เหตุผลที่คุณไม่ควรเปลี่ยนรหัสผ่านบ่อยเกินไป

ข่าวสารดิจิทัล » แหล่งข้อมูล » เหตุผลที่คุณไม่ควรเปลี่ยนรหัสผ่านบ่อยเกินไป

เป็นเวลาหลายปีที่เราได้ยินว่าสิ่งที่ควรทำคือการเปลี่ยนรหัสผ่านบ่อยๆเหมือนกับการยื่นภาษี: มันเป็นสิ่งที่จำเป็น แต่ในช่วงไม่กี่ปีที่ผ่านมา องค์กรด้านความปลอดภัยทางไซเบอร์ชั้นนำ เช่นสถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐอเมริกา (NIST)ได้แก้ไขคำแนะนำนี้อย่างสิ้นเชิงและได้ข้อสรุปที่น่าตกใจ: การบังคับให้เปลี่ยนรหัสผ่านบ่อยๆ มักจะทำให้ความปลอดภัยแย่ลงมากกว่าที่จะดีขึ้น

การเปลี่ยนแปลงแนวทางนี้ได้รับการสนับสนุนจากข้อมูลจากการรั่วไหลของข้อมูลประจำตัวครั้งใหญ่ การศึกษาพฤติกรรมผู้ใช้ และประสบการณ์จริงของบริษัทและมหาวิทยาลัย ปัจจุบัน คำแนะนำที่แพร่หลายคือการใช้รหัสผ่านที่แข็งแกร่ง ยาว และไม่ซ้ำกันเปลี่ยนรหัสผ่านเฉพาะเมื่อมีข้อสงสัยหรือหลักฐานว่ามีการถูกบุกรุก และใช้เครื่องมือต่างๆ เช่นการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA)และโปรแกรมจัดการรหัสผ่าน เพื่อหลีกเลี่ยงความยุ่งยากในการจดจำรหัสผ่านที่ซับซ้อน

เหตุใดจึงไม่ควรเปลี่ยนรหัสผ่านบ่อยๆ อีกต่อไป

NIST ซึ่งเป็นหน่วยงานกำหนดมาตรฐานทางเทคนิคสำหรับหน่วยงานรัฐบาลสหรัฐฯ และเป็นเกณฑ์มาตรฐานสำหรับบริษัทต่างๆ ทั่วโลก ได้ชี้แจงในคู่มือ SP 800-63-4 ว่าผู้ใช้ไม่ควรต้องเปลี่ยนรหัสผ่านเป็นระยะๆหากไม่มีหลักฐานการละเมิดความปลอดภัย นี่เป็นการเปลี่ยนแปลงครั้งสำคัญจากนโยบายเดิมที่ว่า "เปลี่ยนรหัสผ่านทุก 30/60/90 วัน"

ร่างแนวทางปฏิบัติฉบับสาธารณะนี้อธิบายว่า เมื่อเลือกใช้รหัสผ่านอย่างถูกต้องแล้ว (คือรหัสผ่านที่ยาว สุ่ม และไม่ซ้ำกัน) การบังคับให้เปลี่ยนรหัสผ่านทุกหนึ่งหรือสามเดือนจะลดความปลอดภัยลงเนื่องจากภาระในการจดจำรหัสผ่านใหม่จะผลักดันให้ผู้คนลดความซับซ้อนของรหัสผ่าน ใช้ซ้ำ หรือใช้รูปแบบที่คาดเดาได้ ซึ่งเป็นสิ่งที่ผู้โจมตีใช้ประโยชน์

คำแนะนำในปัจจุบันระบุว่า ผู้ให้บริการและผู้ตรวจสอบยืนยันตัวตนไม่ควรบังคับให้รหัสผ่านหมดอายุเป็นระยะๆแต่ควรบังคับให้เปลี่ยนรหัสผ่านทันทีเมื่อมีสัญญาณบ่งชี้ว่าระบบตรวจสอบยืนยันตัวตนถูกบุกรุก เช่น หลังจากการรั่วไหลของข้อมูล การเข้าถึงที่น่าสงสัย หรือการพบรหัสผ่านในฐานข้อมูลที่รั่วไหล

