Authentication = การพิสูจน์ตัวจริง (ศัพท์บัญญัติราชบัณฑิตยสถาน - เทคโนโลยีสารสนเทศ ๑๑ มี.ค. ๒๕๔๕)
เพื่อที่จะไม่เกิดความสับสนในคำแปลภาษาไทย ในบทความนี้จะขอใช้ทับศัพท์ภาษาอังกฤษ ทั้งคู่เป็นกระบวนการที่ไม่เหมือนกันแต่เป็นสองกระบวนการที่สำคัญในการทำ Digital Identity ซึ่งหลายครั้งในมีการใช้งานสองคำนี้อย่างสับสนดังนั้นจึงต้องอธิบายอย่างละเอียด ในสิ่งที่แตกต่างกัน
Identity Proofing
Identity Proofing เป็นกระบวนการที่พิสูจน์ว่าบุคคลคนนั้นเป็นคนเดียวกันกับบุคคลที่กล่าวอ้างหรือไม่ ในที่นี้จะกล่าวถึงการทำ Identity Matching แบบ one to one เท่านั้น ไม่รวมไปถึงการพิสูจน์อัตลักษณ์ว่าบุคคลนี้เป็นใครซึ่งเป็นการทำ Identity Matching แบบ one to manyกระบวนการนี้เป็นกระบวนการที่สำคัญมากในการสร้างข้อมูลตัวตนใน Digital Identity Platform นอกจากนั้นยังเป็นกระบวนการเดียวกันกับการทำ KYC (Know Your Customer) อย่างไรก็ตาม Identity Proofing ทำได้หลายแบบซึ่งแต่ละแบบมีความแม่นยำถูกต้องไม่เท่ากัน แต่หลักการก็คือเป็นการพิสูจน์ข้อมูลเฉพาะบุคคลที่ได้รับการยืนยันจากบุคคลที่สาม
ทำไมถึงต้องมีบุคคลที่สามมาเกี่ยวข้อง เหตุผลก็คือในโลกแห่งความเป็นจริงการอ้างอิงตัวบุคคลนั้น เราใช้ข้อมูลแทนตัวตนที่สร้างขึ้นมามากกว่าการใช้ข้อมูลทางชีวภาพของคนนั้นโดยตรง เช่นเราใช้ชื่อ นามสกุล เลขประจําตัวในรูปแบบต่างๆ มากกว่าการระบุข้อมูลชีวภาพเช่นลายนิ้วมือ DNA รูปใบหน้า จึงเป็นสาเหตุให้ต้องมีบุคคลที่สามที่น่าเชื่อถือมายืนยันว่าบุคคลคนนี้ใช้ชื่อ นามสกุล เลขประจำตัวในรูปแบบต่างๆนั้นจริง เพราะการพิสูจน์อัตลักษณ์นั้นมีเป้าหมายเพื่อให้ทราบตัวตน ซึ่งโดยทั่วไปแล้วทำเพื่อให้สามารถนำไปเชื่อมโยงตัวบุคคลนั้นกับองค์กรอื่นได้
อย่างไรก็ตามในการทำ Identity Proofing เราไม่สามารถให้บุคคลที่สามที่น่าเชื่อถือมายืนยันได้เสมอไป ในทางปฏิบัติเราจึงมักจะใช้เอกสารยืนยันที่น่าเชื่อถือจากบุคคลที่สามมากกว่าที่จะให้บุคคลที่สามเป็นผู้ยืนยันเช่นการใช้บัตรประชาชนแทนการขอคำยืนยันจากกรมการปกครอง การใช้บัตรข้าราชการแทนการขอคำยืนยันจากสํานักงานข้าราชการพลเรือน
แล้วความน่าเชื่อถือในการทำ Identity Proofing มีมากหรือน้อยขึ้นอยู่กับอะไร ประการแรกก็คือข้อมูลที่ใช้ในการพิสูจน์อัตลักษณ์ (Identity attributes) ยิ่งข้อมูลมีความเป็นเอกลักษณ์สูงและมีหลายประเภทมากเท่าใด ความน่าเชื่อถือในการพิสูจน์อัตลักษณ์ก็จะมีมากยิ่งขึ้น ยกตัวอย่างถ้าเป็นข้อมูลทางชีวภาพของบุคคลก็ย่อมมีความน่าเชื่อถือกว่าข้อมูลที่ถูกสร้างขึ้นเช่นที่อยู่ หมายเลขโทรศัพท์ ถิ่นที่เกิด บัตรประชาชน เป็นต้น
ประการที่สองก็คือกระบวนการพิสูจน์อัตลักษณ์ กระบวนการมีความสำคัญมากตั้งแต่วิธีการในการพิสูจน์ข้อมูลอัตลักษณ์ วิธีการที่แม่นยำสูง ดำเนินการได้ง่ายโดยไม่ต้องอาศัยความสามารถเฉพาะบุคคล และทุจริตยาก ย่อมน่าเชื่อถือกว่าวิธีที่ไม่ค่อยแม่นยำ ดำเนินการได้ยาก หรือทุจริตง่าย นอกจากนั้นความสม่ำเสมอของการใช้กระบวนการก็เป็นอีกหนึ่งในปัจจัยของความน่าเชื่อถือด้วย หากกระบวนการนั้นไม่มีการควบคุมหรือมีการดำเนินงานที่ย่อหย่อนในบางครั้งก็จะทำให้ความน่าเชื่อถือลดลง
