ผู้ที่เข้าสู่ระบบ LMS ของคุณปีละครั้งเพื่อทบทวนการอบรมตามข้อกำหนดไม่มีทางจำรหัสผ่านของตัวเองได้ เขาจึงคลิก “ลืมรหัสผ่าน” รออีเมล คิดรหัสผ่านใหม่ที่เดี๋ยวก็ลืมอีก หรือยอมแพ้แล้วเปิดทิกเก็ตขอความช่วยเหลือ การเข้าสู่ระบบแบบไม่ใช้รหัสผ่านตัดรหัสผ่านออกไปเลย คู่มือนี้อธิบายว่าทำงานอย่างไร ข้อแลกเปลี่ยนด้านความปลอดภัยที่แท้จริงอยู่ตรงไหน และเมื่อใดที่ควรเพิ่ม SAML Single Sign-On ทับลงไป
ทำไมรหัสผ่านจึงไม่เหมาะกับผู้เรียนที่ใช้ไม่บ่อย
รหัสผ่านใช้ได้ดีที่สุดกับระบบที่ผู้คนใช้ทุกวัน แต่แพลตฟอร์มฝึกอบรมมักตรงกันข้าม: ผู้คนเข้าสู่ระบบเมื่อได้รับการลงทะเบียนเรียน เมื่อมีการแจ้งเตือนมา หรือเมื่อใบประกาศนียบัตรใกล้หมดอายุ
สิ่งนี้ก่อให้เกิดปัญหาชุดหนึ่งที่คาดเดาได้
- ลืมรหัสผ่าน. เมื่อเข้าสู่ระบบห่างกันหลายเดือน ผู้เรียนจำนวนมากต้องเริ่มด้วยการรีเซ็ต และมักเกิดในวันที่ถึงกำหนดอบรมพอดี
- การใช้ซ้ำ. คนที่จำรหัสผ่านใหม่อีกชุดไม่ไหวจะนำรหัสจากที่อื่นมาใช้ หากเว็บไซต์อื่นนั้นถูกเจาะ อีเมลและรหัสผ่านชุดเดียวกันอาจถูกนำมาลองกับ LMS ของคุณ
- วิธีเลี่ยง. กฎรหัสผ่านที่เข้มงวดนำไปสู่รหัสผ่านที่แปะบนกระดาษโน้ต หรือการดัดแปลงที่เดาได้ เช่น เติมตัวเลขทุกครั้ง
- ภาระงานสนับสนุน. ทุกครั้งที่ถูกล็อกหรือต้องรีเซ็ตคือทิกเก็ตของฝ่ายช่วยเหลือหรือทีม L&D ของคุณ
ยังมีประเด็นที่ไม่ค่อยมีใครพูดถึงอีกข้อ ระบบรหัสผ่านส่วนใหญ่ให้รีเซ็ตรหัสผ่านทางอีเมลได้ ซึ่งหมายความว่ากล่องจดหมายควบคุมบัญชีอยู่แล้ว รหัสผ่านเป็นส่วนที่ผู้คนลืม ไม่ใช่ส่วนที่ปกป้องพวกเขา การเข้าสู่ระบบแบบไม่ใช้รหัสผ่านเพียงแต่ทำให้เรื่องนี้ชัดเจนขึ้น
การเข้าสู่ระบบแบบไม่ใช้รหัสผ่านทำงานอย่างไร
รหัสแบบใช้ครั้งเดียวทางอีเมล
- ผู้เรียนกรอกที่อยู่อีเมลของตน
- LMS สร้างรหัสสุ่มสั้นๆ แล้วส่งไปทางอีเมล
- ผู้เรียนพิมพ์รหัส และ LMS ตรวจสอบ
รหัสที่ออกแบบมาอย่างดีใช้ได้ครั้งเดียว หมดอายุภายในไม่กี่นาที และใช้ไม่ได้อีกหลังจากใส่ผิดไม่กี่ครั้ง ไม่มีอะไรต้องจำ ไม่มีอะไรที่นำมาใช้ซ้ำจากเว็บไซต์อื่น และไม่มีรหัสผ่านให้รั่วไหล
บางระบบส่งลิงก์เข้าสู่ระบบทางอีเมลแทนรหัส รหัสสะดวกเมื่อมีคนอ่านอีเมลบนโทรศัพท์แต่เข้าสู่ระบบบนคอมพิวเตอร์ที่ทำงาน เพราะพิมพ์รหัสข้ามเครื่องได้เลย
บัญชี Google, Microsoft หรือ LinkedIn
