Passkey คืออะไร? วิธีเข้าสู่ระบบแบบไม่ใช้รหัสผ่านที่ช่วยลดความเสี่ยงฟิชชิง

รหัสผ่านเป็นจุดอ่อนสำคัญของบัญชีออนไลน์ เพราะผู้ใช้อาจตั้งรหัสซ้ำ จำรหัสไม่ได้ หรือเผลอกรอกข้อมูลลงในเว็บไซต์ปลอม ปัจจุบันบริการออนไลน์หลายแห่งจึงเริ่มใช้ Passkey เป็นทางเลือกใหม่ในการเข้าสู่ระบบ โดยยืนยันตัวตนผ่านลายนิ้วมือ ใบหน้า PIN หรือรูปแบบปลดล็อกหน้าจอที่เราคุ้นเคย

Passkey ไม่ได้เป็นเพียงวิธีล็อกอินที่สะดวกขึ้น แต่ถูกออกแบบให้ลดความเสี่ยงจากฟิชชิงและการขโมยฐานข้อมูลรหัสผ่านโดยตรง บทความนี้จะอธิบายว่า Passkey ทำงานอย่างไร แตกต่างจากรหัสผ่านและ 2FA แบบเดิมตรงไหน รวมถึงสิ่งที่ควรเตรียมก่อนเริ่มใช้งาน

Passkey คืออะไร

Passkey คือข้อมูลรับรองตัวตนตามมาตรฐาน FIDO ที่ใช้กุญแจเข้ารหัสเป็นคู่ ได้แก่ กุญแจสาธารณะ ซึ่งเว็บไซต์หรือแอปเก็บไว้ และ กุญแจส่วนตัว ซึ่งอยู่กับอุปกรณ์หรือผู้ให้บริการจัดเก็บ Passkey ของผู้ใช้ เมื่อเข้าสู่ระบบ อุปกรณ์จะใช้กุญแจส่วนตัวลงนามเพื่อพิสูจน์ตัวตน โดยไม่ต้องส่งรหัสลับให้เว็บไซต์

ผู้ใช้ปลดล็อก Passkey ด้วยวิธีเดียวกับที่ใช้ปลดล็อกโทรศัพท์หรือคอมพิวเตอร์ เช่น สแกนใบหน้า ลายนิ้วมือ หรือใส่ PIN ข้อมูลชีวมิติใช้เพื่อปลดล็อกกุญแจภายในอุปกรณ์และไม่ได้ถูกส่งไปให้เว็บไซต์

ทำไม Passkey จึงช่วยป้องกันฟิชชิงได้

• ไม่มีรหัสผ่านให้ขโมย ผู้ใช้จึงไม่สามารถเผลอบอกรหัสผ่านแก่คนร้ายหรือกรอกลงในแบบฟอร์มปลอมได้
• ผูกกับเว็บไซต์หรือบริการที่ถูกต้อง Passkey แต่ละรายการถูกสร้างให้ใช้กับโดเมนที่ลงทะเบียนไว้ เบราว์เซอร์จึงไม่ใช้กุญแจนั้นกับเว็บไซต์เลียนแบบ
• ไม่เสี่ยงจากการใช้รหัสซ้ำ ทุกบัญชีมีกุญแจเข้ารหัสเฉพาะของตัวเองโดยอัตโนมัติ
• ฐานข้อมูลฝั่งเว็บไซต์ไม่มีความลับที่ใช้ล็อกอินแทนผู้ใช้ได้ แม้กุญแจสาธารณะถูกเปิดเผย ผู้โจมตีก็ไม่สามารถนำไปสร้างกุญแจส่วนตัวได้

Passkey ต่างจากรหัสผ่านและ 2FA อย่างไร

รหัสผ่านอาศัย “สิ่งที่ผู้ใช้รู้” และสามารถถูกคัดลอกหรือหลอกถามได้ ส่วน 2FA แบบรหัส OTP เพิ่มขั้นตอนยืนยันตัวตนอีกชั้น แต่ผู้ใช้ยังอาจกรอกทั้งรหัสผ่านและ OTP ลงในเว็บไซต์ฟิชชิงได้

Passkey รวมการครอบครองอุปกรณ์เข้ากับการปลดล็อกอุปกรณ์ เช่น PIN หรือลายนิ้วมือ ในหลายบริการจึงสามารถใช้เป็นทั้งขั้นตอนเข้าสู่ระบบและการยืนยันตัวตนที่แข็งแรง อย่างไรก็ตาม นโยบายของแต่ละบริการไม่เหมือนกัน บางแห่งยังคงขอการยืนยันเพิ่มเติมหรือเก็บรหัสผ่านไว้เป็นช่องทางสำรอง

