ปลอดภัยจนไม่ปลอดภัย

โดย ชัชวาล สังคีตตระการ ผู้ช่วยวิจัยอาวุโส ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ

ในยุคที่ระบบคอมพิวเตอร์เข้ามาเป็นส่วนหนึ่งในชีวิตเราจนแทบจินตนาการไม่ออกว่าถ้าสักวันหนึ่งสิ่งเหล่านี้หายจากโลกนี้ไป มนุษย์จะดำเนินชีวิตต่อกันได้อย่างไร มนุษยชาติจะใช้เวลาในการตั้งหลักนานแค่ไหน ที่ต้องดำเนินชีวิตต่อโดยไม่มีระบบคอมพิวเตอร์ใดๆ

ผมแค่อยากจะชี้ให้เห็นว่าทุกวันนี้ชีวิตของผู้คนส่วนใหญ่ผูกติดอยู่กับระบบคอมพิวเตอร์ไม่ระบบใดก็ระบบหนึ่ง หรืออาจจะมีมากมายจนนับไม่ถ้วน และแน่นอนว่าหลายระบบในจำนวนนั้นอาจต้องมีกระบวนการยืนยันตัวตนเพื่อเข้าถึงข้อมูลหรือกระบวนการบางอย่างที่สำคัญ

ที่ผ่านมาเราคุ้นเคยกับการยืนยันด้วยรหัสผ่าน (Password) ซึ่งอาจจะควบคู่กับชื่อบัญชีผู้ใช้ (Username) แต่ด้วยเหตุผลด้านความปลอดภัย ทำให้รหัสผ่านที่เราใช้จำเป็นต้องมีรูปแบบที่ซับซ้อนมากขึ้นเรื่อยๆ เช่น รหัสผ่านต้องประกอบไปด้วยตัวอักษรภาษาอังกฤษทั้งตัวใหญ่ตัวเล็ก ต้องมีตัวเลขอย่างน้อยหนึ่งตัว ต้องมีอักขระพิเศษหนึ่งตัว รหัสผ่านจะหมดอายุทุก 3 เดือน รหัสผ่านชุดใหม่ที่จะใช้ต้องไม่ซ้ำกับรหัสผ่านเดิม 3 ชุดก่อนหน้า ฯลฯ

นับวันจำนวนตัวอักษรหรือความยาวของรหัสจะต้องยาวขึ้นเรื่อยๆ ซับซ้อนจนหลายครั้งแทบจำไม่ได้ว่าใช้รหัสผ่านอะไร ผมเชื่อว่าหลายคนมีรหัสผ่านประจำตัวอยู่หลายชุด แล้วใช้สลับกันไป ความปวดหัวยังมีมากไปกว่านั้นคือ แต่ละระบบไม่ได้ใช้มาตรฐานเดียวกัน บางระบบบังคับให้มีตัวเลข มีอักขระพิเศษ แต่บางระบบกลับห้ามมีตัวเลข ห้ามมีอักขระพิเศษ ทำให้เราอาจต้องมีรหัสผ่านที่มีลักษณะดังกล่าวเพิ่มเข้าไปในรายการรหัสผ่านประจำตัวเพิ่มอีก 2-3 ชุด

สำหรับใครที่มีการใช้งานระบบที่ต้องใช้รหัสผ่านมากมาย คงมีเทคนิควิธีการส่วนตัวในการจัดการกับเรื่องนี้เหล่านี้ เพราะหากมีรหัสผ่านเพียง 1-2 ชุด และมีรูปแบบที่ไม่ซับซ้อนพอ แต่สามารถไขเข้าแทบทุกระบบได้ คงไม่ใช่เรื่องดีและปลอดภัยนัก นอกจากนั้นก็สร้างความย้อนแย้งไปในตัว กล่าวคือเราพยายามสร้างระบบและรหัสผ่านที่ยากจะคาดเดาเพื่อให้ปลอดภัยจากการถูกเจาะจากบรรดาแฮ็กเกอร์ทั้งหลาย ในขณะเดียวกันก็จำกันไม่ได้เสียเอง ทำให้หลายคนเลือกที่ใช้ระบบหรืออุปกรณ์ต่างๆ ช่วยจดจำรหัสผ่านเหล่านั้น หากแฮ็กเกอร์สามารถเจาะตรงนั้นได้ก็คงเหมือนกรุสมบัติแตกเลยทีเดียว

