มีความเสี่ยงต่อการดักจับ (SIM swapping)
- MFA ทำให้ใช้งานยากขึ้น: แม้จะเพิ่มความปลอดภัย แต่บางครั้งอาจรู้สึกว่าช้าหรือซับซ้อน จึงควรเลือกใช้ปัจจัยที่สะดวก เช่น แอป Authenticator หรืออุปกรณ์ยืนยันแบบไร้สาย
ผลกระทบต่อการเลือกซื้อ
องค์กรที่พิจารณาซื้อระบบดิจิทัลหรือซอฟต์แวร์ควรตรวจสอบว่ามีการรองรับ MFA อย่างไร โดยเฉพาะในบริการที่เกี่ยวข้องกับข้อมูลส่วนบุคคลหรือธุรกรรมทางการเงิน
- ระบบใดที่รองรับการยืนยันตัวตนผ่านแอป Authenticator (เช่น Google Authenticator, Authy)
- มีตัวเลือกใช้ฮาร์ดแวร์ยืนยัน (FIDO2/WebAuthn) หรือไม่
- รองรับการตั้งค่า MFA แบบบังคับสำหรับผู้ใช้งานทุกคนหรือไม่
การเลือกผลิตภัณฑ์ที่มี MFA ครบถ้วนช่วยลดความเสี่ยงจากการละเมิดข้อมูลอย่างมาก
คำที่เกี่ยวข้อง
- 2FA
- OTP
- FIDO2
- WebAuthn
- Phishing-resistant authentication