อธิบาย Google Authenticator: รหัส 2FA ทำงานอย่างไร

ทุกๆ ประมาณ 30 วินาที ตัวเลขสั้นๆ บนโทรศัพท์ของคุณจะเปลี่ยนไป และเว็บไซต์ที่คุณไม่เคยนำโทรศัพท์เครื่องนั้นไปเชื่อมต่อด้วยกลับรู้ได้อย่างไรไม่ทราบว่าตัวเลขใหม่ควรเป็นอะไร ดูราวกับเป็นเวทมนตร์ แต่จริงๆ แล้วเป็นเพียงกลไกง่ายๆ ที่ใช้ความลับร่วมกัน

นี่คือวิธีทำงานของ Google Authenticator และแอปอื่นๆ ที่คล้ายกัน ต่อไปนี้จะอธิบายวิธีสร้างรหัส เหตุผลที่รหัสใช้ได้โดยไม่ต้องเชื่อมต่ออินเทอร์เน็ต ความเกี่ยวข้องระหว่างแอปกับการยืนยันแบบ 2 ขั้นตอนของ Google และสิ่งที่แอปปกป้องได้และปกป้องไม่ได้

วิธีสร้างรหัส

เมื่อคุณเพิ่มบัญชีลงในแอปยืนยันตัวตน บริการจะให้ข้อมูลลับแก่คุณ โดยปกติจะอยู่ในรูปคิวอาร์โค้ดหรือคีย์สำหรับตั้งค่า แล้วแอปจะจัดเก็บข้อมูลนั้นไว้ จากนั้นบริการและโทรศัพท์ของคุณจะเก็บข้อมูลลับชุดเดียวกันไว้ทั้งคู่ เมื่อต้องสร้างรหัส แอปจะนำข้อมูลลับนั้นมารวมกับเวลาปัจจุบัน แล้วบริการก็จะคำนวณแบบเดียวกันในระบบของตน หากผลลัพธ์ทั้งสองตรงกัน ระบบจะยอมรับรหัสนั้น

วิธีนี้เป็นมาตรฐานที่เผยแพร่แล้ว เรียกว่า TOTP ซึ่งย่อมาจากรหัสผ่านใช้ครั้งเดียวแบบอิงเวลา (time-based one-time password) และกำหนดไว้ใน IETF RFC 6238 โดยต่อยอดจากวิธีแบบตัวนับที่เก่ากว่า และแทนที่ตัวนับด้วยค่าที่คำนวณจากเวลา มาตรฐานระบุว่าแอปและบริการต้องใช้ช่วงเวลาเดียวกัน และแนะนำให้ตั้งค่าเริ่มต้นไว้ที่ 30 วินาที นี่จึงเป็นเหตุผลที่รหัสมักเปลี่ยนใหม่ประมาณสองครั้งต่อนาที

เหตุใดจึงใช้ได้โดยไม่ต้องเชื่อมต่ออินเทอร์เน็ต

รหัสคำนวณบนโทรศัพท์ของคุณจากข้อมูลลับที่จัดเก็บไว้และนาฬิกาของเครื่อง จึงไม่จำเป็นต้องส่งอะไรไปยังโทรศัพท์ รายการแอปอย่างเป็นทางการของ Google ระบุว่าสามารถสร้างรหัสได้แม้ไม่มีการเชื่อมต่อเครือข่ายหรือเครือข่ายมือถือ บริการเพียงแค่ต้องคำนวณแบบเดียวกันเมื่อคุณส่งรหัส

ผลที่ตามมาคือเวลาบนนาฬิกามีความสำคัญ หากเวลาบนโทรศัพท์ของคุณคลาดเคลื่อนจากเวลาจริงมาก การคำนวณทั้งสองฝั่งจะไม่ตรงกันและระบบจะปฏิเสธรหัส แม้ว่าแอปจะทำงานตามที่ออกแบบไว้ก็ตาม

เกี่ยวข้องกับการยืนยันแบบ 2 ขั้นตอนของ Google อย่างไร

ทั้งสองอย่างนี้สับสนกันได้ง่าย การยืนยันแบบ 2 ขั้นตอนเป็นฟีเจอร์ในบัญชี Google ที่ขอให้ทำขั้นตอนที่สองเมื่อลงชื่อเข้าใช้ ส่วน Google Authenticator เป็นแอปที่ใช้ดำเนินการขั้นตอนดังกล่าวได้ และ Google ระบุว่าแอปยังสร้างรหัสให้เว็บไซต์และแอปอื่นๆ ที่รองรับการยืนยันผ่านแอปยืนยันตัวตนได้ด้วย แอปยืนยันตัวตนอื่นๆ หลายแอปใช้มาตรฐานเดียวกัน ดังนั้นตัวรหัสจึงไม่ได้ผูกติดกับบริษัทใดบริษัทหนึ่ง

คุณใช้แอปได้ทั้งเมื่อมีและไม่มีบัญชี Google การลงชื่อเข้าใช้จะทำให้รหัสซิงค์ข้ามอุปกรณ์ของคุณได้ และ Google ระบุว่าหากไม่มีบัญชี คุณก็ยังโอนรหัสไปยังอุปกรณ์เครื่องใหม่ด้วยตนเองได้ รหัสที่ซิงค์ไว้จะขึ้นอยู่กับบัญชี Google นั้น การปกป้องบัญชีจึงสำคัญยิ่งขึ้น Google ยังแนะนำให้ตั้งค่ารูปแบบการยืนยันแบบ 2 ขั้นตอนเพิ่มเติม เพื่อไม่ให้คุณถูกล็อกออกจากบัญชี

