ตัวจัดการรหัสผ่านและพาสคีย์: ตั้งรหัสให้ปลอดภัย

ตัวจัดการรหัสผ่าน (Password Manager) คือแอปที่สร้าง จัดเก็บ และกรอกรหัสผ่านที่แข็งแรงและไม่ซ้ำกันให้ทุกบัญชี คุณจึงต้องจำแค่รหัสเดียว เมื่อใช้ร่วมกับพาสคีย์ (Passkey) ซึ่งให้คุณล็อกอินด้วยใบหน้า ลายนิ้วมือ หรือรหัสล็อกหน้าจอแทนรหัสผ่าน ก็จะตัดความเสี่ยงใหญ่ที่สุดในชีวิตประจำวันออกไป นั่นคือการใช้รหัสผ่านเดียวกันหลายที่

บัญชีอีเมล ธนาคาร และโซเชียลมีเดียของคุณถูกปกป้องด้วยรหัสผ่านเป็นหลัก ถ้ารหัสใดรหัสหนึ่งถูกขโมย มิจฉาชีพก็อ่านข้อความของคุณ รีเซ็ตบัญชีอื่น หรือใช้เงินของคุณได้ การแก้ไขใช้เวลาน้อยกว่าที่คิด และไม่ต้องมีความรู้ด้านเทคนิค

ทำไมการใช้รหัสผ่านซ้ำคืออันตรายตัวจริง

คนส่วนใหญ่กังวลว่าจะมีคนเดารหัสผ่านได้ แต่ปัญหาที่ใหญ่กว่าคือการใช้รหัสผ่านซ้ำ

เมื่อเว็บไซต์ใดถูกเจาะข้อมูล รายชื่ออีเมลและรหัสผ่านมักถูกปล่อยออกมาบนอินเทอร์เน็ต คนร้ายใช้เครื่องมืออัตโนมัติลองคู่อีเมลและรหัสผ่านเดียวกันนั้นกับเว็บไซต์อื่นอีกมากมาย เช่น อีเมล ธนาคาร และร้านค้าออนไลน์ วิธีนี้เรียกว่า Credential Stuffing

ถ้ารหัสผ่านของคุณรั่วจากร้านค้าออนไลน์เล็ก ๆ แห่งหนึ่ง และคุณใช้รหัสเดียวกันกับอีเมลด้วย คนร้ายก็เข้าอีเมลของคุณได้ และจากตรงนั้นก็รีเซ็ตแทบทุกอย่างที่เหลือได้

ดังนั้น ทุกบัญชีต้องมีรหัสผ่านของตัวเอง และเพราะไม่มีใครจำรหัสได้เป็นสิบ ๆ ตัว ตัวจัดการรหัสผ่านจึงมีไว้เพื่อเรื่องนี้

รหัสผ่านที่แข็งแรงในวันนี้เป็นแบบไหน

ความยาวสำคัญกว่าความซับซ้อน รหัสผ่านยาว ๆ เดายากกว่ารหัสสั้นที่เต็มไปด้วยสัญลักษณ์มาก

• ใช้อย่างน้อย 12 ถึง 16 ตัวอักษร และยาวกว่านั้นสำหรับบัญชีสำคัญ
• ลองใช้วลีรหัสผ่าน (Passphrase) คือคำสุ่มที่ไม่เกี่ยวกันสี่คำขึ้นไป เช่น river-candle-orbit-pepper ซึ่งยาว พิมพ์ง่าย และจำง่าย
• หลีกเลี่ยงข้อมูลส่วนตัว เช่น ชื่อ วันเกิด หรือเบอร์โทร
• หลีกเลี่ยงรูปแบบที่คนใช้กันเยอะ เช่น "Password1!" หรือเติมปีต่อท้ายรหัสเดิม
• อย่าใช้ซ้ำ รหัสผ่านที่แข็งแรงแต่ใช้กับสิบเว็บไซต์ ปลอดภัยเท่ากับเว็บที่อ่อนแอที่สุดในนั้นเท่านั้น

