การยืนยัน SMS สำหรับ MFA

Logto รองรับฟังก์ชันการยืนยันตัวตนหลายปัจจัย (MFA) ผ่าน SMS ที่ช่วยเพิ่มความปลอดภัยของบัญชีโดยการส่งรหัสยืนยันแบบใช้ครั้งเดียวไปยังหมายเลขโทรศัพท์ที่ลงทะเบียนของผู้ใช้ การใช้ SMS MFA เป็นปัจจัยการยืนยันตัวตนลำดับที่สอง และสามารถผสมกับปัจจัย MFA อื่น ๆ (เช่น TOTP, passkeys, รหัสสำรอง) เพื่อให้ผู้ใช้มีตัวเลือกการยืนยันตัวตนสองขั้นตอนที่ยืดหยุ่น

แนวคิด

การยืนยัน SMS หรือที่เรียกว่าการยืนยันหมายเลขโทรศัพท์ เป็นหนึ่งในวิธี MFA ที่เข้าถึงได้ง่ายที่สุด โดยอาศัยความแพร่หลายของโทรศัพท์มือถือในการส่งรหัสยืนยันแบบชั่วคราวและใช้ครั้งเดียวไปยังอุปกรณ์ของผู้ใช้ผ่านข้อความ SMS แตกต่างจากแอปยืนยันตัวตนที่ต้องติดตั้งซอฟต์แวร์เพิ่มเติม SMS MFA ใช้โครงสร้างพื้นฐานการส่งข้อความที่มีอยู่ในทุกอุปกรณ์มือถือ ทำให้ผู้ใช้สามารถใช้งานได้ทันทีโดยไม่ต้องตั้งค่าใด ๆ

ตั้งค่าการยืนยัน SMS สำหรับ MFA

ขั้นตอนที่ 1: ตั้งค่าตัวเชื่อมต่อ SMS และแม่แบบข้อความ

1. ไปที่ Console > ตัวเชื่อมต่อ > ตัวเชื่อมต่ออีเมลและ SMS
2. เลือกตัวเชื่อมต่อ SMS ที่เหมาะสม (Twilio, SMS Aero ฯลฯ)
3. กำหนดค่าพารามิเตอร์การเชื่อมต่อ
4. ตั้งค่าแม่แบบข้อความ SMS สำหรับ MFA โดยใช้ประเภทการใช้งานที่กำหนดไว้
   • MfaVerification usageType สำหรับการยืนยัน MFA
   • BindMFA usageType สำหรับการผูก MFA
5. ทดสอบการทำงานของตัวเชื่อมต่อเพื่อให้แน่ใจว่าส่งข้อความได้ถูกต้อง
6. ดูรายละเอียดการตั้งค่าเฉพาะผู้ให้บริการได้ที่ ตัวเชื่อมต่อ SMS

ขั้นตอนที่ 2: เปิดใช้งาน SMS สำหรับ MFA

1. ไปที่ Console > การยืนยันตัวตนหลายปัจจัย
2. เปิดใช้งานปัจจัย "รหัสยืนยัน SMS" แนะนำให้ใช้ SMS MFA ร่วมกับปัจจัย MFA อื่น ๆ (TOTP, passkeys, รหัสสำรอง) เพื่อลดการพึ่งพาปัจจัยเดียว
3. กำหนดนโยบาย MFA ที่ต้องการ (บังคับใช้หรือไม่บังคับ)
4. บันทึกการเปลี่ยนแปลงการตั้งค่า

ข้อควรพิจารณาในการใช้งานที่สำคัญ:

1. ข้อจำกัดวิธีการลงชื่อเข้าใช้: รหัสยืนยัน SMS ไม่สามารถใช้เป็นทั้ง วิธีการลงชื่อเข้าใช้ (1FA) และปัจจัย MFA (2FA) พร้อมกันได้ ให้เลือกหนึ่งกระบวนการยืนยันตัวตนต่อการใช้งาน SMS

2. ความเข้ากันได้กับวิธีสมัครสมาชิก: รหัสยืนยัน SMS สามารถใช้ได้ทั้งสำหรับวิธีสมัครสมาชิกและ MFA พร้อมกัน Logto จะปรับปรุงขั้นตอนการลงทะเบียนของผู้ใช้ปลายทางตามนโยบาย MFA ที่เลือกไว้ เพื่อหลีกเลี่ยงการขอรหัสยืนยัน SMS ซ้ำสำหรับหมายเลขเดียวกัน