สิ่งที่แอปปกป้องได้และปกป้องไม่ได้

ข้อมูลจาก CISA ระบุว่ารหัสจากแอปยืนยันตัวตนปลอดภัยกว่าข้อความ SMS แต่ก็ยังเสี่ยงต่อการฟิชชิงได้ หน้าเข้าสู่ระบบปลอมที่ดูน่าเชื่อถืออาจดักจับรหัสขณะที่คุณพิมพ์และนำไปใช้ได้ทันที มีเพียงวิธีที่ใช้ FIDO เช่น คีย์ความปลอดภัยและพาสคีย์เท่านั้นที่ต้านทานการโจมตีลักษณะนี้ได้ การตรวจสอบที่อยู่เว็บไซต์ก่อนกรอกรหัสก็เป็นส่วนหนึ่งของการป้องกันเช่นกัน

ข้อมูลลับที่ใช้สร้างรหัสของคุณก็เป็นข้อมูลสำคัญเช่นกัน ใครก็ตามที่มีคิวอาร์โค้ดหรือคีย์สำหรับตั้งค่าสามารถสร้างรหัสเดียวกันได้ ดังนั้นควรปฏิบัติต่อภาพหน้าจอของข้อมูลดังกล่าวเหมือนเป็นรหัสผ่าน และแอปยืนยันตัวตนจะปกป้องบัญชีที่ลงชื่อเข้าใช้ผ่านบริการหนึ่งๆ เท่านั้น ไม่สามารถปกป้องวลีตั้งต้นหรือคีย์ส่วนตัวของกระเป๋าเงินได้

คำเตือนจาก WEEX: ปฏิบัติต่อคีย์สำหรับตั้งค่าเหมือนรหัสผ่าน

WEEX ขอเตือนผู้ใช้ว่าอย่าเปิดเผยรหัสใช้ครั้งเดียว คิวอาร์โค้ด หรือคีย์สำหรับตั้งค่าให้ใครทราบ รวมถึงบุคคลที่อ้างว่าเป็นฝ่ายสนับสนุน เนื่องจากบริการที่ถูกต้องตามจริงจะไม่มีวันขอข้อมูลเหล่านี้ ตรวจสอบที่อยู่เว็บไซต์ก่อนกรอกรหัส และเก็บคีย์สำรองหรือรหัสสำรองไว้ในที่ปลอดภัยและออฟไลน์ ไม่ใช่ในรูปภาพหน้าจอหรือบันทึกบนคลาวด์ เนื้อหานี้ไม่ใช่คำแนะนำทางการเงิน

สรุป

Google Authenticator สร้างรหัสที่ใช้ได้ในช่วงเวลาสั้นๆ จากข้อมูลลับที่ใช้ร่วมกับบริการและเวลาปัจจุบัน นี่จึงเป็นเหตุผลที่แอปทำงานแบบออฟไลน์ได้และทำไมนาฬิกาจึงสำคัญ แอปนี้เป็นหนึ่งในหลายแอปที่ใช้มาตรฐานเดียวกัน ปลอดภัยกว่าข้อความ SMS แต่ยังถูกฟิชชิงได้ และควรดูแลข้อมูลลับสำหรับตั้งค่าให้ดีเช่นเดียวกับรหัสผ่าน เมื่อใช้ร่วมกับรหัสผ่านที่รัดกุมและพฤติกรรมที่ระมัดระวัง ก็จะทำให้การยึดบัญชีของคุณทำได้ยากขึ้น

คำถามที่พบบ่อย

1. Google Authenticator คืออะไร
เป็นแอปที่สร้างรหัสใช้ครั้งเดียวเพื่อใช้เป็นขั้นตอนที่สองเมื่อลงชื่อเข้าใช้ ทั้งสำหรับบัญชี Google และเว็บไซต์หรือแอปอื่นๆ ที่รองรับการยืนยันผ่านแอปยืนยันตัวตน

2. Google Authenticator สร้างรหัสโดยไม่ใช้อินเทอร์เน็ตได้อย่างไร
แอปคำนวณรหัสบนโทรศัพท์ของคุณจากข้อมูลลับที่จัดเก็บไว้และเวลาปัจจุบัน ส่วนบริการจะคำนวณแบบเดียวกันเพื่อตรวจสอบรหัส จึงไม่จำเป็นต้องส่งอะไรไปยังโทรศัพท์ของคุณ

3. ต้องมีบัญชี Google เพื่อใช้ Google Authenticator หรือไม่
ไม่จำเป็น Google ระบุว่าคุณใช้แอปได้โดยไม่มีบัญชี การลงชื่อเข้าใช้จะทำให้รหัสซิงค์ข้ามอุปกรณ์ได้ และหากไม่มีบัญชี คุณก็โอนรหัสไปยังอุปกรณ์เครื่องใหม่ด้วยตนเองได้

4. Google Authenticator เป็นสิ่งเดียวกับการยืนยันแบบ 2 ขั้นตอนของ Google หรือไม่
ไม่ใช่ การยืนยันแบบ 2 ขั้นตอนเป็นฟีเจอร์ในบัญชี Google ส่วนแอปเป็นหนึ่งในวิธีดำเนินการขั้นตอนที่สอง นอกจากนี้ แอปยังใช้กับเว็บไซต์อื่นๆ ที่รองรับรหัสจากแอปยืนยันตัวตนได้ด้วย

5. Google Authenticator ปลอดภัยกว่ารหัส SMS หรือไม่
ข้อมูลจาก CISA ระบุว่ารหัสจากแอปยืนยันตัวตนปลอดภัยกว่าข้อความ SMS แต่ก็ยังถูกฟิชชิงได้ คีย์ความปลอดภัยและพาสคีย์ให้การป้องกันการฟิชชิงที่แข็งแกร่งกว่า