คุณจำเป็นต้องจำแค่ไม่กี่รหัส ได้แก่ รหัสปลดล็อกมือถือ รหัสผ่านอีเมลหลัก และรหัสผ่านหลักของตัวจัดการรหัสผ่าน

ตัวจัดการรหัสผ่านทำงานอย่างไร และเริ่มต้นยังไง

ตัวจัดการรหัสผ่านเก็บรหัสผ่านของคุณไว้ในคลังที่เข้ารหัส คลังนี้ล็อกด้วยรหัสผ่านหลักเพียงตัวเดียว และมักล็อกด้วยลายนิ้วมือหรือใบหน้าด้วย มันจะแนะนำรหัสผ่านสุ่มใหม่และกรอกรหัสที่บันทึกไว้ให้ แต่จะกรอกเฉพาะบนเว็บไซต์จริงที่บันทึกไว้เท่านั้น ซึ่งช่วยกันคุณจากหน้าล็อกอินปลอม

เลือกตัวจัดการรหัสผ่าน

• ตัวจัดการรหัสผ่านที่มีมาในมือถือหรือเบราว์เซอร์ iPhone, Android, Windows, macOS และเบราว์เซอร์หลัก ๆ มีมาให้ในตัว ซึ่งสร้าง บันทึก และซิงก์รหัสผ่านได้ เป็นจุดเริ่มต้นที่ง่ายที่สุด
• ตัวจัดการรหัสผ่านอิสระที่มีชื่อเสียง ใช้ได้ข้ามแพลตฟอร์มและเบราว์เซอร์ เหมาะถ้าคุณใช้อุปกรณ์หลายยี่ห้อ ติดตั้งจาก App Store, Google Play หรือเว็บไซต์ทางการของผู้พัฒนาเท่านั้น

ตั้งค่าทีละขั้นตอน

1. สร้างรหัสผ่านหลักที่แข็งแรงหนึ่งตัว เป็นวลียาวที่ไม่เคยใช้ที่ไหนมาก่อน
2. เปิดการยืนยันตัวตนสองขั้นตอนให้บัญชีที่เก็บรหัสผ่านของคุณ คู่มือการยืนยันตัวตนสองขั้นตอน อธิบายวิธีทำ
3. ตั้งค่าช่องทางกู้คืน เช่น คีย์กู้คืนหรือผู้ติดต่อสำหรับกู้คืน แล้วเก็บไว้ในที่ปลอดภัย
4. ปล่อยให้ตัวจัดการรหัสผ่านบันทึกรหัสเมื่อคุณล็อกอินในช่วงไม่กี่วันถัดไป
5. เปลี่ยนรหัสผ่านของบัญชีที่สำคัญที่สุดก่อน (อีเมล ธนาคาร ค่ายมือถือ โซเชียลมีเดีย) โดยใช้ตัวเลือก "สร้างรหัสผ่าน" ของตัวจัดการรหัสผ่าน ทำสัปดาห์ละไม่กี่บัญชีก็พอ

พาสคีย์คืออะไร อธิบายแบบง่าย ๆ

แล้วพาสคีย์คืออะไร? พาสคีย์คือวิธีล็อกอินแบบใหม่ที่มาแทนรหัสผ่านทั้งหมด คุณยืนยันตัวตนแบบเดียวกับตอนปลดล็อกมือถือหรือคอมพิวเตอร์ คือใช้ใบหน้า ลายนิ้วมือ หรือ PIN

เบื้องหลังคือ อุปกรณ์ของคุณสร้างกุญแจดิจิทัลขึ้นมาหนึ่งคู่ เว็บไซต์เก็บไว้เฉพาะส่วนสาธารณะ ส่วนกุญแจส่วนตัวถูกปกป้องอยู่ในอุปกรณ์หรือตัวจัดการรหัสผ่านของคุณ และไม่เคยถูกส่งไปที่เว็บไซต์ ซึ่งหมายความว่า

