โปรแกรมจัดการรหัสผ่าน

**โปรแกรมจัดการรหัสผ่าน** หรือ **โปรแกรมเก็บรหัสผ่าน** () เป็นโปรแกรมคอมพิวเตอร์ที่ให้ผู้ใช้เก็บและจัดการข้อมูลบัญชีและรหัสผ่าน
เพื่อใช้กับหรือกับบริการออนไลน์ เช่น โปรแกรมประยุกต์บนเว็บ การซื้อของออนไลน์ หรือ
แม้เว็บเบราว์เซอร์ปกติจะมีตัวจัดการรหัสผ่านในตัว 
แต่ก็มักมีข้อติเพราะไม่เก็บรหัสผ่านให้ปลอดภัยโดยเป็นค่าเบื้องต้น (เช่น ไม่เข้ารหัสลับ) จึงทำให้ถูกแฮ็กได้ 

โปรแกรมเช่นนี้ปกติจะสามารถใช้สร้างรหัสผ่าน
และกรอกแบบฟอร์มบนเว็บ
อาจมีรูปแบบเป็นทั้งแอปคอมพิวเตอร์ แอปอุปกรณ์เคลื่อนที่ และส่วนขยายเว็บบราวเซอร์

โปรแกรมสามารถช่วยสร้างรหัสผ่านที่ซับซ้อนและปลอดภัย
แล้วเก็บไว้ในฐานข้อมูลที่ปกติเข้ารหัสลับ
นอกจากรหัสผ่าน โปรแกรมอาจช่วยเก็บข้อมูลอื่นๆ เช่น บัตรเครดิต ที่อยู่ และข้อมูลสมาชิกต่างๆ

ประโยชน์หลักของโปรแกรมนี้ก็เพื่อแก้ปัญหาความมั่นคงคอมพิวเตอร์ที่ผู้ใช้เบื่อการจำรหัสผ่านที่ต่างๆ กันสำหรับบริการต่างๆ
โปรแกรมปกติจะมีรหัสผ่านหลักเพื่อปลดล็อกและเข้าถึงข้อมูลที่เก็บไว้ในแอป
โปรแกรมอาจจะมีลูกเล่นให้พิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง
เช่น พิสูจน์ด้วยลายนิ้วมือหรือด้วยใบหน้า
แม้ปกติจะไม่บังคับ

## ประวัติ
โปรแกรมแรกที่ออกแบบเพื่อเก็บรหัสผ่านอย่างปลอดภัย ก็คือ Password Safe ซึ่งเขียนโดยนักวิทยาการเข้ารหัสลับชาวอเมริกัน บรูซ  (Bruce Schneier) เป็นโปรแกรมฟรีที่ออกตัวในวันที่5 กันยายน 1997
ออกแบบเพื่อให้ใช้บนวินโดวส์ 95 ของไมโครซอฟท์ เป็นโปรแกรมที่ใช้ขั้นตอนวิธี"โบลว์ฟิช" ของบรูซ ชไนเออร์เองเพื่อเข้ารหัสลับเพื่อรักษารหัสผ่านและข้อมูลสำคัญอื่นๆ 
แม้จะเป็นโปรแกรมฟรี แต่เพราะในเวลานั้นสหรัฐได้จำกัดการนำออกเครื่องมือการเข้ารหัสลับ ดังนั้น จึงมีแต่คนสหรัฐและแคนาดาเท่านั้นที่ดาวน์โหลดโปรแกรมได้
ปัจจุบันเพราะกูเกิล โครมได้กลายเป็นยอดนิยม 
จึงมีการใช้ตัวจัดการรหัสผ่านของกูเกิลเองมากที่สุดเมื่อเดือนธันวาคม 2023 

## ชนิด
โปรแกรมจัดการรหัสผ่านมีหลายรูปแบบ แต่ละอย่างมีส่วนดีและส่วนเสีย

;ตัวจัดการรหัสผ่านของเว็บบราวเซอร์: มีอยู่ในบราวเซอร์รวมทั้งโครม ซาฟารี ไฟร์ฟอกซ์ และเอ็ดจ์ มีลูกเล่นในการจัดการรหัสผ่านขั้นพื้นฐาน โดยใช้บนอุปกรณ์ที่สนับสนุนบราวเซอร์นั้นๆ แต่บางชนิดอาจจะขาดลูกเล่นบางอย่างเช่น การซิงค์อย่างปลอดภัยไปยังอุปกรณ์ต่างๆ หรือการเข้ารหัสลับที่ดี

