ระบบยืนยันตัวตน WiFi มีกี่แบบ? วิธีเลือกให้เหมาะกับธุรกิจ SME

สัปดาห์ก่อน มีเจ้าของร้านกาแฟรายหนึ่งโทรหาผมด้วยน้ำเสียงตื่นตระหนก เพราะได้รับหนังสือชี้แจงจากทางตำรวจ เรื่องมีคนแอบใช้สัญญาณอินเทอร์เน็ตของร้านไปทำเรื่องผิดกฎหมายไซเบอร์ ปัญหาคือทางร้านเปิด WiFi ให้ลูกค้าใช้ฟรีแบบไม่มีรหัสผ่าน (Open WiFi) แถมไม่มีระบบเก็บ Log ตาม พ.ร.บ.คอมพิวเตอร์ เลยแม้แต่น้อย เหตุการณ์นี้ทำให้เจ้าของร้านต้องเสียเวลาและค่าใช้จ่ายไปไม่น้อยกับการจัดการเรื่องคดีความ

เหตุการณ์แบบนี้ไม่ใช่เคสแรกที่ผมเจอในฐานะคนทำระบบ Network ครับ หลายธุรกิจ SME มักจะมองว่าแค่ซื้อ Router แรงๆ มาเสียบแล้วปล่อยให้คนเกาะ WiFi ได้ก็จบ แต่ในความเป็นจริง ระบบยืนยันตัวตน WiFi (WiFi Authentication) คือด่านแรกที่สำคัญที่สุด ทั้งในแง่ความปลอดภัยของข้อมูล ความถูกต้องตามกฎหมาย และการบริหารจัดการ Bandwidth ไม่ให้เน็ตช้า

วันนี้ผมเลยอยากสรุปรูปแบบการยืนยันตัวตนบนเครือข่าย WiFi ที่นิยมใช้กันในปัจจุบัน เพื่อให้เจ้าของธุรกิจ SME และไอทีประจำออฟฟิศ ได้เลือกใช้ให้เหมาะกับโจทย์ของตัวเองครับ

1. WPA2 / WPA3 Personal (Pre-Shared Key - PSK)

รูปแบบนี้คือสิ่งที่เราคุ้นเคยกันดีที่สุดครับ นั่นคือการตั้งรหัสผ่านชุดเดียว (Pre-Shared Key) แล้วแปะป้ายบอกลูกค้าหรือพนักงาน เช่น รหัสผ่าน 8-10 หลักที่แปะไว้เคาน์เตอร์

ข้อดี:

• ตั้งค่าง่ายที่สุด: ไม่ต้องใช้อุปกรณ์หรือ Server เพิ่มเติม Router บ้านๆ ก็ทำได้
• ใช้งานสะดวก: กรอกรหัสผ่านครั้งเดียว อุปกรณ์จะจำค่าไว้อัตโนมัติ

ข้อเสียและข้อจำกัด:

• ความเสี่ยงด้านความปลอดภัยสูง: หากพนักงานออกไป หรือลูกค้านำรหัสไปบอกต่อ คนภายนอกก็ยังเข้าถึง Network ได้เรื่อยๆ
• ไม่สามารถระบุตัวตนบุคคลได้: ไม่รู้ว่าใครทำอะไรบนระบบบ้าง และไม่ผ่านเกณฑ์การบันทึกข้อมูลจราจรทางคอมพิวเตอร์ตาม พ.ร.บ.คอมพิวเตอร์

เหมาะกับใคร: ออฟฟิศขนาดเล็กมากๆ ที่มีพนักงานไม่เกิน 5-10 คน หรือเครือข่ายสำหรับอุปกรณ์ภายในที่ไม่ใช่ Guest Network ครับ

2. Captive Portal (Web Authentication / WiFi Hotspot)

เวลากระโดดเกาะ WiFi ในสนามบิน โรงแรม หรือร้านกาแฟชั้นนำ แล้วมีหน้าเว็บเด้งขึ้นมาให้ใส่ข้อมูล นั่นแหละครับคือ Captive Portal ระบบนี้จะดักจับ Traffic ของผู้ใช้ไว้ก่อน จนกว่าจะทำตามเงื่อนไขการเข้าใช้งานสำเร็จ

รูปแบบย่อยของ Captive Portal ที่นิยมในธุรกิจ SME มีดังนี้:

• One-Time Password / คูปองรหัสผ่าน: แจกคูปองที่ระบุ Username/Password ที่มีกำหนดเวลาใช้งาน เหมาะกับอพาร์ตเมนต์ โรงแรม หรือร้านอาหาร
• Social Login / Register Form: ให้ลูกค้ากรอกเบอร์โทรศัพท์ หรือ Login ผ่าน Social Media เพื่อแลกกับการใช้ WiFi เหมาะกับการทำ Marketing และสะสมฐานข้อมูลลูกค้า
• SMS OTP Authentication: ส่งรหัสผ่านเข้ามือถือเพื่อยืนยันตัวตนจริง ยืนยันตัวบุคคลได้แม่นยำที่สุด

