ในหน้านี้
เคยเห็นรหัสผ่านแบบนี้ไหม: Vientiane@2026 แล้วสามเดือนต่อมากลายเป็น Vientiane@2026! นั่นคือผลโดยตรงของนโยบาย "ต้องมีตัวพิมพ์ใหญ่ ตัวเลข สัญลักษณ์ และเปลี่ยนทุก 90 วัน" ผู้ใช้ไม่ได้ขี้เกียจ เขาทำตามกฎในทางที่ง่ายที่สุด และผู้โจมตีก็รู้รูปแบบนี้ดี
สิ่งที่ NIST เปลี่ยนไปแล้ว
NIST SP 800-63B (Revision 4 ที่ออกในปี 2025) เป็นแนวทางที่หลายองค์กรทั่วโลกใช้อ้างอิง สาระสำคัญคือ
| กฎเดิม | แนวทางปัจจุบัน |
|---|---|
| 8 ตัว พร้อมพิมพ์ใหญ่/เล็ก/ตัวเลข/สัญลักษณ์ | ความยาวสำคัญกว่า อย่างน้อย 15 ตัวเมื่อรหัสเป็นปัจจัยเดียว อย่างน้อย 8 ตัวเมื่อใช้คู่กับ MFA อนุญาตให้ยาวได้อย่างน้อย 64 ตัวและใช้ช่องว่างได้ |
| บังคับกฎความซับซ้อน | ไม่บังคับผสมชนิดตัวอักษร |
| เปลี่ยนทุก 90 วัน | ไม่บังคับเปลี่ยนตามเวลา เปลี่ยนเมื่อมีหลักฐานว่ารั่ว |
| คำถามลับ ("ชื่อแม่?") | ไม่ใช้ |
| ไม่ตรวจ | ตรวจกับรายการรหัสที่รั่วแล้วและคำที่ใช้บ่อย (รวมชื่อบริษัท) |
สำหรับพนักงานทั่วไปให้แนะนำ Passphrase คือสี่ถึงห้าคำที่ไม่เกี่ยวข้องกัน ในภาษาอะไรก็ได้ที่เขียนเป็นอักษรละติน จำง่ายและยาวพอ
บัญชี Admin และ Service Account ใช้รหัสสุ่ม 20 ตัวขึ้นไปที่สร้างโดย Password Manager หรือ PAM ไม่มีใครต้องจำ
นโยบายที่นำไปใช้ได้ภายในเดือนนี้
- บัญชีที่มีแค่รหัสผ่าน: อย่างน้อย 15 ตัวอักษร บัญชีที่มี MFA: อย่างน้อย 8 ตัว แต่ในทางปฏิบัติเราตั้งขั้นต่ำไว้ 12
- รองรับอย่างน้อย 64 ตัวอักษร รวมช่องว่าง และอนุญาตให้วาง (Paste) ได้ เพื่อให้ Password Manager ใช้งานได้
- ไม่มีกฎผสมตัวอักษร ไม่มีการหมดอายุตามรอบ บังคับเปลี่ยนเฉพาะเมื่อมีสัญญาณว่ารหัสรั่ว
- บล็อกรหัสที่อยู่ในรายการรหัสรั่ว และคำยอดฮิตในท้องถิ่น เช่น ชื่อบริษัท "Vientiane" "Laos" "Champa" ตัวเลขปี และแป้นเรียงอย่าง "qwerty"
- จำกัดจำนวนครั้งที่ล็อกอินผิดต่อบัญชี (NIST กำหนดเพดานไว้ที่ 100 ครั้งติดต่อกัน ระบบส่วนใหญ่ตั้งน้อยกว่านั้นมาก) และแจ้งเตือนเมื่อล็อกอินผิดถี่ผิดปกติ
- MFA สำหรับทุกบัญชีที่เข้าถึงอีเมล ไฟล์ VPN หรือเงินได้
ทั้งหมดนี้อยู่ในกระดาษหน้าเดียว พนักงานอ่านหน้าเดียว แต่ไม่อ่านสิบสองหน้า
MFA แต่ละแบบป้องกันได้ไม่เท่ากัน
| แบบ | ต้าน Phishing ได้ไหม | หมายเหตุจากหน้างาน |
|---|---|---|
| SMS OTP | ไม่ได้ | เสี่ยง SIM Swap มาช้าหรือไม่มาในพื้นที่สัญญาณอ่อน ดีกว่าไม่มี |
| Authenticator App (TOTP 6 หลัก) | ไม่ได้ | ทำงานได้โดยไม่ต้องมีสัญญาณหรืออินเทอร์เน็ต แต่นาฬิกาโทรศัพท์ต้องตรง |
| Push + Number Matching | ไม่ได้ (แต่ต้าน MFA Fatigue ได้) | โทรศัพท์ต้องมีอินเทอร์เน็ต |
| Passkey / FIDO2 Security Key | ได้ | ผูกกับ Domain จริง เว็บปลอมขอลายเซ็นไม่ได้ |
