กฎรหัสผ่านที่สำคัญจริง (และความเชื่อผิดๆ ที่เลิกกังวลได้เลย)
คำแนะนำเรื่องรหัสผ่านที่คุณทำตามมาหลายปี ส่วนใหญ่ไม่ได้ทำให้คุณปลอดภัยขึ้นเลย — นี่คือสิ่งที่ทำให้ปลอดภัยขึ้นจริง
ถ้าคุณเคยถูกบังคับให้เปลี่ยนรหัสผ่านที่ชอบอยู่แล้ว หรือถูกสั่งให้เติมสัญลักษณ์ในรหัสผ่านที่ปลอดภัยดีอยู่แล้ว คุณก็เคยเจอกับกฎที่ฟังดูเหมือนเรื่องความปลอดภัยแต่จริงๆ แล้วสร้างแต่ความยุ่งยาก คำแนะนำเรื่องรหัสผ่านที่ถูกพูดซ้ำๆ กันจำนวนมากล้าสมัยไปแล้ว และบางข้อก็ทำให้คนปลอดภัยน้อยลงด้วยซ้ำ นี่คือสิ่งที่คุ้มค่าที่จะทำจริง และสิ่งที่เลิกกังวลได้แล้ว
ความเชื่อผิดๆ: ต้องเปลี่ยนรหัสผ่านทุก 90 วัน
การบังคับเปลี่ยนรหัสผ่านตามรอบเวลาเคยเป็นมาตรฐานของหลายองค์กร และหลายเว็บไซต์ก็ยังคอยเตือนให้ทำแบบนี้อยู่ แนวคิดเบื้องหลังฟังดูสมเหตุสมผล — ถ้ารหัสผ่านรั่วไหลโดยไม่มีใครรู้ การบังคับเปลี่ยนตามรอบจะจำกัดระยะเวลาที่มันมีประโยชน์กับผู้โจมตี แต่ในทางปฏิบัติ มันกลับได้ผลตรงกันข้าม
เมื่อคนถูกบังคับให้เปลี่ยนรหัสผ่านตามเวลาที่กำหนด แทบไม่มีใครคิดรหัสผ่านใหม่ที่สุ่มจริงๆ ขึ้นมาเลย ส่วนใหญ่แค่ปรับรหัสผ่านเดิมเล็กน้อยแบบที่เดาได้ง่าย — "Summer2024!" กลายเป็น "Summer2025!" — ซึ่งเดาง่ายมากถ้ารหัสผ่านเวอร์ชันก่อนหน้าเคยรั่วไหลมาแล้ว และก็ลืมง่ายพอๆ กัน การบังคับเปลี่ยนรหัสผ่านตามรอบยังผลักดันให้คนจดรหัสผ่านไว้ในที่ที่ไม่ปลอดภัยด้วย เพราะการจำรหัสผ่านใหม่ทุกๆ สองสามเดือนไม่ใช่เรื่องที่ทำได้จริง รหัสผ่านที่ยาวและไม่ซ้ำใครจริงๆ ไม่จำเป็นต้องถูกแทนที่ตามตารางเวลา — ต้องเปลี่ยนก็ต่อเมื่อมีเหตุผลจริงที่เชื่อได้ว่ามันรั่วไหลแล้วเท่านั้น
ความเชื่อผิดๆ: ต้องมีสัญลักษณ์และตัวเลขบังคับถึงจะแข็งแกร่งขึ้นจริง
ฟอร์มสมัครสมาชิกจำนวนมากยังคงบังคับให้มีตัวพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์พิเศษอย่างละหนึ่งตัว ราวกับว่าชุดกฎนี้คือสิ่งที่รักษาความปลอดภัยบัญชีไว้ได้ แต่จริงๆ แล้วมันเป็นสัญญาณที่อ่อนกว่าที่คิด คนส่วนใหญ่ทำตามกฎเหล่านี้ในรูปแบบเดียวกันซ้ำๆ — ตัวพิมพ์ใหญ่ไว้ตัวแรก "1" หรือ "!" ไว้ตัวสุดท้าย — ซึ่งหมายความว่าโปรแกรมเดารหัสผ่านรู้อยู่แล้วคร่าวๆ ว่าจะเจอ "อักขระบังคับ" ตรงไหน