ข้อดี:

• จัดเก็บข้อมูล Log ได้ถูกต้อง: สามารถบันทึก Traffic และระบุตัวตนผู้ใช้งานได้ตามกฎหมาย
• จำกัดการใช้งานได้: สามารถตั้งค่าความเร็ว (Bandwidth) และระยะเวลาต่อวันได้ ไม่ให้มีคนแอบโหลดไฟล์ใหญ่จนเน็ตกระตุกทั้งร้าน

เหมาะกับใคร: ร้านกาแฟ ร้านอาหาร โรงแรม อพาร์ตเมนต์ และพื้นที่สาธารณะที่มีลูกค้าหมุนเวียนตลอดเวลา

3. WPA2 / WPA3 Enterprise (802.1X Authentication)

ระบบยืนยันตัวตน WiFi ระดับองค์กรที่ใช้มาตรฐาน 802.1X โดยอุปกรณ์ของผู้ใช้ไม่ได้ตรวจสอบกับตัว Router แต่จะส่งคำขอไปตรวจสอบกับ RADIUS Server หรือ Active Directory / LDAP ขององค์กร

ผู้ใช้งานแต่ละคนจะมี Username และ Password ของตัวเอง (หรือใช้ Digital Certificate ในเครื่อง) เมื่อพนักงานลาออก เพียงแค่ปิดการใช้งาน Account นั้นในระบบ พนักงานคนนั้นจะไม่สามารถเกาะ WiFi ของออฟฟิศได้อีกเลย โดยไม่ต้องไปนั่งไล่เปลี่ยนรหัส WiFi ให้พนักงานคนอื่นเดือดร้อน

ข้อดี:

• ความปลอดภัยสูงสุด: แยก Account รายบุคคล ข้อมูลที่ส่งผ่านอากาศถูกเข้ารหัสเฉพาะตัว (Per-User Encryption)
• บริหารจัดการง่ายในระดับองค์กร: คุมสิทธิ์การเข้าถึงทรัพยากรภายใน เช่น Server หรือ NAS ตามสิทธิ์ของพนักงานแต่ละแผนก

เหมาะกับใคร: ออฟฟิศ SME ขนาดกลางขึ้นไป, โรงงานอุตสาหกรรม, องค์กรที่เน้นความปลอดภัยของข้อมูล และมีระบบ Domain Controller อยู่แล้ว

4. MAC Address Authentication

การยืนยันตัวตนด้วยการลงทะเบียน Hardware Address (MAC Address) ของอุปกรณ์ล่วงหน้า โดยไม่ต้องใส่ Username/Password หน้า Web Browser

วิธีนี้มักถูกนำมาใช้เสริมร่วมกับระบบอื่น สำหรับอุปกรณ์ที่ไม่รองรับการพิมพ์รหัสผ่าน เช่น สมาร์ตทีวี ปริ้นเตอร์เครือข่าย เครื่องสแกนบาร์โค้ด หรืออุปกรณ์ IoT ในโรงงาน

SME ควรเลือกระบบยืนยันตัวตน WiFi แบบไหนให้ลงตัว?

จากประสบการณ์ที่ผมวางระบบให้ลูกค้ามาหลากหลายประเภท ผมสรุปแนวทางเลือกง่ายๆ ดังนี้ครับ:

• ร้านค้า ร้านกาแฟ และร้านอาหาร: แนะให้ใช้ Captive Portal ผ่าน MikroTik หรือระบบ WiFi Hotspot ร่วมกับคูปองหรือ Social Login เพราะนอกจากจะคุม Bandwidth ได้แล้ว ยังช่วยให้ร้านปฏิบัติตาม พ.ร.บ.คอมพิวเตอร์ ได้อย่างสบายใจ
• ออฟฟิศ SME (พนักงาน 10-50 คน): ควรทำ Dual SSID โดยแยกเครือข่ายพนักงานกับแขกออกจากกัน SSID สำหรับพนักงานแนะนำให้ใช้ WPA3 Enterprise (802.1X) ร่วมกับ RADIUS Server ส่วน SSID ของแขกใช้ Captive Portal ที่มีระบบ Isolation ป้องกันแขกมองเห็นเครื่องพนักงาน
• โรงแรม และอพาร์ตเมนต์: ควรใช้ Captive Portal ร่วมกับระบบ RADIUS Management เพื่อออกคูปองรายวัน/รายเดือน และจำกัดจำนวนอุปกรณ์ต่อห้องพักได้อย่างรวดเร็ว

การเลือกระบบยืนยันตัวตน WiFi ไม่ใช่แค่เรื่องของการใส่รหัสผ่านครับ แต่คือการวางด่านป้องกันภัยคุกคามไซเบอร์และบริหารทรัพยากรเครือข่ายให้เสถียรที่สุด หากคุณกำลังลังเลว่าจะปรับปรุงระบบ Network ในองค์กรอย่างไร สามารถทักมาพูดคุยปรึกษากับผมและทีมงาน SIAM-LOGIN ได้ตลอดครับ