วิธีตั้งค่า Two-Step Authentication ใน DirectAdmin

Two-Step Authentication (2FA) เพิ่มชั้นความปลอดภัยให้กับ DirectAdmin โดยกำหนดให้ต้องกรอก OTP Code จากแอปมือถือนอกเหนือจาก Password ทำให้แม้มีคนรู้รหัสผ่านก็ยังเข้าไม่ได้

วิธีเปิดใช้ 2FA

1. ล็อกอิน DirectAdmin แล้วไปที่ Advanced Features
2. คลิก Two-Step Authentication
3. ติ๊กถูกที่ Enable Two-Step Authentication
4. ระบบจะแสดง QR Code สำหรับสแกนด้วยแอปมือถือ
5. ดาวน์โหลดและเปิดแอป Google Authenticator หรือ Authy
6. สแกน QR Code ด้วยแอป
7. กรอก 6 หลัก OTP ที่แสดงในแอป เพื่อยืนยัน
8. คลิก Save

การล็อกอินหลังเปิดใช้ 2FA

หลังเปิดใช้ 2FA ทุกครั้งที่ล็อกอิน DirectAdmin จะต้องกรอก OTP 6 หลักจากแอปมือถือ OTP จะหมดอายุทุก 30 วินาที

วิธีปิดใช้ 2FA

ไปที่ Two-Step Authentication แล้วยกเลิกติ๊ก Enable จากนั้นยืนยันด้วย OTP ปัจจุบัน

Two-Factor Authentication คืออะไรและทำไมต้องใช้

Two-Factor Authentication (2FA) คือมาตรการรักษาความปลอดภัยที่กำหนดให้การล็อกอินต้องผ่านการยืนยันสองชั้น ชั้นแรกคือสิ่งที่คุณรู้ (Password) และชั้นที่สองคือสิ่งที่คุณมี (รหัส OTP จากแอปบนมือถือ) แม้ผู้ไม่ประสงค์ดีจะรู้รหัสผ่านของคุณ ก็ยังไม่สามารถเข้าสู่ระบบได้หากไม่มีโทรศัพท์ของคุณในมือ

TOTP และ HOTP คืออะไร

DirectAdmin ใช้มาตรฐาน TOTP (Time-based One-Time Password) ซึ่งเป็นรหัส OTP ที่เปลี่ยนทุก 30 วินาทีตามเวลาจริง แตกต่างจาก HOTP (HMAC-based One-Time Password) ที่เปลี่ยนเมื่อใช้งานแต่ละครั้ง ข้อดีของ TOTP คือแม้รหัสหลุดออกไปก็จะหมดอายุใน 30 วินาที ทำให้โอกาสที่ผู้ไม่ประสงค์ดีจะนำไปใช้ได้ทันมีน้อยมาก

• TOTP — รหัสเปลี่ยนทุก 30 วินาที ตามเวลาของ Server และ Client ต้องตรงกัน (แนะนำสำหรับ DirectAdmin)
• HOTP — รหัสเปลี่ยนเมื่อใช้งาน 1 ครั้ง ไม่ขึ้นอยู่กับเวลา แต่ต้องซิงค์ Counter ระหว่าง Server และ Client

แอป Authenticator ที่รองรับ TOTP ได้แก่ Google Authenticator, Authy, Microsoft Authenticator และ 1Password ทุกแอปทำงานได้กับ DirectAdmin เลือกใช้ตามความถนัด

การตั้งค่า 2FA ใน DirectAdmin ด้วย Google Authenticator หรือ Authy

ก่อนเริ่มตั้งค่า ให้ดาวน์โหลดแอป Authenticator บนมือถือก่อน แนะนำ Google Authenticator สำหรับผู้ที่ต้องการความเรียบง่าย หรือ Authy สำหรับผู้ที่ต้องการ Backup ข้ามอุปกรณ์ เมื่อพร้อมแล้วทำตามขั้นตอนต่อไปนี้

1. ล็อกอิน DirectAdmin แล้วไปที่ Advanced Features > Two-Step Authentication
2. เปิดใช้งานโดยติ๊กที่ Enable Two-Step Authentication
3. ระบบแสดง QR Code บนหน้าจอ
4. เปิดแอป Google Authenticator หรือ Authy บนมือถือ แล้วกดปุ่ม + หรือ Add Account
5. เลือก Scan QR Code แล้วสแกน QR Code ที่แสดงบนหน้าจอ DirectAdmin
6. แอปจะเพิ่มบัญชี DirectAdmin และแสดงรหัส OTP 6 หลักที่เปลี่ยนทุก 30 วินาที
7. กรอกรหัส OTP ปัจจุบันลงในช่อง Verification Code ของ DirectAdmin แล้วกด Save
8. บันทึก Backup Code ที่ระบบออกให้ไว้ในที่ปลอดภัยทันที

