PIN กับ Password

Teerayut Hiruntaraporn
2 min readFeb 27, 2021

--

ในการใช้งานเครือข่ายคอมพิวเตอร์ ความปลอดภัยในการอ้างสิทธิ์ในการใช้งานทรัพยากรของบริการเป็นเรื่องสำคัญ เพื่อให้ผู้ที่มีสิทธิ์ได้ถูกต้องใช้งานทรัพยากรได้ และป้องกันไม่ให้ผู้แอบอ้างมาใช้งานระบบ เช่น ในการใช้ระบบ Mobile Banking เราก็จำเป็นที่จะต้องยืนยันตัวตนก่อนเพื่อเข้าไปดำเนินธุรกรรม ฝากถอนต่างๆ

ท่าที่สำคัญในการยืนยันตัวตนที่จะได้ยินบ่อยๆ และใช้งานกันอยู่ในปัจจุบันคือการการใช้ Pin และการใช้ Password ซึ่งแม้ว่าในมุมมองของผู้ใช้งานนั้น จะดูแล้วมีความเหมือนกันจนบางคนแทบจะใช้ชื่อสลับกันไปกันมา แต่จริงๆแล้ว โดยหลักการนั้นมันแตกต่างกันยังไง และใครดูปลอดภัยกว่ากัน

Password

ในแฮรี่ พ็อตเตอร์ ก่อนจะใช้แผนที่ต้องพูดรหัสมาก่อน

Password หรือภาษาไทยสั้นๆ คือคำว่ารหัสผ่าน ถ้าตามความหมายง่ายที่สุดก็น่าจะเป็น รหัสที่ต้องแสดงเพื่อผ่านการตรวจสอบ โดยคำว่ารหัสก็จะเป็นประโยค หรือกลุ่มคำใดๆ

โดยสิ่งทีน่าสนใจคือ ทุกครั้งที่มีการใช้งาน จะมีการประกาศรหัสผ่าน ผ่านตัวกลางใดๆ เช่นพูดออกให้ฟัง เขียนออกมาให้อ่าน หรือพิมพ์ส่งมาให้ทางอินเทอร์เน็ต

ซึ่งนั่นหมายความว่า ถ้ามีใครคนใดคนหนึ่ง “บังเอิญ” หรือ “เจตนา” รอฟังหรืออ่านอยู่ด้วย ก็จะมีความเสี่ยงที่จะได้ทราบถึงรหัสนั้นไปด้วย

ซึ่งด้วยเทคโนโลยีก็มีความพยายามในการป้องกันการแอบดู แอบฟัง อยู่บ้าง เช่น ถ้าเป็นในโลกความจริง ก็จะเป็นการกระซิบข้างหู หรือเอาน้ำมะนาวมาเขียนแล้วให้ไปอังไฟ ขณะที่ถ้าเราเปิดเว็บในอินเทอร์เน็ตก็จะมีกระบวนท่า HTTPS ที่ช่วยบังๆ ไม่ได้ใครมาแอบดูรหัสระหว่างทางได้

ตัวอย่างการเข้าเว็บที่มีการเข้ารหัส (https)
ตัวอย่างการเข้าเว็บที่ไม่ได้เข้ารหัส (http)

PIN

คำว่า PIN นั้นมาจากคำว่า Personal Identification Number หรือในพจนานุกรมจะเขียนว่า “เลขรหัสลับส่วนตัว” ตัวอย่างที่เรามักจะเห็นกันก็คือ การกดเลข Pin ในบัตร ATM เวลาจ่ายเงิน นั่นเอง ซึ่งโดยนัยยะลักษณะนี้ ก็มักจะมีการบอกว่า PIN คือเลขยืนยันบุคคล

แต่ถ้าจบกันแค่นี้ก็จะรู้สึกว่าไม่ได้ต่างจาก Password สักเท่าไหร่ แถมด้วยความที่ใส่ได้เฉพาะตัวเลขและมีความยาวน้อยกว่าการใช้ Password เสียอีก มันก็ดูไม่ค่อยปลอดภัยเลย แล้วทำไมมันถึงมาถูกนำมาใช้งานบัตรเครดิต กันแน่

คำตอบคือ PIN นั้นใช้ในการยืนยันตัวตนกับบัตรครับ ไม่ใช่การยืนยันตัวตนกับระบบ หรือถ้าพูดอีกมุมหนึ่ง PIN จะเป็นรหัสเพื่อแสดงว่า เราอนุญาตให้เอาข้อมูลในบัตรไปใช้ทำธุรกรรม ซึ่งการคุยกันระหว่างบัตรกับ ระบบ จะใช้กระบวนการยืนยันตัวตนอีกแบบหนึ่งซึ่งมีความปลอดภัยสูง เช่น การใช้ระบบกุญแจคู่ ซึ่งโดยหลักการระบบนี้จะมีความปลอดภัยสูง ขนาดที่แม้จะโดนดักข้อมูลได้แต่ก็ไม่สามารถเอามาใช้ต่อได้

