แอปตรวจสอบสิทธิ์คืออะไร

แอปตรวจสอบสิทธิ์เป็นเครื่องมือรักษาความปลอดภัยที่สร้างรหัสตรวจสอบจากเวลาโดยใช้การเข้ารหัสลับ (เช่น TOTP หรือ HOTP) เพื่อเพิ่มชั้นความป้องกันเพิ่มเติมให้กับบัญชีของคุณ

การรั่วไหลของรหัสผ่านเกิดขึ้นตลอดเวลา และการพึ่งพารหัสผ่านเพียงอย่างเดียวไม่ปลอดภัยอีกต่อไป นั่นเป็นเหตุผลที่เว็บไซต์และแอปหลักต่าง ๆ เสนอการตรวจสอบสิทธิ์สองขั้นตอน (2FA) หรือการตรวจสอบสิทธิ์หลายชั้น (MFA) แอปตรวจสอบสิทธิ์เป็นเครื่องมือ 2FA ยอดนิยมที่สร้างรหัสตรวจสอบแบบไดนามิกเพื่อปกป้องบัญชีของคุณควบคู่ไปกับรหัสผ่านของคุณ

แอปตรวจสอบสิทธิ์ทำงานอย่างไร?#

แอปตรวจสอบสิทธิ์ทำงานได้โดยการแชร์คีย์ลับเฉพาะกับเซิร์ฟเวอร์ที่โฮสต์บัญชีของคุณ เมื่อคุณตั้งค่าการตรวจสอบสิทธิ์สองขั้นตอนในครั้งแรก บริการจะสร้างคีย์ลับนี้และแสดงออกมาเป็นโค้ด QR เมื่อคุณสแกนโค้ดนี้ด้วยแอปตรวจสอบสิทธิ์ ทั้งแอปของคุณและบริการจะมีคีย์ลับเดียวกัน - และมีเพียงพวกเขาเท่านั้นที่รู้

โดยใช้คีย์ลับที่แชร์นี้พร้อมกับเวลาปัจจุบัน ทั้งสองฝ่ายสามารถสร้างรหัสตรวจสอบ 6 หลักเดียวกันได้อย่างอิสระผ่านอัลกอริทึมมาตรฐาน (โดยทั่วไปจะเป็น TOTP - รหัสผ่านที่ใช้ได้ครั้งเดียวตามเวลา) เมื่อคุณพยายามล็อกอิน บริการจะเปรียบเทียบรหัสที่คุณป้อนจากแอปตรวจสอบสิทธิ์ของคุณกับรหัสที่สร้างขึ้น - หากตรงกัน คุณจะได้รับอนุญาตให้เข้าใช้งาน

กระบวนการตั้งค่านั้นตรงไปตรงมา:

1. บริการจะสร้างคีย์ลับเฉพาะ
2. คุณสแกนโค้ด QR ที่มีคีย์ลับนี้ด้วยแอปตรวจสอบสิทธิ์ของคุณ
3. แอปจะบันทึกคีย์ลับอย่างปลอดภัยในอุปกรณ์ของคุณ
4. จากนั้น ทั้งสองฝ่ายสามารถสร้างรหัสตรวจสอบที่ตรงกันได้เมื่อจำเป็น

ทำไมแอปตรวจสอบสิทธิ์ถึงปลอดภัย?#

แอปตรวจสอบสิทธิ์มอบความปลอดภัยที่น่าประทับใจ ตามการวิจัยของ Google พวกมันขัดขวางการโจมตีอัตโนมัติได้ถึง 99.9% - ซึ่งมีประสิทธิภาพมากกว่าการตรวจสอบทางข้อความ SMS ถึง 50% มาสำรวจว่าทำไมพวกมันถึงปลอดภัยมาก:

ความปลอดภัยทางคณิตศาสตร์#

ลองจินตนาการถึงความท้าทายในการเจาะระบบ:

• รหัส SMS: เหมือนการทายเลข 6 หลัก (มีความเป็นไปได้ 1 ล้าน)
• คีย์ตรวจสอบ: เหมือนการทายเลข 80 บิต (มีการรวมกันมากกว่าจำนวนอะตอมในจักรวาล)

การป้องกันจากเวลา#

การเปรียบเทียบความถูกต้องของรหัส:

• รหัส SMS โดยปกติยังคงใช้ได้ 5-10 นาที สร้างความเสี่ยงด้านความปลอดภัยที่สำคัญ
• รหัสในแอปตรวจสอบสิทธิ์จะรีเฟรชทุก 30 วินาที ทำให้ไม่สามารถหาประโยชน์ได้