นอกจากนี้ NIST ยังตั้งคำถามถึงข้อกำหนดแบบดั้งเดิมอื่นๆ เช่นกฎการเรียบเรียงที่เข้มงวด (บังคับให้ใช้ตัวอักษรพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์ผสมกัน) หรือคำถามรักษาความปลอดภัยที่น่าอับอายอย่าง "ชื่อสัตว์เลี้ยงตัวแรกของคุณ" หลักฐานแสดงให้เห็นว่ากฎเหล่านี้ทำให้ผู้ใช้มีพฤติกรรมที่คาดเดาได้ง่าย สร้างรหัสผ่านเช่นPassword2023, Password2024 หรือ Password1!ซึ่งเป็นช่องโหว่ที่เอื้อประโยชน์ต่อผู้โจมตี

การวิเคราะห์ฐานข้อมูลขนาดใหญ่ของรหัสผ่านที่ถูกขโมยเผยให้เห็นว่าประโยชน์ที่แท้จริงของกฎเกณฑ์แบบดั้งเดิมเหล่านี้มีน้อยกว่าที่เคยคิดไว้ในขณะที่ผลกระทบเชิงลบต่อการใช้งานและการจดจำนั้นมหาศาล กล่าวโดยสรุปคือ ผู้คนมักมองหาทางลัดที่ง่าย และทางลัดเหล่านั้นมักจะตรงกันเสมอ

ปัจจุบันรหัสผ่านของคุณถูกแฮ็กได้อย่างไรบ้าง

ไม่ว่าคุณจะเปลี่ยนรหัสผ่านทุกสามเดือนหรือไม่ก็ตาม บัญชีของคุณก็ยังมีความเสี่ยงอยู่ดี เนื่องจากวิธีการที่อาชญากรไซเบอร์ใช้ในการเข้าถึงข้อมูลการโจรกรรมมักไม่ได้เกิดขึ้นจากการเดารหัสผ่านของคุณได้อย่างน่าอัศจรรย์ แต่เกิดขึ้นจากวิธีการเฉพาะเจาะจงและเป็นที่รู้จักกันดีหลายวิธี

หนึ่งในวิธีการที่พบได้บ่อยที่สุดคือการรั่วไหลของข้อมูลจำนวนมหาศาลจากบริการออนไลน์ เครือข่ายสังคมออนไลน์ ฟอรัม แพลตฟอร์มเกม เว็บไซต์อีคอมเมิร์ซ และผู้ให้บริการคลาวด์ ต่างประสบปัญหาการละเมิดความปลอดภัยที่ทำให้ข้อมูลชื่อผู้ใช้และรหัสผ่านนับล้านชุดรั่วไหลออกมา บางครั้งอาจไม่ได้เข้ารหัสหรือใช้โปรแกรมเข้ารหัสที่บกพร่อง ข้อมูลเหล่านี้จะถูกนำไปขายต่อในฟอรัมของแฮกเกอร์และในดาร์กเว็บ

อีกเหตุผลคลาสสิกคือรหัสผ่านของคุณอ่อนแอหรือใช้กันทั่วไปมากเกินไปรายชื่อรหัสผ่านที่ใช้กันมากที่สุดในประเทศต่างๆ เช่น สเปน แสดงให้เห็นรหัสผ่านที่แย่มาก เช่น "admin", "123456", "000000", "password" หรือชื่อและเมืองที่เห็นได้ชัดเจน เช่น "carl0s" หรือ "barcelona" รหัสผ่านประเภทนี้สามารถถูกถอดรหัสได้ภายในเวลาไม่ถึงวินาทีด้วยเครื่องมือโจมตีแบบ Brute-force อัตโนมัติ

