การยืนยันตัวตนสองปัจจัยสำหรับเว็บไซต์

การยืนยันตัวตนแบบสองปัจจัย หรือที่เรียกว่า 2FA, การยืนยันสองขั้นตอน หรือ TFA (ตัวย่อ) เป็นชั้นความปลอดภัยเพิ่มเติมที่เรียกว่า "การยืนยันตัวตนแบบหลายปัจจัย" ซึ่งต้องใช้ไม่เพียงรหัสผ่านและชื่อผู้ใช้ แต่ยังต้องใช้สิ่งที่มีเฉพาะผู้ใช้คนนั้นเท่านั้น กล่าวคือข้อมูลที่ควรมีเพียงผู้ใช้นั้นที่รู้ หรือสิ่งที่มีอยู่ในมือทันที เช่น อุปกรณ์ยืนยันตัวตนแบบกายภาพ ซึ่งในกรณีของเราคือโทรศัพท์ โดยเป็นโทรศัพท์ที่มีหมายเลขโทรศัพท์ที่ตรวจสอบย้อนกลับได้ผูกอยู่

บทช่วยสอนต่อไปนี้อธิบายวิธีตั้งค่าการยืนยันตัวตนแบบสองปัจจัยสำหรับเว็บไซต์ใหม่หรือเว็บไซต์เดิมของคุณ

ก่อนอื่น ให้เข้าสู่ระบบบัญชีของคุณและค้นหาหน้าจอการยืนยันตัวตนแบบ 2 ปัจจัย:

- คลิกที่ไทล์ “แอปพลิเคชัน”:

- เมื่ออยู่ที่หน้าแอปพลิเคชัน (Applications) แล้ว ให้คลิกที่ไทล์ “การยืนยันตัวตน 2 ปัจจัย (2 Factor Auth)”:

- เมื่ออยู่บนหน้า "การยืนยันตัวตนสองปัจจัย (2 Factor Auth)" แล้ว ให้คลิกปุ่ม "สร้างใหม่ (Create New)"

ต่อไปนี้คือตัวเลือกที่คุณจะเห็น:

ต่อไปนี้คือคำอธิบายเกี่ยวกับตัวเลือกต่างๆ ที่มี:

1. ชื่อ : ชื่อของอินสแตนซ์การยืนยันตัวตนแบบสองปัจจัยนี้

2. คำอธิบาย: คำอธิบายโดยย่อ

3. CallerID : นี่คือ CallerID ที่จะใช้เมื่อโทรออก (หากเปิดใช้งานการโทรออก)

4. SenderID : นี่คือ SMS/Texting SenderID (หมายเลขต้นทาง) ที่จะใช้เมื่อส่งข้อความ SMS/ข้อความ โปรดทราบว่าสำหรับสหรัฐอเมริกา/แคนาดา คุณต้องมีหมายเลขโทรศัพท์ที่เปิดใช้งาน SMS ในบัญชีของคุณก่อนจึงจะเลือกตัวเลือกนี้ได้

5. Allow Dialing (อนุญาตการโทร) : ตัวเลือกนี้จะให้ผู้ใช้ปลายทาง/ผู้เยี่ยมชมของคุณมีตัวเลือกในการยืนยันหมายเลขโทรศัพท์โดยการรับสาย เมื่อตั้งค่าเป็น “Yes” (ใช่) จะมีชุดตัวเลือกอื่นปรากฏขึ้น เลื่อนลงเพื่อดูคำอธิบาย

6. ความยาว PIN : ความยาวของ PIN โดยค่าเริ่มต้นคือ 4 ตัวอักษร

7. POST URL : นี่เป็นหนึ่งในตัวเลือกที่สำคัญที่สุดที่คุณตั้งค่าได้ : เป็น URL ที่เราจะใช้ส่งข้อมูลการยืนยันตัวตน/การตรวจสอบให้คุณ ทั้งหมดนี้ทำงานฝั่งเซิร์ฟเวอร์ ผู้ใช้ปลายทางของคุณจึงจะไม่ทราบ URL นี้

8. Local Post URL (URL สำหรับรับคำขอ POST): นี่คือ URL ที่แอปเพล็ตของเราส่งคำขอ HTTP POST ไปจากส่วนติดต่อฝั่งลูกค้า เพื่อให้แอปพลิเคชันของคุณประมวลผลการสมัครหรือการเข้าสู่ระบบของผู้ใช้ต่อได้

