เปรียบเทียบมาตรฐานความปลอดภัย U2F และ UAF

U2F (Universal Second Factor) คือมาตรฐานความปลอดภัยในการตรวจสอบความถูกต้อง 2 ชั้นที่ใช้ฮาร์ดแวร์ภายนอกเพิ่มเติม (USB, สร้อยข้อมือ...) ดังนั้นระดับความปลอดภัยจะสูงกว่าการส่งรหัสทางอีเมลหรือหมายเลขโทรศัพท์ วันนี้ LuckyTemplates จะช่วยให้คุณเรียนรู้พื้นฐานของการรักษาความปลอดภัยรูปแบบใหม่นี้ และเปรียบเทียบกับมาตรฐาน UAF (คล้ายกับเซ็นเซอร์ลายนิ้วมือบนอุปกรณ์ Apple และ Samsung)

ขอแนะนำ U2F

การรักษาความปลอดภัย 2 ชั้นเป็นวิธีพื้นฐานที่จะช่วยคุณปกป้องบัญชีออนไลน์ที่สำคัญ อาจเป็นบัญชีอีเมล บัญชีที่เก็บข้อมูลบนคลาวด์ บัญชีธนาคารออนไลน์ หรือบัญชีเพื่อเข้าสู่เว็บไซต์ภายในของบริษัท โดยปกติ แอปพลิเคชันหรือบริการที่รองรับการรักษาความปลอดภัย 2 ชั้นจะต้องให้คุณเข้าสู่ระบบด้วยขั้นตอนต่อไปนี้:

• เปิดเว็บไซต์/บริการที่คุณต้องการเข้าสู่ระบบ พิมพ์ชื่อผู้ใช้และรหัสผ่านตามปกติ
• หลังจากนั้น รหัสการตรวจสอบสิทธิ์จะถูกส่งถึงคุณหลายวิธี: อาจเป็นทาง SMS, อีเมล, การอ่านรหัสทางโทรศัพท์ หรือใช้แอปพิเศษบางอย่าง
• เมื่อคุณมีรหัสยืนยันตัวตนอยู่ในมือแล้ว คุณยังคงป้อนรหัสนั้นในเว็บไซต์ / บริการต่อไปเพื่อเข้าสู่ระบบได้สำเร็จ

โดยพื้นฐานแล้ว การรักษาความปลอดภัยชั้นที่สองจะป้องกันการเข้าถึงบัญชีของคุณโดยไม่ได้รับอนุญาต แม้ว่ารายละเอียดการเข้าสู่ระบบทั้งหมดของคุณจะถูกเปิดเผยก็ตาม ตัวอย่างเช่น ผู้ที่มีชื่อผู้ใช้และรหัสผ่านของคุณในการเข้าถึงเว็บไซต์ธนาคารจะไม่สามารถรับรหัสยืนยันตัวตนได้ เนื่องจากรหัสดังกล่าวจะถูกส่งไปยังโทรศัพท์ของคุณเท่านั้นหรือส่งไปยังอีเมลของคุณเท่านั้น เป็นผลให้เขายังคงติดอยู่นอกเว็บไซต์นั้นและไม่สามารถทำอะไรได้อีก อย่างน้อยที่สุดเขาสามารถดูรายละเอียดยอดคงเหลือบางส่วนได้ แต่ไม่สามารถทำธุรกรรมการโอนเงินได้

แน่นอนว่าหากเขาขโมยโทรศัพท์หรือรู้วิธีลงชื่อเข้าใช้บัญชีอีเมล นั่นก็จะเป็นอีกเรื่องหนึ่ง ทุกวันนี้ผู้คนจำนวนมากใช้รหัสผ่านอีเมลเดียวกันสำหรับเว็บไซต์และบริการออนไลน์หลายแห่ง ดังนั้นผู้ร้ายจึงยังสามารถเข้าถึงกล่องจดหมายและรับรหัสความปลอดภัย 2 ชั้นได้ ณ จุดนี้ คุณประโยชน์ของกลไกการรักษาความปลอดภัย 2 ชั้นจะหายไปอย่างสิ้นเชิง

ในทำนองเดียวกัน โทรศัพท์ยังสามารถขโมยและเปิด SMS เพื่อดูรหัสความปลอดภัย 2 ชั้นได้อย่างง่ายดาย แม้จะไม่มีการขโมย แต่ผู้ร้ายยังคงเห็นรหัสการตรวจสอบสิทธิ์ที่ส่งไปยังโทรศัพท์ของคุณเมื่อมีการแจ้งเตือนปรากฏบนหน้าจอล็อค มันง่ายขนาดนั้น แต่มันอันตรายสุดๆ ใช่ไหมล่ะ?