วิธีเริ่มใช้ Passkey อย่างปลอดภัย

1. เปิดการล็อกหน้าจอบนอุปกรณ์ก่อน ตั้ง PIN ที่คาดเดายาก และเปิดลายนิ้วมือหรือการสแกนใบหน้าหากต้องการ
2. เข้าเมนูความปลอดภัยของบัญชี มองหาคำว่า Passkey, รหัสผ่านและความปลอดภัย หรือวิธีลงชื่อเข้าใช้ แล้วเลือกสร้าง Passkey
3. สร้างบนอุปกรณ์ส่วนตัวเท่านั้น ไม่ควรสร้าง Passkey บนเครื่องสาธารณะ เครื่องยืม หรืออุปกรณ์ที่หลายคนรู้รหัสปลดล็อก
4. ทดสอบเข้าสู่ระบบก่อนเปลี่ยนการตั้งค่าเดิม ตรวจว่า Passkey ใช้งานได้ทั้งบนโทรศัพท์และคอมพิวเตอร์ที่ใช้ประจำ
5. เก็บช่องทางกู้คืนบัญชีให้เป็นปัจจุบัน ตรวจหมายเลขโทรศัพท์ อีเมลสำรอง รหัสกู้คืน หรือกุญแจความปลอดภัยตามที่บริการรองรับ
6. ตรวจรายการ Passkey เป็นระยะ ลบรายการของอุปกรณ์ที่ขายต่อ สูญหาย หรือไม่ได้ใช้งานแล้วจากหน้าความปลอดภัยของบัญชี

Passkey ถูกเก็บไว้ที่ไหน

Passkey อาจถูกซิงก์ผ่านระบบจัดการข้อมูลรับรอง เช่น Google Password Manager, Apple Passwords/iCloud Keychain หรือผู้ให้บริการจัดการรหัสผ่านที่รองรับ การซิงก์ช่วยให้ใช้ Passkey บนอุปกรณ์หลายเครื่องในระบบเดียวกันได้ นอกจากนี้ยังมี Passkey แบบผูกกับอุปกรณ์หรือกุญแจความปลอดภัยโดยเฉพาะ ซึ่งเหมาะกับงานที่ต้องการควบคุมอุปกรณ์อย่างเข้มงวด

เมื่อต้องเข้าสู่ระบบบนคอมพิวเตอร์เครื่องอื่น บางบริการสามารถแสดง QR Code ให้สแกนด้วยโทรศัพท์เพื่อยืนยันตัวตน โดยกุญแจส่วนตัวยังคงอยู่ในระบบที่จัดเก็บ Passkey และไม่ถูกส่งเป็นข้อความให้ผู้ใช้คัดลอก

ถ้าโทรศัพท์หายจะเข้าบัญชีอย่างไร

การทำโทรศัพท์หายไม่ได้แปลว่าบัญชีจะหายตามไปด้วย หาก Passkey ถูกซิงก์ ผู้ใช้อาจเรียกคืนผ่านอุปกรณ์ที่เชื่อถือได้อีกเครื่องหรือระบบกู้คืนของผู้ให้บริการ หากเป็น Passkey ที่ผูกกับอุปกรณ์เพียงเครื่องเดียว จำเป็นต้องใช้วิธีสำรองที่เตรียมไว้ เช่น อุปกรณ์เครื่องที่สอง กุญแจความปลอดภัย รหัสกู้คืน หรือกระบวนการกู้บัญชี

หลังอุปกรณ์สูญหาย ควรสั่งล็อกหรือลบข้อมูลจากระยะไกล ตรวจสอบกิจกรรมบัญชี และลบ Passkey ของอุปกรณ์นั้นออกจากการตั้งค่าความปลอดภัยโดยเร็ว แม้คนอื่นจะต้องปลดล็อกอุปกรณ์ให้ได้ก่อนใช้งาน แต่ไม่ควรพึ่งกลไกนี้เพียงอย่างเดียว

ข้อจำกัดที่ควรรู้ก่อนเลิกใช้รหัสผ่าน

• เว็บไซต์และแอปบางแห่งยังไม่รองรับ Passkey หรือรองรับเฉพาะบางอุปกรณ์
• การย้ายข้ามระบบจัดการ Passkey อาจมีขั้นตอนแตกต่างกันตามผู้ให้บริการ
• อุปกรณ์ที่ใช้ร่วมกันไม่เหมาะสำหรับสร้าง Passkey ส่วนตัว
• บัญชีที่ไม่มีช่องทางกู้คืนหรืออุปกรณ์สำรองอาจเข้าถึงได้ยากเมื่ออุปกรณ์หลักเสียหาย
• Passkey ลดความเสี่ยงจากฟิชชิงได้มาก แต่ยังต้องระวังการหลอกให้อนุมัติธุรกรรม การยึดอุปกรณ์ และการเข้าถึงบัญชีอีเมลกู้คืน

สรุป

Passkey เป็นก้าวสำคัญจากการจำรหัสผ่านไปสู่การยืนยันตัวตนด้วยกุญแจเข้ารหัส ช่วยลดปัญหารหัสผ่านซ้ำ การขโมยข้อมูลรับรอง และเว็บไซต์ฟิชชิงได้อย่างมีนัยสำคัญ ผู้ใช้ทั่วไปควรเริ่มทดลองกับบัญชีสำคัญที่รองรับ แต่ควรสร้างบนอุปกรณ์ส่วนตัว ทดสอบการเข้าสู่ระบบ และเตรียมช่องทางกู้คืนก่อนปิดวิธีเดิม

แหล่งข้อมูลอ้างอิง: FIDO Alliance: Passkeys, Google Account Help: Sign in with a passkey และ Apple Support: About the security of passkeys