ด้วยปุ่ม “เข้าสู่ระบบด้วย” LMS มอบการเข้าสู่ระบบให้ผู้ให้บริการผ่านโปรโตคอลมาตรฐาน เช่น OAuth 2.0 และ OpenID Connect ผู้ให้บริการตรวจสอบว่าผู้ใช้เป็นใคร รวมถึงการยืนยันสองขั้นตอนบนบัญชีของเขา แล้วแจ้ง LMS ว่าเป็นใครและที่อยู่อีเมลที่ยืนยันแล้ว LMS ไม่เห็นรหัสผ่านของผู้ใช้เลย
วิธีนี้เหมาะกับพนักงานที่เข้าสู่ระบบ Microsoft 365 หรือ Google Workspace ทุกวันอยู่แล้ว: คลิกครั้งเดียวก็เข้าได้
ข้อแลกเปลี่ยนด้านความปลอดภัยอย่างตรงไปตรงมา
การไม่ใช้รหัสผ่านไม่ใช่เวทมนตร์ มันย้ายความไว้วางใจไปไว้ที่อื่น และคุณควรรู้ว่าไปอยู่ที่ไหน
| วิธี | อะไรปกป้องบัญชี | สิ่งที่ต้องระวัง |
|---|---|---|
| รหัสผ่าน | สิ่งที่ผู้เรียนจำได้ | การใช้ซ้ำ การตั้งรหัสที่เดาง่าย และยังรีเซ็ตทางอีเมลอยู่ดี |
| รหัสทางอีเมล | สิทธิ์เข้าถึงกล่องจดหมายของผู้เรียน | กล่องจดหมายที่ถูกบุกรุกหมายถึงบัญชี LMS ที่ถูกบุกรุก |
| Google, Microsoft หรือ LinkedIn | บัญชีของผู้ให้บริการและการยืนยันสองขั้นตอน | บัญชีส่วนตัวอยู่นอกการควบคุมของคุณ |
| SAML Single Sign-On | identity provider ของคุณและนโยบายของระบบนั้น | ความพยายามในการตั้งค่า และการพึ่งพาความพร้อมใช้งานของผู้ให้บริการ |
รายละเอียดบางข้อที่ควรทำความเข้าใจ
- บัญชีอีเมลสำคัญที่สุด. ใครก็ตามที่อ่านอีเมลของผู้เรียนได้ก็เข้าสู่ระบบในฐานะผู้เรียนคนนั้นได้ การยืนยันตัวตนหลายปัจจัยบนกล่องจดหมายที่ทำงานช่วยความปลอดภัยของ LMS ได้มากกว่ากฎรหัสผ่านใดๆ
- การหมดอายุและการจำกัดจำนวนครั้งช่วยกันการเดา. รหัสหกหลักมีค่าที่เป็นไปได้ราวหนึ่งล้านค่า ดังนั้นการลองสามครั้งจึงให้ผู้เดามีโอกาสเพียงไม่กี่ในล้าน และรหัสแต่ละรหัสมีอายุเพียงไม่กี่นาที การจำกัดความถี่ในการขอรหัสช่วยชะลอให้ช้าลงไปอีก
- รหัสยังถูกหลอกได้ (phishing). หน้าเข้าสู่ระบบปลอมสามารถขอรหัสแล้วนำไปใช้ทันทีได้ ให้สอนผู้คนว่าให้กรอกรหัสเฉพาะบนที่อยู่จริงของ LMS และไม่มีใคร รวมถึงฝ่ายสนับสนุน ที่จะขอรหัสจากพวกเขาเลย
- กล่องจดหมายที่ใช้ร่วมกันทำให้บันทึกของคุณอ่อนลง. หากหลายคนอ่านกล่องจดหมายเดียวกันได้ ทุกคนก็เข้าสู่ระบบในฐานะเจ้าของกล่องนั้นได้ ผู้เรียนแต่ละคนต้องมีที่อยู่อีเมลของตนเอง บันทึกการฝึกอบรมจึงจะมีความหมาย
- ผู้ที่ลาออกต้องถูกถอดออกทุกที่. บัญชี Google หรือ LinkedIn ส่วนตัวไม่หายไปเมื่อมีคนลาออก ให้ระงับหรือเก็บถาวรบัญชีใน LMS เป็นส่วนหนึ่งของขั้นตอนเมื่อพนักงานลาออก ไม่ใช่แค่ในไดเรกทอรีของคุณ
