Passkeys นวัตกรรมล็อกอินยุคใหม่จาก Google บอกลาการใช้รหัสผ่านแบบเดิม

Google กำลังผลักดันก้าวสำคัญในการเปลี่ยนผ่านสู่โลกที่ไม่มีรหัสผ่าน ด้วยการสนับสนุน Passkeys อย่างเป็นทางการ ซึ่งเป็นระบบความปลอดภัยที่ออกแบบมาเพื่อทดแทนการใช้รหัสผ่านแบบดั้งเดิม โดยปัจจุบัน Google เริ่มแนะนำให้ผู้ใช้งานบัญชีส่วนตัวเปลี่ยนมาใช้ระบบนี้เพื่อเพิ่มความปลอดภัยและสร้างความคุ้นเคยกับเทคโนโลยีใหม่

Passkeys คือระบบที่ช่วยให้ผู้ใช้สามารถเข้าสู่ระบบแอปพลิเคชันหรือเว็บไซต์ได้ด้วยวิธีเดียวกับการปลดล็อกอุปกรณ์ เช่น การสแกนลายนิ้วมือ การสแกนใบหน้า หรือการใช้รหัส PIN ของหน้าจอ ซึ่งแตกต่างจากรหัสผ่านทั่วไปตรงที่มีความทนทานต่อการโจมตีทางไซเบอร์ โดยเฉพาะการทำ Phishing (การหลอกลวงเพื่อขโมยข้อมูล) ทำให้มีความปลอดภัยสูงกว่าการใช้รหัส OTP ผ่าน SMS

กลไกการทำงานของ Passkeys

ระบบ Passkeys จะยกเลิกการใช้รหัสผ่านที่เสี่ยงต่อการถูกขโมยผ่านมัลแวร์ การรั่วไหลของข้อมูล หรือการสุ่มเดา โดยเปลี่ยนมาใช้การสร้าง Cryptographic Key (กุญแจเข้ารหัส) ที่มีความเป็นส่วนตัวและไม่ซ้ำกัน ซึ่งจะถูกผูกไว้กับอุปกรณ์ของผู้ใช้โดยเฉพาะ

เมื่อมีการเข้าสู่ระบบ บัญชี Google จะส่ง "คำท้า" (Digital Challenge) ไปยังอุปกรณ์ และ Passkeys จะทำหน้าที่ลงนามเพื่อปลดล็อกการเข้าถึง โดยที่ไม่มีการส่งข้อมูลรหัสผ่านใดๆ ผ่านเครือข่าย ทำให้แฮกเกอร์ไม่มีโอกาสขโมยข้อมูลการล็อกอินได้ ผู้ใช้เพียงแค่ยืนยันตัวตนผ่านการสแกนนิ้วหรือใส่ PIN เพื่อยืนยันว่าเป็นเจ้าของอุปกรณ์จริงเท่านั้น

ข้อดีและข้อจำกัดที่ควรรู้

Google ได้ร่วมมือกับ Apple และ Microsoft ในการนำ Passkeys มาใช้บนระบบปฏิบัติการและเบราว์เซอร์ต่างๆ เพื่อให้เว็บไซต์ภายนอกสามารถนำไปปรับใช้ได้ และล่าสุด Google ได้เพิ่ม Passkeys เป็นวิธีการล็อกอินหลักในหน้าบัญชีทางการ เพื่อต้อนรับวันรหัสผ่านโลก (World Password Day) ในวันที่ 4 พฤษภาคม

ในด้านความสะดวก ผู้ใช้ไม่จำเป็นต้องพกโทรศัพท์ติดตัวตลอดเวลา เพราะสามารถสร้าง Passkeys แยกกันในแต่ละอุปกรณ์ เช่น แล็ปท็อป พีซี หรือแท็บเล็ต นอกจากนี้ยังมีการสำรองข้อมูลบนคลาวด์ เช่น หากสร้าง Passkeys บน iPhone ข้อมูลจะซิงค์ไปยังอุปกรณ์ Apple เครื่องอื่นผ่าน iCloud ช่วยป้องกันปัญหาการเข้าบัญชีไม่ได้เมื่ออุปกรณ์สูญหาย และสามารถยกเลิก Passkeys ผ่านบัญชี Google หรือ iCloud ได้ทันที