นอกจากนี้ยังมี การโจมตีแบบฟิชชิงและวิศวกรรมสังคมซึ่งผู้โจมตีจะหลอกให้คุณป้อนรหัสผ่านในเว็บไซต์ปลอมที่เลียนแบบเว็บไซต์ธนาคาร อีเมล หรือโซเชียลมีเดียของคุณ บางครั้งอาจมีการใช้มัลแวร์ดักจับการกดแป้นพิมพ์ร่วมด้วย เพื่อบันทึกการกดแป้นพิมพ์เพื่อเก็บข้อมูลประจำตัวที่คุณป้อน

สุดท้ายนี้ เราต้องไม่ลืมเรื่องช่องโหว่ของซอฟต์แวร์และฮาร์ดแวร์ระบบที่ล้าสมัย เราเตอร์ที่มีเฟิร์มแวร์เก่า แอปพลิเคชันที่มีข้อบกพร่องด้านความปลอดภัย ทั้งหมดนี้สามารถทำให้บุคคลที่สามเข้าถึงรหัสผ่านที่บันทึกไว้ของคุณ หรือแม้กระทั่งเปลี่ยนรหัสผ่านและปิดกั้นการเข้าถึงที่ถูกต้องของคุณได้ ดังนั้นผู้เชี่ยวชาญจึงเน้นย้ำถึงความสำคัญของการอัปเดตระบบและอุปกรณ์ให้ทันสมัยอยู่เสมอ

เหตุใดการเปลี่ยนมัน "เผื่อไว้ก่อน" อาจเป็นความคิดที่ไม่ดี

ในบริบทนี้ ผู้ใช้หลายคนเข้าใจผิดว่าการเปลี่ยนรหัสผ่านบ่อยๆ เป็นมาตรการรักษาความปลอดภัยที่ใช้ได้ผลดีโดยทั่วไป อย่างไรก็ตาม ทั้ง NIST และงานวิจัยจากมหาวิทยาลัยต่างๆ เช่น Carnegie Mellon ต่างเห็นพ้องต้องกันว่าการเปลี่ยนรหัสผ่านบ่อยเกินไปและไม่มีเหตุผล จะเพิ่มความเสี่ยงต่อการถูกโจมตีจากผู้ไม่ประสงค์ดี

เมื่อระบบบังคับให้คุณเปลี่ยนรหัสผ่านอย่างต่อเนื่อง คนส่วนใหญ่มักจะเลิกคิดมากและใช้วิธีการเปลี่ยนแปลงเล็กๆ น้อยๆ ที่ไม่สำคัญเช่น การเพิ่มหรือลดตัวเลขที่ท้ายรหัสผ่าน การเปลี่ยนปี หรือการสลับสัญลักษณ์ที่เห็นได้ชัด... ซึ่งเป็นรูปแบบที่แฮกเกอร์มีอยู่ในพจนานุกรมของพวกเขาอยู่แล้ว

นอกจากนี้ ความไม่สะดวกจากความเปลี่ยนแปลงเหล่านี้ยังผลักดันให้ผู้คนใช้รหัสผ่านที่สั้นและง่ายขึ้นเรื่อยๆหรือแม้กระทั่งใช้รหัสผ่านเดียวกันในบริการต่างๆ โดยมีการเปลี่ยนแปลงเล็กน้อย หากผู้โจมตีเจาะระบบบัญชีใดบัญชีหนึ่งได้ พวกเขาก็จะมีเบาะแสที่ชัดเจนมากสำหรับบัญชีอื่นๆ ซึ่งจะเพิ่มความเสียหายที่อาจเกิดขึ้นเป็นทวีคูณ

ผู้เชี่ยวชาญหลายคนชี้ให้เห็นว่า หากบริษัทต่างๆ นำเวลาและเงินที่ใช้ไปกับการบังคับให้เปลี่ยนรหัสผ่านทุกไตรมาส ไปใช้ในการฝึกอบรมผู้ใช้เกี่ยวกับวิธีการสร้างรหัสผ่านที่แข็งแกร่งและไม่ซ้ำใคร รวมถึงการใช้งานโปรแกรมจัดการรหัสผ่านและการยืนยันตัวตนสองขั้นตอน การปรับปรุงด้านความปลอดภัยที่แท้จริงจะมากกว่านี้มาก