ประโยชน์ของการสร้างแบบออฟไลน์ของแอปตรวจสอบสิทธิ์#

• ไม่จำเป็นต้องส่งผ่านเครือข่าย
• ไม่มีความเสี่ยงการดักฟัง SMS
• ปลอดภัยจากการโจมตีที่คัดลอกซิมการ์ด

ทำไมแฮกเกอร์ไม่สามารถเจาะแอปตรวจสอบสิทธิ์ได้?#

คิดซะว่าเป็นตู้เซฟที่มีการเปลี่ยนรหัสตลอดเวลา:

• เปลี่ยนทุก 30 วินาที
• ต้องการทั้ง "คีย์ลับ" และ "เวลาที่ถูกต้อง"
• แม้ว่ารหัสหนึ่งจะถูกขโมย รหัสถัดไปยังคงปลอดภัย

สิ่งที่คุณรู้ (รหัสผ่าน) + สิ่งที่คุณมี (แอปตรวจสอบสิทธิ์) + คณิตศาสตร์ตามเวลา = การป้องกันที่แทบจะแตกไม่ได้

วิธีใช้งานแอปตรวจสอบสิทธิ์: คำแนะนำทีละขั้นตอน#

มาศึกษาวิธีการใช้แอปตรวจสอบสิทธิ์ผ่านตัวอย่างการปฏิบัติจริงกันเถอะ

เราจะสาธิตกระบวนการโดยใช้บริการตรวจสอบสิทธิ์ของ Logto

ขั้นตอนที่ 1: ดาวน์โหลดและตั้งค่าแอปตรวจสอบสิทธิ์จากแหล่งที่เชื่อถือได้#

1. ดาวน์โหลดแอปตรวจสอบสิทธิ์ที่เชื่อถือได้:
   • Google Authenticator
   • Microsoft Authenticator
2. ติดตั้งแอปในโทรศัพท์ของคุณ
3. ทำการตั้งค่าเริ่มต้น (สร้างบัญชีถ้าจำเป็น) ตามคำแนะนำของแอป

ขั้นตอนที่ 2: เปิดใช้งานการสนับสนุนแอปตรวจสอบสิทธิ์สำหรับแอป Logto demo#

1. เข้าสู่ระบบหรือสมัครสมาชิก Logto Cloud และสร้าง tenant แรกของคุณตามคู่มือการเริ่มต้น

2. ไปที่ Console > การตรวจสอบสิทธิ์หลายชั้น และเปิดใช้งาน แอปตรวจสอบสิทธิ์ OTP และตัวปัจจัยการตรวจสอบสิทธิ์ รหัสสำรอง และเลือก "ผู้ใช้ต้องใช้ MFA ทุกครั้งเมื่อเข้าใช้งาน" เป็นนโยบายการตรวจสอบสิทธิ์สองขั้นตอน จากนั้นคลิก บันทึกการเปลี่ยนแปลง

3. ไปที่ Console > ประสบการณ์การใช้งานการลงชื่อเข้าใช้งาน > ลงชื่อสมัครใช้และลงชื่อเข้าใช้ เลือก ชื่อผู้ใช้ เป็นตัวระบุการสมัครสมาชิก และลบ ที่อยู่อีเมล ออกจากตัวระบุการลงชื่อเข้าใช้ จากนั้นคลิก บันทึกการเปลี่ยนแปลง

ขั้นตอนที่ 3: สแกน QR โค้ดเพื่อเชื่อมโยงแอปตรวจสอบสิทธิ์กับบัญชีของคุณในแอปตัวอย่าง#

1. ยังคงอยู่ในหน้า Logto Console ประสบการณ์การใช้งานการลงชื่อเข้าใช้ ให้คลิกปุ่ม "แสดงตัวอย่างสด" ในมุมขวาบนของส่วน แสดงตัวอย่างการลงชื่อเข้าใช้ จากนั้นคุณจะถูกเปลี่ยนเส้นทางไปยังหน้าลงชื่อเข้าใช้ของแอปตัวอย่าง

2. คลิกปุ่ม สร้างบัญชี ในหน้าลงชื่อเข้าใช้ และเข้าสู่ชื่อผู้ใช้และรหัสผ่านของคุณเพื่อสร้างบัญชี แล้วคุณจะเห็นหน้าจอที่แสดง QR โค้ด

3. เปิดแอปตรวจสอบสิทธิ์ของคุณ และสแกน QR โค้ด จากนั้นคุณจะเห็นหน้าจอที่แสดงรหัส 6 หลัก

4. ป้อนรหัส 6 หลักเพื่อยืนยันการเชื่อมโยง และคุณจะถูกเปลี่ยนเส้นทางไปยังหน้ารหัสสำรอง อย่าลืมบันทึกรหัสสำรองในที่ปลอดภัย