U2F เกิดมาเพื่อแก้ไขข้อจำกัดเหล่านี้ U2F ใช้ฮาร์ดแวร์เพื่อสร้างรหัสยืนยันตัวตน ดังนั้นคุณจึงไม่ต้องกังวลอีกต่อไปหากมีคนแฮ็กกล่องจดหมายของคุณหรือยึดโทรศัพท์ของคุณไป การเข้าสู่ระบบจะต้องกระทำโดยมีฮาร์ดแวร์นั้นอยู่ด้วย ไม่สามารถถูกแฮ็ก หรือเจาะระบบจากระยะไกลได้ จึงช่วยลดความเสี่ยงได้มากมาย ฮาร์ดแวร์ U2F ที่ได้รับความนิยมมากที่สุดในปัจจุบันคือปากกาหน่วยความจำ USB ซึ่งมีขนาดกะทัดรัดมาก จึงสามารถพกพาติดตัวไปได้ทุกที่ได้อย่างง่ายดาย ในอนาคตจะมีบริษัทจำนวนมากขึ้นที่ผลิตอุปกรณ์ U2F ในรูปของแหวน สร้อยคอ กำไล กุญแจ และอื่นๆ อีกมากมาย

U2F ได้รับการพัฒนาโดยพันธมิตรที่เรียกว่าFIDO ( Fast IDentity Online ) ซึ่งรวมถึง Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America และอีกมากมาย บริษัท ขนาดใหญ่อื่น ๆ ณ เดือนมิถุนายนปีนี้ FIDO มีสมาชิก 200 รายจากหลายประเทศ ปัจจุบัน FIDO มีบทบาทอย่างมากในการส่งเสริม U2F ตั้งแต่ฮาร์ดแวร์ไปจนถึงซอฟต์แวร์ และในอนาคต U2F จะปรากฏทุกที่

หลักการทำงาน

เมื่อคุณต้องการเข้าสู่ระบบบริการออนไลน์ เช่น Gmail คุณยังคงต้องป้อนชื่อผู้ใช้และรหัสผ่านตามปกติ ในขั้นตอนถัดไป คุณจะถูกขอให้ปักหมุดไดรฟ์ USB ที่รองรับ U2F เข้ากับคอมพิวเตอร์ของคุณ เบราว์เซอร์ Chrome ตรวจพบการมีอยู่ของอุปกรณ์ทันทีและใช้เทคโนโลยีการเข้ารหัสเพื่อดึงข้อมูลจากอุปกรณ์นั้น ( คุณจะต้องกดปุ่มบนไดรฟ์ USB ) Chrome ยังคงยืนยันต่อไปว่าข้อมูลถูกต้องหรือไม่ และหากทุกอย่างเรียบร้อยดี คุณจะลงชื่อเข้าใช้ Gmail

เหตุผลที่คุณยังต้องป้อนชื่อผู้ใช้และรหัสผ่านในขั้นตอนแรกก็เพื่อป้องกันไม่ให้ผู้อื่นบุกรุกบัญชีของคุณเพียงแค่ขโมยกุญแจ ซึ่งก็เป็นจริงเช่นกัน เพราะนั่นคือ "2 คลาส" ไม่เช่นนั้นก็จะเหมือนกับ 1 คลาส

ในระหว่างกระบวนการตรวจสอบข้อมูล Chrome มีหลายสิ่งที่เกิดขึ้นเพื่อความปลอดภัยของคุณ ขั้นแรก เบราว์เซอร์จะตรวจสอบเพื่อดูว่ากำลังสื่อสารกับเว็บไซต์จริงผ่านโปรโตคอล https หรือไม่ ซึ่งจะช่วยหลีกเลี่ยงสถานการณ์ที่คุณใช้การรักษาความปลอดภัย 2 ชั้นกับเว็บไซต์ปลอม ถัดไป เบราว์เซอร์จะส่งรหัสที่นำมาจากไดรฟ์ USB ของคุณไปยังเว็บไซต์โดยตรง ดังนั้นตามทฤษฎีแล้ว ผู้โจมตีจะไม่สามารถรับรหัสนี้ในขณะที่ข้อมูลอยู่ระหว่างการขนส่ง

ตามการกำหนดค่าของ U2F นอกเหนือจากการป้อนรหัสผ่านแบบเต็มตามปกติแล้ว เว็บไซต์ยังสามารถให้ตัวเลือกแก่คุณในการป้อนรหัส PIN สั้น ๆ จากนั้นกดปุ่มบนอุปกรณ์ USB เพื่อเข้าสู่ระบบต่อ วิธีนี้จะทำให้การจำรหัสผ่านง่ายขึ้นและประหยัดเวลาในการใช้บริการมากขึ้น (เพราะคุณต้องพิมพ์อักขระน้อยลง)

เว็บไซต์ใดบ้างที่รองรับ U2F?