การใช้ PIN ในการไปขออนุญาตใช้ส่วนยืนยันตัวตนภายใน Smart Card (CR: https://docs.microsoft.com/en-us/windows/security/identity-protection/virtual-smart-cards/virtual-smart-card-evaluate-security )

ดังนั้นสิ่งที่สำคัญของ PIN คือ PIN นั้นต้องผูกติดกับอุปกรณ์ยืนยันตัวตน เช่น ผูกติดกับบัตร ผูกติดกับโทรศัพท์มือถือ หรือผูกติดกับเครื่องคอมพิวเตอร์ในกรณีของ Windows Hello

ตัวอย่างการทำงานของ windows hello จะเห็นว่า PIN จะไปขออนุญาตส่งที่ข้อมูลการยืนยันตัวตนจริงๆ ที่ชื่อว่า TPM ในการไปขอยืนยันตัวตน (CR: https://blogs.windows.com/windowsdeveloper/2016/01/26/convenient-two-factor-authentication-with-microsoft-passport-and-windows-hello/)`

เช่น ถ้าเรามีบัตร ATM 2 ใบ แม้ว่าจะเป็นของธนาคารเดียวกัน แต่ PIN ก็จะไม่เหมือนกัน แต่เราสามารถทำให้มันเหมือนได้โดยไปไล่เปลี่ยน manual เอง ทีละใบ เป็นต้น

แล้วอันไหนดีกว่ากัน

ต้องบอกว่ามันเป็นเรื่องที่ยากที่จะบอกว่าอันไหนดีกว่ากันครับ เพราะมันมีหลายปัจจัย อย่าง Password ก็จะสะดวกกว่า PIN และไม่ได้มีข้อจำกัดในการตั้งรหัสผ่านมากนัก ขณะที่ PIN (ที่ควรจะเป็น) จะไม่มีการเอารหัส PIN ส่งข้ามไปมา บนอินเทอร์เน็ต ซึ่งสามารถป้องกันการดักรหัสผ่านได้อย่างมีประสิทธิภาพกว่า

ซึ่งโดยส่วนตัวก็จะใช้ทั้ง PIN และ Password ครับ แต่ในกรณีของ Password นั้นจะต้องมีการยืนยันตัวตนซ้อนอีกทีครับ เช่น มี SMS ตามหรือ มี Software OTP รองไว้ด้วย

สิ่งที่สำคัญที่สุดและ ดีที่สุด มากกว่าการเลือกว่าอันไหนดีคือ ถ้าผู้ใช้ระมัดระวังตัว จะดีที่สุดครับ เช่น

  • ไม่ตั้ง PIN ง่ายๆ เช่น 1234
  • ไม่ตั้ง Password ง่ายๆ เช่น password , 123456 และอย่าไปใช้ password ที่อยู่ใน Top ten Password หากินด้วยครับ เพราะมันจะใช้เวลาแกะสั้นมาก
  • ดูสภาพแวดล้อมก่อนใส่ Pin หรือ password ถ้าอยู่ใน WIFI ร้านอินเทอร์เน็ตที่ไม่มีเครื่องหมายกุญแจก็อย่าไปเข้าเลยครับ ไม่คุ้มกันหรอก หรือไปใช้ ATM ที่ตู้ที่มันดูโล่งๆ เปลี่ยวๆ ไม่มีเจ้าหน้าที่ดูแล ก็ระวังๆ นิดนึงครับ
รายการ Top 10 password หากิน ที่ไม่ควรตั้ง เพราะมันหาได้ในเวลาไม่ถึงวินาทีเป็นส่วนใหญ่ (CR: https://nordpass.com/most-common-passwords-list/)
เครือข่าย Wifi ที่พอจะปลอดภัยอยู่บ้าง จะมีเครื่องหมายกุญแจที่จะบอกว่าการเชื่อมต่อมีการเข้ารหัส

ทั้งหมดนี้คือเรื่องเกี่ยวกับ PIN และ Password ครับ อย่างไรก็ตามในการใช้งานจริงๆ อาจจะเห็น Practice ที่ไม่ตรงกับที่กล่าว ซึ่งก็อาจจะมีได้ครับ ไม่ต้องตกใจไป บทความนี้เป็นกล่าวเฉพาะ Basic Model เท่านั้นครับ

ก็หวังว่าจะเป็นประโยชน์ครับ

--

--

Teerayut Hiruntaraporn
Teerayut Hiruntaraporn

No responses yet