ข้อจำกัดในปัจจุบัน

• การรองรับเบราว์เซอร์: ปัจจุบันรองรับเฉพาะ Chrome, Edge และ Safari เท่านั้น
• ระบบปฏิบัติการ: ใช้งานได้บน Windows, macOS, Android, iOS และ Chrome OS แต่ยังไม่รองรับ Linux
• การทำงานข้ามแพลตฟอร์ม: Passkeys ที่สร้างขึ้นไม่สามารถแชร์ข้ามแพลตฟอร์มระหว่างบริษัทได้ (เช่น ระหว่าง Google และ Apple) ทำให้ผู้ใช้อาจต้องสร้าง Passkeys หลายชุดสำหรับบัญชีเดียวตามอุปกรณ์ที่ใช้
• ช่องโหว่รหัสผ่านเดิม: เนื่องจาก Google ยังอนุญาตให้ล็อกอินด้วยรหัสผ่านแบบเดิมได้ หากแฮกเกอร์รู้รหัสผ่านของคุณ ก็ยังอาจเข้าถึงบัญชีได้แม้จะเปิดใช้ Passkeys แล้ว

สรุปเปรียบเทียบ รหัสผ่านแบบเดิม vs Passkeys

หัวข้อเปรียบเทียบ	รหัสผ่านแบบเดิม (Passwords)	Passkeys
วิธีการเข้าถึง	พิมพ์ตัวอักษร/ตัวเลข	สแกนนิ้ว, ใบหน้า, หรือ PIN เครื่อง
ความเสี่ยงต่อ Phishing	สูง (ถูกหลอกให้กรอกข้อมูลได้)	ต่ำมาก (ไม่มีข้อมูลรหัสผ่านให้ขโมย)
การจัดเก็บข้อมูล	เก็บในเซิร์ฟเวอร์/จำด้วยตัวเอง	เก็บเป็นกุญแจเข้ารหัสในอุปกรณ์
ความสะดวก	ต้องจดจำหรือใช้ Password Manager	รวดเร็วเหมือนการปลดล็อกมือถือ

ข้อเท็จจริงสำคัญ

• Passkeys ใช้การยืนยันตัวตนผ่านอุปกรณ์ (Device-bound) แทนการจำรหัสผ่าน
• ป้องกันการโจมตีแบบ Phishing ได้ดีกว่ารหัสผ่านและ SMS OTP
• รองรับการสำรองข้อมูลผ่านคลาวด์ของ Google และ Apple เพื่อป้องกันอุปกรณ์หาย
• ยังไม่รองรับระบบปฏิบัติการ Linux และเบราว์เซอร์นอกเหนือจาก Chrome, Edge, Safari
• สามารถใช้ Passkeys จากโทรศัพท์เพื่อล็อกอินบนเครื่องสาธารณะได้แบบครั้งเดียว (One-time sign-in) โดยไม่มีการโอนย้ายกุญแจไปยังเครื่องนั้น

คำถามที่พบบ่อย

ถ้าโทรศัพท์หาย จะเข้าบัญชี Google ได้อย่างไร?

หากคุณใช้การสำรองข้อมูลบนคลาวด์ (เช่น iCloud หรือ Google Account) Passkeys จะถูกซิงค์ไปยังอุปกรณ์เครื่องอื่นที่ใช้บัญชีเดียวกัน ทำให้คุณยังสามารถเข้าถึงบัญชีได้ และคุณสามารถสั่งยกเลิก Passkeys ของเครื่องที่หายไปได้ทันที

จำเป็นต้องใช้โทรศัพท์ทุกครั้งที่ล็อกอินหรือไม่?

ไม่จำเป็น คุณสามารถสร้าง Passkeys แยกไว้ในแต่ละอุปกรณ์ที่คุณใช้งานเป็นประจำ เช่น สร้างไว้ในแล็ปท็อปหรือพีซี เพื่อใช้ล็อกอินจากเครื่องนั้นๆ ได้โดยตรง

Passkeys ปลอดภัยกว่ารหัสผ่านอย่างไร?

เพราะไม่มีการส่ง "รหัสผ่าน" ข้ามเครือข่าย แต่ใช้การพิสูจน์ตัวตนด้วยกุญแจเข้ารหัสที่อยู่ในเครื่อง ซึ่งแฮกเกอร์ไม่สามารถขโมยผ่านหน้าเว็บปลอมหรือการดักจับข้อมูลได้

สามารถใช้ Passkeys บนคอมพิวเตอร์สาธารณะได้หรือไม่?

ทำได้โดยเลือกตัวเลือก "ใช้ Passkeys จากอุปกรณ์อื่น" (use a passkey from another device) ซึ่งจะใช้การยืนยันตัวตนผ่านโทรศัพท์ของคุณเพื่ออนุญาตการเข้าถึงเพียงครั้งเดียว โดยที่ตัว Passkeys จะไม่ถูกบันทึกลงในเครื่องสาธารณะนั้น