5. คลิกปุ่ม ดำเนินการต่อ แล้วคุณจะเข้าสู่ระบบแอปตัวอย่างเรียบร้อยแล้ว

ขั้นตอนที่ 4: ลองลงชื่อเข้าใช้แอปตัวอย่างด้วยแอปตรวจสอบสิทธิ์#

1. เมื่อคุณเข้าสู่ระบบแอปตัวอย่างเรียบร้อยแล้ว ให้คลิกปุ่ม ลงชื่อออกจากแสดงตัวอย่างสด เพื่อออกจากแอปตัวอย่างและกลับไปยังหน้าลงชื่อเข้าใช้ของแอปตัวอย่าง

2. ลองลงชื่อเข้าใช้แอปตัวอย่างด้วยชื่อผู้ใช้และรหัสผ่านของคุณ และคุณจะพบว่าคุณต้องป้อนรหัส 6 หลักเพื่อเข้าสู่ระบบ

3. เปิดแอปตรวจสอบสิทธิ์ของคุณ ป้อนรหัส 6 หลักที่แสดงเกี่ยวกับ logto.app แล้วคุณจะเข้าสู่ระบบแอปตัวอย่างเรียบร้อยแล้ว!

วิธีใช้แอปตรวจสอบสิทธิ์อย่างปลอดภัย?#

แอปตรวจสอบสิทธิ์มีความปลอดภัย แต่คุณต้องใช้งานอย่างถูกต้องเพื่อให้ได้รับการป้องกันที่ดีที่สุด:

ดาวน์โหลดจากแหล่งที่เชื่อถือได้#

• รับแอปตรวจสอบสิทธิ์ของคุณจากร้านค้าแอปอย่างเป็นทางการเท่านั้น (Google Play Store, Apple App Store)
• ใช้แอปยอดนิยมจากบริษัทที่เชื่อถือได้เช่น Google, Microsoft
• ระวังแอปปลอม - พวกมันอาจขโมยบัญชีของคุณ

เก็บรักษารหัสสำรองให้ปลอดภัย#

• บันทึกรหัสสำรองของคุณในที่ปลอดภัยแบบออฟไลน์หรือในผู้จัดการรหัสผ่าน
• อย่าเก็บรหัสสำรองในอุปกรณ์เดียวกับแอปตรวจสอบสิทธิ์ของคุณ
• คิดว่าการเก็บรักษารหัสสำรองในหลาย ๆ ที่ปลอดภัยเป็นความฉลาด
• เช็คเป็นครั้งคราวว่าคุณยังสามารถเข้าถึงรหัสสำรองได้

ระมัดระวังเมื่อการตั้งค่า#

เมื่อเพิ่มบัญชีไปยังแอปตรวจสอบสิทธิ์ของคุณ:

• สแกน QR โค้ดเมื่อไม่มีใครอยู่รอบ
• ห้ามจับภาพหน้าจอ QR โค้ดหรือคีย์ลับ
• อย่าแชร์คีย์ลับผ่านข้อความหรืออีเมล
• ถ้าคุณคัดลอกคีย์ลับ ให้ล้างคลิปบอร์ดของคุณหลังจากนั้น

เคล็ดลับความปลอดภัยอื่น ๆ#

• ใช้การปลดล็อกด้วยลายนิ้วมือหรือใบหน้าในแอปตรวจสอบสิทธิ์ของคุณถ้าทำได้
• สำรองข้อมูลแอปตรวจสอบสิทธิ์ของคุณเป็นประจำ
• อัปเดตโทรศัพท์และแอปตรวจสอบสิทธิ์ของคุณ
• สำหรับบัญชีสำคัญ คุณอาจต้องการใช้แอปตรวจสอบสิทธิ์แยกต่างหาก

จะทำอย่างไรถ้าฉันสูญเสียแอปตรวจสอบสิทธิ์?#

อย่ากังวลถ้าคุณสูญเสียแอปตรวจสอบสิทธิ์ของคุณ เมื่อการตั้งค่าการตรวจสอบสิทธิ์สองขั้นตอน บริการจะให้รหัสสำรอง - ซึ่งเป็นรหัสฉุกเฉินใช้ครั้งเดียวที่คุณควรเก็บรักษาไว้ให้ปลอดภัยแบบออฟไลน์หรือในผู้จัดการรหัสผ่าน

แอปตรวจสอบสิทธิ์ยอดนิยมมีคุณลักษณะสำรองข้อมูล:

• Google Authenticator: สำรองข้อมูลเมฆไปยังบัญชี Google
• Microsoft Authenticator: สำรองข้อมูลเมฆและการกู้คืน

หากทุกอย่างล้มเหลว คุณสามารถติดต่อฝ่ายบริการลูกค้าเพื่อขอความช่วยเหลือ