Password Manager คืออะไร ปลอดภัยไหม และเริ่มใช้อย่างไร

คำตอบสั้น

Password Manager คือโปรแกรมที่สร้าง เก็บ และกรอกรหัสผ่านให้เราโดยอัตโนมัติ ทำให้ใช้รหัสผ่านยาว สุ่ม และไม่ซ้ำกันในทุกบัญชีได้ โดยจำรหัสหลักแค่ชุดเดียว หน่วยงานด้านไซเบอร์ทั้งสหรัฐฯ และสหราชอาณาจักรแนะนำให้ใช้ โดยต้องตั้งรหัสหลักให้ยาวและเปิดการยืนยันสองขั้นตอนให้ตัวจัดการรหัสผ่านเองด้วย

ปัญหาที่ Password Manager มาแก้

คนหนึ่งคนมีบัญชีออนไลน์หลายสิบบัญชี ตั้งแต่อีเมล ธนาคาร ร้านค้า ไปจนถึงแอปสตรีมมิง การตั้งรหัสผ่านที่ยาวและไม่ซ้ำกันทุกบัญชีเป็นเรื่องที่คนส่วนใหญ่จำไม่ไหว จึงมักใช้ทางลัด เช่น รหัสสั้นที่ผูกกับวันเกิดหรือชื่อสัตว์เลี้ยง หรือใช้รหัสเดียวกันหลายที่

CISA หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ เปรียบการใช้รหัสผ่านที่เดาง่ายว่า “เหมือนล็อกประตูแต่เสียบกุญแจค้างไว้” ส่วน NCSC ของสหราชอาณาจักรอธิบายความเสี่ยงของการใช้รหัสซ้ำไว้ชัด ถ้าบัญชีหนึ่งถูกเจาะ คนร้ายจะลองรหัสเดียวกันนั้นกับบัญชีอื่นของเราต่อ ซึ่งอาจเข้าได้ด้วย

Password Manager จึงเข้ามาแก้ตรงจุดนี้ แทนที่เราจะจำรหัสหลายสิบชุด ก็จำเพียงชุดเดียว ส่วนที่เหลือให้โปรแกรมจัดการ

Password Manager คืออะไร

CISA อธิบายว่า Password Manager คือโปรแกรมที่ใช้งานง่าย ทำหน้าที่สร้าง เก็บ และกรอกรหัสผ่านทั้งหมดให้เรา NCSC สรุปความสามารถหลักไว้ดังนี้

• สร้างรหัสผ่านอัตโนมัติ ได้รหัสที่แข็งแรงและไม่ซ้ำกันสำหรับแต่ละบัญชีอย่างรวดเร็ว แทนการใช้รหัสเดียวกันหลายที่
• กรอกให้อัตโนมัติ (autofill) รหัสจะปรากฏเมื่อเข้าหน้าล็อกอิน ไม่ต้องพิมพ์เอง
• ซิงก์ข้ามอุปกรณ์ ใช้รหัสเดียวกันได้ทั้งบนมือถือ แท็บเล็ต และคอมพิวเตอร์
• แจ้งเตือนเมื่อรหัสรั่วไหล บางโปรแกรมเตือนเมื่อรหัสผ่านถูกพบว่าหลุดในเหตุละเมิดข้อมูล

CISA เสริมว่า Password Manager บอกได้ว่ารหัสผ่านใดอ่อนหรือซ้ำกัน และช่วยให้เราเปลี่ยนเป็นรหัสที่แข็งแรงได้

ช่วยกันเว็บปลอมได้ด้วย

ข้อดีที่คนมักมองข้ามคือเรื่องฟิชชิ่ง NCSC ระบุว่าเนื่องจากรหัสผ่านจะถูกกรอกให้เฉพาะบนเว็บไซต์ที่ถูกต้อง ฟังก์ชันกรอกอัตโนมัติจึงช่วยป้องกันการถูกหลอกได้ด้วย ถ้าโปรแกรมไม่เติมรหัสในหน้าที่หน้าตาเหมือนเว็บธนาคาร นั่นอาจเป็นสัญญาณว่าเรากำลังอยู่ในเว็บอื่น ให้หยุดตรวจชื่อเว็บก่อน อย่าคัดลอกรหัสไปวางเอง ดูรายละเอียดวิธีสังเกตใน SMS และลิงก์หลอกลวง

ทำงานอย่างไร

1. เราตั้ง รหัสผ่านหลัก (NCSC เรียกว่า primary password บางโปรแกรมเรียก master password) เพื่อเปิดตู้เก็บรหัส
2. เมื่อสมัครบัญชีใหม่ โปรแกรมช่วยสร้างรหัสแบบสุ่มให้ และบันทึกไว้ในตู้เก็บ
3. เมื่อเข้าเว็บหรือแอปนั้นอีกครั้ง โปรแกรมกรอกรหัสให้เมื่อหน้าเว็บตรงกับที่บันทึกไว้

