คนส่วนใหญ่ใช้รหัสผ่านเดิมกับทุกเว็บ เพราะจำหลายรหัสไม่ไหว เป็นความเข้าใจที่อันตราย เพราะถ้าเว็บใดเว็บหนึ่งถูกเจาะ ข้อมูลรั่ว รหัสผ่านชุดนั้นจะถูกนำไปลองกับเว็บบัญชีอีเมลและธนาคารของเราทันที ทางออกที่ถูกต้องและปลอดภัยที่สุดคือใช้ password manager หรือโปรแกรมจัดการรหัสผ่าน บทความนี้จะบอกว่ามันคืออะไร ควรเลือกแบบไหน และเริ่มใช้ยังไงโดยไม่ปวดหัว
รหัสผ่านที่ดีต้องเป็นแบบไหน
รหัสผ่านที่ปลอดภัยในโลกปัจจุบันมี 3 ข้อ
- ยาว อย่างน้อย 12–16 ตัวอักษร เพราะความยาวคือปัจจัยที่ทำให้เดายากที่สุด
- ไม่ซ้ำกัน แต่ละบริการต้องใช้คนละรหัส เพื่อไม่ให้ลามกัน
- คาดเดายาก ไม่ใช่วันเกิด ชื่อเล่น หรือเลข 123456
ปัญหาคือสมองคนจำรหัสผ่านยาว ๆ ที่ไม่ซ้ำกัน 50–100 อันไม่ได้ นี่คือเหตุผลที่ password manager มีอยู่
Password manager ทำงานยังไง
โปรแกรมนี้จะ จำรหัสผ่านทุกอันแทนเรา โดยเก็บไว้ในห้องลับที่ล็อกด้วยรหัสผ่านหลัก (Master Password) เพียงรหัสเดียว ข้อดีคือ
- เราจำแค่รหัสหลักอันเดียว ที่เหลือโปรแกรมจำให้ทั้งหมด
- โปรแกรมช่วยสร้างรหัสผ่านสุ่มยาว ๆ ให้แต่ละเว็บต่างกันได้ทันที
- กรอกให้อัตโนมัติเมื่อเข้าเว็บ จึงสะดวกกว่าเดิม
- ตรวจเตือนได้ด้วยว่าเว็บไหนถูกเจาะข้อมูลไปแล้ว หรือรหัสไหนซ้ำกัน
สิ่งที่ต้องระวังคือรหัสหลักนี้ต้องแข็งแรงมาก เพราะถ้าถูกเดาได้ ทุกอย่างจะเปิดหมด แต่ในทางกลับกัน ถ้าเราจำรหัสหลักไม่ได้เลย ก็จะกู้ข้อมูลคืนไม่ได้เช่นกัน (บางบริการมีวิธีสำรอง)
ประสบการณ์จากคนใช้จริง
เราปฏิบัติต่อมันเหมือนสมุดโทรศัพท์เล่มหนึ่ง สมัยก่อนเราจำเบอร์โทรทุกคนได้เพราะต้องหมุนเอง พอมีสมุดกับมือถือก็ไม่ต้องจำอีก แต่ไม่มีใครรู้สึกว่าสมุดโทรศัพท์ทำให้ชีวิตแย่ลง Password manager ก็ทำหน้าที่แบบเดียวกันกับรหัสผ่าน
แบบฟอร์มที่มีให้เลือก
แบบซอฟต์แวร์ติดตั้งในเครื่อง
โปรแกรมที่ติดตั้งในคอมหรือมือถือ เก็บไฟล์รหัสผ่านไว้ในเครื่องตัวเอง ไม่ต้องพึ่งเซิร์ฟเวอร์ของบริษัท เหมาะกับคนที่อยากควบคุมข้อมูล 100% ข้อเสียคือต้องหาวิธีซิงก์เองถ้าอยากใช้หลายเครื่อง
แบบคลาวด์ซิงก์