• ไม่มีอะไรให้ขโมยจากเว็บไซต์ ถ้าเว็บถูกเจาะ ก็ไม่มีรหัสผ่านรั่วออกไปให้นำไปใช้ซ้ำ
• กันฟิชชิงได้ดี พาสคีย์ใช้ได้เฉพาะบนเว็บไซต์จริงที่สร้างไว้ หน้าล็อกอินปลอมจึงหลอกให้คุณส่งมอบพาสคีย์ไม่ได้
• ซิงก์ข้ามอุปกรณ์ พาสคีย์ที่บันทึกในตัวจัดการรหัสผ่านแบบในตัวหรือแบบอิสระ จะซิงก์ไปยังอุปกรณ์อื่นที่ล็อกอินบัญชีเดียวกันไว้

ถ้าจะล็อกอินบนคอมพิวเตอร์ที่ไม่มีพาสคีย์ เว็บไซต์อาจแสดง QR Code ให้คุณสแกนด้วยมือถือแล้วกดยืนยัน โดยมือถือต้องอยู่ใกล้ ๆ คอมพิวเตอร์จริง

วิธีเปลี่ยนบัญชีมาใช้พาสคีย์

1. ล็อกอินบัญชีตามปกติ แล้วเปิดการตั้งค่าความปลอดภัยหรือการลงชื่อเข้าใช้
2. มองหาตัวเลือกอย่าง "พาสคีย์" หรือ "สร้างพาสคีย์"
3. ยืนยันด้วยใบหน้า ลายนิ้วมือ หรือรหัสล็อกหน้าจอ แล้วเลือกที่จัดเก็บ
4. ทดสอบด้วยการออกจากระบบแล้วล็อกอินใหม่ด้วยพาสคีย์
5. บางบริการยังเก็บรหัสผ่านไว้เป็นตัวสำรอง จึงต้องแน่ใจว่ารหัสนั้นยังแข็งแรงและไม่ซ้ำ

ยังไม่ใช่ทุกเว็บไซต์ที่รองรับพาสคีย์ ใช้พาสคีย์ในที่ที่มีให้ และใช้ตัวจัดการรหัสผ่านกับที่เหลือ

เช็กรหัสผ่านรั่ว

ตัวจัดการรหัสผ่านในตัวของ iPhone, Android และเบราว์เซอร์หลัก ๆ รวมถึงแบบอิสระส่วนใหญ่ มีฟีเจอร์ตรวจรหัสผ่านหรือคำแนะนำด้านความปลอดภัย ซึ่งจะเตือนเมื่อรหัสผ่านที่บันทึกไว้

• ปรากฏในเหตุข้อมูลรั่วที่รู้จัก
• ถูกใช้ซ้ำในหลายบัญชี หรือ
• อ่อนแอหรือเดาง่าย

เปิดส่วนนี้ทุกสองสามเดือน แล้วแก้ตามคำเตือน โดยเริ่มจากบัญชีที่สำคัญที่สุด

สิ่งที่ต้องทำหลังข้อมูลรั่ว

ถ้าบริการแจ้งว่าข้อมูลรั่ว หรือฟีเจอร์ตรวจรหัสผ่านเตือนคุณ ให้ทำตามลำดับนี้

1. เปลี่ยนรหัสผ่าน ของบัญชีนั้น โดยใช้รหัสใหม่จากตัวจัดการรหัสผ่าน
2. เปลี่ยนในทุกที่ที่เคยใช้รหัสเดียวกัน ตรงนี้แหละที่การใช้รหัสซ้ำสร้างความเสียหายจริง
3. เปิดการยืนยันตัวตนสองขั้นตอนหรือพาสคีย์ ให้บัญชีนั้นถ้ายังไม่ได้เปิด
4. ตรวจบัญชี ว่ามีอุปกรณ์แปลกหน้า กฎส่งต่ออีเมล หรือข้อมูลกู้คืนที่ถูกเปลี่ยนหรือไม่
5. เฝ้าดูรายการเดินบัญชี ถ้าข้อมูลการชำระเงินอาจหลุดไป และติดต่อธนาคารถ้ามีอะไรผิดปกติ
6. ระวังข้อความเป็นพิเศษ หลังข้อมูลรั่ว มิจฉาชีพมักส่งอีเมล SMS หรือ QR Code "แจ้งเตือนความปลอดภัย" ปลอม ให้เปิดแอปทางการหรือพิมพ์ที่อยู่เว็บเองแทนการกดลิงก์ และอ่านบทความ อีเมลฟิชชิ่ง QR Code ประกอบ

