ตั้งรหัสผ่านให้แข็งแรง และเริ่มใช้โปรแกรมจัดการรหัสผ่านอย่างไรให้ง่ายที่สุด
เรามีบัญชีออนไลน์มากกว่าที่คิด อีเมล โซเชียลมีเดีย ธนาคาร ร้านค้าออนไลน์ แอปสตรีมมิง บริการภาครัฐ ถ้าลองนับดู อาจเกินหลักสิบ และถ้าต้องจำรหัสผ่านที่ไม่ซ้ำกันและแข็งแรงให้ได้ทุกบัญชี คงเป็นไปไม่ได้สำหรับมนุษย์ธรรมดา คนส่วนใหญ่จึงเลือกทางลัด คือใช้รหัสเดิมซ้ำๆ หรือเปลี่ยนแค่ตัวเลขท้าย
ปัญหาคือทางลัดนี้อันตราย เพราะถ้าเว็บไซต์หนึ่งที่เราสมัครไว้ถูกเจาะ คนร้ายจะเอารหัสที่ได้ไปลองกับบริการอื่น ซึ่งได้ผลบ่อยมากถ้าเราใช้ซ้ำ ทางออกที่ใช้ได้จริงคือใช้โปรแกรมจัดการรหัสผ่าน (Password Manager) ช่วยจำและสร้างรหัสให้ ส่วนเราจำแค่รหัสหลักตัวเดียว
บทความนี้เริ่มจากหลักการตั้งรหัสผ่านที่ดี จากนั้นพาเริ่มใช้โปรแกรมจัดการรหัสผ่านทีละขั้น ตั้งแต่เลือกโปรแกรมจนถึงย้ายบัญชีเก่าเข้ามา แบบที่ทำได้ภายในสัปดาห์เดียวโดยไม่เหนื่อยเกินไป
ชื่อเมนูและหน้าตาของโปรแกรมแต่ละตัวอาจต่างกันตามเวอร์ชัน แต่หลักการเหมือนกัน
รหัสผ่านที่ดีหน้าตาเป็นอย่างไร
หลายคนยังเข้าใจว่ารหัสผ่านที่ดีคือรหัสที่มีตัวพิมพ์ใหญ่ ตัวเลข สัญลักษณ์ปนกันวุ่นวาย แต่ที่จริงสิ่งที่สำคัญกว่าความหน้าตาแปลกๆ คือ ความยาว ความไม่ซ้ำ และการเดายาก
- ยาวเข้าไว้ รหัสยิ่งยาว ยิ่งเดายาก ควรยาวอย่างน้อยสิบสองตัวอักษรขึ้นไป ถ้าบริการอนุญาต
- ไม่ซ้ำกันแม้แต่บัญชีเดียว หนึ่งบัญชีหนึ่งรหัส เป็นกฎสำคัญที่สุด
- ไม่ใช้ข้อมูลส่วนตัวที่คนอื่นเดาได้ เช่น วันเกิด ชื่อสัตว์เลี้ยง เบอร์โทร ชื่อคนรัก หรือคำว่า password และ 123456
- ไม่ใช้รูปแบบที่คาดเดาได้ เช่น ใส่ตัวเลขท้ายคำเดิม หรือเปลี่ยน a เป็น @ เพราะคนร้ายรู้ทันกลเม็ดเหล่านี้
- ไม่ต้องเปลี่ยนบ่อยโดยไม่จำเป็น เปลี่ยนเมื่อสงสัยว่ารั่วหรือมีการแจ้งเตือน การบังคับเปลี่ยนบ่อยๆ ทำให้คนตั้งรหัสง่ายขึ้นและจดซ้ำ
ถ้าต้องจำเองสักอันหนึ่ง เช่น รหัสหลักของโปรแกรมจัดการรหัสผ่าน แนะนำให้ใช้ประโยคผ่าน (Passphrase) คือเอาคำสามถึงห้าคำที่ไม่เกี่ยวกันมาต่อกัน เช่น เก้าอี้ ส้มโอ ฝนตก แมวเหลือง แล้วเพิ่มตัวเลขหรือสัญลักษณ์แทรกเล็กน้อย จะยาว จำง่าย และเดายาก
1. เข้าใจก่อนว่าโปรแกรมจัดการรหัสผ่านทำอะไรให้เรา