แม้แต่บริษัทรักษาความปลอดภัยก็ยอมรับว่าหากไม่มีหลักฐานการรั่วไหลของข้อมูลการเปลี่ยนรหัสผ่านเป็นประจำไม่ได้ทำให้รหัสผ่านปลอดภัยขึ้นแต่อย่างใด ในความเป็นจริงแล้ว มันอาจสร้างความรู้สึกปลอดภัยที่ผิดพลาด ในขณะที่จุดอ่อนที่ร้ายแรงกว่ายังคงอยู่ เช่น การใช้รหัสผ่านเดียวกันในหลายเว็บไซต์ หรือการไม่เปิดใช้งาน MFA (การตรวจสอบสิทธิ์แบบหลายปัจจัย)

คุณควรเปลี่ยนรหัสผ่านโดยไม่ลังเลเมื่อไร?

แม้ว่าการเปลี่ยนรหัสผ่านโดยอัตโนมัติจะไม่ใช่แนวทางปฏิบัติที่ดีอีกต่อไปแล้ว แต่ก็ไม่ได้หมายความว่าคุณควรใช้รหัสผ่านเดิมตลอดไป มีหลายสถานการณ์ที่การเปลี่ยนรหัสผ่านทันทีเป็นสิ่งจำเป็นเพื่อลดความเสี่ยง

หากบริษัทที่คุณมีบัญชีอยู่ประกาศว่าข้อมูลรั่วไหลสิ่งที่ควรทำคืออัปเดตรหัสผ่านสำหรับบริการนั้นโดยเร็วที่สุด รวมถึงรหัสผ่านสำหรับบัญชีอื่นๆ ที่คุณอาจใช้ซ้ำ (หากคุณเคยใช้) บางครั้งการรั่วไหลเหล่านี้ใช้เวลาหลายสัปดาห์กว่าจะถูกรายงาน ดังนั้น เครื่องมือหรือบริการ ตรวจสอบข้อมูลใน Dark Webเช่น "Have I Been Pwned" สามารถช่วยให้คุณตรวจจับได้เร็วขึ้นว่าที่อยู่อีเมลของคุณปรากฏอยู่ในรายชื่อที่รั่วไหลหรือไม่

สัญญาณเตือนที่ชัดเจนอีกอย่างคือการพยายามเข้าสู่ระบบหรือเปลี่ยนรหัสผ่านโดยไม่ได้รับอนุญาตหากคุณได้รับอีเมลที่ถูกต้องถามว่า "คุณได้ขอรีเซ็ตรหัสผ่านหรือไม่" หรือการแจ้งเตือนการเข้าสู่ระบบจากสถานที่หรืออุปกรณ์ที่ไม่คุ้นเคย คุณควรเปลี่ยนรหัสผ่านของคุณทันทีโดยการเข้าสู่ระบบบริการด้วยตนเอง (โดยไม่ต้องคลิกที่ลิงก์ที่น่าสงสัย) และเปิดใช้งาน MFA หากคุณยังไม่ได้ทำ

หากคุณสงสัยว่าอุปกรณ์ของคุณติดมัลแวร์คุณควรเปลี่ยนรหัสผ่านด้วย แต่ควรทำหลังจากทำความสะอาดอุปกรณ์แล้วเท่านั้น การเปลี่ยนรหัสผ่านจะไม่มีประโยชน์หากผู้โจมตียังคงเห็นทุกสิ่งที่คุณพิมพ์ เมื่อระบบได้รับการกำจัดมัลแวร์แล้ว คุณต้องอัปเดตข้อมูลประจำตัวสำหรับบริการที่สำคัญ (อีเมล ธนาคาร โซเชียลมีเดีย พื้นที่จัดเก็บข้อมูลบนคลาวด์ ฯลฯ)

