LastPass และความปลอดภัยของรหัสผ่านในยุค Passkeys
เหตุการณ์ข้อมูลรั่วไหลของ LastPass สร้างความกังวลให้กับผู้ใช้งานจำนวนมาก โดยเฉพาะเมื่อมีคำถามว่าซอฟต์แวร์จัดการรหัสผ่านที่ได้รับคำแนะนำจากผู้เชี่ยวชาญยังคงปลอดภัยอยู่หรือไม่ ความกลัวนี้เป็นเรื่องปกติ เพราะหากแฮกเกอร์เข้าถึงชื่อผู้ใช้หรือรหัสผ่านได้โดยไม่มีระบบยืนยันตัวตนหลายชั้น ข้อมูลส่วนตัวทั้งหมดอาจตกอยู่ในอันตราย
อย่างไรก็ตาม ในกรณีของ LastPass ข้อมูลที่รั่วไหลไม่ได้รวมถึงรหัสผ่านของผู้ใช้งาน แต่เป็นข้อมูลส่วนบุคคล เช่น ที่อยู่อีเมล ที่อยู่ทางกายภาพ หรือข้อมูลบัตรเครดิต ซึ่งแม้จะเป็นเรื่องน่ากังวล แต่ยังไม่ร้ายแรงเท่ากับการที่ข้อมูลภายในคลังเก็บรหัสผ่าน (Password Vault) ถูกเจาะเข้าไปได้
ทำไมรหัสผ่านใน LastPass ถึงยังปลอดภัย?
LastPass และผู้ให้บริการจัดการรหัสผ่านชั้นนำใช้สถาปัตยกรรมความปลอดภัยแบบ Zero Trust (สถาปัตยกรรมที่ไม่อนุญาตให้เชื่อถือใครเลยจนกว่าจะมีการตรวจสอบสิทธิ์) ซึ่งหมายความว่ามีเพียงผู้ที่รู้ Master Password (รหัสผ่านหลัก) เท่านั้นที่สามารถปลดล็อกคลังข้อมูลได้
เนื่องจากบริษัทไม่มีการเก็บรหัสผ่านหลักของคุณไว้ ดังนั้นไม่ว่าจะเป็นตัวบริษัทเอง รัฐบาล หรือแม้แต่แฮกเกอร์ ก็ไม่สามารถเข้าถึงรหัสผ่านของคุณได้ตราบใดที่รหัสผ่านหลักของคุณยังเป็นความลับ ดังนั้น สิ่งสำคัญที่สุดคือการตั้งรหัสผ่านหลักให้ยาวและคาดเดายาก พร้อมทั้งเปิดใช้งาน Multi-factor Authentication (MFA) หรือการยืนยันตัวตนหลายขั้นตอนเพื่อเพิ่มความปลอดภัยอีกชั้น
Passkeys: อนาคตของการล็อกอินแบบไร้รหัสผ่าน
ในขณะที่เรายังต้องพึ่งพารหัสผ่าน ปัจจุบันเริ่มมีการผลักดัน Passkeys ซึ่งเป็นมาตรฐานใหม่ที่พัฒนาร่วมกันโดย Apple, Google, Microsoft และ FIDO Alliance (กลุ่มพันธมิตรที่มุ่งกำจัดรหัสผ่านในการใช้งานออนไลน์) เพื่อให้การเข้าสู่ระบบง่ายและปลอดภัยยิ่งขึ้น
Passkeys คือข้อมูลประจำตัวแบบ FIDO ที่ใช้ในการยืนยันตัวตน โดยจะซิงค์ระหว่างอุปกรณ์ผ่านบริการคลาวด์ (เช่น iCloud) ในรูปแบบที่ถูกเข้ารหัสไว้ ทำให้ผู้ใช้สามารถเข้าสู่ระบบผ่าน Face ID หรือ Touch ID ได้ทันที
- Apple: เริ่มใช้งานใน iOS 16 ช่วยให้ล็อกอินแอปและเว็บไซต์ที่รองรับได้ผ่านไบโอเมตริกซ์
- Google: พัฒนาระบบไร้รหัสผ่านมาอย่างยาวนาน และกำลังทยอยนำกระบวนการล็อกอินที่เรียบง่ายนี้มาใช้กับผู้ใช้ Android ในเร็วๆ นี้
ข้อจำกัดในปัจจุบันคือ Passkeys ยังเป็นเทคโนโลยีใหม่ ทำให้บางเว็บไซต์ยังไม่รองรับ แต่ในอนาคตจะมีการใช้งานแพร่หลายมากขึ้น ซึ่งผู้ใช้สามารถสังเกตโลโก้ Passkey บนหน้าเว็บไซต์เพื่อเลือกใช้งานแทนรหัสผ่านแบบเดิมได้
ทำไมเรายังต้องใช้ Password Manager?
