ปัจจุบัน ผู้ใช้มักจะใช้บัญชีออนไลน์ ไม่ว่าจะเป็น Apple ID, โซเชียลเน็ตเวิร์ค, ธนาคาร และอื่น ๆ อีกมาก ซึ่งแทบทุกเจ้าก็บังคับให้ใช้รหัสผ่าน แต่บางครั้งผู้ใช้ก็ยังไม่รู้จักรหัสผ่านดีพอว่าเราควรจะสร้างรหัสผ่านอย่างไร ใช้อย่างไร เพื่อให้ปลอดภัยต่อบัญชี และไม่ต้องมาปวดหัวกับการโดนขโมยบัญชี
MacThai Tips นี้จะมาอธิบายเรื่องการรักษาความปลอดภัยในแง่การตั้งรหัสผ่านว่าทำอย่างไรจึงจะปลอดภัย รวมถึงจัดการรหัสผ่านอย่างไรเพื่อไม่ให้ถูกแฮก หรือถ้าถูกแฮกก็ให้มีผลกระทบน้อยที่สุด ดังนี้ครับ
ไม่ใช้ข้อมูลส่วนตัวตั้งรหัสผ่านเด็ดขาด
ข้อมูลส่วนตัวของผู้ใช้นั้น เป็นสิ่งสำคัญแต่ไม่ควรใช้เพื่อการตั้งรหัสผ่าน เนื่องจากข้อมูลส่วนตัวเป็นสิ่งที่สามารถค้นหาได้ง่ายทางอินเทอร์เน็ต เช่น วันเดือนปีเกิด, เลขบัตรประชาชน ซึ่งแม้ว่าจะมีบริการบางอย่างบังคับใช้ข้อมูลเหล่านี้เป็นรหัสผ่าน แต่ก็ไม่ควรจะใช้กับบริการอื่นอีก

รหัสผ่านที่ดีที่สุด คือรหัสผ่านที่สุ่มขึ้นมา และต้องไม่ถูกใช้ซ้ำ
สำหรับวิธีตั้งรหัสผ่านที่ดีที่สุด คือการใช้ระบบสุ่ม โดยรหัสผ่านจะต้องมีทั้งตัวเลข, ตัวอักษร และอักขระพิเศษรวมกันเป็นรหัสผ่าน ซึ่งรหัสนั้นจะต้องไม่ใช้ซ้ำด้วย เนื่องจากว่าตัวเราไม่รู้ว่าบัญชีแต่ละที่จะมีวิธีจัดเก็บรหัสผ่านอย่างไร และจะหลุดเมื่อไร ดังนั้นทางที่ดีที่สุดคืออย่าใช้รหัสผ่านซ้ำ
แม้ในทางทฤษฎีจะมีลักษณะเช่นนั้น แต่ในทางปฏิบัติแล้วกลับเป็นเรื่องยากมาก ๆ ที่ผู้ใช้จะจดจำรหัสผ่านที่ตัวเองสร้างไว้ได้ทั้งหมด ดังนั้นเราอาจแยกออกมาเป็นบริการสำคัญ ซึ่งทีมงานขอแนะนำให้ตั้งรหัสผ่านบริการสำคัญให้ยากเข้าไว้ และห้ามซ้ำกับรหัสอื่นเด็ดขาด
บริการสำคัญ มีลักษณะดังนี้
- บัญชีของบริษัทหรือองค์กรที่ทำงานอยู่ (ถ้าบริษัทมีคอมพิวเตอร์ให้ใช้งาน ก็ไม่ควรจะล็อกอินบริการของบริษัทในคอมพิวเตอร์ส่วนตัวหากไม่จำเป็น)
- บัญชีโซเชียลเน็ตเวิร์คที่สำคัญ เช่น บัญชี Facebook ที่ใช้จัดการเพจ, Twitter ที่มีคนติดตามเยอะ ๆ
- บัญชีที่ผูกบัตรเครดิต เช่น Apple ID, Steam
- บัญชีการเงิน เช่น PayPal, ธนาคาร, บัตรเครดิต, กระเป๋าเงิน
นอกจากนี้ ปัจจุบันมีบริการเก็บและช่วยสุ่มรหัสผ่านจำนวนมาก โดยเฉพาะ iCloud Keychain ที่มากับ macOS, iOS ก็มีฟีเจอร์นี้ และยังสามารถซิงค์ข้ามอุปกรณ์ได้ด้วย ส่วนบริการอื่นที่มีฟีเจอร์ลักษณะนี้ เช่น LastPass, 1Password ดังนั้นถ้าใช้บริการเหล่านี้ ก็สามารถใช้รหัสผ่านสุ่มได้สบาย ๆ เลย ซึ่งหากเก็บรหัสผ่านกับบริการเหล่านี้ ก็จะมีการแฮชรหัสผ่านอีกชั้นหนึ่งด้วย เพื่อป้องกันการถูกแฮก