NIST สถาบันมาตรฐานและเทคโนโลยีแห่งสหรัฐฯ ระบุในเอกสาร SP 800-63B ว่ามีผลวิจัยที่แสดงว่า Password Manager ช่วยให้ผู้ใช้เลือกรหัสผ่านที่แข็งแรงขึ้น โดยเฉพาะเมื่อโปรแกรมมีตัวสร้างรหัสผ่าน และ NIST กำหนดให้บริการที่ทำตามมาตรฐานต้องอนุญาตให้ใช้ Password Manager และการกรอกอัตโนมัติ ทั้งยังควรให้วางรหัสลงช่องกรอกได้

ปลอดภัยไหม

ถ้าเอารหัสทั้งหมดไปไว้ที่เดียว ก็ถามได้ว่ากลายเป็นจุดเสี่ยงจุดเดียวหรือเปล่า หน่วยงานด้านไซเบอร์ที่อ้างถึงในบทความนี้แนะนำให้ใช้แทนการใช้รหัสซ้ำหรือรหัสง่าย แต่มีเงื่อนไขที่ต้องทำให้ถูก

• CISA ระบุว่าการสร้างและเก็บรหัสผ่านที่แข็งแรงด้วยตัวจัดการรหัสผ่านเป็นหนึ่งในวิธีที่ง่ายที่สุดในการป้องกันไม่ให้ผู้อื่นเข้าบัญชีของเราได้ และ CISA ไม่แนะนำให้เก็บรหัสไว้ในไฟล์บนคอมพิวเตอร์
• NCSC มองว่า Password Manager เก็บรหัสผ่านไว้ให้อย่างปลอดภัย และแนะนำให้ผู้ที่ยังไม่เคยใช้ลองใช้ เพราะส่วนใหญ่ออกแบบให้ใช้ง่าย มีคู่มือและฝ่ายสนับสนุนช่วยผู้เริ่มต้น
• ความปลอดภัยของตู้เก็บรหัสขึ้นอยู่กับรหัสหลัก และอุปกรณ์ที่ใช้งาน NCSC ย้ำว่ารหัสผ่านที่บันทึกในเบราว์เซอร์นั้นปลอดภัยเท่ากับอุปกรณ์และบัญชีที่เก็บมันไว้ จึงต้องไม่ปิดการอัปเดตความปลอดภัยอัตโนมัติของเบราว์เซอร์และระบบปฏิบัติการ

สามข้อที่ทำให้ปลอดภัยจริง

1. รหัสหลักต้องยาวและไม่ซ้ำกับที่ใดเลย CISA แนะนำให้ใช้ passphrase (วลีผ่าน) ที่จำง่ายและยาว สำหรับรหัสหลักของตัวจัดการรหัสผ่านโดยเฉพาะ
2. เปิด 2SV หรือ 2FA ให้บัญชีของตัวจัดการรหัสผ่านเอง NCSC อธิบายว่าถึงคนร้ายรู้รหัสหลักก็ยังเข้าบัญชีนี้ไม่ได้ ถ้าเปิดการยืนยันสองขั้นตอนไว้ อ่านวิธีเลือกใน 2FA และ Passkey
3. เตรียมทางกู้คืนไว้ NCSC ระบุว่าหลายโปรแกรมมีตัวเลือกกู้คืน เช่น คำใบ้ที่ปลอดภัย หรือการเข้าถึงฉุกเฉินผ่านผู้ติดต่อที่ไว้ใจ ควรตั้งไว้ก่อนวันที่จำรหัสหลักไม่ได้

รหัสผ่านที่ดีหน้าตาเป็นอย่างไร

CISA ให้หลักสามข้อ ซึ่งต้องทำให้ครบทุกข้อ

หลัก	ความหมาย	ตัวอย่างจาก CISA
ยาว	อย่างน้อย 16 ตัวอักษร ยิ่งยาวยิ่งดี	ใช้ได้ทั้งแบบสุ่มตัวอักษรหรือวลี
สุ่ม	สตริงสุ่มผสมตัวพิมพ์เล็กใหญ่ ตัวเลข สัญลักษณ์ หรือวลีที่ประกอบจาก 4 ถึง 7 คำที่ไม่เกี่ยวกัน	cXmnZK65rf*&DaaD หรือ HorsePurpleHatRunBay
ไม่ซ้ำ	ใช้รหัสต่างกันทุกบัญชี	ธนาคาร อีเมล และโซเชียลใช้คนละรหัส