ประการที่สามก็คือจำนวนของบุคคลที่สามที่ยืนยันอัตลักษณ์ หากมีจำนวนมากความน่าเชื่อถือก็เพิ่มขึ้น เช่น หากมีกรมการปกครองยืนยันผ่านบัตรประจำตัวประชาชน ร่วมกันกับมีโรงพยาบาลยืนยันข้อมูลประวัติทางการแพทย์ การทำฟัน การผ่าตัด สถานศึกษายืนยันประวัติการศึกษา ย่อมทำให้การพิสูจน์อัตลักษณ์น่าเชื่อถือมากขึ้น หรือตัวอย่างที่ง่ายขึ้น ธนาคาร 2 แห่งยืนยันอัตลักษณ์ของบุคคลเดียวกัน ย่อมน่าเชื่อถือกว่าธนาคารแห่งเดียวเป็นผู้ยืนยัน
แม้ว่าการทำ Identity Proofing จะมีความสำคัญในการทำธุรกรรมหลายอย่างแต่เราก็ไม่สามารถใช้กระบวนการนี้ทุกครั้งในการทำธุรกรรมต่างๆได้ เนื่องจากมีค่าใช้จ่ายสูง ใช้เวลานาน และไม่สามารถทำได้โดยไม่ต้องพบกัน ดังนั้นกระบวนการที่สองที่มาช่วยในการทำธุรกรรมก็คือ Authentication
Authentication
Authentication เป็นกระบวนการที่ใช้ในการตรวจสอบผู้มีสิทธิ์เข้าใช้บริการ ทำธุรกรรม หรือใช้ทรัพยากรที่บุคคลนั้นเป็นเจ้าของ แต่ไม่ได้บอกว่าผู้มีสิทธิ์นั้นเป็นบุคคลใดหากไม่ได้ทำ Identity Proofing มาก่อน ตัวอย่างเช่น หากเราใช้บริการของ Google ที่ต้องใช้ทรัพยากรแยกตามบุคคลเช่น Gmail, Drive หรือ Play Store เราต้องสมัคร Google Account ซึ่งจะมีวิธี Authentication พื้นฐานโดยใช้ Gmail Address กับ Password การสมัครนั้นเราไม่จำเป็นให้ข้อมูลส่วนบุคคลที่ถูกต้อง เพราะ Google ไม่ได้ทำ Identity Proofing ดังนั้น Google Account โดยทั่วไปแล้วจึงไม่สามารถระบุอัตลักษณ์ได้ และนี่คือสาเหตุที่ Authentication ไม่สามารถทำการแทน Identity Proofing ได้อย่างไรก็ตามหากกระบวนการ Authentication สามารถเชื่อมโยงได้กับการทำ Identity Proofing จึงจะสามารถทำธุรกรรมแบบระบุตัวตนที่แท้จริงบนโลกได้เช่นหากบุคคลใดก็ตามเปิดบัญชีธนาคารและมีการทำ Identity Proofing หรือ KYC ที่ถูกต้อง แล้วเปิดบริการ Internet Banking การทำ Authentication บน Internet Banking จึงทำให้การทำธุรกรรมเช่น การโอนเงิน ก็สามารถระบุตัวตนได้
แล้วความน่าเชื่อถือของ Authentication มีมากหรือน้อยขึ้นอยู่กับ ความยากในการปลอมแปลงในขณะ Authentication คือถ้าง่ายต่อการปลอมแปลงความน่าเชื่อถือของ Authentication นั้นก็ต่ำ แต่หากยากต่อการปลอมแปลงตัว Authentication นั้นก็มีความน่าเชื่อถือสูง เช่นการใช้รหัสผ่านมีความน่าเชื่อถือต่ำเพราะหากสามารถจำได้หรือเดาได้ง่ายผู้อื่นซึ่งไม่ใช่ผู้มีสิทธิ์ก็สามารถปลอมแปลงเข้ามาใช้งานได้ง่าย
มีผู้นิยามเกี่ยวกับ Strong Authentication อยู่หลายหน่วยงาน สามารถอ่านได้จาก https://en.wikipedia.org/wiki/Strong_authentication แต่ผมขอจำแนกมิติของการตรวจสอบไว้ดังนี้
มิติแรกปัจจัยในการตรวจสอบ (Factor) ซึ่งตามตำราด้าน Information Security มี 3 ปัจจัยก็คือ สิ่งที่คุณรู้ (Something You Know) สิ่งที่คุณมี (Something You Have เช่นโทรศัพท์มือถือ Google Authenticator) และสิ่งที่คุณเป็น (Something You Are เช่น ลายนิ้วมือ ม่านตา หรือใบหน้า) ความแข็งแรงในการตรวจสอบก็คือ สิ่งที่คุณรู้ ด้อยกว่า สิ่งที่คุณมี และสิ่งที่คุณเป็นจะมีความแข็งแรงสูงสุด อย่างไรก็ตามการใช้สิ่งที่คุณเป็นในการตรวจสอบมีความเสี่ยงมากที่สุดหากมีการปลอมแปลงได้ เพราะเป็นกลุ่มเดียวที่คุณเปลี่ยนไม่ได้ ไม่ว่าจะเป็นลายนิ้วมือ (แม้จะเปลี่ยนนิ้วได้) ม่านตา หรือใบหน้า