หากพบว่าบัญชีใดบัญชีหนึ่งของคุณถูกแฮ็ก อย่างชัดเจน (เช่น มีข้อความที่คุณไม่ได้ส่ง การซื้อสินค้าที่คุณไม่ได้ทำ การเปลี่ยนแปลงโปรไฟล์ที่ผิดปกติ) บัญชีทั้งหมดที่ใช้รหัสผ่านเดียวกันหรือคล้ายคลึงกันควรถูกพิจารณาว่าถูกบุกรุก และควรเปลี่ยนรหัสผ่านทันที

ในสภาพแวดล้อมขององค์กร สำหรับบัญชีผู้ดูแลระบบหรือระบบที่มีความสำคัญเป็นพิเศษ หลายองค์กรยังคงเลือกที่จะหมุนเวียนข้อมูลประจำตัวที่มีสิทธิ์พิเศษเป็นระยะ แต่พวกเขาทำเช่นนั้นด้วยวิธีอัตโนมัติและโดยการสร้างรหัสผ่านแบบสุ่มที่แข็งแกร่ง เพื่อหลีกเลี่ยงข้อผิดพลาดของมนุษย์ที่เกี่ยวข้องกับการเปลี่ยนแปลงด้วยตนเอง

รหัสผ่านที่ปลอดภัยในปัจจุบันคืออะไร (และรหัสผ่านที่ไม่ปลอดภัยคืออะไร)

รหัสผ่านเป็นเพียงชุดตัวอักษรที่ช่วยให้คุณเข้าถึงข้อมูลส่วนตัวหรือทรัพยากรที่มีค่า เช่น อีเมล โซเชียลมีเดีย การทำธุรกรรมออนไลน์ แผงควบคุมเว็บไซต์ VPN ของบริษัท อุปกรณ์มือถือ ฯลฯ ความจริงที่ว่ามันเป็นเพียงด่านเดียวระหว่างชีวิตดิจิทัลของคุณกับผู้โจมตี ควรเป็นเหตุผลเพียงพอที่จะให้ความสำคัญกับมัน

ผู้เชี่ยวชาญต่างเห็นพ้องกันมานานแล้วว่า รหัสผ่านที่ดีควรยาว ซับซ้อน และไม่ซ้ำใครตามธรรมเนียมแล้ว หมายความว่าต้องมีอย่างน้อยแปดตัวอักษร ผสมผสานตัวอักษรพิมพ์ใหญ่และพิมพ์เล็ก ตัวเลข และสัญลักษณ์ และควรหลีกเลี่ยงคำศัพท์ในพจนานุกรมหรือข้อมูลส่วนบุคคล (เช่น วันที่ ชื่อ หมายเลขทะเบียนรถ เป็นต้น)

แนวทางล่าสุดของ NIST ให้ความสำคัญกับความยาวมากยิ่งขึ้น โดยแนะนำให้มีอย่างน้อย 8 ตัวอักษรแต่เห็นว่าควรเพิ่มเป็น15 ตัวอักษรขึ้นไปโดยอนุญาตให้มีความยาวสูงสุดได้ถึง 64 ตัวอักษร ยิ่งวลียาวเท่าไหร่ ก็ยิ่งยากต่อการถอดรหัสด้วยการโจมตีอัตโนมัติมากขึ้นเท่านั้น ตราบใดที่วลีนั้นไม่ใช่คำที่คาดเดาได้

กลยุทธ์ที่ดีสำหรับมนุษย์คือการใช้รหัสผ่านแบบวลี : ลำดับของคำสุ่มที่ผสมกับสัญลักษณ์และตัวอักษรพิมพ์ใหญ่ ซึ่งจำได้ง่ายสำหรับคุณ แต่ยากมากสำหรับคอมพิวเตอร์ที่จะถอดรหัส ตัวอย่างเช่น "Mars-Whale-Near4-Melted" หรือ "Minute.Truck.Where2.Attempt" มีเอนโทรปีสูงมากโดยไม่ต้องอาศัยรูปแบบทั่วไป

สิ่งที่คุณควรหลีกเลี่ยงคือรหัสผ่านที่ปรากฏซ้ำแล้วซ้ำเล่าในหมวดหมู่รหัสผ่านที่ใช้กันมากที่สุด ได้แก่"123456", "password", "qwerty", "111111", "admin" , การผสมตัวอักษรที่เห็นได้ชัด, คำเดี่ยวๆ, ลำดับตัวเลข หรือตัวอักษรที่อิงจากข้อมูลที่ใครๆ ก็สามารถดึงออกมาจากโซเชียลเน็ตเวิร์กของคุณได้ (ชื่อคู่รัก ทีมฟุตบอล วันเกิด...)