;โปรแกรมจัดการรหัสผ่านเฉพาะเครื่อง: เป็นแอปต่างหากที่ติดตั้งบนอุปกรณ์ของผู้ใช้ มีความมั่นคงที่ดีเพราะรหัสผ่านจะเก็บไว้เฉพาะในเครื่อง แต่ก็อาจจะเข้าถึงได้ที่เครื่องนั้นเท่านั้น โปรแกรมโอเพนซอร์สที่นิยมรวมทั้ง KeePass และ Password Safe

;โปรแกรมจัดการรหัสผ่านที่อาศัยกลุ่มเมฆ: นี่จะเก็บรหัสผ่านที่เข้ารหัสไว้บนเซิร์ฟเวอร์ของบริษัท จึงสามารถเข้าถึงได้จากอุปกรณ์ที่สนับสนุนและต่อเน็ต ปกติจะมีลูกเล่นเช่นการซิงค์โดยอัตโนมัติ การแชร์รหัสผ่านอย่างปลอดภัย และการเข้ารหัสลับที่ดี ตัวอย่างโปรแกรมรวมทั้ง 1Password, Bitwarden และ Dashlane

;ตัวจัดการรหัสผ่านสำหรับองค์กร: ออกแบบสำหรับองค์กรเพื่อให้จัดการบัญชีต่างๆ ที่ใช้ในองค์กร ซึ่งสามารถใช้ร่วมกับบริการสารบบและระบบควบคุมการเข้าถึงที่มีอยู่ มักจะมีลูกเล่นแบบซับซ้อนเช่น การให้อนุญาตตามบทบาทและการบริหารการเข้าถึงบัญชีที่มีอภิสิทธิ์ บริษัทที่ให้บริการรวมทั้ง CyberArk และ Delinea (ก่อนนี้เป็น Thycotic)

;ฮาร์ดแวร์จัดการรหัสผ่าน: เป็นฮาร์ดแวร์ที่มักอยู่ในรูปแบบของอุปกรณ์ยูเอสบี ซึ่งเพิ่มความปลอดภัยให้กับการบริหารรหัสผ่านอีกระดับหนึ่ง บางอย่างทำหน้าที่เป็น security token เพื่อเข้าถึงข้อมูลรหัสผ่าน เช่น Yubikey และ OnlyKey แต่บางอย่างก็เพิ่มให้เก็บรหัสผ่านในที่เก็บออฟไลน์ด้วย เช่น OnlyKey

## ความอ่อนแอ
### การเก็บข้อมูลไม่ดี
โปรแกรมบางตัวเก็บข้อมูลในไฟล์ที่ไม่เข้ารหัสลับ ทำให้มัลแวร์หรือคนอื่นขโมยข้อมูลได้ง่าย 

### รหัสผ่านหลักอาจเป็นจุดอ่อน
โปรแกรมบางตัวกำหนดให้ผู้ใช้เลือกรหัสผ่านหลักเพื่อสร้างกุญแจในการเข้ารหัสลับ
ความมั่นคงของวิธีนี้จึงอาศัยความเข้มแข็งของรหัสผ่านที่เลือก (ซึ่งคนอื่นหรือมัลแวร์อาจจะเดาได้) โดยจะต้องไม่เก็บรหัสผ่านหลักไว้ในที่ๆ ซึ่งมัลแวร์หรือบุคคลอื่นๆ เปิดดูได้ 
เพราะถ้ารหัสผ่านหลักหลุด ก็จะทำรหัสผ่านอื่นทั้งหมดที่เก็บไว้ให้หลุดออกไปด้วย ซึ่งหมายความว่า ความล้มเหลวที่จุดๆ เดียว ก็จะทำให้ข้อมูลสำคัญอื่นๆ หลุดออกไปทั้งหมด 
การใช้ตัวจัดการจึงอาจก่อภาวะความล้มเหลวที่จุดๆ เดียว