มิติที่สองคือจำนวนของปัจจัยที่ใช้ในการตรวจสอบ (Number of Factor) จำนวนปัจจัยที่มากขึ้นย่อมทำให้ Authentication แข็งแรงมากขึ้น ยกตัวอย่างที่เราคุ้นเคยก็ได้แก่ 2-Factor Authentication ที่ใช้รหัสผ่านเป็นปัจจัยแรก และใช้ SMS OTP ส่งไปยังเบอร์โทรศัพท์มือถือที่เรามีเป็นปัจจัยที่สอง
มิติที่สามคือกระบวนการในการส่งข้อมูลเพื่อตรวจสอบ กระบวนการที่มีความแข็งแรงต้องป้องกันการใช้ข้อมูลที่ถูกดักจับหรือขโมยมาได้เพื่อใช้ในการทำซ้ำ (Replay) ตัวอย่างเช่นการตรวจสอบลายนิ้วมือโดยการส่งภาพลายนิ้วมือมาเปรียบเทียบกับภาพที่เก็บไว้บนเครื่องแม่ข่าย ซึ่งใช้ปัจจัยคือ”สิ่งที่คุณเป็น”ในการตรวจสอบ มีความแข็งแรงสูงสุด แต่กระบวนการสามารถดักหรือทำสำเนาภาพเพื่อเล่นซ้ำได้ ความน่าเชื่อถือของ Authentication ก็ลดลงมาก
ตัวอย่างของกระบวนการที่แข็งแรงและน่าเชื่อถือได้แก่ Challenge-Response Authentication ที่ใช้เทคนิคด้าน Cryptographics เข้ามาช่วยทำให้ไม่สามารถดักจับหรือขโมยข้อมูลเพื่อใช้ในการทำซ้ำได้ ซึ่งมีหลายวิธี หนึ่งในวิธีที่แพร่หลายได้แก่วิธีที่เสนอโดย FIDO (Fast IDentity Online) Alliance นอกจากนั้น Authentication แบบหลายปัจจัยที่ใช้ช่องทางในการสื่อสารแตกต่างกัน (Out of Band Authentication) ก็เป็นอีกกระบวนการหนึ่งทำให้ยากต่อการปลอมแปลงหรือหลอกลวงผู้ใช้งานเช่นกัน
ความน่าเชื่อถือของ Digital ID
เนื่องจาก Digital ID ต้องพึ่งพาทั้งกระบวนการ Identity Proofing และ Authentication ดังนั้นทั้งสองกระบวนการต้องน่าเชื่อถือทั้งคู่ ทั้งนี้ความน่าเชื่อถือขึ้นอยู่กับระดับความเสี่ยงที่ยอมรับได้ของผู้ที่เกี่ยวข้องในระบบอย่างไรก็ตามสามารถอธิบายให้เห็นภาพได้ดังนี้หากกระบวนการ Identity Proofing ไม่มีความน่าเชื่อถือแม้ว่ากระบวนการ Authentication จะมีความน่าเชื่อถือมาก เราก็มีโอกาสที่จะได้ Digital ID ของตัวปลอม ที่น่าเชื่อถือทุกครั้งที่ทำธุรกรรม
หากกระบวนการ Identity Proofing มีความน่าเชื่อถืออย่างยิ่ง แต่กระบวนการ Authentication ไม่มีความน่าเชื่อถือแล้ว เราจะได้ Digital ID ของตัวจริง ที่การทำธุรกรรมไม่ค่อยน่าเชื่อถือเนื่องจากมีโอกาสถูกปลอมแปลงการทำธุรกรรมได้
ที่จริงแล้ว Identity Proofing และ Authentication ที่น่าเชื่อถือนั้นไม่เพียงพอ ยังต้องมีองค์ประกอบอื่นๆ เช่น ความสามารถในการป้องกันการหลอกลวงโดยที่เจ้าของ Identity ไม่รู้ตัวได้ (Identity Retention) เป็นต้น เพื่อเสริมความน่าเชื่อถือของ Digital ID
อย่างไรก็ตามเป้าหมายของบทความตอนนี้เพื่อจะปูพื้นฐานให้เข้าใจเรื่อง Identity Proofing และ Authentication เพื่อที่จะกล่าวถึงเรื่อง Identity Assurance Level (IAL) และ Authenticator Assurance Level (AAL) ในตอนต่อๆ ไป
ไม่มีความคิดเห็น:
แสดงความคิดเห็น