หลังจากนี้ทุกครั้งที่ล็อกอิน DirectAdmin จะต้องกรอกรหัส OTP จากแอปมือถือเพิ่มเติมจาก Password เสมอ รหัส OTP มีอายุ 30 วินาที หากหมดอายุให้รอรหัสชุดใหม่จากแอป

การ Backup Recovery Codes เมื่อทำมือถือหาย

Recovery Code หรือ Backup Code คือรหัสสำรองที่ DirectAdmin ออกให้เมื่อตั้งค่า 2FA ครั้งแรก ใช้แทน OTP เมื่อไม่สามารถเข้าถึงแอป Authenticator ได้ เช่น มือถือหาย หรือ Uninstall แอปไปโดยไม่ตั้งใจ

วิธีเก็บ Backup Code ให้ปลอดภัย

• พิมพ์และเก็บในกระดาษ — เก็บไว้ในที่ล็อก ไม่ควรอยู่ใกล้กับตัวคอมพิวเตอร์
• เก็บใน Password Manager เช่น Bitwarden หรือ 1Password ที่มีการเข้ารหัส
• ส่งอีเมลถึงตัวเองในบัญชีที่มี 2FA ป้องกัน — ไม่ควรส่งในอีเมลทั่วไปที่ไม่มี 2FA
• ห้ามเก็บในไฟล์ Plain Text บนคอมพิวเตอร์ที่ไม่ได้เข้ารหัส เพราะถ้าเครื่องถูก Hack ก็จะสูญเสีย Backup Code ไปด้วย

Recovery Code แต่ละชุดใช้ได้เพียงครั้งเดียว เมื่อใช้แล้วจะหมดอายุทันที ดังนั้นหลังจากใช้ Recovery Code เพื่อเข้าระบบได้แล้ว ควรรีบตั้งค่า 2FA ใหม่บนมือถือเครื่องใหม่ก่อนออกจากระบบ

การปิด 2FA เมื่อต้องการ Reset

มีหลายสถานการณ์ที่ต้องการปิดหรือ Reset 2FA เช่น เปลี่ยนมือถือเครื่องใหม่ หรือเมื่อทำมือถือหายและไม่มี Recovery Code สำรอง

การปิด 2FA ด้วยตัวเอง (User ที่ยังเข้าระบบได้)

1. ล็อกอิน DirectAdmin ด้วย Password และ OTP ปัจจุบัน
2. ไปที่ Advanced Features > Two-Step Authentication
3. ยกเลิกติ๊กที่ Enable Two-Step Authentication หรือกด Disable
4. ยืนยันด้วย OTP ปัจจุบันอีกครั้ง
5. เมื่อปิดแล้ว สามารถตั้งค่า 2FA ใหม่ได้ทันทีบน Authenticator App เครื่องใหม่

การ Reset 2FA โดย Admin (สำหรับ Sub-account)

หาก User หรือ Reseller ภายใต้บัญชีคุณทำมือถือหายและไม่มี Recovery Code Admin สามารถ Reset 2FA ให้ได้จาก Admin Level Panel โดยไปที่ Admin Level > List Users แล้วเลือก User ที่ต้องการ จากนั้นกด Reset Two-Factor Authentication ระบบจะปิด 2FA ของ User นั้นและให้ตั้งค่าใหม่ในการล็อกอินครั้งถัดไป

การใช้สิทธิ์ Admin Override นี้ควรทำหลังจากยืนยันตัวตนของผู้ขอ Reset อย่างละเอียดก่อนเสมอ เพื่อป้องกันการ Social Engineering ที่อ้างว่าเป็น User คนนั้น

ประเภทของ TOTP Authenticator App ที่แนะนำ

แอป Authenticator ทุกตัวที่รองรับมาตรฐาน TOTP สามารถใช้งานกับ DirectAdmin ได้ทั้งหมด ความแตกต่างอยู่ที่ฟีเจอร์เสริม เช่น การสำรองข้อมูลข้ามอุปกรณ์ ระดับความปลอดภัย และความสะดวกในการใช้งาน ต่อไปนี้คือการเปรียบเทียบแอปยอดนิยม 3 ตัวที่แนะนำ

