Passkeys นวัตกรรมล็อกอินไร้รหัสผ่าน ทางเลือกใหม่ที่ปลอดภัยกว่าเพื่อโลกดิจิทัล
เป็นที่ยอมรับกันว่าการเปลี่ยนผ่านโลกดิจิทัลให้ก้าวพ้นจากยุคของ รหัสผ่าน (Passwords) นั้นต้องใช้เวลาหลายปี เนื่องจากระบบการยืนยันตัวตนแบบเดิมนี้ถูกใช้งานอย่างแพร่หลายจนกลายเป็นความเคยชิน แม้ว่าจะมีข้อบกพร่องด้านความปลอดภัยอย่างมากก็ตาม อย่างไรก็ตาม ในช่วง 5 ปีที่ผ่านมา FIDO Alliance ซึ่งเป็นสมาคมอุตสาหกรรมด้านการยืนยันตัวตนที่ปลอดภัย ได้ผลักดันสิ่งที่เรียกว่า Passkeys หรือกุญแจดิจิทัล ซึ่งเป็นทางเลือกใหม่ในการเข้าสู่ระบบแอปพลิเคชันและเว็บไซต์โดยไม่ต้องใช้รหัสผ่าน
แม้ว่ายักษ์ใหญ่ทางเทคโนโลยีอย่าง Google, Apple และ Microsoft จะเริ่มนำ Passkeys มาใช้แล้ว แต่ผู้ใช้งานส่วนใหญ่ในปัจจุบันก็ยังคงพึ่งพารหัสผ่านแบบเดิมในการเข้าถึงบัญชีต่างๆ เป็นหลัก
ความท้าทายในการเปลี่ยนพฤติกรรมผู้ใช้งาน
Christiaan Brand ผู้จัดการผลิตภัณฑ์ด้านอัตลักษณ์และความปลอดภัยจาก Google และประธานร่วมของกลุ่มทำงานทางเทคนิค FIDO2 ระบุว่า ปัญหาใหญ่ที่สุดไม่ใช่เรื่องของเทคโนโลยี แต่เป็นเรื่องของ ความเคยชิน (Inertia) เนื่องจากผู้คนไม่ชอบการเปลี่ยนแปลงและไม่ต้องการความยุ่งยากในการปรับตัว ดังนั้น กลยุทธ์ของ Passkeys จึงไม่ใช่การหักดิบ แต่เป็นการนำเสนอในรูปแบบของ ส่วนเสริม (Augmentation) ที่ช่วยให้การใช้งานง่ายขึ้นและมีความปลอดภัยสูงขึ้น เพื่อจูงใจให้ผู้ใช้เปลี่ยนมาใช้งานโดยสมัครใจ
ความก้าวหน้าทางเทคนิคและฟีเจอร์ใหม่
ในช่วงปีที่ผ่านมา FIDO ได้พัฒนาโครงสร้างพื้นฐานเพื่อขจัดอุปสรรคด้านการใช้งาน โดยมีฟีเจอร์สำคัญดังนี้:
- การซิงค์ข้อมูล (Syncing): ระบบสำรองข้อมูลที่ช่วยให้ Passkeys สามารถใช้งานร่วมกันได้ในหลายอุปกรณ์
- การแจ้งเตือนอัจฉริยะ: การปรับให้บริการต่างๆ แนะนำให้ผู้ใช้ใช้ Passkey แทนการขอชื่อผู้ใช้และรหัสผ่านเป็นค่าเริ่มต้น
- การตรวจจับระยะใกล้ (Proximity Sensing): การใช้ Bluetooth เพื่อตรวจสอบว่าอุปกรณ์อยู่ใกล้กันจริง เพื่อแชร์การยืนยันตัวตนระหว่างอุปกรณ์ได้อย่างสะดวก
สำหรับระบบ Bluetooth นั้น ทีมพัฒนาได้ออกแบบโปรโตคอลขึ้นมาใหม่โดยตัดฟังก์ชันที่ไม่จำเป็นออก และใช้เพื่อการตรวจสอบระยะใกล้เท่านั้น ไม่มีการรับส่งข้อมูล เพื่อหลีกเลี่ยงช่องโหว่ด้านความปลอดภัยและความไม่เสถียรที่มักพบในระบบ Bluetooth ทั่วไป
อุปสรรคด้านประสบการณ์ผู้ใช้ (UX) และการทำงานข้ามแพลตฟอร์ม
