กระบวนการพื้นฐานที่สุดอย่างหนึ่งของกระบวนการความปลอดภัยข้อมูลไม่ว่าจะเป็นโลกดิจิตอลหรือโลกอนาล็อกที่เรามีชีวิตอยู่ก็ตาม คือ การระบุตัวตนของสิ่งต่างๆ ที่เราพบเจอทุกวัน เราพบกับสิ่งของ, ผู้คน, และสถานที่ต่างๆ มากมาย และเราต้องรู้ว่าสิ่งที่เราใช้งาน หรือคนที่เราพูดคุยด้วยนั้นเป็นคนที่เราต้องการคุยด้วยจริงหรือไม่

กระบวนการระบุตัวตน (identification) ในโลกความเป็นจริง เราระบุตัวตนกันด้วยข้อมูลหลายอย่าง เพื่อนของเราอาจจะถูกระบุตัวตนด้วย ชื่อจริง ชื่อเล่น (หรือชื่อพ่อชื่อแม่?) เราระบุตัวคนที่เรารู้จักด้วยใบหน้า หากหน้าเหมือนกันเราก็อนุมานได้ทันทีว่าคนที่เราพบคือคนๆ เดียวกับที่เราต้องการพูดคุยหรือไม่ ซึ่งหลายครั้งก็ผิดพลาดเพราะเราทักคนผิด หรือบางครั้งก็มีปัจจัยอื่นเช่นเราไปทักพี่น้องฝาแฝดของเพื่อนของเราได้ง่ายๆ หากไม่ใช่คนรู้จักสนิทสนมกัน แต่ได้รับการแนะนำมา เราอาจจะ "รู้จัก" คนๆ หนึ่งผ่านทางชื่อของเขา แต่เมื่อเราไปหาคนตามที่อยู่ที่เราได้รับ อาจจะเป็นสำนักงาน, คอนโด, บางครั้งการระบุตัวตนด้วยชื่ออาจจะผิดพลาดเพราะชื่อซ้ำซ้อนกันมากมาย เราไม่อาจจะหาตัวตนของเพื่อนของเราจากชื่อเล่นได้ หากชื่อเล่นของเพื่อนของเราอยู่บนขวดหรือกระป๋องโค้กในทุกวันนี้ เพราะคนที่ใช้ชื่อเดียวกันมีจำนวนมากมายมหาศาล

ในโลกคอมพิวเตอร์ การระบุตัวตนนับเป็นด่านแรกของการกระทำกิจกรรมแทบทุกอย่าง เมื่อเครื่องของเราเริ่มเชื่อมต่อกับเครื่อข่ายต้องมีกระบวนการอ้างถึงเครื่องของคุณเสมอ เมื่อคุณเข้าเว็บสักเว็บ ไม่ว่าคุณจะล็อกอินหรือไม่ เบราว์เซอร์ของคุณจะได้รับตัวเลขประจำการเชื่อมต่อ (session ID) ผ่านทางข้อมูล cookie เมื่อได้รับมาครั้งแรกแล้ว ทุกครั้งที่คุณเข้าเว็บเดิม เบราว์เซอร์ของคุณจะส่งหมายเลขเดิมกลับไปยังเซิร์ฟเวอร์ทุกครั้งเพื่อระบุว่าคุณคือคนเดิมที่เคยเข้าเว็บนี้มา กระบวนการนี้ต้องอาศัยความร่วมมือของเบราว์เซอร์ที่จะส่งข้อมูลให้เสมอ เบราว์เซอร์หลายรุ่นมีฟีเจอร์ไม่ยอมรับ cookie ทำให้ไม่สามารถติดตามตัวได้ ขณะที่ฟีเจอร์มาตรฐานของเบราว์เซอร์รุ่นใหม่ๆ มักจะมีโหมดเป็นส่วนตัว เช่น Incognito

แม้ว่ากระบวนการระบุตัวตนจะไม่เปลี่ยนไปนักในช่วงหลายสิบปีที่ผ่านมา เรายังคงใช้ข้อมูลพื้นฐานทั่วไป เช่น ชื่อนามสกุล แต่ปัญหาตัวตนซ้ำกันทำให้ในช่วงหลังเริ่มมีการอ้างอิงตัวตนกันด้วยกระบวนการอื่นๆ เช่น สำหรับคนทั่วไป เราจะเห็นการอ้างอิงตัวบุคคลด้วยเลขบัตรประชาชนแทนที่เพราะบัตรประชาชนสามารถจัดการการให้เลขแต่ละคนได้จนกระทั่งรับประกันได้ว่าทุกคนจะมีหมายเลขไม่ตรงกันทั้งประเทศ

ในกรณีที่มีหน่วยงานดูแลการให้หมายเลขประจำตัว เช่น หมายเลขบัตรประชาชน หมายเลขโทรศัพท์ หรือทะเบียนรถยนต์ การจัดการไม่ให้หมายเลขซ้ำซ้อนสามารถทำได้ไม่ยากนัก ด้วยการตรวจสอบว่าหมายเลขใดมีการใช้งานไปแล้วบ้าง แต่ในกรณีที่ไม่มีหน่วยงานกลาง การจัดการหมายเลขประจำตัวกลายเป็นเรื่องซับซ้อนขึ้นมาทันที หากเราไม่สามารถคาดเดาได้ว่าจะมีหมายเลขประจำตัวใดถูกใช้งานไปแล้ว