สิ่งที่สำคัญไม่แพ้กันคือแต่ละบริการควรใช้รหัสผ่านที่แตกต่างกันการใช้รหัสผ่านเดียวกันสำหรับอีเมล โซเชียลมีเดีย การทำธุรกรรมทางการเงิน และการช้อปปิ้งออนไลน์ ก็เหมือนกับการใช้กุญแจดอกเดียวกันสำหรับบ้าน รถ และตู้เซฟ แล้วยังทิ้งกุญแจสำเนาไว้ที่หน้าประตูบ้านอีก หากเว็บไซต์ใดเว็บไซต์หนึ่งถูกเจาะระบบ ผู้โจมตีก็สามารถลองใช้รหัสผ่านชุดนั้นกับบริการยอดนิยมอื่นๆ ได้ทั้งหมด

การตรวจสอบสิทธิ์แบบหลายปัจจัย โปรแกรมจัดการรหัสผ่าน และรหัสผ่าน

อีกแง่มุมสำคัญของการเปลี่ยนแปลงกระบวนทัศน์นี้คือการเลิกใช้รหัสผ่านเพียงอย่างเดียว ไม่ว่ารหัสผ่านนั้นจะแข็งแกร่งแค่ไหนก็ตาม ในปัจจุบันการใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) ควบคู่ไปกับรหัสผ่านถือ เป็นสิ่งจำเป็น ทุกครั้งที่บริการนั้นอนุญาต

MFA เพิ่มการยืนยันตัวตนแบบที่สอง ซึ่งอาจเป็นสิ่งที่คุณรู้ (รหัสผ่านของคุณ) สิ่งที่คุณมี (โทรศัพท์มือถือ โทเค็นจริง แอปโค้ด) หรือสิ่งที่คุณเป็น (ลายนิ้วมือ ใบหน้า ม่านตา) ด้วยวิธีนี้ แม้ว่าจะมีคนขโมยรหัสผ่านของคุณไป ก็จะยากขึ้นมากที่พวกเขาจะเข้าถึงได้หากไม่มีปัจจัยยืนยันตัวตนที่สองนี้

การเปิดใช้งาน MFA สำหรับอีเมล โซเชียลมีเดีย การทำธุรกรรมธนาคารออนไลน์ บริการคลาวด์ หรือการเข้าถึงงานระยะไกล จะช่วยป้องกันการโจมตีอัตโนมัติหลายรูปแบบที่อาศัยรหัสผ่านที่ถูกขโมยหรือรหัสผ่านที่อ่อนแอ แม้ว่ารหัสผ่านของคุณจะปรากฏในการรั่วไหลของข้อมูล ผู้โจมตีก็จะพบกับอุปสรรคเพิ่มเติมที่ยากต่อการเอาชนะ

เพื่อแก้ปัญหาการจำรหัสผ่านยาวๆ ที่ไม่ซ้ำกันหลายสิบชุด ผู้เชี่ยวชาญแนะนำให้ใช้โปรแกรมจัดการรหัสผ่านเครื่องมือเหล่านี้จะสร้างรหัสผ่านแบบสุ่มที่มีความซับซ้อนสูง จัดเก็บไว้ในที่เก็บข้อมูลที่ปลอดภัยโดยเข้ารหัส และกรอกรหัสผ่านให้คุณโดยอัตโนมัติเมื่อคุณเข้าสู่ระบบ สิ่งที่คุณต้องทำคือปกป้องรหัสผ่านหลักที่แข็งแกร่งเพียงรหัสเดียว และหากเป็นไปได้ ให้เปิดใช้งาน MFA (การตรวจสอบสิทธิ์แบบหลายปัจจัย)