เรื่องความปลอดภัยที่ยุ่งยากเกินไป จนสุดท้ายเริ่มกลายเป็นจุดที่สร้างความไม่ปลอดภัยเสียเอง เริ่มถูกพูดถึงกันมากขึ้น โดยมีแนวคิดใหม่ว่า “หากระบบมีความแข็งแกร่งพอ” รหัสผ่านไม่จำเป็นต้องซับซ้อนมากจนผู้ใช้เองก็จำไม่ได้ ขอแค่ไม่อยู่ในรายการรหัสผ่านที่ง่ายเกินไปหรือมีคนใช้เยอะเกินไป และไม่จำเป็นต้องบังคับให้ผู้ใช้เปลี่ยนรหัสกันบ่อยๆ เพราะสุดท้ายก็จะนึกกันไม่ออกว่าจะใช้อะไรดี หรือใช้อะไรไปแล้ว ยิ่งจะทำให้ผู้ใช้ คิดรหัสผ่านที่ง่ายต่อการคาดเดามากขึ้นเรื่อยๆ ปัญหาก็จะเกิดขึ้นวนไป

เทคนิคหนึ่งที่ผมใช้อยู่ทุกวันนี้คือมีกลุ่มคำ หรือ “Passphrase” ส่วนตัวอยู่จำนวนหนึ่ง จะเป็นคำอะไรก็ได้ที่เราชอบ เวลาสร้างรหัสผ่านก็หาจุดอ้างอิงที่สัมพันธ์กับระบบนั้น อาจจะเป็นคำอะไรก็ได้ที่สั้นๆ ง่ายๆ ต่อการจดจำของเรา หรือเป็นคำที่มีเฉพาะตัวเราเท่านั้นที่รู้ แล้วแปะ “Passphrase” ที่ว่านี้เข้าไป จะตำแหน่งไหนก็ได้ หน้าหลังหรือระหว่างกลางก็แล้วแต่จะชอบ

ส่วนใหญ่ Passphrase ที่ผมใช้จะเป็นคำภาษาไทยเพราะจำง่าย แต่เพิ่มความซับซ้อนด้วยการพิมพ์คำนั้นด้วยแป้นพิมพ์ภาษาอังกฤษ เช่น คำว่า “เทคโนโลยี” ก็จะเป็น “gm8FoF]pu” มีครบทั้งอักษรตัวใหญ่ตัวเล็ก ตัวเลขและอักขระพิเศษ และที่สำคัญจำง่ายด้วย (หมายถึงจำคำภาษาไทยนะครับ) ทำให้ผมได้ Passphrase ที่ใช้เมื่อไหร่ก็ผ่านระบบตรวจสอบความยากในระดับสูงสุดทุกครั้ง ใครสนใจก็นำเทคนิคนี้ไปใช้ได้นะครับ

แต่จะมีจุดที่เป็นปัญหานิดหน่อย ตรงที่หากเราต้องไปล็อกอินในมือถือซึ่งการวางตำแหน่งแป้นแตกต่างจากแป้นคอมพิวเตอร์ อาจทำให้ยุ่งยากเวลาเทียบกลับ ดังนั้นอาจต้องจำ Passphrase ในรูปแบบที่แปลงแล้วกันไว้ พยายามเลือกคำที่ไม่ยาวจนจำยากอยู่ที่ประมาณ 6-8 ตัวอักษรกำลังดีครับ

อย่างไรก็ตาม ด้วยความก้าวหน้าทางเทคโนโลยี ไม่กี่ปีที่ผ่านมานี้เราเริ่มเห็นการข้อมูลทางชีวภาพ (Biometrics) มาใช้ยืนยันตัวบุคคลเพื่อเข้าสู่ระบบแทนการใช้รหัสผ่านในรูปแบบเดิม ผมจะกลับมาเล่าเรื่องนี้ต่อในตอนหน้าครับ