เจสัน: ในบทเรียนนี้ เราจะพูดถึงการรับรองความถูกต้องด้วยหลายปัจจัย
หรือที่เรียกว่า MFA
ตอนนี้ เมื่อคุณใช้อุปกรณ์เคลื่อนที่
คุณจะต้องตรวจสอบสิทธิ์อุปกรณ์นั้นเพื่อให้สามารถปลดล็อกและเริ่มใช้งานได้
หากคุณนึกถึงสมาร์ทโฟนของคุณ เมื่อคุณปัดขึ้น
คุณจะต้องใช้ใบหน้า นิ้ว PIN หรือรหัสผ่านเพื่อปลดล็อคอุปกรณ์นั้นและเริ่มใช้งาน
เมื่อคุณทำเช่นนี้ สิ่งที่คุณใช้เพื่อปลดล็อคอุปกรณ์จะเรียกว่าปัจจัยการรับรองความถูกต้อง
ขณะนี้ ในโลกของการรักษาความปลอดภัยทางไซเบอร์
เรามีปัจจัยการตรวจสอบสิทธิ์ที่แตกต่างกันห้าประการที่คุณสามารถใช้ได้
สิ่งเหล่านี้เรียกว่าปัจจัยความรู้
ปัจจัยการครอบครอง ปัจจัยโดยธรรมชาติ
ปัจจัยพฤติกรรม และปัจจัยสถานที่
ตอนนี้ เมื่อเราดูปัจจัยความรู้ นี่เป็นรูปแบบการรับรองความถูกต้องที่ง่ายที่สุด
และเราเรียกสิ่งนี้ว่าเป็นสิ่งที่คุณรู้
หากคุณกำลังคิดถึงชื่อผู้ใช้, PIN,
รหัสผ่าน สิ่งเหล่านี้ล้วนเป็นปัจจัยความรู้ เนื่องจากคุณกำลังให้คำตอบสำหรับความท้าทาย
เช่น "รหัสผ่านของคุณคืออะไร?
และสามารถตรวจสอบได้ว่าคุณเป็นบุคคลที่มีชื่อผู้ใช้เชื่อมโยงกับรหัสผ่านนั้นเพราะคุณรู้
ตอนนี้ ปัญหาใหญ่ที่สุดของปัจจัยความรู้คือปัจจัยเหล่านี้เป็นสิ่งที่ง่ายที่สุดที่จะทำลาย
เนื่องจากเป็นเพียงคำหรือตัวเลขที่ป้อนโดยแป้นพิมพ์หรือโดยผู้ใช้ปลายทาง
ดังนั้นหากคุณปกป้องสมาร์ทโฟนของคุณด้วยหมายเลข
PIN สี่หลัก ฉันสามารถนั่งตรงนั้นและลองเดาได้ และมีเพียง 10,000
ชุดที่เป็นไปได้สำหรับหมายเลขสี่หลัก
ในที่สุดฉันก็เดาตัวเลขได้ และฉันก็เข้าไปในอุปกรณ์ของคุณได้
นั่นคือจุดอ่อนด้วยปัจจัยความรู้
ปัจจัยที่สองที่เรามีคือสิ่งที่เรียกว่าปัจจัยการครอบครอง
นี่คือสิ่งที่คุณมี
ตอนนี้ ถ้าคุณทำงานในสภาพแวดล้อมองค์กรขนาดใหญ่
คุณอาจได้รับสิ่งที่เรียกว่ากุญแจ RSA
และนี่คืออุปกรณ์เล็กๆ ที่มีจอ LCD ขนาดเล็ก ที่มีตัวเลข
6 หลัก ซึ่งทุกๆ 30 ถึง 60 วินาที ตัวเลขเหล่านั้นจะเปลี่ยนไป
ตอนนี้ หากคุณพยายามเข้าสู่ระบบอุปกรณ์ที่ซิงโครไนซ์กับอุปกรณ์นี้
คุณจะต้องป้อนตัวเลขหกหลักนั้น
และตัวเลขหกหลักนั้นจะเปลี่ยนทุกๆ 30 ถึง 60 วินาที
ดังนั้นการรู้ตัวเลขที่ถูกต้อง นั่นพิสูจน์ว่าคุณครอบครองพวงกุญแจนั้น
และนี่คือสาเหตุที่เราเรียกสิ่งนี้ว่าปัจจัยการครอบครอง