### อุปกรณ์ที่ใช้ต้องปลอดภัย
แม้โปรแกรมเช่นนี้ปกติจะช่วยรักษาความปลอดภัยของข้อมูลส่วนบุคคลได้ดี แต่จะดีแค่ไหนก็ขึ้นอยู่กับความปลอดภัยของอุปกรณ์ผู้ใช้ด้วย 
เพราะถ้าติดมัลแวร์เช่นแบบที่เรียกว่า แรคคูน ซึ่งขโมยข้อมูลได้เก่งมาก วิธีการป้องกันความปลอดภัยของโปรแกรมเดี่ยวๆ ก็อาจไม่ได้ผล 
เพราะมัลแวร์เช่นตัวบันทึกคีย์ (keylogger) จะสามารถขโมยรหัสผ่านหลักที่ใช้เข้าโปรแกรมจัดการรหัสผ่าน จึงทำให้เข้าถึงข้อมูลส่วนบุคคลที่เหลือซึ่งเก็บไว้ทั้งหมด 
ส่วนอาจใช้ก๊อปข้อมูลสำคัญที่ก๊อปออกมาจากตัวจัดการรหัสผ่าน 
อนึ่ง มัลแวร์บางอย่างอาจจะขโมยไฟล์ที่เข้ารหัสลับของตัวจัดการรหัสผ่านเอง
ดังนั้น อุปกรณ์ที่ถูกแฮ็กหรือมีมัลแวร์ขโมยรหัสผ่าน ก็อาจทำการป้องกันความปลอดภัยของโปรแกรมเช่นนี้ให้ไม่ได้ผล และทำให้ข้อมูลสำคัญในที่สุดก็ถูกขโมยไปได้

เหมือนกับวิธีการพิสูจน์ตัวผู้ใช้ด้วยรหัสผ่านอื่นๆ ผู้ร้ายอาจใช้วิธีการบันทึกคีย์ (key logging) หรือวิธีการวิเคราะห์เสียงกดคีย์ (acoustic cryptanalysis) เพื่อ ให้ได้หรือใช้เดารหัสผ่านหลัก 
โปรแกรมเก็บรหัสผ่านบางตัวอาจพยายามแก้ปัญหานี้โดยใช้คีย์บอร์ดเสมือน (virtual keyboard) 
แต่นี่ก็อาจยังอ่อนแอต่อโปรแกรมบันทึกคีย์ (key logger) ที่เก็บการกดคีย์ไว้แล้วส่งไปให้ผู้ร้าย

### การเก็บข้อมูลในกลุ่มเมฆ
โปรแกรมเก็บรหัสผ่านในกลุ่มเมฆ (Cloud-based) ช่วยให้สามารถเก็บข้อมูลบัญชีต่างๆ ไว้กับศูนย์กลาง
แต่ก็อาจมีปัญหาทางความปลอดภัยเพิ่มขึ้น
เช่น บริษัทที่เก็บไฟล์รหัสผ่านอาจจะถูกแฮ็กเอง 
ซึ่งถ้าเหตุการณ์เช่นนี้เกิดขึ้น ผู้ร้ายจะก็มีโอกาสได้ข้อมูลบัญชีผู้ใช้เป็นจำนวนมาก 
ปัญหาข้อมูลลับรั่วไหลในปี2022 ที่เกิดกับโปรแกรมเก็บรหัสผ่าน Lasspass เป็นตัวอย่างหนึ่ง

### ความมั่นคงของตัวสร้างรหัสผ่าน
โปรแกรมบางตัวอาจมีตัวช่วยสร้างรหัสผ่าน (password generator)
รหัสผ่านที่สร้างขึ้นอาจจะเดาได้ถ้าตัวสร้างรหัสผ่านใช้วิธีการสร้างซีด (seed) แบบสุ่มที่อ่อนแอ 
มีตัวอย่างที่พบ เช่น โปรแกรมจัดการรหัสผ่านของแคสเปอร์สกีในปี2021 พบว่าใช้วิธีที่ทำให้เดารหัสผ่านที่สร้างขึ้นได้