- การส่งอีเมลเป็นส่วนหนึ่งของระบบ. รหัสที่ไปอยู่ในสแปมหรือมาช้าทำให้เข้าสู่ระบบไม่สำเร็จ ให้ขอให้ฝ่ายไอทีอนุญาตอีเมลจาก LMS ผ่านตัวกรองอีเมลของคุณ
วางแผนการกู้คืนก่อนที่จะต้องใช้
เมื่อเข้าสู่ระบบแบบไม่ใช้รหัสผ่าน ทิกเก็ต “ลืมรหัสผ่าน” แทบจะหายไป คำถามที่ฝ่ายสนับสนุนพบบ่อยจึงกลายเป็น “ฉันไม่ได้รับรหัส” และคำตอบเกือบทุกครั้งคือ ตรวจโฟลเดอร์สแปม ยืนยันที่อยู่อีเมล และขอรหัสใหม่
ผู้ดูแลระบบต้องคิดมากขึ้น หากคุณพึ่งพา Single Sign-On และ identity provider ของคุณล่ม หรือมีการเปลี่ยนการตั้งค่าโดยไม่ตั้งใจ คุณต้องมีทางเข้าที่ไม่ขึ้นอยู่กับสิ่งที่เสีย แนวปฏิบัติที่ดีมีดังนี้
- มีผู้ดูแลระบบอย่างน้อยสองคน เพื่อไม่ให้การที่คนหนึ่งเข้าไม่ได้ทำให้ทั้งองค์กรถูกล็อก
- ทำให้แน่ใจว่าผู้ดูแลระบบมีเส้นทางกู้คืนที่ไม่ขึ้นอยู่กับ identity provider ของคุณ
- ลองใช้เส้นทางกู้คืนนั้นสักครั้งอย่างใจเย็น ก่อนที่จะต้องใช้ในวันที่แย่
- หากคุณจำกัดผู้ดูแลระบบไว้ที่ช่วง IP ของสำนักงาน ให้ตรวจสอบว่าผู้ดูแลระบบที่ทำงานจากระยะไกลจะเข้าได้อย่างไร
เมื่อใดควรเพิ่ม SAML Single Sign-On
รหัสทางอีเมลและการเข้าสู่ระบบด้วยโซเชียลเหมาะกับผู้เรียนส่วนใหญ่ ควรเพิ่ม SAML Single Sign-On เมื่อ
- บุคลากรของคุณถูกบริหารใน Microsoft Entra ID, Okta หรือ Google Workspace อยู่แล้ว
- คุณต้องการให้นโยบายการยืนยันตัวตนหลายปัจจัยและการเข้าถึงของ identity provider ของคุณมีผลกับการอบรมด้วย
- คุณต้องการให้ผู้คนเสียสิทธิ์เข้าถึงทันทีที่ถูกปิดใช้งานในไดเรกทอรีของคุณ
- การตรวจสอบด้านความปลอดภัยหรือแบบสอบถามของลูกค้าเรียกร้อง Single Sign-On
แต่ก็ไม่ใช่คำตอบทั้งหมดหากผู้เรียนจำนวนมากอยู่นอกไดเรกทอรีของคุณ เช่น ผู้รับเหมา อาสาสมัคร ลูกค้า หรือพนักงานขององค์กรอื่น ในกรณีนั้น ให้ใช้ SSO สำหรับบุคลากรของคุณเอง และคงรหัสทางอีเมลไว้สำหรับคนอื่นทุกคน เราอธิบายการตั้งค่าอย่างละเอียดขึ้นในSingle Sign-On สำหรับ LMS ของคุณ
Acadenix ทำอย่างไร
Acadenix ไม่มีรหัสผ่านเลย ผู้คนเข้าสู่ระบบด้วยวิธีใดวิธีหนึ่งต่อไปนี้
- รหัสทางอีเมล. ผู้ใช้กรอกอีเมลแล้วรับรหัสหกหลัก ใช้ได้ครั้งเดียว นานห้านาที และใช้ไม่ได้อีกหลังจากใส่ผิดสามครั้ง หากขอรหัสถี่เกินไปจะถูกขอให้รอ