| Certificate / Smart Card | ได้ | เหมาะกับเครื่องที่องค์กรจัดการและ Admin |
สิ่งที่คนมักเข้าใจผิด: TOTP และ Push ไม่ได้ต้าน Phishing หน้า Login ปลอมแบบ Adversary-in-the-Middle สามารถส่งต่อรหัส 6 หลักหรือการอนุมัติ Push ไปยังเว็บจริงในเวลาเดียวกัน แล้วขโมย Session Cookie ไป บัญชีที่มีสิทธิ์สูงจึงควรใช้ Passkey หรือ Security Key
MFA Fatigue: ผู้โจมตีที่ได้รหัสแล้วส่ง Push ซ้ำๆ ตอนดึก จนผู้ใช้กดอนุมัติให้มันหยุด Number Matching แก้ได้เพราะผู้ใช้ต้องพิมพ์ตัวเลขที่แสดงบนหน้า Login สอนพนักงานว่า Push ที่ไม่ได้ขอหมายถึงรหัสผ่านรั่วแล้ว และต้องรายงาน
ลำดับการเปิดใช้
- Admin ทั้งหมด (Domain, Firewall, Microsoft 365/Google Workspace, Backup) ใช้ Security Key ถ้าทำได้
- Email และ Cloud สำหรับทุกคน
- VPN และ Remote Access
- ระบบการเงิน ธนาคารออนไลน์ และ ERP
- ปิด Legacy Authentication คือ Protocol เก่า (POP, IMAP, SMTP AUTH แบบ Basic Auth) ที่ข้าม MFA ได้ ใน Exchange Online นั้น Basic Auth ของ POP, IMAP และ Protocol อื่นเกือบทั้งหมดถูกปิดไปแล้ว ข้อยกเว้นคือ SMTP AUTH สำหรับส่งเมล ซึ่ง Microsoft วางแผนปิดเป็นค่าเริ่มต้นสำหรับ Tenant เดิมช่วงปลายเดือนธันวาคม 2026 ให้หาเครื่องสแกน เครื่องถ่ายเอกสาร และแอปเก่าที่ยังส่งเมลแบบนี้ แล้วย้ายไปใช้ OAuth หรือ Relay ตั้งแต่ตอนนี้
- เขียนขั้นตอนกู้คืนบัญชี พนักงานทำโทรศัพท์หายจะยืนยันตัวตนอย่างไร Helpdesk ที่รีเซ็ต MFA ให้ทุกคนที่โทรมา คือช่องทางที่ผู้โจมตีใช้จริง
บริบทของลาวที่ต้องคิดถึง
พนักงานที่เหมือง เขื่อน และไซต์ก่อสร้าง มักอยู่ในที่ที่สัญญาณมือถือไม่สม่ำเสมอ และใช้โทรศัพท์ส่วนตัว SMS OTP ที่มาช้าห้านาทีทำให้คนขอให้ IT "ปิด MFA ให้หน่อย" Authenticator App แบบ TOTP ทำงาน Offline ได้ จึงเป็นค่าเริ่มต้นที่ดีกว่าสำหรับกลุ่มนี้
สำหรับ IT Admin และพนักงานการเงินที่อนุมัติการโอนเงิน ให้ Security Key คนละสองอัน (ใช้ประจำและสำรองที่เก็บไว้ในที่ปลอดภัย) สั่งจากไทยพร้อมอุปกรณ์อื่น และลงทะเบียนทั้งสองอันในวันเดียวกัน
เขียนคู่มือตั้งค่าเป็นภาษาลาวและไทยพร้อมภาพหน้าจอ แล้วจัดตั้งค่าพร้อมกันเป็นกลุ่ม การส่ง Email บอกให้ "ไปตั้งค่าเอง" มักได้ผลน้อยที่สุด
Password Manager
พนักงานคนหนึ่งมีหลายสิบบัญชี ถ้าไม่มีเครื่องมือเขาจะใช้รหัสเดียวกันทุกที่ Password Manager สำหรับธุรกิจ
- สร้างรหัสสุ่มและกรอกอัตโนมัติเฉพาะเว็บที่ Domain ถูกต้อง ถ้ามันไม่ยอมกรอก นั่นคือสัญญาณเตือน Phishing
- แชร์รหัสในทีมได้โดยไม่ต้องวางในแชต
- ยกเลิกการเข้าถึงได้ทันทีเมื่อพนักงานลาออก
บัญชีสิทธิ์สูง