บริการที่เก็บไฟล์รหัสผ่านเข้ารหัสไว้บนคลาวด์ ซิงก์ข้ามมือถือ คอม และแท็บเล็ตได้อัตโนมัติ สะดวกที่สุดสำหรับคนใช้หลายอุปกรณ์ จุดที่ต้องเข้าใจคือข้อมูลถูก เข้ารหัสตั้งแต่ก่อนออกจากเครื่อง (zero-knowledge) บริษัทจึงอ่านไม่ได้
แบบฟรีจากเบราว์เซอร์ (ไม่แนะนำ)
การบันทึกรหัสในเบราว์เซอร์ก็ใช้ได้ แต่การป้องกันมักอ่อนกว่าบริการเฉพาะทาง แถมยังผูกกับบัญชีเดียว (เช่นบัญชี Google) ถ้าบัญชีนั้นถูกเจาะ รหัสทั้งหมดก็เสี่ยงด้วย เหมาะเป็นการชั่วคราวเท่านั้น
เกณฑ์เลือกที่ควรดูก่อนตัดสินใจ
- การเข้ารหัส ต้องเป็นการเข้ารหัสแบบ zero-knowledge ที่ฝั่งเราเท่านั้นที่ถอดได้
- ราคา บริการดี ๆ หลายตัวมีแผนฟรีที่ใช้ได้จริง หรือคิดค่าบริการไม่กี่บาทต่อเดือน
- อุปกรณ์ที่รองรับ ต้องมีแอปทั้งมือถือและคอมตามที่เราใช้
- การแชร์ ถ้าต้องแชร์รหัสในครอบครัวหรือทีม ควรดูว่ามีฟีเจอร์นี้ไหม
- การกู้คืน มีวิธีสำรองกรณีลืมรหัสหลักหรือไม่
- ประวัติของบริษัท ไม่ควรเพิ่งเคยทำ แล้วไม่เคยถูกตรวจสอบ
เริ่มใช้ยังไงแบบไม่ปวดหัว
- เริ่มจากอีเมลก่อน เพราะอีเมลเป็นประตูไปทุกอย่างที่เหลือ
- ค่อย ๆ ย้าย ตั้งเป้าวันละ 2–3 เว็บ ไม่ต้องย้ายทั้งหมดในวันเดียว
- ตั้งรหัสหลักให้ยาวและจำให้ได้ ใช้เป็นประโยคยาว ๆ ที่มีความหมายกับตัวเรา
- เปิดการยืนยันตัวตนสองชั้น (2FA) ให้บัญชี password manager ด้วย
- บันทึกวิธีกู้คืน เก็บไว้ที่ปลอดภัยจริง ๆ เผื่อวันฉุกเฉิน
ความเข้าใจผิดที่พบบ่อย
ความเชื่อว่า password manager ถูกเจาะง่ายกว่าจำเองนั้นไม่จริง เพราะค่าที่ถูกโจมตีจริงในโลกคือรหัสผ่านที่ใช้ซ้ำกัน มากกว่าการเจาะโปรแกรมเฉพาะทาง อีกเรื่องคือการต้องใช้รหัสหลักอันเดียว ไม่ได้หมายความว่าอ่อนแอ ถ้าตั้งให้ยาวและเปิด 2FA ก็แข็งแรงกว่าการจำรหัสซ้ำ ๆ ทุกเว็บมาก
อีกข้อคือหลายคนกลัวว่าถ้าลืมรหัสหลักจะเสียทุกอย่าง ความจริงคือทุกบริการที่ดีจะให้เราดาวน์โหลด “recovery code” หรือตั้งคำถามกู้คืนไว้ได้ เพียงแค่ต้องเก็บสำเนาให้ดี ไม่ใช่ปล่อยผ่าน
สรุปสั้น ๆ
ถ้าคุณยังใช้รหัสเดิมกับทุกเว็บ นี่คือจุดอ่อนที่อันตรายที่สุดในชีวิตออนไลน์ การเลือก password manager สักตัว แล้วย้ายบัญชีสำคัญทีละนิด จะเปลี่ยนความปลอดภัยทั้งระบบแบบเห็นผลในไม่กี่สัปดาห์ และเมื่อเริ่มใช้แล้วจะรู้สึกเลยว่าสะดวกกว่าเดิมมาก ไม่ต้องมานั่งจำรหัสผ่านอะไรอีก