- Google, Microsoft และ LinkedIn. เปิดหรือปิดแต่ละวิธีได้ใน Settings → Authentication (การตั้งค่า → การยืนยันตัวตน) และจำกัดให้ใช้ได้เฉพาะโดเมนอีเมลที่ยืนยันแล้วบางโดเมน ก่อนบันทึกการเปลี่ยนแปลง คุณจะเห็นว่ามีผู้ใช้และเซสชันกี่รายที่ได้รับผลกระทบ
- แอปเข้าสู่ระบบของคุณเอง. องค์กรใช้แอป Google, Microsoft หรือ LinkedIn ของตัวเองได้ เมื่อใช้แอป Microsoft ของคุณเอง เฉพาะบัญชีใน tenant ของคุณเท่านั้นที่ใช้ได้
- SAML Single Sign-On ในแพ็กเกจ Gold. เชื่อมต่อ Microsoft Entra ID, Okta หรือ Google Workspace สร้างบัญชีผู้เรียนเมื่อเข้าสู่ระบบครั้งแรกได้ แต่เฉพาะที่อยู่ในโดเมนอีเมลขององค์กรคุณ เมื่อมีคนเข้าสู่ระบบผ่าน SAML เป็นครั้งแรก ระบบจะส่งรหัสทางอีเมลเพื่อยืนยันการเชื่อมโยง ครั้งเดียวต่อคน วิธีอื่นที่คุณเปิดไว้ยังคงเป็นทางสำรอง ดูแพ็กเกจและราคา
สำหรับผู้ดูแลระบบมีมาตรการป้องกันเพิ่มเติม จำกัดผู้ดูแลระบบให้ใช้ได้เฉพาะช่วง IP ของคุณได้โดยไม่กระทบผู้เรียน และเซสชันที่ไม่มีการใช้งานจะออกจากระบบ หากวิธีเข้าสู่ระบบปกติของคุณใช้ไม่ได้ ผู้ดูแลระบบยังเข้าได้ด้วยรหัสกู้คืนที่ส่งไปยังอีเมล และปิดเส้นทางนั้นไม่ได้ การระงับบัญชีของใครจะหยุดไม่ให้คนนั้นเข้าสู่ระบบได้ทันที และ Email History (ประวัติอีเมล) แสดงอีเมลที่ส่งหรือส่งไม่สำเร็จใน 30 วันที่ผ่านมา โดยไม่เก็บเนื้อหาข้อความหรือรหัส ดูรายละเอียดเพิ่มเติมที่หน้าความปลอดภัยของเรา
ประเด็นสำคัญ
- สำหรับผู้เรียนที่ใช้ไม่บ่อย รหัสผ่านก่อให้เกิดการรีเซ็ต การใช้ซ้ำ และทิกเก็ตโดยไม่ได้เพิ่มการปกป้องมากนัก
- รหัสทางอีเมลและการเข้าสู่ระบบด้วยบัญชีที่ทำงานตัดรหัสผ่านออกไป กล่องจดหมายหรือบัญชีผู้ให้บริการกลายเป็นกุญแจ จึงควรปกป้องด้วยการยืนยันตัวตนหลายปัจจัย
- รหัสที่ใช้ได้ครั้งเดียว หมดอายุเร็ว และให้ลองได้ไม่กี่ครั้งทำให้การเดาไม่สามารถทำได้จริง แต่ผู้คนยังต้องรู้ว่าห้ามแชร์รหัสให้ใคร
- วางแผนการกู้คืนของผู้ดูแลระบบและขั้นตอนเมื่อพนักงานลาออกก่อนเปิดใช้วิธีเหล่านี้
- เพิ่ม SAML Single Sign-On เมื่อบุคลากรของคุณอยู่ใน identity provider กลาง และคงรหัสทางอีเมลไว้สำหรับคนอื่นทุกคน
หากรหัสผ่านคือแหล่งที่มาของทิกเก็ตขอความช่วยเหลือด้านการอบรมมากที่สุดของคุณ ลองดูว่าการเข้าสู่ระบบแบบไม่ใช้รหัสผ่านทำงานอย่างไรกับบุคลากรของคุณเอง ขอทดลองใช้งานแล้วตั้งค่าวิธีเข้าสู่ระบบที่เหมาะกับองค์กรของคุณ
