Authentication, Multi-Factor Authentication (MFA) and 2-Step Verification

              มาพูดถึง Authentication กันก่อน ว่ามันคืออะไร การ Authentication เนี่ย เป็นวิธีการหรือระบบในการตรวจสอบยืนตนในการเข้าถึงบริการใดสักบริการหนึ่ง  ตัวอย่างง่ายๆ เลยให้คุณนึกภาพออกได้ตอนนี้ คือ เวลาเราต้องการไปกดเงินตู้ ATM เราก็ต้องมีบัตร (ID card) และรหัสผ่าน (PIN) ใช่ไหมครับ ไม่อย่างนั้นก็กดเงินไม่ได้ หรือ จะเข้า Facebook เราก็ต้องมีชื่อผู้ใช้ (Username) และรหัสผ่าน (Password) ที่เป็นของเราเอง เรารู้อยู่คนเดียวเพื่อให้เข้าใช้ได้ นี่แหล่ะครับที่ยกตัวอย่างคือการ Authentication ครับ ซึ่งข้อมูลที่เราเอามาใช้ Authentication มักจะแบ่งได้เป็น 3 ประเภท ไม่หนีจากนี้ คือ
              1. Some thing you know "สิ่งที่คุณรู้" (พื้นฐานหลักเลยในการตรวจสอบ)  เป็นข้อมูลผู้ใช้ที่สามารถใช้ในการเข้าสู่ระบบได้ เช่น User names หรือ ID , Password, PIN , คำถามคำตอบลับ เป็นต้น
              2. Some thing you have "สิ่งที่คุณมี" เช่น โทรศัพท์มือถือ มักจะใช้คู่กับ One-Time password (OTP) หรือ Authenticator App , Security Token , Key, บัตรต่างๆ
              3. Some thing you are "สิ่งที่คุณเป็น" มันก็คือ พวกลักษณะทางชีวภาพของร่างกายมุนษย์เรานี่แหล่ะ (ฺBiological ) ซึ่งแน่นอนครับแต่ล่ะบุคคลก็มีลักษณะแตกต่างกันออกไป  เราก็เลยเอาส่วนนี้มาเป็นการตรวจสอบ เช่น การตรวจสอบลายนิ้วมือ ถ้าดูจากหนังก็มีอีกเยอะเลย เช่น สแกนรูปแบบมือเลย การสแกนม่านตา ใบหน้า หรือแม้กระทั่งเสียง  ของจริงนี่ผมยังไม่เคยได้เห็นหรือทดลองใช้เลยฮะ

Basic Authentication
Source: https://oracle.com

              Multi-Factor Authentication หรือตัวย่อว่า MFA ถ้าพูดง่ายๆ ก็คือ เป็นระบบการรักษาความปลอดภัยที่มากกว่าหนึ่งวิธีการที่ให้เราสามารถเข้าถึงบริการนั้นได้ ให้ปลอดภัยมากยิ่งขึ้นนั่นเอง ปกติจถามเกี่ยวกับสิ่งที่รู้ และจะเพิ่มในการตรวจสอบของสิ่งที่คุณมีและคุณเป็นเพิ่มเข้ามา ผมขอยกตัวอย่างที่เห็นชัดๆ สัก 3 กรณีที่ใช้ MFA ล่ะกันครับ
             1. ตัวอย่าง Two-Factor Authentication
                     - เมื่อจะถอดเงินกับ ATM จะต้องใช้บัตร [Something you have] และรหัส PIN  [Some thing you know]
                     - เวลาโอนเงินกับ Intenet Banking ในการที่จะเข้าสู่ระบบได้ คุณจะต้องมี Username&Password [Some thing you know] และเมื่อทำรายการโอนเงิน ก่อนที่จะโอนได้ ธนาคารจะส่งรหัส OTP ใน SMS ไปทางโทรศัพท์มือถือ เพื่อเอารหัสนั้นมายืนยันการโอน [Some thing you have]

Bank OTP
Source:  http://www.aeon.co.th

             2. ตัวอย่าง Three-Factor Authentication
                     - ถ้าได้ดู Mission Impossible 5 ฉากตอนที่เบนจิจะเข้า Data Center เพื่อไปเอารายชื่อสายลับระดับปฏิบัติการผู้ร่วมก่อการร้ายของซินดิเคต จะต้องผ่านด่านการตรวจสอบเยอะมาก ถึงจะเข้าถึงคอมพิวเตอร์ด้านในได้ การรักษาความปลอดภัยเริ่มตั้งแต่ขับรถผ่านประตูใหญ่ ก็ต้องใช้บัตร RFID [Something you have] จากนั้นเข้าอาคารพอจะขึ้นลิฟท์ ลิพท์ก็จะมีการตรวจสอบลายนิ้วมือก่อนที่จะกดเข้าได้ [Some thing you are] เมื่อเข้าได้มาถึงชั้นตู้เซฟ ก่อนเข้าห้องได้ก็ต้องกรอกรหัสแยกกัน 3 ชุด [Some thing you know] และสุดท้ายจะต้องผ่านเครื่องวิเคราะห์การเคลื่อนไหว โดยจะมีกล้องจะตรวจสอบการพูด การเคลื่อนไหว ไปถึงการขยับใบหน้า เพื่อบอกได้ว่าเป็นบุคคลนั้นตัวจริงหรือเปล่า ซึ่งล้วนปล้วเป็น Some thing you are ทั้งนั้น

              2-Step Verification มันก็คือ Two-Factor Authentication นั่นแหล่ะครับ เป็นทางเลือกในการเพิ่มความปลอดภัยในการเข้าสู่ระบบ โดยผู้ใช้บริการจะสามารถเลือกเองได้ว่าจะใช้หรือไม่ใช้ก็ได้ ซึ่งปกติในเว็บบริการทั่วๆไปการเข้าสู่ระบบจะใช้แค่ User&Pass [Some thing you know] แต่ 2-Step Verification จะเป็นการเพิ่มการตรวจสอบโดยใช้โทรศัพท์มือถือ [Some thing you have] เข้ามาเพื่อเพิ่มความปลอดภัย ซึ่งโดยส่วนใหญ่ทีผมเห็นผู้ให้บริการจะเชื่อมโยงระบบเข้ากับ Google Authenticator มากกว่า Microsoft Authenticator เยอะเลยครับ

การทำงานของ 2-Step Verification
Ref. http://www.7tutorials.com

            วิธีการใช้งานคือ ลง App Google Authenticator ไว้บนโทรศัพท์มือถือ จากนั้นไปเปิดบริการ Two-Factor Authentication ของไซด์ไซด์นั้นๆ ถ้าใช้ได้ ในเมนูตั้งค่าจะแสดงขึ้นมา จากนั้นเลือกใช้งาน Google Authenticator > เปิด App Authenticator สแกน QRCode บนเว็บเท่านี้ก็เรียบร้อย

การเพิ่มใน  2-Step Verification
Source : http://thethingsystem.com

            ในการเข้าใช้งานครั้งต่อไป ก็เข้าสู่ระบบปกติโดยใช้ User&Pass จากนั้นตัว Web Service ก็จะถามหา Token เราก็เปิด App Authenticator และนำรหัสไปใส่ ก็ใช้งานได้เลย ซึ่งแต่ล่ะ Token จะอายุประมาณ 60 วินาที แล้วก็จะเปลี่ยนไปเรื่อยๆ

ขั้นตอนการใช้งาน 2-Step Verification
Source : https://msecnd.net