โปรแกรมจัดการรหัสผ่านเปรียบเหมือนตู้เซฟดิจิทัลที่ล็อกด้วยรหัสหลัก ข้างในเก็บรหัสผ่านของทุกบัญชีที่เรามี โปรแกรมจะช่วยสามอย่างหลักๆ
- สร้างรหัสผ่านสุ่มที่ยาวและแข็งแรง ให้ทุกครั้งที่สมัครบริการใหม่ โดยเราไม่ต้องคิดเอง
- กรอกรหัสให้อัตโนมัติ ในเบราว์เซอร์และแอปบนมือถือ ทำให้ล็อกอินเร็วขึ้น และกรอกเฉพาะบนเว็บไซต์จริง ช่วยกันหน้าเว็บปลอมได้ในระดับหนึ่ง
- ซิงก์ข้ามอุปกรณ์ ทั้งคอมพิวเตอร์และโทรศัพท์ในบัญชีเดียวกัน
โปรแกรมส่วนใหญ่เก็บข้อมูลในรูปแบบเข้ารหัส ตัวบริการเองก็ไม่ควรเห็นข้อมูลของเราได้ แต่รายละเอียดการเข้ารหัสต่างกันตามผู้พัฒนา จึงควรอ่านหน้าเอกสารความปลอดภัยของโปรแกรมที่จะเลือกใช้
2. เลือกโปรแกรมจัดการรหัสผ่านที่เหมาะกับคุณ
มีตัวเลือกให้ใช้หลายแบบ ไม่มีแบบไหนดีที่สุดสำหรับทุกคน ลองดูความต่างของสามแนวทางหลักที่พบบ่อย
| แนวทาง | ข้อดี | ข้อควรคิด |
|---|---|---|
| ตัวจัดการรหัสผ่านที่มากับเบราว์เซอร์หรือระบบ เช่น ของ Google, Apple, Microsoft | ใช้งานง่าย ไม่ต้องติดตั้งเพิ่ม เหมาะกับคนเพิ่งเริ่มต้น | ผูกกับระบบนิเวศเดียว ถ้าสลับใช้หลายระบบอาจไม่สะดวก และฟีเจอร์เสริมอาจมีน้อยกว่า |
| โปรแกรมจัดการรหัสผ่านโดยเฉพาะ เช่น Bitwarden, 1Password, Proton Pass | ใช้ข้ามระบบได้ มีฟีเจอร์ครบ เช่น แชร์ในครอบครัว เก็บบันทึกปลอดภัย | ต้องติดตั้งและเรียนรู้เพิ่ม บางฟีเจอร์ต้องสมัครแผนที่สูงขึ้น |
| โปรแกรมที่เก็บไฟล์ในเครื่องเอง เช่น KeePass | คุมข้อมูลเองได้ทั้งหมด ไม่ต้องพึ่งบริการออนไลน์ | ต้องจัดการซิงก์และสำรองไฟล์เอง เหมาะกับคนที่ชอบตั้งค่า |
ถ้าไม่แน่ใจ ให้เริ่มจากตัวจัดการรหัสผ่านที่มากับอุปกรณ์ที่ใช้อยู่ก่อน ใช้ไปสักสองสามสัปดาห์ ถ้ารู้สึกว่าอยากได้ฟีเจอร์ที่มากกว่านี้ ค่อยย้ายไปโปรแกรมเฉพาะทาง การส่งออกและนำเข้ารหัสผ่านทำได้ในโปรแกรมส่วนใหญ่
3. ตั้งรหัสหลักและเปิด 2FA ให้โปรแกรมจัดการรหัสผ่าน
รหัสหลัก (Master password) คือรหัสเดียวที่เราต้องจำ และถ้ารหัสนี้หลุดหรือลืม ปัญหาจะใหญ่ที่สุด จึงต้องใส่ใจเป็นพิเศษ
- ตั้งรหัสหลักเป็นประโยคผ่านที่ยาวและไม่เคยใช้ที่ไหนมาก่อน
- จำให้ขึ้นใจ ฝึกพิมพ์สองสามรอบ และไม่พิมพ์ลงในที่ที่ใครเห็น
