การเปิดใช้ MFA (การยืนยันตัวตนหลายขั้นตอน เช่น ใช้รหัสผ่านร่วมกับรหัสจากโทรศัพท์) ดีกว่าไม่ใช้เลยเสมอ แต่ MFA แต่ละแบบปลอดภัยไม่เท่ากัน
MFA แต่ละแบบต่างกันอย่างไร (เรียงจากป้องกันฟิชชิง (phishing) ได้น้อยไปมาก)
- SMS / โทรศัพท์: ใช้ง่าย แต่เสี่ยงสองทาง ทางแรกคือ SIM swap (ผู้โจมตีโอนเบอร์โทรของเหยื่อไปยังซิมของตัวเอง) ทางที่สองคือผู้โจมตีหลอกให้ผู้ใช้บอกรหัสที่ได้รับ
- แอปยืนยันตัวตน (TOTP): ปลอดภัยกว่า SMS แอปแบบนี้สร้างรหัสใช้ครั้งเดียวที่เปลี่ยนตามเวลา (TOTP) แต่ผู้โจมตียังหลอกให้ผู้ใช้กรอกรหัสบนเว็บปลอมได้
- Push notification: สะดวก เพราะแค่กดอนุมัติบนมือถือ แต่ผู้โจมตีอาจส่งคำขอซ้ำ ๆ จนผู้ใช้รำคาญแล้วกดอนุมัติเอง วิธีนี้เรียกว่า MFA fatigue
- Passkey / FIDO2 security key: Passkey คือกุญแจดิจิทัลที่ใช้แทนรหัสผ่าน ส่วน FIDO2 security key คืออุปกรณ์กุญแจที่ใช้มาตรฐานเดียวกัน ทั้งสองแบบผูกกับโดเมนจริงของเว็บไซต์ จึงทนต่อฟิชชิงได้ดีที่สุด
ควรเลือกใช้ MFA แบบไหน
บัญชีผู้ดูแลระบบและบัญชีผู้บริหารควรใช้ Passkey หรือ security key เป็นอันดับแรก ส่วนผู้ใช้ทั่วไปควรเลิกใช้ SMS ถ้ามีทางเลือกอื่น MFA เป็นพื้นฐานอย่างหนึ่งของ Zero Trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง) และเป็นหนึ่งในขั้นตอนแรกที่ช่วย ป้องกันแรนซัมแวร์
MFA ที่ทนต่อฟิชชิงช่วยได้มาก แต่ช่วยไม่ได้ถ้าพนักงานถูกเสียง deepfake (เสียงปลอมที่สร้างด้วย AI) โน้มน้าวให้อ่านรหัสให้ผู้โจมตีฟัง ดูวิธีป้องกันด้านพฤติกรรมของคนได้ที่ Deepfake และการหลอกลวงด้วย AI: องค์กรรับมืออย่างไร
MFA เป็นเพียงส่วนหนึ่งของงานด้านตัวตน ถ้าไม่แน่ใจว่า IAM (การจัดการตัวตนและสิทธิ์เข้าใช้) IGA (การกำกับและทบทวนสิทธิ์) PAM (การควบคุมบัญชีสิทธิ์สูง) และ CIEM (การจัดการสิทธิ์บนคลาวด์) ต่างกันอย่างไร และควรเริ่มจากตัวไหน อ่านต่อที่ IAM, IGA, PAM และ CIEM ต่างกันอย่างไร
หากอยากรู้ว่า passkey ทำงานอย่างไร และชนิด synced (ซิงก์ข้ามอุปกรณ์ได้) กับ device-bound (ผูกกับอุปกรณ์เครื่องเดียว) ต่างกันอย่างไร อ่านที่ Passkeys และ FIDO2 คืออะไร: ทางเลือกแทนรหัสผ่าน
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- CISA: Implementing Phishing-Resistant MFA: เอกสารแนะนำการนำ MFA ที่ทนต่อฟิชชิงมาใช้งาน