UUID

UUID หรือ Universally Unique Identifier ถูกออกแบบมาเพื่อใช้ระบุตัวตนในเครือข่ายอินเทอร์เน็ตในหลายรูปแบบ เมื่อเราสร้างข้อมูลขึ้นมาชุดหนึ่งแล้วต้องการให้มีตัวเลขประจำตัวที่ไม่ซ้ำกับตัวเลขข้อมูลอื่นๆ ในโลก โดยทั่วไปมักใช้ UUID เพื่อสร้างตัวเลขประจำตัวให้กับข้อมูล, อุปกรณ์, หรือสิ่งใดๆ ก็ตามที่ต้องการการอ้างอิงถึง โดยไม่ต้องการศูนย์กลางเพื่อแจกหมายเลขให้

หมายเลข UUID นั้นจริงๆ แล้วเป็นหมายเลขขนาด 128 บิต ตัวเลขขนาด 128 บิตนี้ใหญ่พอที่ทุกคนจะสุ่มเลขแล้วมีความน่าจะเป็นที่จะซ้ำซ้อนกันได้ต่ำ อย่างไรก็ดีมีการแบ่งฟิลด์ไว้ภายใน โดยทั่วไปแล้วมักแบ่งออกเป็น 4 ฟิลด์ดังตัวอย่าง

550e8400-e29b-41d4-a716-446655440000

หรืออยู่ในฟอร์แมต xxxxxxxx-xxxx-Mxxx-Nxxx-xxxxxxxxxxxx

โดยตัวเลข N คือ variant หรือตัวเลขระบุการอิมพลีเมนต์ที่ต่างกัน ตัวอย่างหนึ่งของความแตกต่าง เช่น GUID ที่ใช้งานในซอฟต์แวร์ของไมโครซอฟท์ จะมีการจัดบิตแตกต่างไปจากระบบ UUID ระบบอื่น แต่กระนั้น GUID ก็ยังเป็นหมายเลข UUID ที่สามารถนำมาใช้งานได้ตามปกติ

ส่วนตัวเลข M คือ เวอร์ชั่นของ UUID มีหลักๆ 5 เวอร์ชั่นได้แก่

1. version 1: ใช้หมายเลข MAC ของเครื่องมาเติมลงใน 6 หลักแรกของหมายเลข UUID และที่เหลือให้เติมด้วยตัวเลขเวลาของเครื่อง ปัญหาของ UUID เวอร์ชั่นนี้คือการเปิดเผยหมายเลขเครื่อง ซึ่งหลายครั้งกลายเป็นปัญหาความปลอดภัย ข้อดีสำคัญของการสร้างหมายเลขรูปแบบนี้คือในเครื่องเดียวกันจะไม่มีทางซ้ำกันได้แน่นอน (เพราะสร้างคนละเวลากัน)
2. version 2: เพิ่มฟิลด์ที่สองเป็นหมายเลขโปรเซสขณะที่สร้างหมายเลขอยู่ การออกแบบต้องการให้หมายเลขที่สร้างขึ้นไม่ซ้ำกันในทุกครั้งที่รันโปรเซส แต่ในโลกความเป็นจริงหมายเลขโปรเซสนั้นซ้ำกันได้ง่ายมาก ทำให้รูปแบบนี้ไม่ได้รับความนิยมอีกต่อไป
3. version 3: เป็นค่า MD5 ของค่าประจำเครื่องนั้นๆ ค่าที่เป็นไปได้ ได้แก่ URL, โดเมนเนมแบบเต็ม, ค่า distinguished name ของ LDAP, หรือชื่อเฉพาะของระบบในระบบการตั้งชื่อใดๆ ค่า MD5 นั้นปกติจะให้ค่ายาว 128 บิตพอดี มาตรฐาน UUID ระบุให้ใช้ค่า M และ N แทนลงไปใน MD5 เลย การใช้ MD5 สามารถใช้เพื่อปกปิดชื่อที่แท้จริงของระบบได้ในกรณีที่ไม่ต้องการเปิดเผยชื่อที่แท้จริง แต่การใช้งานโดยมากถูกแทนที่โดย version 5 แล้ว
4. version 4: ค่าสุ่มอย่างสมบูรณ์ ทุกบิตยกเว้น M และ N จะถูกสุ่มมา การสร้างหมายเลขแต่ละครั้งไม่มีการรับประกันว่าจะซ้ำกับตัวสร้างอื่นๆ หรือไม่ แต่ความน่าจะเป็นที่จะซ้ำก็ต่ำมาก
5. version 5: เหมือน version 3 แต่เนื่องจาก MD5 อ่อนแอลงมากในช่วงหลัง ทำให้แฮกเกอร์อาจจะเปิดเผยชื่อที่แท้จริงได้ จึงให้ใช้ SHA-1 แทนที่ เนื่องจาก SHA-1 ให้ค่าแฮช 160 บิต จึงได้ตัดออกเหลือ 128 บิต