- เขียนสำรองลงกระดาษแล้วเก็บในที่ปลอดภัยที่บ้านในช่วงแรกที่ยังจำไม่ได้ แล้วทำลายเมื่อจำได้แล้ว หรือเก็บไว้ในตู้เซฟถ้ากลัวลืม
- เปิดการยืนยันตัวตนสองขั้นตอนให้บัญชีของโปรแกรมจัดการรหัสผ่าน โดยใช้แอปยืนยันตัวตนหรือกุญแจความปลอดภัย
- บันทึกรหัสกู้คืนหรือคีย์สำรองที่โปรแกรมให้ไว้ ในที่ปลอดภัยแยกจากอุปกรณ์ เพราะถ้าลืมรหัสหลัก โปรแกรมบางตัวไม่มีทางกู้ให้ได้เลย
ใช้ล็อกหน้าจอด้วยลายนิ้วมือหรือใบหน้าบนมือถือได้เพื่อความสะดวก แต่ต้องรู้รหัสหลักไว้เสมอเผื่อกรณีฉุกเฉิน
4. ติดตั้งส่วนขยายและแอปบนทุกอุปกรณ์
โปรแกรมจะมีประโยชน์ที่สุดเมื่อมันอยู่ในที่ที่เราล็อกอินทุกวัน
- ติดตั้งส่วนขยาย (Extension) ในเบราว์เซอร์ที่ใช้เป็นประจำ ดาวน์โหลดจากหน้าทางการของโปรแกรมเท่านั้น
- ติดตั้งแอปในโทรศัพท์ แล้วเปิดตัวเลือกกรอกรหัสอัตโนมัติ (AutoFill) ในการตั้งค่าของระบบ
- ตั้งเวลาล็อกอัตโนมัติ ให้โปรแกรมล็อกตัวเองเมื่อไม่ได้ใช้งานระยะหนึ่ง
- ปิดตัวจัดการรหัสผ่านที่ติดมากับเบราว์เซอร์ถ้าใช้โปรแกรมเฉพาะแล้ว เพื่อไม่ให้ข้อมูลกระจายสองที่
บนคอมพิวเตอร์ที่ใช้ร่วมกับคนอื่นหรือเครื่องสาธารณะ ไม่ควรล็อกอินโปรแกรมจัดการรหัสผ่านค้างไว้
5. ย้ายบัญชีเดิมเข้าไป ทีละกลุ่มตามความสำคัญ
ไม่ต้องรีบทำทั้งหมดในวันเดียว ค่อยๆ ย้ายตามความสำคัญ และใช้โอกาสนี้ทำความสะอาดบัญชีเก่าไปด้วย
- เริ่มจากกลุ่มสำคัญสุด คืออีเมลหลัก ธนาคาร และบริการเกี่ยวกับเงิน เข้าสู่ระบบแล้วเปลี่ยนรหัสเป็นรหัสสุ่มจากโปรแกรม
- ทำกลุ่มที่สองคือโซเชียลมีเดีย ร้านค้าออนไลน์ และบริการเก็บไฟล์
- ทำกลุ่มที่สามคือบริการที่เคยสมัครทิ้งไว้ ถ้าไม่ใช้แล้วให้ปิดบัญชีหรือลบข้อมูลออก
- ถ้าโปรแกรมมีเมนูตรวจสุขภาพรหัสผ่าน (Password health) ให้เปิดดูว่ารหัสไหนซ้ำ อ่อน หรืออยู่ในรายการที่รั่วไหล แล้วไล่แก้ตามลำดับ
- ตั้งเป้าสัปดาห์ละห้าถึงสิบบัญชี ไม่ต้องรีบ
6. สร้างนิสัยใช้งานให้ปลอดภัย
- บันทึกรหัสใหม่ทันทีที่สมัครบริการ อย่าปล่อยให้ใช้รหัสชั่วคราวค้างไว้
- อย่ากรอกรหัสด้วยตัวเองถ้าโปรแกรมไม่เสนอให้ ถ้าส่วนขยายไม่เด้งขึ้นมาในหน้าที่ควรเป็นเว็บของจริง ให้ตั้งข้อสงสัยว่าอาจเป็นเว็บปลอม
- แชร์รหัสในครอบครัวอย่างระมัดระวัง ใช้ฟีเจอร์แชร์ของโปรแกรม แทนการส่งรหัสทางแชต
