เดารหัส OTP 6 หลักแบบสุ่ม โอกาสถูกจริงคือ 1 ในล้านไหม?

* รูปภาพใช้เพื่อประกอบเนื้อหาเท่านั้น อาจไม่ใช่ภาพเหตุการณ์จริงหรือภาพจริงจากเรื่องในบทความ

หน้าจอล็อกอินขอรหัส OTP หกหลัก หลายคนเห็นตัวเลขสั้น ๆ แล้วอดคิดไม่ได้ว่า ถ้ามีคนเดาสุ่มจะถูกง่ายแค่ไหน

ถ้ารหัสสุ่มได้เท่า ๆ กันทุกชุด ตั้งแต่ 000000 ถึง 999999 และมีรหัสที่ถูกเพียงชุดเดียว การลองหนึ่งครั้งมีโอกาสตรง 1 ใน 1,000,000 หรือ 0.0001% นี่คือคำตอบทางคณิตศาสตร์ภายใต้เงื่อนไขที่กำหนด ไม่ได้บอกว่าทุกระบบใช้วิธีออกและตรวจรหัสเหมือนกัน

ที่มาของ “หนึ่งล้านชุด” คือแต่ละหลักมีตัวเลือก 10 ตัว ตั้งแต่ 0 ถึง 9 เมื่อนำมาวางต่อกันหกตำแหน่งจึงได้ 10 × 10 × 10 × 10 × 10 × 10 หรือ 1,000,000 ชุด รวมรหัสที่ขึ้นต้นด้วยศูนย์อย่าง 004218 ด้วย เพราะ OTP เป็นชุดตัวเลข ไม่ใช่จำนวนที่ต้องตัดเลขศูนย์ด้านหน้าออก

เมื่อมีหนึ่งชุดที่ถูก โอกาสของการลองครั้งเดียวจึงเท่ากับ 1 หารด้วย 1,000,000 ถ้ามีการลองหลายชุดที่ไม่ซ้ำกัน โอกาสสะสมก็เพิ่มตามจำนวนชุดที่ลอง แต่การคำนวณนี้ยังไม่รวมวิธีป้องกันของบริการ เช่น รหัสหมดอายุ ลองผิดได้จำกัดครั้ง หรือระงับการตรวจชั่วคราวเมื่อใส่ผิดหลายครั้ง

แนวทางยืนยันตัวตนของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ (NIST) กำหนดให้รหัสยืนยันนอกช่องทางหลักที่อยู่ในขอบเขตข้อกำหนดต้องสุ่มและมีอย่างน้อย 6 หลัก เมื่อใช้รหัสแล้วระบบต้องรับรหัสเดิมได้เพียงครั้งเดียว และขั้นตอนยืนยันต้องเสร็จภายใน 10 นาที ข้อกำหนดนี้เป็นตัวอย่างมาตรฐานสำหรับระบบยืนยันตัวตน ไม่ใช่การรับรองว่าทุกแอปใช้เงื่อนไขเหมือนกัน

มาตรฐานเดียวกันยังให้ระบบจำกัดการใส่รหัสผิดเพื่อป้องกันการเดาออนไลน์ โดย 100 ครั้งเป็นเพดานบนในแนวทางนั้น และหน่วยงานตั้งเกณฑ์ต่ำกว่านี้ได้ ตัวเลข 100 จึงไม่ใช่จำนวนครั้งที่ทุกเว็บไซต์อนุญาตให้ลองจริง ระบบแต่ละแห่งอาจหยุดการลองเร็วกว่านั้นหรือใช้การหน่วงเวลาเพิ่มเติม

เพราะฉะนั้น “หนึ่งในล้าน” ใช้ตอบได้ตรง ๆ เมื่อพูดถึงการสุ่มครั้งเดียวภายใต้สมมติฐานว่าทั้งล้านชุดมีโอกาสเท่ากัน ส่วนความปลอดภัยของบัญชีจริงยังขึ้นกับการสุ่มที่คาดเดาไม่ได้ อายุของรหัส การใช้ซ้ำไม่ได้ และการควบคุมการลองผิด หากมีรหัส OTP ที่ไม่ได้ร้องขอ อย่าส่งต่อให้ใคร แม้คนติดต่อจะอ้างว่ากำลังช่วยตรวจบัญชีก็ตาม

ขอบคุณภาพประกอบจาก https://graphic.in.th