9. DIV ID : แอปยืนยันตัวตนแบบ 2 ปัจจัย ของเราจะใช้ div id นี้เพื่อเติม UI (ส่วนติดต่อผู้ใช้) แบบฝัง นอกจากนี้ควรนิยามไว้ในโค้ด HTML ของเพจของคุณเป็น DIV ว่าง
ตัวอย่างเช่น หากคุณตั้งค่า DIV ID เป็น 2fa คุณควรแก้ไขเพจเข้าสู่ระบบหรือสมัครใช้งานและเพิ่ม div ว่างดังนี้:

. นี่คือที่ที่แอปเพล็ต 2FA จะปรากฏ

10. วิธียืนยันตัวตน (Authenticate Type) : คุณมีสองตัวเลือก ได้แก่ "ส่งไปยัง URL (Post URL)" ซึ่งจะส่งคำขอไปยัง URL/ตัวเลือกที่อธิบายไว้ข้างต้นในหัวข้อ "7. POST URL" และ "เปิดใช้งานโดยตรง (Enable Directly)" ซึ่งจะอนุญาตให้ฟอร์มส่งข้อมูลต่อไปยัง "8. Local Post URL" (URL ภายในสำหรับรับข้อมูล) เท่านั้น โดยตัวเลือกนี้ปลอดภัยน้อยกว่า

11. โดเมน : คุณควรจำกัดการใช้งานไว้ที่โดเมนที่เว็บไซต์ของคุณใช้ หากเว็บไซต์ของคุณคือ www.test.com โปรดจำกัดการใช้งานไว้ที่โดเมนนี้ เพื่อให้แอป 2FA ทำงานเฉพาะบนโดเมนนี้เท่านั้น

12. แสดง Captcha (Show Captcha) : ตัวเลือกนี้ควบคุมการแสดง Captcha บนส่วนติดต่อผู้ใช้ 2FA แบบฝังในเว็บไซต์

13. จำนวนครั้งสูงสุดที่ลองใหม่ได้: เราควรอนุญาตให้ลองใหม่ได้กี่ครั้งต่อผู้เยี่ยมชมแต่ละราย?

14. ตัวระบุเฉพาะ : นี่คือตัวระบุเฉพาะที่คุณจะใช้สำหรับแอปเพล็ต 2FA แบบฝังในหน้าเว็บ นี้ เราจะอธิบายวิธีใช้งานในภายหลัง (อ่านบทความนี้ต่อไป :) )

15. จำนวนครั้งสูงสุดในการลองส่ง SMS ใหม่ : เราควรอนุญาตให้ผู้ใช้ปลายทางลองส่ง SMS ใหม่ได้กี่ครั้ง?

16. จำนวนครั้งสูงสุดที่ลองโทรซ้ำ (Maximum call retries) : เราควรอนุญาตให้ผู้ใช้ปลายทางลองโทรหมายเลขของตนซ้ำได้กี่ครั้ง?

17. ข้อความ SMS (SMS Message) : ช่วยให้คุณส่งข้อความ SMS ที่กำหนดค่าได้ (ตัวเลือกนี้ยังไม่พร้อมใช้งาน)

18. ลิงก์ช่วยเหลือ : นี่คือลิงก์ช่วยเหลือที่จะแสดงบนแอปเพล็ต 2FA แบบฝังตัว หากไม่ได้ระบุ จะไม่แสดงสิ่งใด

เมื่อตั้งค่า “Allow Dialing” เป็น yes ตัวเลือกต่อไปนี้จะพร้อมใช้งาน:

คำอธิบายตัวเลือกเพิ่มเติมมีดังนี้:

1. ตัวเลือกเสียง (Audio Choice) : ให้คุณเลือกวิธีที่ผู้ใช้จะได้รับหมายเลข PIN สำหรับยืนยันตัวตน ตัวเลือกที่มีคือ TTS และ Audio การเลือก Audio จะซ่อนตัวเลือก "แปลงข้อความเป็นเสียง (Text to speech)" และ "ภาษาสำหรับแปลงข้อความเป็นเสียง (Text to speech language)" และแทนที่ด้วย "เสียงพูดที่บันทึกไว้ล่วงหน้า (Prerecorded audio voice)" (จะใช้เสียงแบบใด?) และ "ภาษาของเสียงพูดที่บันทึกไว้ล่วงหน้า (Prerecorded audio voice language)" ดังแสดงด้านล่าง:

2. การแปลงข้อความเป็นเสียงพูด : หากตั้งค่า ตัวเลือกเสียง เป็น "TTS" ข้อความนี้คือข้อความที่เครื่องมือ TTS จะอ่านให้ผู้ใช้ปลายทางฟัง (มีค่าบริการ TTS)

3. Text to speech language (ภาษาสำหรับการแปลงข้อความเป็นเสียง): เลือกภาษาที่ใช้ในการอ่านออกเสียงข้อความ

4. Allow extension dialing (อนุญาตให้ป้อนหมายเลขต่อภายใน): หากตั้งเป็น yes (ใช่) ผู้ใช้จะป้อนหมายเลขต่อภายในของตนได้ด้วย จึงติดต่อผู้ใช้ที่ต้องผ่าน IVR ได้ ไม่ใช่เฉพาะผู้ที่มีหมายเลขโทรตรงเท่านั้น

5. อัตราค่าโทรสูงสุด : เนื่องจากคุณเป็นผู้ชำระค่าโทรออก คุณจึงมีตัวเลือกในการจำกัดต้นทุนต่อนาทีที่เกี่ยวข้องกับการโทรเหล่านี้ด้วย คุณอาจไม่ต้องการให้ผู้ใช้ปลายทางของคุณยืนยันตัวตนโดยใช้โทรศัพท์ดาวเทียม (ซึ่งจะมีค่าใช้จ่ายสูงมาก)

6. รอคำทักทาย (Wait for hello) : หากตั้งค่าเป็น “No” (ไม่) ระบบของเราจะอ่านหมายเลข PIN ทันทีที่มีการรับสาย หากตั้งค่าเป็น “Yes” (ใช่) ระบบของเราจะรอให้ได้ยินคำทักทายแรกก่อน (ช่วยให้การส่งถึงผู้รับดีขึ้นได้บ้าง แต่อาจทำให้ผู้ใช้บางรายวางสายก่อนได้ยินหมายเลข PIN - โดยทั่วไปประมาณ 3% ของผู้ใช้จะวางสายก่อนได้ยิน PIN เมื่อเปิดใช้ตัวเลือกนี้)

เมื่อคุณตั้งค่าตัวเลือกทั้งหมดนี้เสร็จแล้ว เพียงคลิกปุ่ม “ส่ง” จำ “ตัวระบุเฉพาะ” ที่เราบอกว่าจะอธิบายในภายหลังได้ไหม? ตอนนี้ถึงเวลาที่จะใช้มันแล้ว (สังเกต “WHATEVERID” ในสคริปต์ด้านล่าง?)

ตัวอย่างวิธีติดตั้งการยืนยันตัวตนสองขั้นตอนบนเว็บไซต์ของคุณ:

<!DOCTYPE html>
<head>
  <title>2Factor Authentication test</title>
  <script type="text/javascript">
    (function(d, script) {
      script = d.createElement('script');
      script.type = 'text/javascript';
      script.async = true;
      script.onload = function(){
          // remote script has loaded
      };
      script.src = 'https://api.multitel.net/tfa/js/WHATEVERID/WHATEVERCUSTOMER';
      d.getElementsByTagName('head')[0].appendChild(script);
    }(document));
  </script>
</head>
<html>
  <body>
    <div id="multitel" width="100px"></div>
  <body>
</html>

ตัวอย่างโค้ด · ดูซอร์สโค้ด

และนี่คือสิ่งที่คุณจะเห็นเมื่อเปิดหน้านั้น:

เมื่อผู้ใช้ปลายทางเริ่มพิมพ์หมายเลขโทรศัพท์ ประเทศจะเริ่มแสดงขึ้นมา:

สำหรับหมายเลขของสหรัฐอเมริกา:

สำหรับหมายเลขในสหราชอาณาจักร:

ผู้ใช้สามารถคลิก "Send SMS" (ส่ง SMS) หรือ "Phone Call" (โทรศัพท์) เมื่อได้รับรหัสยืนยันทาง SMS หรือทางโทรศัพท์แล้ว ให้ป้อนรหัสนั้นและคลิก "Verify" (ยืนยัน)

หากตั้งค่าไว้ เราจะส่งข้อมูลดังกล่าวพร้อมกับ "WHATEVERCUSTOMERID"