วิธีการอื่นคือเมื่อคุณใช้สิ่งต่าง
ๆ เช่น โทเค็นจริง
ตัวอย่างเช่น ในรัฐบาลสหรัฐฯ เมื่อพวกเขาพยายามเข้าสู่ระบบคอมพิวเตอร์
พวกเขาจะใช้บัตรประจำตัวที่มีไมโครชิปขนาดเล็กฝังอยู่
เมื่อพวกเขาวางการ์ดนั้นลงในคอมพิวเตอร์ นั่นแสดงว่าพวกเขามีบัตรประจำตัวอยู่ในความครอบครอง
และพวกเขาก็เป็นคนที่พวกเขาบอกว่าเป็น
ทีนี้ ปัจจัยที่สามที่เรามีคือสิ่งที่เรียกว่าปัจจัยสืบเนื่อง
ทีนี้ ปัจจัยโดยธรรมชาติคือสิ่งที่คุณเป็น
ฉันชอบที่จะคิดว่านี่เป็นชิ้นส่วนของร่างกายของคุณ
ดังนั้นเมื่อคุณคิดถึงปัจจัยโดยธรรมชาติหรือสิ่งที่คุณเป็น
เรากำลังพูดถึงข้อมูลชีวมิติจริงๆ
ดังนั้นหากอุปกรณ์มือถือของคุณใช้ลายนิ้วมือเพื่อปลดล็อค
นั่นจะเป็นปัจจัยโดยธรรมชาติ
ในทำนองเดียวกัน หากคุณใช้ Face ID โดยจะดูโครงสร้างใบหน้าของคุณและอนุญาตให้คุณปลดล็อคโทรศัพท์โดยใช้สิ่งนั้น
นั่นก็เป็นปัจจัยทางชีวมิติเช่นกัน
เราก็จะเรียกสิ่งนี้ว่าปัจจัยโดยธรรมชาติ
หรืออะไรสักอย่างที่คุณเป็น
ปัจจัยที่สี่คือสิ่งที่เราเรียกว่าปัจจัยด้านพฤติกรรม
และฉันชอบเรียกสิ่งนี้ว่าเป็นสิ่งที่คุณทำ
ทีนี้ เมื่อคุณดูปัจจัยด้านพฤติกรรม
มันจะขึ้นอยู่กับวิธีที่คุณทำบางอย่าง
ขณะนี้สิ่งเหล่านี้ไม่ได้พบเห็นได้ทั่วไปในอุปกรณ์พกพา
แต่มีการใช้ในพื้นที่อื่น
ตัวอย่างเช่น ในโรงงานแห่งหนึ่งที่ฉันเคยทำงาน พวกเขามีการติดตั้งระบบกล้องที่จะตรวจจับคุณขณะที่คุณกำลังเดินเข้าไปในอาคาร
และเหตุผลที่พวกเขาทำสิ่งนี้ก็คือ
พวกเขากำลังวัดการเดินของพนักงาน ขณะที่พวกเขากำลังเดินขึ้นไปที่ประตู
และพวกเขาใช้สิ่งนี้เป็นปัจจัยหนึ่งในการพิสูจน์ว่าบุคคลนั้นคือสิ่งที่พวกเขากล่าวว่าเป็น
เพราะพฤติกรรมนี้เป็นลักษณะเฉพาะของแต่ละคน
อีกด้านที่เราเห็นพฤติกรรมที่ใช้คือระบบจดจำเสียง
ตอนนี้ คุณอาจคิดว่าการจดจำเสียงจะเป็นปัจจัยโดยธรรมชาติ
และอาจเป็นเช่นนั้นก็ได้ ขึ้นอยู่กับวิธีการตั้งค่าระบบการตรวจสอบสิทธิ์
แต่จริงๆ แล้ว ระบบจดจำเสียงส่วนใหญ่ไม่ได้มองสิ่งที่คุณพูด
แต่ดูว่าคุณพูดอย่างไร
นี่เป็นเพราะว่าทุกคนพูดสิ่งที่แตกต่างออกไป
และมีระดับเสียงที่เป็นเอกลักษณ์และวิธีที่เราพูดคำบางคำ
นี่อาจเป็นปัจจัยด้านพฤติกรรมได้เช่นกัน
ปัจจัยการตรวจสอบสิทธิ์ประการที่ห้าคือสิ่งที่เรียกว่าปัจจัยด้านสถานที่