การใช้งานจริงแต่ละภาษาจะรองรับไม่เท่ากัน เช่น ในภาษาไพธอน นั้นรองรับเฉพาะ 1, 3, 4, และ 5 ผ่านทางโมดูล uuid

MAC Address

ในยุคที่คอมพิวเตอร์แต่ละเครื่องล้วนทำงานแยกจากกันนั้น ไม่มีความจำเป็นใดๆ ที่คอมพิวเตอร์จะต้องระบุตัวตนระหว่างกันเอง แต่เมื่อถึงยุคเริ่มต้นของเครือข่ายคอมพิวเตอร์ก็เริ่มมีความจำเป็นที่คอมพิวเตอร์ที่เชื่อมต่อถึงกันจะต้องอ้างถึงกันได้ว่าเครื่องใดต้องการสื่อสารกับเครื่องใด และระบบหมายเลขที่ได้รับความนิยมสูงสุดระบบหนึ่งคือหมายเลข MAC ออกแบบมาพร้อมกับระบบอีเธอร์เน็ตโดย Xerox ที่ได้รับความนิยมสูงเช่นกัน

ระบบ MAC ประกอบไปด้วยหมายเลข 6 ชุด แต่ละชุดเป็นเลข 8 บิต มักเขียนด้วยเลขฐาน 16 สองตัว เช่น A0-E5-FA-00-2B-C7

ตัวเลข MAC จะแบ่งออกเป็นสองชุดหลักๆ ได้แก่ 24 บิตแรกจะเป็นหมายเลขผู้ผลิต เรียกว่า OUI (organization unique identifier) ที่ต้องลงทะเบียนไว้กับหน่วยงานลงทะเบียนของ IEEE ชื่อว่า IEEE Registration Authority โดยทาง IEEE จะเปิดเผยว่ามีบริษัทที่จดทะเบียนไว้เป็นบริษัทใดบ้าง

เมื่อบริษัทได้รับ OUI แล้วจะสามารถจัดสรรหมายเลขอีก 24 บิตที่เหลือได้เอง โดยมักจะรันหมายเลขไปเรื่อยๆ ตามการผลิต ทำให้หลายครั้งเมื่อเราซื้อคอมพิวเตอร์มาพร้อมๆ กัน จะได้เครื่องที่มีหมายเลข MAC นี้ใกล้เคียงกันทาง IEEE มีนโยบายว่าผู้ผลิตที่จะขอหมายเลข OUI ใหม่ได้ จะต้องใช้หมายเลขเดิมให้ถึง 95% เสียก่อน

ทุกวันนี้หมายเลข MAC ถูกใช้งานในวงกว้างกว่าอีเธอร์เน็ตมาก การเชื่อมต่อคอมพิวเตอร์ส่วนมากมักมีหมายเลข MAC กำกับเสมอ เช่น IEEE1394 (Firewire), Bluetooth, และ Wi-Fi และในหัวข้อที่ผ่านมา UUID เองก็มักใช้ MAC เป็นส่วนประกอบในการสร้างหมายเลขอ้างอิงด้วยเช่นกัน

หมายเลขประจำเครื่องในเครือข่ายไม่จำเป็นต้องเป็นหมายเลข MAC เสมอไป ในระบบเครือข่ายเฉพาะเช่น GSM ก็มีระบบตัวเลขประจำเครื่องของตัวเองเป็นหมายเลข IMEI หรือโครงข่ายปิดอื่นๆ อาจจะมีระบบหมายเลขของตัวเองได้ อย่างไรก็ดีหมายเลข MAC ได้รับความนิยมอย่างสูงจนกระทั่ง IEEE นำไปเรียกชื่อเป็น Extended Unique Identifier (EUI) และใช้ EUI-64 ซึ่งก็คือหมายเลข MAC เข้ามาเป็นส่วนหนึ่งของ IPv6

ไอพี: อ้างอิงข้ามโลก

กระบวนการอ้างอิงคอมพิวเตอร์ เมื่อมีการเชื่อมต่อข้ามเครือข่ายที่ในระดับทั่วโลก ระบบเครือข่ายระดับฮาร์ดแวร์อาจจะต่างกันไป การสร้างหมายเลขไอพีทำให้เราสามารถอ้างอิงถึงคอมพิวเตอร์เครื่องอื่นๆ ได้ทั่วโลกโดยไม่ต้องรับรู้ว่าฮาร์ดแวร์ด้านล่างเป็นฮาร์ดแวร์อะไร กระบวนการให้หมายเลขประจำเครื่องแบบไม่มีโครงสร้างอย่าง MAC นั้นลำบากเกินไปที่จะสร้างตารางค้นหาเส้นทาง (routing table) หมายเลขไอพีกำหนดให้กับเครื่องทุกเครื่องในโลกที่เชื่อมต่อถึงกันผ่านเครือข่ายอินเทอร์เน็ต