### ความอ่อนแออื่นๆ
งานศึกษาปี2014 ของนักวิจัยที่มหาวิทยาลัยคาร์เนกีเมลลอนพบว่า 
แม้ตัวจัดการรหัสผ่านของ*เว็บบราวเซอร์*เองจะไม่ยอมใส่รหัสผ่านในหน้าล็อกอินที่เข้ารหัสลับต่างกับเมื่อจัดเก็บรหัสผ่าน (เอชทีทีพี เทียบกับเอชทีทีพีเอส) 
แต่โปรแกรมจัดการรหัสผ่านอื่นบางอย่างก็ยังใส่รหัสลับอย่างไม่ปลอดภัยในหน้าล็อกอินที่ไม่เข้ารหัสลับ (เอชทีทีพี) แม้เบื้องต้นจะได้เก็บรหัสผ่านจากหน้าเว็บที่เข้ารหัสลับ (เอชทีทีพีเอส)
อนึ่ง โปรแกรมจัดการรหัสผ่านโดยมากก็ไม่ป้องกันการถูกโจมตีเนื่องกับ iframe และ URL redirection ด้วยซึ่งอาจทำให้รหัสผ่านมีโอกาสหลุดออกไปได้มากขึ้นเมื่อซิงค์ข้อมูลไปยังอุปกรณ์ต่างๆ

## การบล็อกไม่ให้ใช้ตัวจัดการรหัสผ่าน
มีเว็บไซต์ที่มีชื่อเสียงหลายแห่งซึ่งพยายามบล็อกไม่ให้ใช้ตัวจัดการรหัสผ่านเพื่อใส่รหัสผ่าน แต่ก็มักจะยอมเมื่อถูกเปิดเผยให้เป็นข่าว
เหตุผลที่มักอ้างรวมทั้งเพื่อป้องกันการถูกโจมตีด้วยระบบอัตโนมัติ เพื่อป้องกันฟิชชิง เพื่อป้องกันมัลแวร์ หรือไม่ก็อ้างอย่างโต้งๆ ว่าเข้ากันไม่ได้ 
ซอฟต์แวร์ความมั่นคง Trusteer ของบริษัทไอบีเอ็มมีลูกเล่นให้บล็อกโปรแกรมจัดการรหัสผ่านโดยเฉพาะ

ส่วนคนมืออาชีพทางด้านการรักษาความปลอดภัยทางข้อมูลได้วิจารณ์ว่าการบล็อกเช่นนี้ทำให้ผู้ใช้ปลอดภัยน้อยลง
วิธีทำให้การบล็อกเกิดผลก็คือ การใช้โค๊ดว่า `autocomplete='off'` ในหน้าเว็บที่ให้ใส่รหัสผ่าน
ดังนั้นต่อมา โปรแกรมต่างๆ จึงต่างไม่สนใจคำสั่งนี้ในหน้าเว็บที่เข้ารหัสลับ
รวมทั้งไฟร์ฟอกซ์ตั้งแต่รุ่น 38
โครมตั้งแต่รุ่น 34
และ ซาฟารีตั้งแต่รุ่น 7.0.2

## ดูเพิ่ม
* การจัดการรหัสผ่าน
* ความแข็งแกร่งของรหัสผ่าน
* สมาร์ตการ์ด
* วิทยาการรหัสลับ

## เชิงอรรถและอ้างอิง

## แหล่งข้อมูลอื่น
* 
หมวดหมู่:ซอฟต์แวร์
หมวดหมู่:ฮาร์ดแวร์คอมพิวเตอร์
หมวดหมู่:รหัสผ่าน
หมวดหมู่:การจัดการรหัสผ่าน
หมวดหมู่:ความมั่นคงของระบบคอมพิวเตอร์
หมวดหมู่:การบริหารระบบ
หมวดหมู่:การระบุ
หมวดหมู่:ความมั่นคงของเครือข่ายคอมพิวเตอร์
หมวดหมู่:อินเทอร์เน็ต
หมวดหมู่:เทคโนโลยีเว็บ
หมวดหมู่:วิทยาการเข้ารหัสลับ
หมวดหมู่:การพิสูจน์ตัวจริงด้วยรหัสผ่าน