แยกบัญชี Admin ออกจากบัญชีประจำวันที่ใช้อ่าน Email เก็บ บัญชีฉุกเฉิน (Break-glass) หนึ่งถึงสองบัญชีที่ไม่อยู่ใต้ Conditional Access ปกติ ป้องกันด้วย Security Key หรือรหัสยาวที่ปิดผนึกเก็บในตู้เซฟ และตั้ง Alert ทุกครั้งที่มีการ Login ใน Microsoft 365 หรือ Google Workspace ให้ใช้ Conditional Access (หรือ Context-Aware Access) บล็อกการ Login จากประเทศหรืออุปกรณ์ที่ไม่คาดคิด
Passkey พร้อมใช้แล้ววันนี้
ทั้ง Microsoft Entra ID และ Google Workspace ให้ผู้ใช้ล็อกอินด้วย Passkey ได้แล้ว จะเก็บไว้ใน Security Key หรือเก็บในมือถือแล้วปลดล็อกด้วยลายนิ้วมือหรือใบหน้าก็ได้ สำหรับพนักงาน Passkey ง่ายกว่ารหัสผ่านบวกรหัส OTP เสียอีก แตะครั้งเดียว ไม่ต้องพิมพ์อะไร ตอนนี้เราเริ่มให้แอดมินและฝ่ายการเงินใช้ Passkey หรือ Security Key ก่อน แล้วค่อยย้ายพนักงานคนอื่นตามที่มือถือและแอปรองรับ ส่วนแอป Authenticator เก็บไว้เป็นทางสำรองสำหรับมือถือรุ่นเก่า
ตัวอย่างจริง: บริษัท 60 คนในสี่สัปดาห์
สมมติมีแอดมินไอทีและการเงิน 5 คน พนักงานสำนักงาน 40 คน และคนที่ไซต์ห่างไกลที่สัญญาณไม่แน่นอนอีก 15 คน
| สัปดาห์ | ทำอะไร | รายละเอียด |
|---|---|---|
| 1 | แอดมินและบัญชี Break-glass | Security Key 10 ตัว (คนละสองตัว) แยกบัญชีแอดมิน และบัญชี Break-glass สองบัญชีที่มีแจ้งเตือนทุกครั้งที่ล็อกอิน |
| 2 | นั่งตั้งค่าพร้อมกันเป็นกลุ่ม | สี่รอบ รอบละประมาณ 15 คน รอบละ 30 นาที แบ่งตามแผนก พนักงานสำนักงานใช้แอป Authenticator แบบ Number Matching |
| 3 | ไซต์ห่างไกล | ตั้งแอป Authenticator (TOTP) ให้ตัวต่อตัวตอนลงไซต์รอบถัดไป เพราะใช้ได้แม้ไม่มีสัญญาณ ให้ Security Key กับสองคนที่ไม่มีสมาร์ตโฟน |
| 4 | บังคับใช้และเก็บงาน | บังคับ MFA ทุกคน บล็อก Legacy Authentication แปลง Shared Mailbox ไม่ให้ใครล็อกอินเข้าโดยตรง และดูรายงานหาคนที่ยังตกค้าง |
เผื่อใจไว้ว่าสัปดาห์ที่สองจะมีสายเข้า Helpdesk มากหน่อย หลังสัปดาห์ที่สี่ สายจะเหลือแค่เรื่องมือถือหายกับพนักงานใหม่ และตรงนั้นแหละที่ขั้นตอนกู้คืนบัญชีที่เขียนไว้จะคุ้มค่า
ข้อผิดพลาดที่ยังเห็นอยู่
- ยกเว้น MFA ให้ผู้บริหาร "เพราะไม่สะดวก" ทั้งที่ผู้บริหารเป็นเป้าหมายอันดับหนึ่งของ BEC
- บัญชี admin@ หรือ info@ ที่หลายคนใช้ร่วมกันและไม่มี MFA
- บังคับเปลี่ยนรหัสทุกเดือนจนมีรหัสแปะไว้ที่จอ
- รีเซ็ต MFA ผ่าน WhatsApp โดยไม่โทรกลับเบอร์ที่บันทึกไว้
ลองดูว่าบัญชีไหนยังไม่มี MFA
Microsoft 365 และ Google Workspace มีรายงานที่แสดงว่าผู้ใช้คนไหนลงทะเบียน MFA แล้วและใช้วิธีอะไร ถ้าให้เราเข้าดูแบบอ่านอย่างเดียว เราจะส่งรายชื่อบัญชีที่ยังไม่มี MFA บัญชี Admin ที่ยังใช้ SMS และ Legacy Authentication ที่ยังเปิดอยู่
- #password
- #mfa
- #fido2
- #passkey
- #identity
- #policy