หมายเลขไอพีที่กำหนดให้คอมพิวเตอร์แต่ละเครื่องมีโครงสร้างอยู่ภายในแสดงข้อมูลทั้งหมายเลขประจำเครื่องและหมายเลขประจำเครือข่าย เครือข่ายที่อยู่ใกล้กันและสามารถติดต่อกับเครื่องอื่นๆ ผ่านเส้นทางเดียวกัน สามารถูกรวบเข้าเป็นเส้นทางเดียวกันได้ (route aggegation) ทำให้ขนาดของตารางค้นหาเส้นทางมีขนาดเล็กลงมาก

ในโลกสมัยเดิม การยืนยันตัวตนด้วยหมายเลขไอพีนั้นเป็นเรื่องปกติ เว็บในยุคก่อนไม่ได้ใช้ cookie เพื่อระบุผู้ใช้เสมอไป ระบบเก่าๆ หลายครั้งอาศัยหมายเลขไอพีที่เชื่อมต่อเข้ามาเพื่อยืนยันตัวตนเพราะหมายเลขไอพีในยุคหนึ่งแล้วสามารถใช้ระบุตัวตนได้เป็นอย่างดี บริการในยุคเก่าเช่น rlogin นั้นเปิดให้ผู้ใช้สามารถล็อกอิน และส่งไฟล์ไปมาได้ เพียงแค่ปลายทางมีหมายเลขไอพีตรงกับหมายเลขไอพีที่ผู้ใช้ตั้งไว้ให้ "เชื่อ" ว่าเป็นเข้าของบัญชีเอง บริการ rlogin ถูกเจาะในภายหลังจากการปลอมไอพีด้วยวิธีการต่างๆ ส่งผลให้สุดท้าย rlogin ไม่ได้รับความนิยมไปในที่สุด และถูกแทนที่ด้วยบริการ Secure Shell (ssh)

MICR: พบกันครึ่งทางระหว่างคนและคอมพิวเตอร์

หนึ่งในกระบวนการระบุตัวตนที่ได้รับความนิยมสูง คือ ตัวเลขรูปร่างแปลกๆ ที่เราเห็นอยู่ตามเอกสารทางการเงินหลายฉบับ ธนาคารในต่างประเทศต้องจัดการเอกสารจำนวนมาก จัดเรียง จำแนก และส่งเอกสารไปยังสาขาต่างๆ อยู่ทุกวัน เช่น การขึ้นเงินเช็ค ที่ธนาคารสาขาที่ได้รับเช็คจะต้องส่งเช็คกลับไปยังสาขาต้นทางของบัญชีเพื่อตัดยอดเงินในบัญชี กระบวนการเหล่านี้กินแรงงานอย่างมาก พนักงานต้องจัดเรียงเช็คจำนวนมหาศาลเพื่อส่งต่อ ความผิดพลาดเกิดขึ้นได้ทุกขั้นตอน จึงมีการใช้ตัวเลขที่คอมพิวเตอร์อ่านออกเข้ามาช่วย เรียกว่า magnetic ink character recognition (MICR)

นับแต่ช่วงหลังสงครามโลกครั้งที่สอง สถาบันวิจัยสแตนฟอร์ด (ถ้าไม่มีมหาวิทยาลัยนี้ โลกคอมพิวเตอร์คงถอยไปอีกยี่สิบปี) ร่วมมือกับบริษัท General Electric พัฒนาฟอนต์ที่คอมพิวเตอร์สามารถอ่านได้โดยง่าย หลังจากปรับปรุงมาหลายรุ่นก็ได้ฟอนต์ที่ชื่อว่า E13B โดยชื่อฟอนต์มาจากรุ่นพัฒนาที่ 5 (ตัว E เป็นตัวที่ 5 ในภาษาอังกฤษ) ขนาดฟอนต์ 0.013 นิ้ว และปรับปรุงครั้งที่สองกลายเป็นรุ่น B หลังจากนั้นสมาคมธนาคารของสหรัฐฯ ก็เลือกใช้ฟอนต์นี้สำหรับการพิมพ์ตัวเลขที่คอมพิวเตอร์อ่านออก ในเช็คและเอกสารอื่นๆ

ช่วงเวลาเยื้องๆ กัน ฟอนต์ CMC-7 ถูกพัฒนาในฝรั่งเศส และได้รับความนิยมในฝั่งยุโรปเช่นกัน

MICR ทำให้เอกสาร ใช้ระบุหมายเลขรหัสเพื่อลดแรงงานคนได้มาก เช็ค ฉบับหนึ่งอาจจะระบุหมายเลขธนาคาร, สาขา, เลขบัญชี ฯลฯ เอาไว้ ทำให้ระบบคอมพิวเตอร์สามารถจัดเรียงเอกสารเหล่านี้และส่งกลับไปยังสาขาต้นทางได้โดยมีความผิดพลาดน้อยมาก กระบวนการหักบัญชีสามารถทำได้รวดเร็วและมีต้นทุนต่ำลง