Google Authenticator

Google Authenticator เป็นแอปที่ใช้งานง่ายที่สุด ไม่ต้องสมัครบัญชี รหัส OTP เก็บไว้ในอุปกรณ์โดยตรง ข้อดีคือเบา ทำงานเร็ว และ Open Source จึงตรวจสอบได้ ข้อเสียคือไม่มีการสำรองข้อมูลอัตโนมัติ หากมือถือหายหรือรีเซ็ตโรงงานจะต้องตั้งค่า 2FA ใหม่ทั้งหมด แนะนำสำหรับผู้ที่ใช้มือถือเครื่องเดียวและไม่ต้องการความยุ่งยาก

Authy

Authy โดดเด่นด้วยฟีเจอร์ Encrypted Cloud Backup ที่ซิงค์รหัส OTP ข้ามอุปกรณ์โดยอัตโนมัติ หากซื้อมือถือใหม่หรือมือถือหาย สามารถกู้คืนบัญชี 2FA ทั้งหมดกลับมาได้ง่าย รองรับทั้ง iOS, Android และยังมี Desktop App สำหรับ Mac และ Windows แนะนำสำหรับผู้ที่ใช้หลายอุปกรณ์หรือต้องการความมั่นใจว่าจะไม่สูญเสีย 2FA Access

• Google Authenticator — เรียบง่าย ไม่ต้องบัญชี เหมาะกับมือถือเครื่องเดียว ไม่มี Cloud Backup
• Authy — มี Cloud Backup เข้ารหัส ซิงค์หลายอุปกรณ์ เหมาะกับผู้ที่ต้องการความยืดหยุ่น
• Microsoft Authenticator — รองรับ Cloud Backup บน Microsoft Account เหมาะกับผู้ใช้ Microsoft 365
• 1Password — TOTP ในตัว รวม Password Manager และ Authenticator ไว้ด้วยกัน สะดวกมากแต่เป็น Paid Service

ทุกแอปใช้ได้กับ DirectAdmin เพราะทุกตัวรองรับมาตรฐาน TOTP RFC 6238 เหมือนกัน การเลือกขึ้นอยู่กับว่าคุณให้ความสำคัญกับความเรียบง่ายหรือความยืดหยุ่นในการกู้คืนข้อมูล

การจัดการอุปกรณ์หลายเครื่องกับ 2FA

ในองค์กรหรือทีมพัฒนาที่มีสมาชิกหลายคนต้องการเข้าถึง DirectAdmin บัญชีเดียวกัน การจัดการ 2FA ให้ปลอดภัยโดยไม่กระทบประสิทธิภาพการทำงานเป็นเรื่องสำคัญ

แนวทางสำหรับทีมและหลายอุปกรณ์

DirectAdmin แนะนำให้แต่ละบัญชีมี 2FA ผูกกับอุปกรณ์เพียงเครื่องเดียว หากทีมต้องการให้หลายคนเข้าถึงได้ วิธีที่ปลอดภัยกว่าคือสร้างบัญชี User แยกสำหรับแต่ละคนผ่านเมนู User Management แล้วให้แต่ละบัญชีตั้งค่า 2FA บนมือถือของตัวเอง

• ใช้ Authy Multi-Device — Authy อนุญาตให้เพิ่มอุปกรณ์ที่เชื่อถือได้หลายเครื่องสำหรับบัญชีเดียวกัน แต่ต้องเปิดใช้งานฟีเจอร์นี้อย่างรอบคอบ
• สร้าง Sub-account แยก — ใช้ Reseller หรือ User Level ของ DirectAdmin เพื่อสร้างบัญชีแยกสำหรับแต่ละสมาชิกทีม แต่ละคนตั้ง 2FA เองบนมือถือตัวเอง
• Login Keys แทน 2FA — สำหรับการเข้าถึงผ่าน API หรือ Script ใช้ Login Key ที่จำกัดสิทธิ์แทนการล็อกอินด้วย Password + 2FA ทุกครั้ง
• Backup Code สำรองส่วนกลาง — หากจำเป็นต้องแชร์การเข้าถึง ให้เก็บ Backup Code ในที่ที่ทีมเข้าถึงได้ เช่น Password Manager ของทีม แต่จำกัดสิทธิ์การเข้าถึง Vault นั้นอย่างเข้มงวด

การตั้งค่า 2FA อย่างถูกต้องในทีมทำให้ทั้งความปลอดภัยและความสะดวกในการทำงานร่วมกันอยู่ในระดับที่ยอมรับได้ สิ่งสำคัญที่สุดคือทุกคนในทีมต้องมีวิธีเข้าระบบสำรองเมื่อมือถือหายหรือพังโดยไม่กระทบคนอื่น