การรักษาความปลอดภัยในการ Login ไม่ใช่แค่เรื่องของ “รหัสผ่าน” เท่านั้นครับ แต่เปรียบเสมือนการสร้างประตูปราการหลายชั้นเพื่อให้มั่นใจว่าคนที่ผ่านเข้าไปได้คือเจ้าของตัวจริง โดยหลักการพื้นฐานจะประกอบด้วยส่วนสำคัญดังนี้ครับ
สิ่งที่ใช้ยืนยันตัวตน
ความปลอดภัยระดับมาตรฐานจะใช้หลักการ Multi-Factor Authentication หรือการยืนยันตัวตนหลายปัจจัย ซึ่งแบ่งออกเป็น 3 ประเภทหลัก
- Something you know: สิ่งที่คุณรู้ เช่น Password, PIN หรือคำถามกันลืม
- Something you have: สิ่งที่คุณมี เช่น รหัส OTP ในมือถือ, Security Key , หรือ Google Authenticator
- Something you are: สิ่งที่คุณเป็น เช่น การสแกนลายนิ้วมือ, การสแกนใบหน้า หรือม่านตา
การเข้ารหัสและจัดเก็บข้อมูล
ในฝั่งของระบบ (Server-side) ข้อมูลการ Login ต้องถูกจัดการอย่างรัดกุม
- Hashing: รหัสผ่านต้องไม่ถูกเก็บเป็นข้อความธรรมดา แต่ต้องผ่านการ Hash เพื่อให้ต่อให้ข้อมูลรั่วไหล แฮกเกอร์ก็อ่านรหัสเดิมไม่ออก
- Salting: การสุ่มชุดข้อมูลเพิ่มเข้าไปในการ Hash เพื่อป้องกันการสุ่มเดารหัสผ่านที่เหมือนกัน
- Encryption : การส่งข้อมูลจากหน้าจอเราไปยัง Server ต้องเข้ารหัสเสมอ เพื่อป้องกันการดักฟังกลางทาง (Man-in-the-Middle Attack)
กลไกการป้องกันการโจมตี
ระบบ Login ที่ดีต้องมี “ภูมิคุ้มกัน” ต่อการพยายามเจาะเข้าระบบ
- Rate Limiting / Account Lockout: หากกรอกผิดติดต่อกันหลายครั้ง ระบบต้องระงับการ Login ชั่วคราว เพื่อป้องกันการเดาสุ่ม (Brute Force Attack)
- Session Management: มีการกำหนดอายุของ Token และต้องมีระบบเตะ User ออก เมื่อไม่มีการใช้งานนาน ๆ
- Login Notification: การแจ้งเตือนผ่านอีเมลหรือแอปเมื่อมีการ Login จากอุปกรณ์ใหม่หรือสถานที่แปลก ๆ
มาตรฐานใหม่ที่เป็นมิตรและปลอดภัย
ปัจจุบันเทคโนโลยีเริ่มขยับไปไกลกว่ารหัสผ่านแบบเดิม
- OAuth 2.0 / OpenID Connect: การใช้ปุ่ม “Login with Google” หรือ “Login with Facebook” ซึ่งปลอดภัยกว่าเพราะเราไม่ต้องส่งรหัสผ่านให้เว็บปลายทางโดยตรง
- Passkeys: เทคโนโลยีใหม่ที่ไม่ต้องใช้ Password เลย แต่ใช้การยืนยันตัวตนผ่านอุปกรณ์ แทน ซึ่งป้องกันการโดน Phishing ได้เกือบ 100%
ข้อแนะนำเพิ่มเติม: สำหรับนักพัฒนาหรือผู้ดูแลระบบ อย่าลืมตรวจสอบช่องโหว่พื้นฐานตามมาตรฐาน OWASP Top 10 โดยเฉพาะเรื่อง Identification and Authentication Failures เพื่อปิดประตูช่องโหว่ที่พบบ่อยที่สุดครับ
อ่านเพิ่มเติม
- YII2 : RBAC สมาชิก กลุ่มและสิทธิ
- ACL (Access Control List) และ RBAC (Role-Based Access Control)
- Hashed Password ด้วย openssl passwd
- ทำไมองค์กรยักษ์ใหญ่ทั่วโลก ถึงพร้อมใจกันทิ้ง Password แล้วเปลี่ยนมาใช้ Passkey?
อ่านเพิ่มเติม
- Java 16 (2021): Records (คลาสข้อมูลแบบ Immutable ที่ประกาศกระชับ ไม่ต้องเขียน Getter/Setter เอง) และ Pattern Matching สำหรับ instanceof
- Java 15 (2020): Sealed Classes (การจำกัดสิทธิ์ว่าคลาสใดสามารถสืบทอดได้บ้าง) และ Hidden Classes
- MacOs: จัดการจอในจอนอกด้วย BetterDisplay
- Testing: ส่งเมล์ผ่าน command
- Docker: container restart policy