คิดสักนิดก่อนกรอกรหัสผ่าน
ปัจจุบันเว็บไซต์ Phishing เกิดขึ้นมาก และมักจะมาพร้อมกับการส่งอีเมล เช่น บัญชีคุณมีปัญหา, คุณสั่งสินค้า ฯลฯ หรือมาเป็นป๊อปอัพโฆษณา โดยมีข้อมูลที่ควรรู้ดังนี้
- เว็บไซต์เหล่านี้จะมีการขอบัญชีผู้ใช้และรหัสผ่าน อย่ากรอกถ้าไม่ชัวร์ว่าเป็นเว็บจริง
- ถ้าผู้ใช้บันทึกรหัสผ่านของตัวเองไว้ด้วยโปรแกรมเก็บรหัสผ่านอย่าง iCloud Keychain, LastPass และ 1Password เมื่อเข้าเว็บไซต์เหล่านี้ มักจะไม่มีรหัสผ่านของตัวเองปรากฏขึ้นมา ดังนั้นควรจะเอะใจที่จุดนี้ด้วย
- เครื่องหมายกุญแจที่ปรากฏบนเบราว์เซอร์ไม่ใช่ตัวบ่งบอกว่าเว็บไซต์เป็นของจริง เพราะใคร ๆ ก็ขอได้ กุญแจบ่งบอกแค่การสื่อสารระหว่างเครื่องคอมพิวเตอร์กับเว็บเซิร์ฟเวอร์ปลอดภัย ไม่มีใครดักฟังกลางทาง ยกเว้นกุญแจสีเขียวที่แสดงชื่อบริษัทซึ่งจะมีความน่าเชื่อถือมากขึ้น เพราะบริษัทจะต้องยื่นเอกสารประกอบการขอด้วย
- การเข้าเว็บที่ปลอดภัยที่สุดคือพิมพ์ชื่อเว็บเอง หรือว่าบันทึกเก็บไว้บนคอมพิวเตอร์ พยายามอย่าคลิกลิงก์ที่มากับอีเมลหรือ SMS
- อีเมล Phishing มักจะหลอกด้วยชื่อผู้ส่ง ให้ลองคลิกดูอีเมลแอดเดรสดู ถ้าแปลก ๆ ตัดสินได้เลยว่าเป็น Phishing แต่ถ้าดูเหมือนจะจริงก็อย่าเพิ่งปักใจเชื่อ
เมื่อรู้ตัวว่าเกิดสิ่งผิดปกติกับบัญชี สิ่งแรกที่ต้องทำคือเปลี่ยนรหัสผ่าน
หากเราเจอสิ่งที่ผิดปกติกับบัญชี เช่น มีอีเมลแจ้งเตือนว่าคุณล็อกอินจาก… ทั้งที่ความจริงคุณไม่เคยล็อกอินเลย แนะนำให้ลองเข้าไปดูที่บัญชีนั้น ๆ (โดยการพิมพ์เว็บเอง ไม่ใช่คลิกลิงก์เพราะอาจเจออีเมล Phishing) ถ้าพบว่ามีอะไรผิดปกติจริง สิ่งแรกที่ต้องทำคือเปลี่ยนรหัสผ่านทันที รวมถึงรหัสผ่านของบัญชีอื่น ๆ ที่ใช้รหัสชุดเดียวกันด้วย
นอกจากนี้ แนะนำให้คอยพยายามติดตามข่าวหรือตรวจสอบอีเมลด้วย เพราะมีการแจ้งเตือนอยู่บ่อย ๆ ถ้าพบว่ารหัสผ่านหลุดจะได้สั่งเปลี่ยนทันที

Two-Factor Authentication ทางป้องกันสำรองถ้ารหัสผ่านหลุด
ทางถัดไปที่เป็นตัวป้องกันรหัสผ่านหลุดได้ดีคือ Two-Factor Authentication หรือการยืนยันตัวตนสองปัจจัย ปัจจุบันมีอยู่หลายวิธี เช่น
- ยืนยันตัวตนด้วย OTP ที่ส่งผ่าน SMS ของโทรศัพท์มือถือ