และฉันชอบเรียกสิ่งนี้ว่าที่ไหนสักแห่งที่คุณอยู่
ตอนนี้อุปกรณ์ของคุณมีตัวรับสัญญาณ GPS อยู่ภายในแล้ว ดังนั้นอุปกรณ์ของคุณจึงรู้ตลอดเวลาว่ามันอยู่ที่ไหนบนพื้นโลก
ดังนั้นเราจึงสามารถใช้ตำแหน่งนั้นเป็นส่วนหนึ่งของกระบวนการตรวจสอบสิทธิ์ของคุณได้
และบอกว่าคุณสามารถเข้าสู่ระบบโทรศัพท์เครื่องนั้นและใช้งานได้เมื่อคุณอยู่ในพื้นที่ที่กำหนดเท่านั้น
นั่นอาจเป็นประเทศ อาจเป็นรัฐ หรืออาจเป็นเมือง
หรือแม้แต่บล็อกเมืองรอบๆ อาคารของคุณ
สิ่งนี้จะขึ้นอยู่กับกรณีการใช้งานของคุณ
แต่ฉันเคยอยู่ในองค์กรที่เรามีอุปกรณ์เคลื่อนที่ที่สามารถใช้งานได้และใช้งานได้ภายในหนึ่งช่วงตึกจากสำนักงานใหญ่ของบริษัทเท่านั้น
และถ้าคุณไปไกลกว่านั้น อุปกรณ์เหล่านั้นก็จะปิดตัวลงและล็อคคุณไว้จนกว่าคุณจะกลับเข้าไปในขอบเขต
และสิ่งนี้เรียกว่าปัจจัยด้านตำแหน่ง
ตอนนี้ หากเราใช้ปัจจัยทั้งห้านี้ ปัจจัยความรู้
ปัจจัยการครอบครอง ปัจจัยโดยธรรมชาติ ปัจจัยพฤติกรรม
หรือปัจจัยตำแหน่ง เราจะเรียกการตรวจสอบสิทธิ์แบบปัจจัยเดียวนี้
ดังนั้นหากฉันใช้อุปกรณ์เคลื่อนที่ ฉันจะปัดขึ้น
และป้อน PIN สี่หลัก ซึ่งเป็นปัจจัยความรู้เดียวที่นำเสนอ
แต่หากฉันรวมปัจจัยเหล่านี้สองปัจจัยขึ้นไปเข้าด้วยกัน ฉันจะได้สิ่งที่เรียกว่าการรับรองความถูกต้องแบบหลายปัจจัย
หากคุณใช้สองปัจจัย บางครั้งเราเรียกการตรวจสอบสิทธิ์แบบสองปัจจัยนี้หรือ
2FA
หากคุณมีปัจจัยเหล่านี้สอง สาม สี่ หรือห้าปัจจัยผสมกัน
สิ่งนี้จะเรียกว่าการรับรองความถูกต้องแบบหลายปัจจัย
เนื่องจากคุณมีสองปัจจัยขึ้นไป ทำให้เป็นการรับรองความถูกต้องหลายปัจจัย
ตอนนี้ เมื่อคุณมีอุปกรณ์ที่ออกโดยบริษัทของคุณ
พวกเขาสามารถใช้ MDM หรือซอฟต์แวร์การจัดการอุปกรณ์เคลื่อนที่เพื่อตัดสินใจว่าคุณจะต้องมีข้อกำหนดอะไรบ้างจึงจะสามารถเข้าถึงอุปกรณ์นั้นได้
ซึ่งอาจทำได้ง่ายเพียงแค่ตั้งค่า
PIN หรือรหัสผ่านยาวที่มีความยาวอักขระจำนวนหนึ่ง
หรืออาจกำหนดให้คุณต้องใช้ปัจจัยโดยธรรมชาติหรือการรับรองความถูกต้องทางชีวภาพ เช่น ลายนิ้วมือหรือการสแกนใบหน้า
สิ่งนี้จะถูกกำหนดโดยนโยบายองค์กรของคุณ
รวมถึงระบบและอุปกรณ์ที่คุณใช้และสิ่งที่พวกเขาสนับสนุน
สมาร์ทโฟนส่วนใหญ่ในปัจจุบันจะรองรับปัจจัยทางชีวมิติหรือปัจจัยสืบเนื่องอย่างน้อยหนึ่งรายการ