แต่เช่นเดียวกับเทคโนโลยีการระบุตัวตนอื่นๆ MICR ไม่มีกระบวนการตรวจสอบความถูกต้องใดๆ ในยุคหนึ่ง นักปลอมเช็คอย่าง Frank Abagnale (เจ้าของเรื่อง Catch me if you can) ใช้วิธีการง่ายๆ คือการปลอมเลข MICR ให้ไม่ตรงกับสาขาในเช็ค เช็คจะถูกส่งไปยังสาขาที่ระบุในเลขโดยไม่สนใจข้อความในเช็ค พนักงานจะเข้าใจว่าคอมพิวเตอร์ทำงานผิดพลาดหรือมีการพิมพ์เลข MICR ผิด ก่อนจะส่งเช็คกลับไปยังสาขาต้นทาง กระบวนการนี้ทำให้การตรวจสอบว่าเช็คเป็นเช็คปลอมเพราะไม่มีเงินในบัญชี หรือไม่มีบัญชีอยู่จริง ใช้เวลานานกว่าปกติ และทำให้ Abagnale สามารถหลบหนีการจับกุมไปได้

Barcode: คนมองเห็นแต่อ่านไม่ออก


กระบวนการ "ระบุตัวตนด้วยคอมพิวเตอร์" ที่เราใช้กันอยู่ทุกวันอย่างเคยชิน คงเป็นกระบวนการแสกนบาร์โค้ด ทุกวันนี้สินค้าแทบทุกชนิดในร้านค้าล้วนมีบาร์โค้ดติดอยู่เพื่อความรวดเร็วในการคิดเงิน ลดความผิดพลาดในการจัดการ บาร์โค้ดที่ใช้งานหนักได้แก่มาตรฐาน UPC หรือ Universal Product Code แม้ว่าบาร์โค้ดจะดูเป็นข้อมูลสำหรับคอมพิวเตอร์เท่านั้น แต่ที่จริงแล้วมันคือข้อมูลที่แทนตัวเลขด้วยแท่งขาวกับดำเป็นรูปแบบที่ชัดเจน

ในกรณีของมาตรฐาน UPC ซึ่งเป็นมาตรฐานสำหรับการระบุสินค้าทั่วโลก มาตรฐานการจัดการจะรวมตั้งแต่การจัดการหมายเลข 12 หลัก หลักแรกจะแบ่งประเภทของสินค้า เช่น อาจจะเป็นสินค้าทั่วไป, คูปองสำหรับแจกลูกค้าเฉพาะกิจ, หรืออาจจะเป็นหมายเลขภายในที่ไม่ต้องการใช้งานร่วมกับผู้อื่น ระบบตัวเลขนี้ผู้ผลิตจะต้องขอหมายเลขประจำผู้ผลิตห้าหลักไว้ล่วงหน้า ส่วนผู้ผลิตสามารถแจกหมายเลขสินค้าได้เองแบบเดียวกับหมายเลข MAC ที่มีหมายเลขผู้ผลิต

เช่นเดียวกับระบบระบุตัวตนอื่นๆ รหัส UPC ไมมีกระบวนการยืนยันความถูกต้องใดๆ มันใช้เพียงให้คอมพิวเตอร์สามารถระบุหมายเลขประจำสินค้าได้อย่างแม่นยำ มีคดีอาชญากรรมที่ผู้ใช้เพียงแต่สลับเปลี่ยนฉลาก ทำให้คอมพิวเตอร์ระบุราคาสินค้าผิดพลาด

แม้กระบวนการแปลงตัวเลขเป็นบาร์โค้ดจะดูซับซ้อน แต่ในความเป็นจริงแล้วหากฝึกฝนสักหน่อยก็สามารถเขียนด้วยมือได้ แฮกเกอร์ในยุคแรกบางคนอาศัยความสามารถเช่นนี้ในการปลอมแปลงบาร์โค้ดได้ด้วยมือ ในยุคแรกของการใช้งานบาร์โค้ดด้วยความแปลกใหม่ทำให้หลายหน่วยงานใช้งานบาร์โค้ดเพื่อการรักษาความปลอดภัย แต่ส่งผลกระทบคือบัตรที่ใช้ควบคุมการเข้าออกอาคารกลายเป็นบัตรที่ทำสำเนาได้โดยง่ายเพียงแค่ใช้เครื่องถ่ายเอกสารเท่านั้น รวมไปถึงบางครั้งอาจจะถูกปลอมแปลง "ด้วยมือ" เพียงการใส่ปากกาวาดแถบดำและขาวสลับกันอย่างถูกต้องเท่านั้น

นอกจากบาร์โค้ดแบบ UPC ที่ได้รับความนิยมสูงแล้ว ยังมีบาร์โค้ดแบบอื่นๆ อีกมากที่ไม่ได้เป็นไปตามมาตรฐาน UPC เช่น Code 39 นั้นเป็นเพียงฟอนต์ที่สามารถพิมพ์ได้ตรงๆ ก็จะได้บาร์โค้ดออกมา

[](http://upic.me/show/48654610)