NCSC เสนอหลักที่คล้ายกัน คือ “สามคำสุ่ม” (three random words) ใช้สามคำที่ไม่เกี่ยวกันมาต่อกัน เพื่อให้ยาวพอและแข็งแรงพอ แต่ยังจำง่าย และเตือนว่าการเปลี่ยนตัวอักษรบางตัวเป็นเลขหรือสัญลักษณ์ (เช่น เปลี่ยน o เป็น 0) ไม่ได้ทำให้รหัสแข็งแรงขึ้นมากนัก เพราะคนร้ายรู้เทคนิคนี้อยู่แล้ว แต่ทำให้จำยากขึ้น และให้หลีกเลี่ยงวันสำคัญ ชื่อคนในครอบครัว ชื่อสัตว์เลี้ยง หรือทีมกีฬาที่ชอบ เพราะข้อมูลเหล่านี้มักหาได้จากโปรไฟล์โซเชียลมีเดีย

มาตรฐานของ NIST ใน SP 800-63B ฉบับ 4 สอดคล้องกันในเรื่องความยาว โดยกำหนดให้บริการที่ใช้รหัสผ่านเป็นปัจจัยเดียวต้องกำหนดความยาวขั้นต่ำ 15 ตัวอักษร (หากใช้รหัสผ่านร่วมกับปัจจัยอื่นอนุญาตให้ขั้นต่ำ 8 ตัวอักษร) และควรรองรับความยาวสูงสุดอย่างน้อย 64 ตัวอักษร NIST ยังกำหนดว่าบริการต้องไม่บังคับกฎผสมประเภทตัวอักษร (เช่น ต้องมีตัวใหญ่ ตัวเลข สัญลักษณ์) และต้องไม่บังคับให้เปลี่ยนรหัสเป็นระยะ แต่ต้องบังคับเปลี่ยนเมื่อมีหลักฐานว่ารหัสถูกเปิดเผย งานวิจัยที่ NIST อ้างถึงพบว่าผู้ใช้ตอบสนองต่อกฎผสมตัวอักษรในแบบที่เดาได้ เช่น เปลี่ยน password เป็น Password1

ตัวเลือกที่มี

ตัวจัดการในเบราว์เซอร์หรือระบบปฏิบัติการ

เบราว์เซอร์หลักๆ เช่น Chrome, Edge และ Safari มีตัวเลือกสร้างหรือบันทึกรหัสผ่านให้ในตัว NCSC ถือว่าการใช้บนอุปกรณ์ของตัวเองปลอดภัย และเป็นวิธีที่ง่ายที่สุด โดยเฉพาะถ้าใช้ระบบหรือเบราว์เซอร์เดียวกันทุกเครื่อง CISA ก็กล่าวถึงว่ามีตัวจัดการที่ให้ใช้ฟรี เช่นของเบราว์เซอร์

ข้อควรระวัง NCSC เตือนว่า

• บนเครื่องส่วนกลางนอกบ้าน เช่น คอมพิวเตอร์ที่วิทยาลัยหรือห้องสมุด ห้ามบันทึกรหัสผ่านในเบราว์เซอร์เด็ดขาด
• ถ้าใช้เครื่องร่วมกับสมาชิกในบ้าน ต้องคิดว่าใครบ้างเปิดเครื่องได้ ถ้าไม่แน่ใจ ทางที่ปลอดภัยที่สุดคือไม่ให้เบราว์เซอร์บันทึกรหัสเมื่อถูกถาม

ตัวจัดการจากผู้พัฒนาอื่น (third-party)

โดยทั่วไปเป็นแอปที่ติดตั้งบนมือถือหรือแท็บเล็ต และมีเวอร์ชันใช้ผ่านเบราว์เซอร์ ข้อได้เปรียบหลักเหนือตัวจัดการในเบราว์เซอร์คือซิงก์รหัสข้ามเบราว์เซอร์และอุปกรณ์ที่ต่างกันได้ NCSC แนะนำให้เลือกโดยพิจารณาจาก

• ใช้ข้ามอุปกรณ์และระบบปฏิบัติการที่เรามีหรือไม่
• ตั้งค่ารูปแบบรหัสที่สร้างให้ได้หรือไม่ เช่น ความยาวและชุดตัวอักษร
• ยอมจ่ายเงินหรืออยากใช้ฟรี และต้องการฟีเจอร์เสริมอะไรบ้าง

NCSC สรุปว่า ตัวจัดการรหัสผ่านที่ดีที่สุดคือตัวที่ตรงกับความต้องการและเราใช้ได้สะดวกที่สุด CISA แนะนำให้อ่านรีวิวจากแหล่งที่เชื่อถือได้เพื่อเปรียบเทียบก่อนเลือก