สิ่งที่ต้านทานการเจาะรหัสผ่านได้จริงคือความยาว รหัสผ่านที่ยาวกว่ามีจำนวนความเป็นไปได้มากกว่ารหัสผ่านสั้นที่ยัดสัญลักษณ์เต็มไปหมดอย่างมาก ยิ่งถ้าคำนึงถึงว่าคนมักวางสัญลักษณ์เหล่านั้นในตำแหน่งที่เดาได้ด้วย รหัสผ่านสุ่ม 16 ตัวอักษรที่ไม่มีเครื่องหมายวรรคตอนเลยสักตัว อาจเจาะยากกว่ารหัสผ่าน 8 ตัวอักษรที่ผ่านทุกกฎความซับซ้อนตามเทคนิคมาก ถ้าคุณกำลังจะเปลี่ยนรหัสผ่านที่อ่อนแออยู่ตอนนี้ วิธีที่เร็วที่สุดคือข้ามการคิดเองแล้วใช้ เครื่องมือสร้างรหัสผ่าน สร้างรหัสผ่านที่ยาวและสุ่มจริงในคลิกเดียว ไม่ต้องจำรูปแบบเอง เพราะโปรแกรมจัดการรหัสผ่านเก็บไว้ให้คุณได้
สิ่งที่ทำให้บัญชีของคุณเสี่ยงจริงๆ
กฎข้างต้นถูกพูดถึงบ่อยเพราะบังคับใช้ได้ง่ายด้วยตัวตรวจสอบฟอร์ม แต่สิ่งที่สัมพันธ์กับบัญชีที่ถูกแฮ็กจริงๆ นั้นดูไม่หวือหวาเท่า:
- รหัสผ่านที่ใช้ซ้ำ รหัสผ่านเดียวกัน (หรือเวอร์ชันที่คล้ายกันมาก) ที่ใช้ในหลายเว็บไซต์ หมายความว่าแค่เว็บใดเว็บหนึ่งรั่วไหล ทุกบัญชีที่ใช้รหัสผ่านนั้นร่วมกันก็ตกอยู่ในความเสี่ยงไปด้วย นี่คือช่องทางที่บัญชีถูกแฮ็กจริงมากที่สุดในโลกความเป็นจริง
- รหัสผ่านที่สั้นเกินไป อะไรก็ตามที่สั้นกว่า 10-12 ตัวอักษร อยู่ในระยะที่เครื่องมือเจาะรหัสผ่านสมัยใหม่เอาชนะได้เมื่อฐานข้อมูลรหัสผ่านของเว็บไซต์รั่วไหล ไม่ว่าจะยัดสัญลักษณ์ไว้กี่ตัวก็ตาม
- รูปแบบที่เดาได้ง่าย ลำดับปุ่มบนแป้นพิมพ์ วันเกิด ชื่อสัตว์เลี้ยง และสูตร "คำ + ปี" คือสิ่งแรกๆ ที่โปรแกรมเดารหัสผ่านอัตโนมัติจะลอง เพราะมันคือสิ่งแรกๆ ที่คนมักเลือกจริงๆ
วิธีแก้ทั้งสามข้อนี้เหมือนกันหมด คือสร้างรหัสผ่านที่ยาว สุ่ม และไม่ซ้ำใครสำหรับทุกบัญชี แทนการใช้ซ้ำหรือคิดเอง นี่คือนิสัย ไม่ใช่การทำความสะอาดครั้งเดียวจบ — ทุกบัญชีใหม่คือโอกาสที่จะเลือกได้ว่าจะใช้รหัสผ่านเก่าซ้ำเพราะสะดวก หรือจะเริ่มต้นให้ถูกต้องด้วยรหัสผ่านใหม่ ถ้าอยากได้รหัสผ่านที่พิมพ์จากความจำได้จริงสำหรับบัญชีที่จำเป็นต้องจำ บทความของเราเรื่องการสร้างรหัสผ่านที่จำได้จริงพูดถึงจุดสมดุลนี้ไว้ครบ
สรุปสั้นๆ