แนวคิดของบาร์โค้ดยังถูกพัฒนาออกไปอีกมาก ในช่วงหลังมีการพัฒนาออกมาเป็น QR Code ที่รองรับข้อมูลที่ซับซ้อนกว่า สามารถใส่ตัวอักษรทุกตัวในมาตรฐาน Unicode ลงไปได้ ที่ผ่านมามีการเสนอมาตรฐานใหม่ๆ ขึ้นมาแทน QR Code แต่ก็ยังไม่ได้รับความนิยมนัก โดยเฉพาะมาตรฐาน QR Code นั้นเป็นมาตรฐานเปิดที่ใช้งานได้ฟรี

RFID: มองไม่เห็น อ่านไม่ออก แต่รู้ว่าใช่

กระบวนการอ่านบาร์โค้ดมีข้อดีอย่างมากคือใช้การพิมพ์ธรรมดาๆ แต่สามารถทำให้คอมพิวเตอร์อ่านข้อมูลได้อย่างแม่นยำ อย่างไรก็ตาม การพิมพ์ไม่ได้เหมาะกับคอมพิวเตอร์ไปทุกกรณี ข้อจำกัดที่สำคัญของบาร์โค้ด คือ เครื่องอ่านและตัวบาร์โค้ดจะต้องจ่อตรงกันพอดี ไม่สามารถมีอะไรกั้นกลางได้ หลายครั้งมุมของเครื่องอ่านต้องพอดีกับมุมของตัวบาร์โค้ด

ข้อจำกัดบาร์โค้ดที่ต้องมองเห็นทำให้บาร์โค้ดต้องอยู่ภายนอก เช่นข้างกล่องบรรจุภัณฑ์ทั้งหลายทำให้มีปัญหา เช่น บาร์โค้ดเปื้อนจนอ่านไม่ได้ ถูกขนย้ายจนยับและอ่านไม่ได้ในที่สุด หรือบางครั้งหากต้องการกำหนดหมายเลขประจำตัวกับสิ่งมีชีวิต เช่น สัตว์ในฟาร์ม การวางบาร์โค้ดโดยต้องระวังความเสียหายกลายเป็นเรื่องทำได้ยาก ทำให้มีการเสนอใช้งาน RFID (Radio Frequency Identification)

แม้เครื่องอ่าน RFID จะดูเหมือนใช้เทคโนโลยีขั้นสูงจนกระทั่งต้องใช้เครื่องอ่านเฉพาะที่หาไม่ได้ทั่วไป แต่ในความเป็นจริงแล้ว RFID ก็เหมือนเทคโนโลยีระบุตัวคนอื่นๆ ที่สร้างขึ้นมาเพื่อให้คอมพิวเตอร์สามารถระบุตัวตนได้อย่างแม่นยำ โดยไม่มีกระบวนการยืนยันว่าหมายเลขหรือข้อความที่ใช้ระบุตัวตนนั้นมีการปลอมแปลงมาหรือไม่แต่อย่างใด

[](http://upic.me/show/48654626)

เทคโนโลยี RFID มีมาตรฐานจำนวนมาก และทำงานหลากหลายกันไป ในบทความนี้จะยกตัวอย่างมาตรฐาน RFID เพียงตัวเดียวคือ EM4100 ที่พัฒนาขึ้นโดยบริษัท EM Microelectronic และได้รับการยอมรับเข้าเป็นมาตรฐาน ISO 11784 ภายหลัง

บัตร EM4100 พบได้ตามบัตรเข้าออกลานจอดรถ บัตรเข้าออกอาคาร และบัตรพนักงานโดยทั่วไป โดยบัตร EM4100 มีหลักการคือการที่เครื่องอ่านส่งคลื่นความถี่ 125khz ออกมาตลอดเวลา เมื่อบัตรเข้ามาในระยะเครื่องอ่าน ตัวบัตรจะดึงพลังงานจากคลื่นวิทยุที่เครื่องอ่านปล่อยออกมา เมื่อชาร์จจนพอแล้ว บัตรจะเริ่มทำงานโดยการ "ดึง" พลังงานที่ปล่อยออกมาจากเครื่องอ่านเป็นห้วงๆ

เครื่องอ่านมีวงจรตรวจสอบได้ว่ามีการดึงพลังงานคลื่นวิทยุที่ปล่อยออกไปหรือไม่ หากมีการดึงพลังงานออกไปเป็นรูปแบบการเข้ารหัสแบบ Manchester ก็จะถอดรหัสออกมาเป็นตัวเลขประจำตัวบัตรได้

ทุกวันนี้บัตร EM4100 มีการใช้งานแพร่หลาย บัตรใบหนึ่งหากซื้อยกล็อตมีราคาเพียง 7-10 บาทเท่านัั้น (บัตรใบเดียวกับที่เวลาทำหายแล้วโดนปรับกันเป็นร้อยนั่นล่ะครับ) เครื่องทำสำเนามีราคาเพียงหลักร้อยบาท และหลักการทำงานของมันก็ง่ายพอที่จะใช้เพียงชิป AVR Tiny เพียงตัวเดียวคู่กับขดลวดเหนี่ยวนำเพียงชุดเดียวเพื่อจำลองหมายเลขบัตรใดๆ ก็ได้ที่เราต้องการ