แม้ Passkeys จะน่าสนใจ แต่เนื่องจากยังไม่ถูกนำมาใช้ในทุกเว็บไซต์ Password Manager (โปรแกรมจัดการรหัสผ่าน) จึงยังเป็นเครื่องมือที่ดีที่สุดในการจัดระเบียบและรักษาความปลอดภัยของบัญชีออนไลน์
เครื่องมือนี้ช่วยให้คุณสร้างรหัสผ่านที่ซับซ้อนและไม่ซ้ำกันสำหรับทุกบัญชี โดยที่คุณไม่ต้องจดจำเอง เพราะระบบจะกรอกข้อมูลให้โดยอัตโนมัติ ซึ่งช่วยลดความเสี่ยงจากการใช้รหัสผ่านซ้ำ (Password Reuse) และปลอดภัยกว่าการจดใส่กระดาษหรือเก็บไว้ในไฟล์ Spreadsheet ที่ไม่มีการป้องกัน
| วิธีการ | ความสะดวก | ความปลอดภัย | ความเสี่ยงหลัก |
|---|---|---|---|
| จดบันทึก/Spreadsheet | ต่ำ | ต่ำมาก | สูญหายหรือถูกแอบดูได้ง่าย |
| Password Manager | สูง | สูง | การรั่วไหลของข้อมูลจากผู้ให้บริการ |
| Passkeys | สูงมาก | สูงมาก | ยังไม่รองรับในทุกเว็บไซต์ |
การเลือกผู้ให้บริการจัดการรหัสผ่านรายใหม่
สำหรับผู้ที่กังวลเกี่ยวกับ LastPass ยังมีทางเลือกอื่นที่ยอดเยี่ยม เช่น Bitwarden ซึ่งเป็นซอฟต์แวร์แบบ Open-source (เปิดเผยซอร์สโค้ดให้ตรวจสอบได้) และได้รับรางวัล Editors' Choice ซึ่งอาจเป็นทางเลือกที่ดีสำหรับผู้ที่ต้องการหลีกเลี่ยงบริการที่มีฐานผู้ใช้ขนาดใหญ่จนตกเป็นเป้าหมายของแฮกเกอร์
ไม่ว่าคุณจะเลือกใช้บริการใด สิ่งที่ห้ามลืมเด็ดขาดคือการเปิดใช้งาน Multi-factor Authentication ในทุกบัญชีเพื่อสร้างปราการป้องกันข้อมูลของคุณให้แข็งแกร่งที่สุด
ข้อเท็จจริงสำคัญ
- การรั่วไหลของ LastPass ครั้งล่าสุด ไม่ส่งผลกระทบต่อรหัสผ่าน ในคลังเก็บข้อมูล
- สถาปัตยกรรม Zero Trust ทำให้ผู้ให้บริการไม่สามารถเข้าถึงรหัสผ่านหลักของผู้ใช้ได้
- Passkeys ใช้การยืนยันตัวตนผ่านไบโอเมตริกซ์และคลาวด์ แทนการพิมพ์รหัสผ่าน
- Bitwarden เป็นทางเลือกแบบ Open-source สำหรับผู้ที่มองหา Password Manager รายใหม่
คำถามที่พบบ่อย
รหัสผ่านของฉันใน LastPass ถูกขโมยไปหรือไม่?
ตามข้อมูลจาก LastPass การรั่วไหลครั้งนี้ไม่ได้เปิดเผยรหัสผ่านของผู้ใช้ แต่เป็นข้อมูลส่วนบุคคลอื่นๆ เช่น อีเมลและที่อยู่ ดังนั้นรหัสผ่านในคลังข้อมูลยังคงปลอดภัย
Passkeys แตกต่างจากรหัสผ่านปกติอย่างไร?
Passkeys ไม่ต้องใช้การจดจำหรือพิมพ์ตัวอักษร แต่ใช้การยืนยันตัวตนผ่านอุปกรณ์ เช่น การสแกนใบหน้าหรือลายนิ้วมือ ซึ่งมีความปลอดภัยสูงกว่าและป้องกันการถูก Phishing ได้ดีกว่า
ถ้าไม่ใช้ Password Manager จะมีวิธีเก็บรหัสผ่านอย่างไรให้ปลอดภัย?
การจดใส่กระดาษหรือเก็บในไฟล์คอมพิวเตอร์มีความเสี่ยงสูงมาก หากไม่ใช้ Password Manager แนะนำให้เริ่มเปลี่ยนไปใช้ Passkeys ในเว็บไซต์ที่รองรับ และใช้รหัสผ่านที่แตกต่างกันในทุกบัญชี
ควรทำอย่างไรเพื่อเพิ่มความปลอดภัยให้บัญชีออนไลน์ในตอนนี้?
ควรตั้งรหัสผ่านหลัก (Master Password) ให้มีความยาวและซับซ้อน และที่สำคัญที่สุดคือต้องเปิดใช้งานการยืนยันตัวตนหลายขั้นตอน (MFA) ในทุกบริการที่รองรับ