เลิกสนใจกฎที่ดูดีแต่ไม่ได้ช่วยอะไร — สัญลักษณ์บังคับหรือการรีเซ็ตตามรอบไม่ใช่สิ่งที่ปกป้องคุณจริงๆ สิ่งที่สำคัญคือความยาว ความไม่ซ้ำกันในแต่ละเว็บไซต์ และการไม่พึ่งพารูปแบบที่โปรแกรมเดารหัสผ่านเคยเห็นมาเป็นล้านครั้งแล้ว แก้สามข้อนี้ให้ดี คุณก็จัดการความเสี่ยงเรื่องรหัสผ่านที่แท้จริงไปได้เกือบทั้งหมด โดยไม่ต้องมีปฏิทินเตือนเปลี่ยนรหัสผ่านทุก 90 วันเลย
ระหว่างที่กำลังจัดการเรื่องรหัสผ่านให้เรียบร้อย ก็ควรจัดการเรื่องเล็กๆ น้อยๆ ในโลกดิจิทัลของคุณไปพร้อมกัน — ถ้ากำลังจะแชร์รหัสผ่าน WiFi หรือลิงก์บนใบปลิว เครื่องมือสร้าง QR Code ของเราแปลงมันเป็นโค้ดที่สแกนได้ในไม่กี่วินาที และถ้ากำลังติดป้ายสินค้าคงคลังหรือสินทรัพย์ เครื่องมือสร้างบาร์โค้ด ก็ทำได้เร็วพอกัน ทั้งสองอย่างทำงานในเบราว์เซอร์ทั้งหมด ฟรี ไม่ต้องสมัครสมาชิก
คำถามที่พบบ่อย
- ยังต้องเปลี่ยนรหัสผ่านเป็นประจำอยู่ไหม?
- เปลี่ยนเมื่อมีเหตุผลจริงๆ เท่านั้น — เช่น มีประกาศข้อมูลรั่วไหล รหัสผ่านที่แชร์กับพนักงานเก่าหรือเพื่อนร่วมห้องที่อาจยังจำได้ หรือเว็บไซต์แจ้งว่าบัญชีถูกเข้าถึงจากที่ที่ไม่คุ้นเคย การเปลี่ยนตามรอบเวลาโดยไม่มีเหตุผลมักทำให้รหัสผ่านอ่อนแอและเดาง่ายขึ้น ไม่ใช่แข็งแกร่งขึ้น
- สัญลักษณ์พิเศษช่วยให้รหัสผ่านแข็งแกร่งขึ้นจริงไหม?
- ความยาวสำคัญกว่าการยัดสัญลักษณ์เข้าไปมาก วลีรหัสผ่านที่ยาวและสุ่มโดยไม่มีสัญลักษณ์พิเศษเลยสักตัว อาจเจาะยากกว่ารหัสผ่านสั้นๆ ที่ยัด "@" กับ "1" ไว้ในตำแหน่งที่เดาได้ กฎบังคับสัญลักษณ์ส่วนใหญ่ทำสำเร็จแค่เรื่องเดียวคือทำให้พิมพ์รำคาญขึ้น ไม่ได้ทำให้เดายากขึ้นอย่างมีนัยสำคัญ
- ความผิดพลาดเรื่องรหัสผ่านที่ใหญ่ที่สุดที่คนมักทำคืออะไร?
- การใช้รหัสผ่านเดิมซ้ำ หรือรหัสผ่านที่คล้ายกันมากในหลายเว็บไซต์ แค่เว็บใดเว็บหนึ่งในนั้นข้อมูลรั่วไหล ก็เท่ากับเปิดทางให้ทุกบัญชีที่ใช้รหัสผ่านนั้นตกอยู่ในความเสี่ยง นี่คือความเสี่ยงในโลกจริงที่ใหญ่กว่าความยาวหรือความซับซ้อนของรหัสผ่านสำหรับคนส่วนใหญ่
- แล้วควรทำอะไรจริงๆ เพื่อรักษาความปลอดภัยของบัญชี?
- ใช้รหัสผ่านที่ไม่ซ้ำใครและยาวพอสำหรับทุกบัญชี เปิดการยืนยันตัวตนสองขั้นตอนทุกที่ที่มีให้ใช้ และใช้โปรแกรมจัดการรหัสผ่านเพื่อให้ "ไม่ซ้ำและยาว" ไม่กลายเป็น "จำไม่ได้เลย" เครื่องมือสร้างรหัสผ่านทำให้ขั้นตอนแรกง่ายมาก