และนั่นอาจเป็นลายนิ้วมือหรือการสแกนใบหน้า
ขึ้นอยู่กับรุ่นที่คุณใช้
การใช้งานสมาร์ทโฟนของเราอีกอย่างหนึ่งในปัจจุบันนี้เป็นส่วนหนึ่งของระบบการตรวจสอบสิทธิ์แบบสองปัจจัยของเรา
หากคุณไปที่เว็บไซต์ มีหลายครั้งที่เว็บไซต์ให้คุณเข้าสู่ระบบโดยใช้ชื่อผู้ใช้และรหัสผ่าน
ซึ่งเป็นปัจจัยความรู้หรือสิ่งที่คุณรู้
จากนั้นพวกเขาจะส่งข้อความตัวอักษรพร้อมรหัสเฉพาะไปยังสมาร์ทโฟนของคุณ
สิ่งที่พวกเขากำลังทำที่นี่คือการสร้าง MFA หรือ 2FA จริงๆ เพราะตอนนี้พวกเขากำลังใช้สองปัจจัย
ปัจจัยความรู้เกี่ยวกับชื่อผู้ใช้และรหัสผ่านของคุณ และปัจจัยการครอบครองความจริงที่ว่าคุณมีสมาร์ทโฟนของคุณและรับข้อความนั้น
ทุกวันนี้ เราเห็นเว็บไซต์จำนวนมากขึ้นที่ใช้การตรวจสอบสิทธิ์แบบสองปัจจัยหรือหลายปัจจัย
เนื่องจากให้สภาพแวดล้อมที่ปลอดภัยยิ่งขึ้นสำหรับผู้ใช้ของคุณ
เพื่อช่วยในเรื่องนี้ ยังมีแอปที่คุณสามารถดาวน์โหลดที่เรียกว่า
Authenticator ซึ่งทำหน้าที่เป็นปัจจัยการครอบครองภายในอุปกรณ์มือถือของคุณ
Authenticator ช่วยให้คุณสามารถลงทะเบียนกับเว็บไซต์ของคุณที่รองรับ
2FA หรือ MFA
และจะใช้เพื่อสร้างรหัสสุ่มเหล่านั้นโดยไม่ต้องมีอุปกรณ์
Key Fob เนื่องจากสมาร์ทโฟนของคุณทำหน้าที่เป็น
Key Fob นั้นและซิงค์กับเว็บไซต์ที่คุณพยายามตรวจสอบสิทธิ์
ดังนั้นโปรดคำนึงถึงสิ่งนี้เมื่อคุณคิดถึงการรับรองความถูกต้องแบบหลายปัจจัย
ปัจจัยหลายตัวหมายความว่าคุณต้องมีปัจจัยเหล่านี้ตั้งแต่
2 ตัวขึ้นไป
สิ่งสุดท้ายที่ฉันอยากจะพูดถึง
เมื่อพูดถึงการรับรองความถูกต้องแบบหลายปัจจัย
และนี่คือสิ่งที่มักทำให้นักเรียนสะดุด ก็คือเพียงเพราะคุณมีสองปัจจัย
ไม่ได้หมายความว่าคุณยังอยู่ที่หลายปัจจัย
หากฉันให้คุณเข้าสู่ระบบด้วยชื่อผู้ใช้ รหัสผ่าน
และ PIN นั่นเป็นปัจจัยความรู้สองประการ
แต่ไม่ใช่การรับรองความถูกต้องด้วยสองปัจจัยหรือการรับรองความถูกต้องด้วยหลายปัจจัยเนื่องจากปัจจัยทั้งสองนั้นมาจากหมวดหมู่เดียวกัน
สิ่งเหล่านี้เป็นสิ่งที่คุณรู้ซึ่งเป็นปัจจัยแห่งความรู้
เพื่อให้มีการรับรองความถูกต้องด้วยสองปัจจัยหรือการรับรองความถูกต้องด้วยหลายปัจจัย
คุณต้องมีสองหมวดหมู่ขึ้นไปที่แสดงจากปัจจัยทั้งห้าของความรู้
การครอบครอง โดยธรรมชาติ พฤติกรรม และตำแหน่งที่ตั้ง