ทุกวันนี้บัตร EM4100 เริ่มถูกใช้งานเพื่อการยืนยันตัวตน (authentication) มากขึ้นเรื่อยๆ แม้ตัวบัตรจะไม่สามารถปลอมแปลงได้ง่ายเหมือนกับบาร์โค้ดหรือ QR Code ก็ตามที แต่ส่วนมากก็ไม่มีกระบวนการป้องการทำสำเนาใดๆ เช่นเดียวกับเทคโนโลยีการระบุตัวตนอื่นๆและหากมีความรู้เพียงพอก็สามารถปลอมแปลงบัตรเหล่านี้ได้ด้วยอุปกรณ์ราคาถูก

Biometric

กระบวนระบุตัวตนที่มีการพูดถึงกันมากในช่วงสิบปีที่ผ่านมา คือ การระบุตัวตนด้วยคุณลักษณะทางชีวภาพ ลักษณะที่เราเกิดมาพร้อมกับมัน คนเราเองมีการพูดถึงกระบวนการระบุตัวตนด้วยกระบวนการต่างๆ กระบวนการที่คนเราใช้จำคนอื่นๆ ในรูปแบบที่ง่ายที่สุด คือ การจดจำใบหน้า เราเรียนรู้ที่จะจดจำใบหน้า รูปร่าง และเสียง ของกันและกันมาตั้งแต่เราเป็นทารก และเมื่อเราโตขึ้นเราก็สามารถจดจำคุณสมบัติเหล่านี้ของคนรอบข้างได้สบายๆ

แต่ในความเป็นจริงการจดจำคนจากลักษณะประจำตัวบุคลลนั้นไม่ใช่เรื่องที่สมบูรณ์นัก คนเราเองสามารถทักคนผิด คนหน้าคล้าย ฝาแฝด ฯลฯ ได้ตลอดเวลา คอมพิวเตอร์ที่ยังไม่สามารถเลียนแบบความซับซ้อนของสมองคนเราได้อย่างสมบูรณ์กลับเจอปัญหามากกว่ามนุษย์มาก คอมพิวเตอร์จะจำคนได้ยากทันทีที่มีประเด็นมุมกล้องที่เปลี่ยนไป, สัดส่วนรูปร่างของคนอาจจะเปลี่ยนไปตามเวลา, การแต่งกาย แว่นตา ทรงผม ก็อาจจะทำให้คอมพิวเตอร์ระบุตัวตนผิดได้โดยง่าย


กระบวนการทำให้คอมพิวเตอร์สามารถจดจำคุณสมบัติของบุคคลได้เหมือนมนุษย์หรือดีกว่าเป็นความท้าทายในวงการวิจัยมาเป็นเวลานาน ที่เราพบเห็นได้คือการใช้ลายนิ้วมือเพื่อจดจำ ลายนิ้วมือนั้นสร้างรูปร่างและลายของมันขึ้นมาระหว่างที่เราเติบโตขึ้นมากระบวนการนี้ทำให้มนุษย์ทุกคนมีลายนิ้วมือที่ต่างกันไป

เซ็นเซอร์ลายนิ้วมือในเครื่องอ่านทั้งหลายนั้น มักมีรูปแบบการทำงานคล้ายกัน คือเป็นเซ็นเซอร์ภาพความกว้างมากกว่าร้อยพิกเซลขึ้นไปแล้วแต่รุ่น เช่น เซ็นเซอร์ลายนิ้วมือแบบรูดที่เราเห็นในโน้ตบุ๊กหลายรุ่น มักให้ภาพความกว้าง 192 พิกเซล ตัวเซ็นเซอร์ที่แท้จริงเป็นเซ็นเซอร์ 192x16 ตารางพิกเซล แต่ตัวเซ็นเซอร์มีหน่วยประมวลผลทำให้สามารถประกอบภาพขณะที่เรารูดนิ้วเข้าเป็นภาพเดียวพร้อมกับปรับระดับความสว่างให้เป็นภาพขาวดำอย่างชัดเจน

อย่างไรก็ดี การได้ภาพขาว-ดำ ออกมาไม่ได้ทำให้การเปรียบเทียบและการค้นหาลายนิ้วมือทำได้ง่ายขึ้นนัก ความผิดพลาดเล็กๆ น้อยๆ ความแตกต่างระหว่างการเก็บภาพแต่ละครั้งยังเกิดขึ้นได้เสมอ กระบวนการเปรียบเทียบภาพนั้นต้องเป็นกระบวนการที่ยอมรับความแตกต่างกันได้ กระบวนการเปรียบเทียบเช่นนี้กินพลังประมวลผลสูงและทำงานได้ช้า

เพื่อลดข้อมูลที่ต้องเปรียบเทียบลงแทนที่การเปรียบเทียบภาพต่อภาพ จะต้องทำการสกัดคุณสมบัติของลายนิ้วมือ (feature extraction) เพื่อลดรูปแทนที่จะมองภาพเป็นพิกเซลตามปกติ กระบวนการนี้จะมองลายนิ้วมือให้เหลือเพียงคุณสมบัติบางส่วน เช่น แนวการวนของลายนิ้วมือ ลายที่เป็นทางแยกต่างๆ เมื่อเราสามารถแยกองค์ประกอบเหล่านี้ออกมาได้แล้ว เราจะสามารถเปรียบเทียบลายนิ้วมือในฐานข้อมูลได้โดยง่าย