โปรแกรมจัดการรหัสผ่านที่ดีจะช่วยป้องกันพฤติกรรมเสี่ยง เช่น การจดรหัสผ่านลงบนกระดาษ ในสเปรดชีตที่ไม่ได้เข้ารหัส หรือในบันทึกบนโทรศัพท์ หรือเพียงแค่ปล่อยให้เบราว์เซอร์บันทึกรหัสผ่าน นอกจากนี้ยังช่วยกระตุ้นให้คุณใช้รหัสผ่านที่ยาวกว่าที่คุณจะจำได้เอง ซึ่งจะช่วยเพิ่มความต้านทานต่อการโจมตีได้อีกด้วย

ในขณะเดียวกันรหัสผ่านหรือคีย์การเข้าถึงกำลังได้รับความนิยมมากขึ้นเรื่อยๆ ทางเลือกสมัยใหม่เหล่านี้แทนรหัสผ่านแบบดั้งเดิมนั้นใช้การเข้ารหัสแบบกุญแจสาธารณะ รหัสผ่านจะถูกจัดเก็บไว้ในอุปกรณ์หรือตัวจัดการที่เข้ากันได้ และช่วยให้ผู้ใช้สามารถเข้าสู่ระบบโดยใช้ลายนิ้วมือ การจดจำใบหน้า หรือรหัส PIN ในเครื่อง โดยไม่ต้องส่งรหัสผ่านที่ใช้ซ้ำได้ไปยังเซิร์ฟเวอร์

บริษัทยักษ์ใหญ่อย่าง Google, Apple, Microsoft, Amazon, PayPal และ GitHub ต่างก็รองรับรหัสผ่านแล้ว และเว็บไซต์และแอปพลิเคชันกว่าร้อยแห่งกำลังเข้าร่วมใช้งาน แม้ว่ารหัสผ่านจะไม่หายไปในชั่วข้ามคืน แต่ในอนาคตชี้ให้เห็นถึงระบบที่ไม่ต้องใช้รหัสผ่านซึ่งจะช่วยลดปัญหาการโจรกรรมและการนำไปใช้ซ้ำในปัจจุบันได้มาก

แนวทางการรักษาความปลอดภัยรหัสผ่านที่ดีสำหรับชีวิตประจำวัน

นอกเหนือจากการถกเถียงเรื่องวันหมดอายุแล้ว เป้าหมายของคุณควรเป็นการลดความเสี่ยงที่รหัสผ่านของคุณอาจถูกโจมตีได้ ซึ่งเกี่ยวข้องกับการนำแนวทางปฏิบัติที่ดีที่สุดง่ายๆ หลายอย่างมาใช้ร่วมกัน ซึ่งสามารถนำไปใช้ได้ง่ายหากทำอย่างรอบคอบ

ประการแรก จงตั้งใจว่าจะไม่ใช้รหัสผ่านเดียวกันสำหรับหลายบัญชีโดยเฉพาะอย่างยิ่งสำหรับบริการที่สำคัญ เช่น อีเมล บัญชีธนาคาร ร้านค้าออนไลน์ที่มีบัตรเครดิตบันทึกไว้ และบัญชีที่ทำงาน หากคุณกำลังใช้รหัสผ่านเดียวกันอยู่แล้ว ให้เปลี่ยนรหัสผ่านเหล่านั้นและแยกเก็บไว้ต่างหากโดยใช้โปรแกรมจัดการรหัสผ่าน

เมื่อทำการอัปเดตรหัสผ่าน โปรดหลีกเลี่ยงการ "โกง" โดยการแก้ไขเพียงตัวอักษรเดียว (เช่น การเพิ่มตัวเลขต่อท้าย การแทนที่ตัวอักษรด้วยสัญลักษณ์ที่คล้ายกัน เป็นต้น) อาชญากรไซเบอร์ทราบดีถึงรูปแบบเหล่านี้ และเครื่องมือโจมตีต่างๆ ก็ได้รวมรูปแบบเหล่านี้ไว้เป็นค่าเริ่มต้นแล้ว