3. ความเข้ากันได้กับการกู้คืนรหัสผ่าน: แม้ว่ารหัสยืนยัน SMS จะสามารถใช้ได้ทั้ง ลืมรหัสผ่าน และ MFA พร้อมกัน แต่ ไม่แนะนำ ให้ตั้งค่าแบบนี้ เพราะจะลดประสิทธิภาพความปลอดภัยของ MFA ผู้ใช้อาจข้าม MFA ได้โดยใช้รหัสยืนยัน SMS สำหรับลืมรหัสผ่านเพื่อรีเซ็ตรหัสผ่าน แล้วใช้รหัสผ่านใหม่สำหรับการยืนยันตัวตนหลัก (1FA) ตามด้วยวิธี SMS เดิมสำหรับ MFA

ขั้นตอนการตั้งค่า SMS MFA

หน้าตั้งค่า MFA อาจปรากฏระหว่างการลงทะเบียนผู้ใช้หรือหลังจากลงชื่อเข้าใช้ ขึ้นอยู่กับ นโยบาย MFA ที่คุณตั้งค่าไว้

ขั้นตอนการตั้งค่า SMS MFA จะได้รับผลกระทบจากปัจจัยต่อไปนี้:

• จำนวนปัจจัย MFA หลัก: หากมีปัจจัยหลักหลายรายการ ผู้ใช้ต้องเลือกหนึ่งรายการเพื่อตั้งค่า ปัจจัยหลักคือวิธี MFA ที่ไม่ใช่รหัสสำรอง
• เปิดใช้งานรหัสสำรอง: เมื่อเปิดใช้งาน รหัสสำรองจะถูกสร้างอัตโนมัติหลังจากตั้งค่าปัจจัย MFA หลัก ผู้ใช้จะถูกแจ้งให้บันทึกรหัสเหล่านี้
• การตั้งค่าตัวระบุสมัครสมาชิก: หากหมายเลขโทรศัพท์ถูกใช้เป็น ตัวระบุสมัครสมาชิก และผู้ใช้ได้ยืนยันแล้วด้วยรหัส SMS ระหว่างการลงทะเบียน ระบบจะผูกหมายเลขนั้นเป็นปัจจัย MFA โดยอัตโนมัติและไม่ต้องยืนยันซ้ำ หากมีปัจจัยหลักอื่น ๆ UI จะแสดงตัวเลือก “เพิ่มการยืนยัน 2 ขั้นตอนอีกหนึ่งรายการ” (ผู้ใช้สามารถข้ามได้) ซึ่งจะแจ้งชัดเจนว่า MFA ถูกเปิดใช้งานแล้ว
• ข้อมูลผู้ใช้ที่มีอยู่: เมื่อผู้ใช้ที่มีอยู่ตั้งค่า MFA หลังจากลงชื่อเข้าใช้ จะต้องผ่านการยืนยันตัวตนหลักก่อน จากนั้นจึงตั้งค่า MFA หากบัญชีมีหมายเลขโทรศัพท์หลักที่ยืนยันแล้ว ขั้นตอนจะเหมือนกับกรณีตัวระบุสมัครสมาชิกข้างต้น

ด้านล่างคือตัวอย่างสถานการณ์การผูก SMS MFA ที่พบบ่อย 3 แบบ

สถานการณ์ที่ 1: ใช้หมายเลขโทรศัพท์สำหรับ MFA เท่านั้น (ขั้นตอนปกติ)

เมื่อหมายเลขโทรศัพท์ไม่ได้เป็นหนึ่งในตัวระบุสมัครสมาชิก และใช้สำหรับ MFA เท่านั้น ให้ดำเนินการตามลำดับขั้นตอนมาตรฐาน:

• หากมีปัจจัย SMS MFA เพียงรายการเดียว ให้แสดงหน้าตั้งค่าสำหรับปัจจัยนั้นโดยตรง
• หากมีปัจจัย MFA หลักหลายรายการ ให้แสดงหน้ารายการ “ตั้งค่า MFA” และให้ผู้ใช้เลือกว่าจะตั้งค่าปัจจัยใด

ตัวอย่าง:

สมัครสมาชิก: อีเมล + รหัสยืนยันอีเมล + รหัสผ่าน | MFA: รหัสยืนยัน SMS + รหัสสำรอง

สมัครสมาชิก: อีเมล + รหัสยืนยันอีเมล + รหัสผ่าน | MFA: รหัสยืนยัน SMS + Passkeys + Authenticator app OTP + รหัสสำรอง

สถานการณ์ที่ 2: หมายเลขโทรศัพท์ได้รับการยืนยันเป็นตัวระบุสมัครสมาชิก

หากหมายเลขโทรศัพท์เป็นตัวระบุสมัครสมาชิก และผู้ใช้ได้ยืนยันแล้วด้วยรหัส SMS ระหว่างการสมัคร ระบบจะผูกหมายเลขนั้นเป็นปัจจัย MFA โดยอัตโนมัติ — ไม่ต้องยืนยันซ้ำ

ตัวอย่าง:

สมัครสมาชิก: หมายเลขโทรศัพท์ + รหัสยืนยัน SMS + รหัสผ่าน | MFA: รหัสยืนยัน SMS + รหัสสำรอง

สถานการณ์ที่ 3: หมายเลขโทรศัพท์ได้รับการยืนยันแต่มีปัจจัยหลักหลายรายการ

หากหมายเลขโทรศัพท์ได้รับการยืนยันตอนสมัคร (เป็นตัวระบุสมัครสมาชิก) แต่บัญชีมีปัจจัย MFA หลักหลายรายการ (เช่น SMS ร่วมกับ passkeys หรือแอปยืนยันตัวตน) UI จะแจ้งผู้ใช้ด้วย “เพิ่มการยืนยัน 2 ขั้นตอนอีกหนึ่งรายการ” ผู้ใช้อาจเลือกเพิ่มปัจจัยอื่นหรือข้ามก็ได้ โดยหน้าต่างนี้จะแจ้งชัดเจนว่า MFA ถูกเปิดใช้งานแล้ว

ตัวอย่าง:

สมัครสมาชิก: หมายเลขโทรศัพท์ + รหัสยืนยัน SMS + รหัสผ่าน | MFA: รหัสยืนยัน SMS + Passkeys + Authenticator app OTP + รหัสสำรอง

ขั้นตอนการยืนยัน SMS MFA

เมื่อผู้ใช้ที่เปิดใช้งาน SMS MFA ลงชื่อเข้าใช้ หลังจากผ่านการยืนยันตัวตนหลัก (1FA) สำเร็จแล้ว จะถูกขอให้ยืนยันตัวตนด้วยรหัสยืนยัน SMS เป็นปัจจัยการยืนยันตัวตนลำดับที่สอง (2FA)

หากมีปัจจัย MFA หลายรายการ ผู้ใช้สามารถเลือกจากปัจจัยที่ตั้งค่าไว้ ระบบจะกำหนดลำดับความสำคัญของปัจจัย MFA ที่จะแสดงก่อนตามลำดับที่ตั้งค่าไว้ใน ตั้งค่า MFA

ตัวอย่าง:

ลงชื่อเข้าใช้: อีเมล + รหัสผ่าน | MFA: รหัสยืนยัน SMS (ใช้ครั้งล่าสุด) / Authenticator app OTP / รหัสสำรอง

การจัดการข้อผิดพลาด

1. ยังไม่ได้ผูกหมายเลขโทรศัพท์

   • รหัสข้อผิดพลาด: session.mfa.mfa_factor_not_enabled
   • วิธีแก้ไข: แนะนำให้ผู้ใช้ผูกหมายเลขโทรศัพท์ก่อน

2. รหัสยืนยันไม่ถูกต้อง

   • รหัสข้อผิดพลาด: verification_code.code_mismatch
   • วิธีแก้ไข: แจ้งให้ผู้ใช้กรอกใหม่ จำกัดจำนวนครั้งที่ลอง

3. รหัสยืนยันหมดอายุ

   • รหัสข้อผิดพลาด: verification_code.expired
   • วิธีแก้ไข: แจ้งให้ผู้ใช้ขอรหัสใหม่

4. เกินขีดจำกัดการส่ง

   • รหัสข้อผิดพลาด: connector.rate_limit_exceeded
   • วิธีแก้ไข: แสดงเวลารอ จำกัดการส่งซ้ำ