เช็กลิสต์ฉบับย่อ

1. บัญชีสำคัญทุกบัญชีมีรหัสผ่านไม่ซ้ำกัน
2. รหัสผ่านหลักเป็นวลียาว ไม่ใช่คำสั้นที่ซับซ้อน
3. ใช้ตัวจัดการรหัสผ่านแบบในตัวหรือแบบอิสระที่มีชื่อเสียง
4. รหัสผ่านหลักแข็งแรงและไม่ได้ใช้ที่อื่น
5. เก็บช่องทางกู้คืนของตัวจัดการรหัสผ่านไว้ในที่ปลอดภัย
6. อีเมลและตัวจัดการรหัสผ่านเปิดการยืนยันตัวตนสองขั้นตอนแล้ว
7. เปิดพาสคีย์ในบัญชีที่รองรับ
8. ตรวจรหัสผ่านทุกสองสามเดือน

FAQ

เก็บรหัสผ่านทั้งหมดไว้ในตัวจัดการรหัสผ่านตัวเดียวปลอดภัยไหม?

ปลอดภัย และสำหรับคนส่วนใหญ่ยังปลอดภัยกว่าการใช้รหัสซ้ำมาก คลังรหัสผ่านถูกเข้ารหัสและล็อกด้วยรหัสผ่านหลัก จึงต้องปกป้องรหัสหลักให้ดีและเปิดการยืนยันตัวตนสองขั้นตอน

ถ้าลืมรหัสผ่านหลักจะเป็นอย่างไร?

ขึ้นอยู่กับแต่ละโปรแกรม หลายตัวมีคีย์กู้คืนหรือผู้ติดต่อสำหรับกู้คืน ซึ่งเป็นเหตุผลที่ควรตั้งค่าตั้งแต่วันแรก

พาสคีย์ใช้แทนการยืนยันตัวตนสองขั้นตอนได้ไหม?

พาสคีย์รวมสองปัจจัยไว้ในตัวอยู่แล้ว คือสิ่งที่คุณมี (อุปกรณ์) และสิ่งที่คุณเป็นหรือรู้ (ลายนิ้วมือ ใบหน้า หรือ PIN) หลายบริการจึงถือว่าการล็อกอินด้วยพาสคีย์แข็งแรงพอในตัวเอง

ถ้ามือถือที่มีพาสคีย์หายจะทำอย่างไร?

ถ้าพาสคีย์ซิงก์ผ่านตัวจัดการรหัสผ่าน พาสคีย์จะกลับมาเมื่อคุณล็อกอินบนเครื่องใหม่ บทความ เคล็ดลับความปลอดภัยมือถือ อธิบายสิ่งที่ควรทำเพิ่มเมื่อมือถือหาย

รหัสผ่านที่ไม่ซ้ำกันและพาสคีย์ช่วยหยุดการยึดบัญชีได้เกือบทั้งหมด ตั้งค่าตัวจัดการรหัสผ่านภายในสัปดาห์นี้ โดยเริ่มจากอีเมล และเมื่อได้รับ "แจ้งเตือนความปลอดภัย" ที่มาพร้อม QR Code ให้เช็กว่าพาไปไหนจริง ๆ ด้วย เครื่องสแกน QR Code ออนไลน์ ฟรีของ QR-TH ก่อนเปิด