กระบวนการเปรียบเทียบข้อมูลทางชีวภาพอื่นๆ มักใช้พื้นฐานเดียวกัน กระบวนการมักเป็นการสกัดคุณสมบัติ เช่น ระยะห่างระหว่างดวงตา, รูปหน้า, สีนัยน์ตา ฯลฯ คอมพิวเตอร์เก็บข้อมูลเหล่านี้เอาไว้แล้วพยายามเปรียบเทียบจากข้อมูลที่สกัดออกมาแล้วเพื่อความง่าย

เช่นเดียวกับ RFID กระบวนการตรวจสอบด้วยคุณสมบัติทางชีวภาพถูกใช้ในกระบวนการยืนยันตัวตนอย่างกว้างขวาง เพราะความสะดวกสำหรับผู้ใช้ที่ไม่ต้องจดจำรหัสผ่านที่ซับซ้อน แต่ข้อเสียสำคัญของการใช้แนวทางนี้คือข้อมูลที่ใช้ยืนยันนั้นไม่สามารถเปลี่ยนแปลงได้เลยตลอดชีวิต ลายนิ้วมือของเราอาจจะหลุดไปจากการให้ข้อมูลอย่างไม่ระมัดระวังเมื่อไรก็ได้ ระบบตรวจสอบลายนิ้วมือนั้นมีรายงานหลายครั้งว่าไม่สามารถแยกแยะระหว่างนิ้วมือจริงกับลายยางที่ทำปลอมขึ้นมาแม้จะมีการพัฒนาเทคโนโลยีอย่างต่อเนื่อง เครื่องอ่านลายนิ้วมือบางรุ่นสามารถวัดอุณหภูมิของนิ้วมือที่มาแตะเครื่องเพื่อยืนยันว่าเป็นนิ้วจริง ขณะที่ผู้ปลอมแปลงก็ต่อสู้ด้วยการใช้ลายนิ้วมือปลอมที่บางมากๆ เพื่อแปะเข้ากับนิ้วจริงทำให้หลอกเครื่องได้สำเร็จ

แม้จะมีความเสี่ยงในการใช้คุณสมบัติทางชีวภาพเหล่านี้ยืนยันตัวตน ระบบคอมพิวเตอร์จำนวนมากก็ยังรักษาความปลอดภัยด้วยข้อมูลชีวภาพเหล่านี้ แต่นักพัฒนาจำนวนหนึ่งก็ไม่ยอมรับกระบวนการนี้ เช่น ผู้พัฒนา eCryptfs ระบุว่าการเรียกร้องฟีเจอร์รองรับเครื่องอ่านลายนิ้วมือเพื่อปลดรหัสจะไม่ได้รับการซัพพอร์ต เพราะการยอมรับลายนิ้วมือเป็นรหัสผ่านการเข้ารหัสเท่ากับว่ายอมรับให้หน่วยงานต่างๆ ที่อาจจะเป็นหน่วยงานรัฐ หรือหน่วยงานเอกชนในประเทศที่ไม่มีการปกป้องข้อมูลชีวภาพส่วนบุคคลสามารถเก็บรหัสการเข้ารหัสไว้ได้ตลอดเวลา

อย่างไรก็ดี ความปลอดภัยในการยืนยันตัวตนด้วยคุณสมบัติชีวภาพเช่นนี้สามารถทำได้ในบางกรณีที่มีการตรวจสอบอย่างถี่ถ้วน อาคารรัฐบาลอาจจะใช้หน่วยรักษาความปลอดภัยตรวจสอบผู้เข้าออกอาคารร่วมกับการใช้ข้อมูลชีวภาพเหล่านี้เพื่อตรวจสอบว่าไม่มีการปลอมแปลงใบหน้า, ลายนิ้วมือ, หรือลายม่านตา ก่อนที่จะให้คอมพิวเตอร์ตรวจสอบบุคคลอีกครั้ง ความปลอดภัยโดยรวมของระบบก็จะเท่ากับความปลอดภัยในการตรวจสอบว่ามีการตรวจสอบที่ดีเพียงใด

ส่งท้าย

กระบวนการระบุตัวตนเป็นกระบวนการสำคัญในกระบวนการรักษาความปลอดภัยคอมพิวเตอร์ เทคโนโลยีการระบุตัวตนออกแบบและพัฒนาอย่างต่อเนื่อง เพื่อให้การระบุตัวตนสามารถทำได้รวดเร็ว แม่นยำ สามารถระบุตัวตนได้ไม่ซ้ำซ้อน แต่ความสะดวกในการใช้งานทำให้ทำให้ระบบรักษาความปลอดภัยจำนวนมากเลือกที่จะใช้เทคโนโลยีการระบุตัวตนมาเพื่อยืนยันตัวตน การใช้งานเช่นนี้อาจจะใช้งานได้ในกรณีที่ระบบไม่ต้องการความปลอดภัยมากนัก หรือมีการตรวจสอบอย่างอื่นร่วมด้วยอย่างแม่นยำ