- ตั้งรหัสสำรองสำหรับบัญชีที่ผูกกับคนอื่น เช่น บัญชีสตรีมมิงของครอบครัว
- ตรวจรายการเป็นระยะ ทุกสามถึงหกเดือน ลบบัญชีที่ไม่ใช้ และเช็กแจ้งเตือนข้อมูลรั่วไหลในโปรแกรม
บทความเรื่องการยืนยันตัวตนสองขั้นตอนที่เราเขียนไว้ จะช่วยให้ชั้นป้องกันของคุณครบขึ้นอีกขั้น เพราะรหัสผ่านที่ดีที่สุดก็ยังควรมีด่านที่สองคอยช่วย
ข้อควรระวังและข้อจำกัดที่ควรรู้
การใส่ไข่ทุกใบไว้ในตะกร้าเดียวเป็นข้อกังวลที่ถูกต้อง ถ้ารหัสหลักถูกเจาะ ทุกอย่างอาจหลุด แต่เมื่อเทียบกับการใช้รหัสซ้ำทั่วไป ความเสี่ยงโดยรวมต่ำกว่ามาก ตราบเท่าที่รหัสหลักแข็งแรงและเปิด 2FA
- โปรแกรมไม่ได้กันการถูกหลอกให้กรอกรหัสในเว็บปลอมได้ทั้งหมด ยังต้องสังเกตที่อยู่เว็บไซต์เสมอ
- ถ้าอุปกรณ์ที่ใช้ติดมัลแวร์ โปรแกรมก็อาจถูกดักข้อมูลได้ จึงควรอัปเดตระบบและมีโปรแกรมป้องกันไวรัสที่เชื่อถือได้
- บริการบางอย่างที่ต้องใช้ในโอกาสพิเศษ เช่น เครื่องใช้ร่วมกันที่ทำงาน อาจใช้โปรแกรมไม่ได้ ต้องมีวิธีจดรหัสอีกทางที่ปลอดภัย
- การกู้บัญชีของโปรแกรมเองอาจยากถ้าลืมรหัสหลักและไม่มีรหัสกู้คืน
คำถามที่พบบ่อย
- ถ้าบริการของโปรแกรมถูกเจาะ ข้อมูลเราจะหายไหม โปรแกรมที่ออกแบบดีจะเก็บข้อมูลแบบเข้ารหัสตั้งแต่ในเครื่องเรา ต่อให้ข้อมูลหลุด ก็อ่านไม่ได้ถ้าไม่มีรหัสหลัก จึงสำคัญที่รหัสหลักต้องแข็งแรง
- ใช้เบราว์เซอร์จำรหัสให้เลยได้ไหม ได้และดีกว่าใช้รหัสซ้ำ แต่ควรตั้งการล็อกเครื่องให้แน่นหนา และเปิด 2FA ให้บัญชีเบราว์เซอร์
- ต้องเปลี่ยนรหัสทุกบัญชีเลยไหม ไม่ต้องทั้งหมดทันที เริ่มจากบัญชีที่สำคัญที่สุดก่อน แล้วค่อยๆ ทำ
- จดรหัสลงสมุดได้ไหม ได้ ถ้าเก็บสมุดไว้ในที่ปลอดภัยที่บ้าน และไม่จดคู่กับชื่อผู้ใช้อย่างชัดเจน ดีกว่าใช้รหัสซ้ำ แต่โปรแกรมจัดการรหัสผ่านสะดวกและปลอดภัยกว่า
สรุป
รหัสผ่านที่ดีคือรหัสที่ยาว ไม่ซ้ำ และเดายาก ซึ่งมนุษย์จำเองทั้งหมดไม่ไหว โปรแกรมจัดการรหัสผ่านจึงเป็นคำตอบที่ใช้ได้จริง ตั้งรหัสหลักที่เป็นประโยคผ่าน เปิด 2FA ให้โปรแกรม และเก็บรหัสกู้คืนให้ดี
วันนี้ลองเลือกโปรแกรมสักตัว ตั้งรหัสหลัก แล้วย้ายอีเมลหลักกับบัญชีธนาคารเข้าไปก่อน แค่นี้คุณก็ปิดช่องโหว่ใหญ่ที่สุดไปได้แล้ว ส่วนที่เหลือค่อยทำต่อทีละนิดในสัปดาห์ต่อๆ ไป
