ตั้ง Password ให้ดี ต้องตั้งแบบไหน

สมัยผมเรียนที่มหาวิทยาลัยมีวิชาหนึ่งที่ทำผมเรียนแล้วรู้สึกสนุกมาก นั่นก็คือวิชา Information Security ซึ่งเนื้อหาวิชานี้ผมยังจดจำมาถึงทุกวันนี้ และวิชานี้ผมยังใช้เป็นแนวทางในการตั้ง Password ในการใช้บริการต่างๆ บนอินเตอร์เน็ตของผมในปัจจุบัน วันนี้ผมเลยอยากเขียนบทความนี้เป็นบทความแรกเพื่อให้ทุกคนตระหนักว่าสิ่งแรกที่เราต้องให้ความสำคัญเมื่อเราเข้ามาในโลก Digital คือการให้ความสำคัญในการปกป้องข้อมูลของคุณเอง

ภาพจาก pixabay

หลักการตั้ง Password ที่ดีคือ

1. Password ที่ตั้ง ต้องไม่มีอะไรเกี่ยวกับคุณเลย และ คาดเดาได้ยาก
   ใช่แล้วครับ มันต้องไม่เป็นเบอร์โทรตัวเอง เบอร์โทรแฟน ทะเบียนรถ วันเกิด เลขที่บ้าน ชื่อซอยเข้าบ้าน ชื่อสัตว์เลี้ยง อะไรที่พอคนอื่นเห็นแล้วนึกกลับไปหาคุณได้นั้น ห้ามนำมาตั้ง Password ครับ และจะต้องไม่เป็นคำธรรมดาทั่วๆ ไปด้วย เช่น 123456, pokemon เป็นต้น
2. Password ที่ตั้ง คุณต้องจำได้
   ใช่ครับอันนี้ชัดเจน คุณต้องจำ Password นั้นได้ ไม่อย่างนั้นมันจะมีประโยชน์อะไร Password ที่เราตั้งจะคาดเดาได้ยากแต่ถ้าแม้แต่คนตั้งเองยังจำไม่ได้ แล้วมันจะมีประโยชน์อะไร สุดท้ายก็ต้องมากดปุ่ม "ลืม Password" เพื่อขอตั้ง Password ใหม่กันทั้งนั้น คนส่วนใหญ่แก้ปัญหานี้ด้วยการจดลงบันทึก ไม่ว่าจะเป็นบนกระดาษหรือเอาในไฟล์ ซึ่งวิธีนี้ก็ขัดกับหลักการเก็บรักษา Password ที่ดีครับ

มีแค่สองข้อนี้เท่านั้นครับในการตั้งและเก็บรักษา Password ที่ดี ทีนี้เรามาเข้าสู่การใช้งานจริงๆ บ้าง

ภาพจาก pixabay

สมัยก่อนเว็บไซต์ต่างๆ ไม่มีข้อกำหนดในการตั้ง Password มากมายนัก ผมเองตอนเล่น Internet ครั้งแรก ได้ใช้ Free Email ของ Yahoo ซึ่งตอนนั้นเว็บไซต์ Yahoo ให้ผมตั้ง Password ได้เพียงการใช้ตัวอักษรเพียง 3 ตัวเท่านั้น แต่มาสมัยนี้เงื่อนไขขั้นต่ำของการตั้ง Password นั้นซับซ้อนขึ้น ที่ส่วนใหญ่มักเป็นแบบนี้ครับ

• มีตัวอักษรอย่างน้อย 8 ตัวอักษร
• มีตัวอักษรทั้งพิมพ์และและพิมพ์เล็ก
• มีตัวเลข

อันนี้แค่เบาะๆ ถ้าเป็นเว็บไซต์ที่ซีเรียสกับเรื่องนี้มากขึ้นไปอีก จะมีเงื่อนไขอันยุ่งยากต่อไปนี้เข้ามาอีก

• มีอักขระพิเศษเป็นส่วนประกอบด้วย

ถามว่าการตั้ง Password ตามข้อกำหนดด้านบน ทำให้เราถูกแฮกได้ยากขึ้นหรือไม่ คำตอบก็คือใช่ เพราะการโจมตีเพื่อเดา Password วิธีหนึ่งที่ใช้กันก็คือวิธี Bruteforce ซึ่งวิธีนี้เป็นการเดา Password ไปทุกความเป็นไปได้ เช่น สมมุติว่า เว็บไซต์หนึ่งบังคับให้คุณตั้ง Password เป็นตัวเลข 4 ตัวเท่านั้น การโจมตีด้วยวิธี Bruteforce คือการที่ผู้โจมตีพยายามเข้าใช้ระบบด้วยสิทธิของคุณโดยเดา Password ตั้งแต่ 0000,0001,0002 ไล่ไปจนถึง 9999 ด้วยเหตุที่มันพยายามโจมตีโดยใช้วิธีนี้ ยิ่ง Password ของคุณมีความเป็นไปได้ของอักษรแต่ละตัวเยอะ ยิ่งจะทำให้มันใช้เวลาโจมตีนานไปด้วย การตั้ง Password ตามข้อจำกัดด้านบนจึงเป็นการป้องกันการโจมตีด้วยวิธีนี้ครับ

ภาพจาก pixabay

ด้วยข้อกำหนดที่ผมเขียนไปด้านบนผมเชื่อว่าผู้อ่านทุกท่านก็สามารถนำไปประยุกต์เพื่อตั้ง Password ที่ดีได้ และผมเชื่อว่าในอนาคตอันใกล้การยืนยันตัวตนโดยใช้ Password จะมีบทบาทน้อยลง การยืนยันตัวบุคคลในอนาคตมีแนวโน้มว่าจะมีการใช้ข้อมูลชีวภาพของเราแทน เช่น ลายนิ้วมือ แทน หรือมีการใช้ผสมผสานกันครับ

*ภาพปกปรับแต่งจาก pixabay