ลองใช้รหัสผ่านที่ยาวสำหรับบัญชีที่คุณต้องการจำ (เช่น รหัสผ่านหลักสำหรับผู้จัดการบัญชีของคุณ) นำคำที่ดูเหมือนไม่เกี่ยวข้องกันหลายๆ คำมารวมกัน ใส่ตัวอักษรพิมพ์ใหญ่ในตำแหน่งที่ไม่เด่นชัด และเพิ่มตัวเลขหรือสัญลักษณ์คั่นกลางเพื่อเพิ่มความซับซ้อน

เมื่อคุณไม่จำเป็นต้องจำรหัสผ่านเพราะคุณใช้โปรแกรมจัดการรหัสผ่าน ให้ใช้ประโยชน์จากเครื่องมือสร้างรหัสผ่านและวลีรหัสผ่านของโปรแกรมนั้น เครื่องมือเหล่านี้จะสร้างสตริงแบบสุ่มโดยอัตโนมัติ เช่น "3>ZfrT61(9#X;?Kdk4FQ" หรือวลีที่ซับซ้อน และจัดเก็บไว้ในตู้นิรภัยของคุณ สิ่งสำคัญในที่นี้ไม่ใช่การท่องจำได้ แต่เป็นการทำให้แน่ใจว่าไม่มีใครสามารถเดาได้

ในทางปฏิบัติ ควรหลีกเลี่ยงการเก็บรักษารหัสผ่านในรูปแบบข้อความธรรมดาบนคอมพิวเตอร์หรืออุปกรณ์มือถือของคุณอย่างเด็ดขาด ไม่ว่าจะเป็นในบันทึกย่อ เอกสารกระจัดกระจาย รูปถ่ายจากกระดาษโน้ต หรืออีเมลที่คุณส่งถึงตัวเอง เพราะมัลแวร์ การขโมยอุปกรณ์ หรือการเข้าถึงทางกายภาพโดยไม่ได้รับอนุญาต จะเปลี่ยนข้อมูลเหล่านั้นให้กลายเป็นขุมทรัพย์สำหรับผู้โจมตีได้

สุดท้ายนี้ ควรสร้างนิสัยในการตรวจสอบเป็นประจำว่าบัญชีของคุณเคยปรากฏในข้อมูลรั่วไหลที่รู้จักหรือไม่ โดยใช้บริการตรวจจับการรั่วไหลหรือคุณสมบัติความปลอดภัยของโปรแกรมจัดการรหัสผ่านหรือเบราว์เซอร์ของคุณ หากคุณตรวจพบว่ารหัสผ่านถูกเปิดเผย คุณควรเปลี่ยนรหัสผ่านโดยไม่ลังเล

ในโลกที่การรั่วไหลของข้อมูลมีจำนวนนับพันล้านครั้ง และมีทางเลือกอื่น ๆ เช่น MFA และรหัสผ่านแบบใช้คีย์ส่วนตัวเกิดขึ้นมากมาย กลยุทธ์ที่ได้ผลจึงไม่ใช่การเปลี่ยนรหัสผ่านบ่อย ๆ อีกต่อไป แต่เป็นการสร้างระบบนิเวศการเข้าถึงที่แข็งแกร่งและจัดการได้ง่าย : รหัสผ่านที่ยาวและไม่ซ้ำกัน การตรวจสอบสิทธิ์แบบหลายปัจจัย เครื่องมือที่ช่วยให้การจัดการง่ายขึ้น และการใส่ใจกับสัญญาณของการถูกบุกรุกอย่างแท้จริง หากคุณปรับเปลี่ยนพฤติกรรมของคุณไปในทิศทางนี้ บัญชีของคุณจะได้รับการปกป้องที่ดีขึ้นมาก แม้ว่าคุณจะจำไม่ได้ว่าเปลี่ยนรหัสผ่านครั้งสุดท้ายเมื่อไหร่ก็ตาม