ในขณะที่เขียนบทความนี้ มีเว็บไซต์ บริการ และซอฟต์แวร์ไม่มากนักที่ให้การสนับสนุน U2F อย่างเป็นทางการ ปัจจุบัน Chrome เป็นเบราว์เซอร์เดียวที่รวม U2F และใช้งานได้บน Windows, Mac, Linux และ Chrome OS Firefox และ Edge กำลังถูกรวมเข้าด้วยกัน แต่ไม่รู้ว่าจะเสร็จสมบูรณ์เมื่อใด บางเว็บไซต์ที่ใช้ U2F รวมถึงเว็บไซต์จาก Google, Dropbox และ Github หวังว่าในอนาคตเราจะได้เห็นเว็บไซต์สำคัญๆ ที่รองรับ U2F มากขึ้น

และตามที่กล่าวไว้ข้างต้น หากต้องการใช้ U2F คุณต้องใช้ไดรฟ์ USB แบบพิเศษ คุณจะไม่สามารถใช้ไดรฟ์ USB ที่มีอยู่ในมือได้ทันที ไดรฟ์เหล่านี้สามารถพบได้ใน Google, Amazon และคุณสามารถใช้คำหลักFIDO U2F Security Keyเพื่อค้นหาได้ ราคามีตั้งแต่ไม่กี่ดอลลาร์ไปจนถึงหลายสิบดอลลาร์ ปัจจุบัน USB ประเภทนี้ไม่มีจำหน่ายในตลาดเวียดนาม

สมมติว่าคุณซื้อไดรฟ์ USB U2F แล้ว คุณสามารถไปที่หน้าการกำหนดค่าความปลอดภัย 2 ชั้นของ Google แล้วทำตามคำแนะนำบนเว็บเพื่อเริ่มใช้งาน

แล้วยูเอเอฟล่ะ?

UAF ( Universal Authentication Framework ) เป็นอีกหนึ่งมาตรฐานการเข้าสู่ระบบที่พัฒนาโดย FIDO เอง แต่ไม่ต้องใช้รหัสผ่านใดๆ นั่นเป็นสาเหตุที่ UAF ถูกเรียกว่า ประสบการณ์ ไร้รหัสผ่าน . UAF ต้องใช้วิธีการตรวจสอบสิทธิ์ที่อยู่ในอุปกรณ์ของผู้ใช้และไม่ได้ส่งผ่านภายในเครื่อง ตัวอย่างของวิธีการรับรองความถูกต้องในท้องถิ่น ได้แก่ เซ็นเซอร์ลายนิ้วมือ เซ็นเซอร์ม่านตา การจดจำใบหน้า และแม้กระทั่งการใช้ไมโครโฟนในการจดจำเสียง หลังจากลงทะเบียนกับบริการออนไลน์แล้ว ทุกครั้งที่ผู้ใช้ต้องเข้าสู่ระบบ ก็แค่สแกนนิ้วผ่านเซ็นเซอร์หรือนำหน้าเข้ามาใกล้กล้อง

คุณสามารถจินตนาการถึงวิธีที่ Apple ใช้เ��็นเซอร์ Touch ID เพื่อช่วยให้เราลงชื่อเข้าใช้ App Store หรือวิธีที่ Samsung ใช้เซ็นเซอร์ลายนิ้วมือของ Note 4, Note 5, S6, S6 Edge เพื่อช่วยเหลือคุณโดยจินตนาการถึง UAF ได้เลย ลงชื่อเข้าใช้เว็บไซต์หรือทำ PayPal การซื้อโดยไม่ต้องพิมพ์รหัสผ่าน ทุกครั้งที่คุณต้องการตรวจสอบสิทธิ์ เพียงวางนิ้วบนเซ็นเซอร์ จากนั้นทุกอย่างจะดำเนินการโดยอัตโนมัติ

UAF แตกต่างจากโซลูชันของ Apple และ Samsung ตรงที่เป็นมาตรฐาน ดังนั้นเว็บไซต์หรือแอปพลิเคชันใดๆ จะสามารถใช้การรักษาความปลอดภัยประเภทนี้ได้อย่างรวดเร็วและง่ายดาย โดยไม่ต้องดำเนินการตั้งแต่ต้น และแม้จะไม่ต้องขึ้นอยู่กับแพลตฟอร์มหรือระบบปฏิบัติการใดๆ ก็ตาม ซึ่งจะช่วยให้ UAF มีความน่าสนใจและใช้บริการมากขึ้น รวมถึงเข้าถึงผู้ใช้ในวงกว้างได้มากขึ้น

UAF ยังอนุญาตให้คุณใช้ PIN หรือรหัสผ่านผสมกับความปลอดภัยในเครื่องได้ แต่ประสบการณ์นั้นจะไม่ต้องใช้รหัสผ่านอย่างแท้จริงอีกต่อไป แต่จะกลายเป็นความปลอดภัยสองชั้น

ข้อมูลที่ใช้ในการรับรองความถูกต้องตามมาตรฐาน UAF เช่น ลายนิ้วมือหรือตัวอย่างเสียงของคุณ จะอยู่ในอุปกรณ์ของคุณเพียงลำพังเสมอ และแน่นอนว่าข้อมูลเหล่านั้นจะถูกเข้ารหัสอย่างระมัดระวัง ข้อมูลที่ละเอียดอ่อนเหล่านี้จะต้องไม่ถูกเปิดเผยสู่โลกภายนอก เนื่องจากมีความเสี่ยงที่จะถูกแฮกเกอร์ขโมยไป

• เพิ่มความปลอดภัยให้กับ USB ด้วยแอป USB Flash Security
• เรียนรู้เกี่ยวกับการแย่งชิง DNS และวิธีป้องกัน!
• ทฤษฎี - Ransomware คืออะไร?

ขอให้โชคดี!