จดรหัสลงสมุด

NCSC ยอมรับว่าบางคนเลือกจดรหัสลงสมุด ซึ่งเหมาะกับบางสถานการณ์ เช่น ผู้ที่ต้องมีคนในครอบครัวช่วยดูแลเรื่องออนไลน์ เพราะคนร้ายต้องเข้าถึงที่เก็บสมุดจริงๆ แต่ต้องระวังหลายข้อ ได้แก่ ไม่ตั้งรหัสที่เดาง่าย ใช้รหัสอีเมลที่แข็งแรงและแยกต่างหาก ไม่ฝ่าฝืนเงื่อนไขของบริการ (บางธนาคารห้ามจดรหัส) คิดให้ดีว่าเก็บที่ไหนและใครเข้าถึงได้ และต้องระวังฟิชชิ่งมากขึ้นเพราะไม่มีตัวช่วยตรวจเว็บให้ เมื่อไม่มีฟังก์ชันกรอกอัตโนมัติ เราต้องตรวจเองว่าเว็บนั้นเป็นของจริง

เริ่มใช้อย่างไร

1. เลือกตัวจัดการ จะเป็นของเบราว์เซอร์ที่ใช้อยู่หรือแอปแยกก็ได้ ตามเกณฑ์ข้างต้น
2. ตั้งรหัสหลักให้ยาว ใช้วลีหลายคำที่เราจำได้ และไม่ซ้ำกับรหัสที่เคยใช้ที่ใด
3. เปิด 2SV ให้บัญชีของตัวจัดการ และตั้งวิธีกู้คืนไว้
4. เริ่มจากบัญชีสำคัญก่อน ได้แก่ อีเมล การเงิน และโซเชียลมีเดีย เปลี่ยนเป็นรหัสที่โปรแกรมสร้างให้ ซึ่งยาวและสุ่ม CISA แนะนำให้เปิด MFA ให้บัญชีเหล่านี้เช่นกัน
5. เก็บกวาดทีละน้อย เมื่อโปรแกรมแจ้งว่ารหัสใดอ่อนหรือซ้ำ ก็เปลี่ยนทีละบัญชี ไม่ต้องทำให้เสร็จในวันเดียว

แล้ว Passkey ล่ะ

NCSC แนะนำให้ใช้ passkey เป็นตัวเลือกแรกเมื่อบริการรองรับ ส่วนบัญชีที่ยังไม่รองรับ ให้ใช้รหัสผ่านที่แข็งแรง ไม่ซ้ำ และ 2SV ซึ่งหมายความว่า Password Manager ยังจำเป็นสำหรับบัญชีที่ยังไม่รองรับ passkey อ่านความต่างของทั้งสองอย่างได้ใน 2FA และ Passkey

คำถามที่พบบ่อย

ถ้าลืมรหัสหลักจะทำอย่างไร

ขึ้นกับโปรแกรมที่ใช้ และบางโปรแกรมกู้รหัสหลักให้ไม่ได้เลย เช่น Bitwarden ระบุว่าไม่มีทางเข้าถึง เรียกคืน หรือรีเซ็ตรหัสหลักให้ได้ NCSC ระบุว่าหลายโปรแกรมมีตัวเลือกกู้คืน เช่น คำใบ้ที่ปลอดภัยหรือการเข้าถึงฉุกเฉินผ่านผู้ติดต่อที่ไว้ใจ จึงควรอ่านและตั้งค่าไว้ตั้งแต่วันแรก

ต้องเปลี่ยนรหัสผ่านทุก 90 วันหรือไม่

NIST กำหนดว่าบริการต้องไม่บังคับให้ผู้ใช้เปลี่ยนรหัสเป็นระยะ และต้องบังคับเปลี่ยนเมื่อมีหลักฐานว่ารหัสถูกเปิดเผย สำหรับผู้ใช้ทั่วไปจึงควรเปลี่ยนเมื่อมีเหตุ เช่น บริการแจ้งว่ารหัสรั่ว หรือเราเผลอกรอกในเว็บปลอม

รหัสผ่านที่เปลี่ยนตัวอักษรเป็นตัวเลข เช่น P@ssw0rd ปลอดภัยไหม

ไม่ควรพึ่ง NCSC ระบุว่าคนร้ายรู้เทคนิคการแทนตัวอักษรเหล่านี้ และไม่ได้ทำให้รหัสแข็งแรงขึ้นมาก ให้ใช้ความยาวและความสุ่มแทน หรือให้ตัวจัดการรหัสผ่านสร้างให้

แหล่งอ้างอิง

1. Use Strong Passwords — CISA (หน้าเก็บถาวร)
2. Managing your passwords — NCSC (UK)
3. Three random words — NCSC (UK)
4. NIST SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management — NIST
5. Forgot my Master Password — Bitwarden

อ่านต่อ

• 2FA และ Passkey คืออะไร ต่างกันอย่างไร ควรเปิดแบบไหน
• SMS และลิงก์หลอกลวงดูอย่างไร เจอแล้วต้องทำอะไร