- ใช้กุญแจยืนยันตัวตนที่เป็นฮาร์ดแวร์ เช่น YubiKey
- ใช้แอพเช่น Google Authenticator, Microsoft Authenticator เพื่อเก็บรักษา secret key และจะสร้างรหัส TOTP 6 หลักขึ้นมา และเปลี่ยนทุก ๆ 30 วินาที
สำหรับบัญชี Apple ID จะมี Two-Factor Authentication ของบัญชีอยู่แล้ว (และช่วงหลังบังคับเปิด) สามารถเข้าไปอ่านรายละเอียดเกี่ยวกับฟีเจอร์นี้ได้จากบทความ รู้จัก Two-Factor Authentication โดยทีมงาน MacThai
คำถามความปลอดภัย
อีกสิ่งหนึ่งที่มีความหมายพอ ๆ กับรหัสผ่านคือคำถามความปลอดภัย เพราะยังคงมีหลายบริการที่บังคับให้ตั้งคำถามเพื่อป้องกันในกรณีที่ผู้ใช้ต้องการรีเซ็ทรหัสผ่าน ซึ่งคำถามความปลอดภัยมักเป็นเรื่องง่าย ๆ ในการดำเนินชีวิต เช่น ชื่อแม่, สีที่ชอบ ฯลฯ
แต่ปัญหาคือทุกวันนี้มีโซเชียลเน็ตเวิร์ค ซึ่งผู้ใช้มักจะแชร์สิ่งต่าง ๆ เป็นเรื่องปกติ ดังนั้นหากเจอบริการที่บังคับตั้งคำถามความปลอดภัยล่ะก็ อย่าตั้งคำถามความปลอดภัยด้วยข้อมูลที่หาได้ง่ายบนอินเทอร์เน็ต เพราะถ้าใครเห็นคำถามความปลอดภัยแล้วสามารถไปค้นหาคำตอบของเราได้ทันที
ลืมรหัสผ่าน
สุดท้ายคือสิ่งที่อาจเกิดขึ้นได้เกี่ยวกับรหัสผ่านคือ ผู้ใช้แม้จะตั้งรหัสผ่านเองแท้ ๆ แต่กลับลืม ซึ่งโดยมากบริการต่าง ๆ มักจะมีให้ยืนยันตัวตนว่าเราเป็นเจ้าของบัญชีจริง โดยมากมักจะเป็นการส่งอีเมลเพื่อรีเซ็ทรหัสผ่าน ดังนั้นอีเมลที่ควรจะใช้งานกับบริการต่าง ๆ ควรจะเป็นอีเมลที่ใช้งานได้จริง
แต่ในหลาย ๆ ครั้ง เราก็มักจะต้องรีเซ็ทรหัสผ่านในวิธีอื่นที่แตกต่างออกไป เช่น อาจจะมีคำถามว่าล็อกอินจากอุปกรณ์ครั้งล่าสุดเมื่อไร เวลาไหน เป็นต้น ซึ่งทางที่ดีที่สุดที่ทีมงาน MacThai แนะนำในตอนนี้คือใช้บริการเก็บรหัสผ่าน และจำรหัสผ่านของบริการเก็บรหัสนั้นให้ได้
สุดท้ายนี้ ทีมงานอยากจะบอกว่าการตั้งรหัสผ่านก็เป็นเรื่องสำคัญ เพราะบริการอินเทอร์เน็ตนั้นสำคัญมาก (อาจจะระดับเดียวกับบัตรประชาชนเลยก็ว่าได้) ซึ่งถ้ารหัสผ่านถูกขโมย การจะมาตามจับคงไม่ใช่เรื่องที่ง่าย และอาจทำให้ต้องสูญเสียบัญชีนั้น ๆ (เช่นในกรณีบัญชี Facebook คุณอาจสูญเสียเพจที่ดูแลไปเลย) หรือว่าอาจสร้างความเดือดร้อนต่อตัวเราเองได้ (เช่นโพสต์ทวิตเตอร์ให้ร้ายผู้อื่นจนทำให้ถูกฟ้องหมิ่นประมาท)
เรียบเรียงโดย
ทีมงาน MacThai
The post MacThai Tip: รหัสผ่านตั้งอย่างไร เก็บอย่างไรดี appeared first on Macthai.com.