หนึ่งในโจทย์ที่ยากที่สุดคือการสร้าง ประสบการณ์ผู้ใช้ (User Experience หรือ UX) ให้เป็นหนึ่งเดียวกันในทุกระบบปฏิบัติการ ความแตกต่างที่สำคัญคือ Passkeys ใช้การตรวจสอบ การเข้ารหัส (Cryptographic check) ภายในเครื่องของผู้ใช้เอง ซึ่งต่างจากรหัสผ่านที่ต้องส่งข้อมูลไปตรวจสอบที่เซิร์ฟเวอร์ของบริษัท
ตัวอย่างเช่น หากคุณใช้ Passkey บน Mac เพื่อเข้าบัญชี Google การตรวจสอบจะเกิดขึ้นในเครื่อง Mac โดยที่ Apple ไม่ได้เข้ามาเกี่ยวข้องกับข้อมูลรหัส แต่ macOS จะเป็นผู้ดูแลหน้าตาและการโต้ตอบทั้งหมด ซึ่งหมายความว่า Google ต้องยอมลดการควบคุมด้าน UX ลง และปล่อยให้เป็นหน้าที่ของเจ้าของอุปกรณ์ (เช่น Apple หรือ Microsoft) ซึ่งการประสานงานให้ทุกแพลตฟอร์มมีมาตรฐานเดียวกันนี้ คาดว่าต้องใช้เวลาพัฒนาอีกประมาณ 9 ถึง 12 เดือน
ความเสี่ยงในช่วงเปลี่ยนผ่าน
ในระยะยาว บริการต่างๆ ยังคงต้องรองรับการล็อกอินด้วยรหัสผ่านควบคู่ไปกับ Passkeys เพื่อไม่ให้ผู้ใช้บางกลุ่มถูกตัดขาด แต่สิ่งนี้ก็นำมาซึ่งความเสี่ยง เพราะหากระบบรหัสผ่านแบบเก่าถูกละเลยและไม่ได้รับการอัปเดตให้ทันสมัย อาจกลายเป็นช่องโหว่ใหม่ที่ทำให้เกิดการโจมตีทางไซเบอร์ได้
| หัวข้อเปรียบเทียบ | รหัสผ่าน (Passwords) | Passkeys |
|---|---|---|
| วิธีการตรวจสอบ | ตรวจสอบที่เซิร์ฟเวอร์ส่วนกลาง | ตรวจสอบภายในอุปกรณ์ของผู้ใช้ (Local) |
| ความเสี่ยงต่อ Phishing | สูง (ถูกหลอกให้กรอกรหัสได้ง่าย) | ต่ำมาก (ต้านทานการหลอกลวงได้ดีกว่า) |
| ความสะดวก | ต้องจดจำหรือใช้ตัวจัดการรหัสผ่าน | ใช้ไบโอเมตริกหรือการปลดล็อกเครื่อง |
| การควบคุม UX | ผู้ให้บริการเว็บไซต์ควบคุมได้ทั้งหมด | ขึ้นอยู่กับระบบปฏิบัติการของอุปกรณ์ |
ข้อเท็จจริงสำคัญ
- Passkeys ถูกพัฒนาโดย FIDO Alliance เพื่อให้เป็นมาตรฐานการยืนยันตัวตนแบบไร้รหัสผ่าน
- การตรวจสอบความถูกต้องของ Passkeys เกิดขึ้น ภายในอุปกรณ์ (Locally) ไม่ใช่บนเซิร์ฟเวอร์
- ระบบใหม่ใช้ Bluetooth Proximity Sensing เพื่อเพิ่มความสะดวกในการเชื่อมต่อระหว่างอุปกรณ์โดยไม่ลดทอนความปลอดภัย
- ความท้าทายหลักคือการสร้าง UX ที่สอดคล้องกัน ระหว่าง Google, Apple, Microsoft และ Android
- การเปลี่ยนผ่านสู่ระบบไร้รหัสผ่านแบบเต็มตัวยังอยู่ในช่วงเริ่มต้นและต้องใช้เวลาอีกหลายปี
คำถามที่พบบ่อย
Passkeys คืออะไรและแตกต่างจากรหัสผ่านอย่างไร?
Passkeys คือกุญแจดิจิทัลที่ใช้การเข้ารหัสเพื่อยืนยันตัวตน แทนที่จะต้องจำรหัสผ่านยาวๆ ผู้ใช้สามารถใช้การสแกนนิ้ว ใบหน้า หรือรหัสปลดล็อกเครื่องเพื่อเข้าสู่ระบบ ซึ่งปลอดภัยกว่าเพราะไม่มีรหัสผ่านให้ถูกขโมยจากเซิร์ฟเวอร์
ทำไมเราถึงยังต้องใช้รหัสผ่านอยู่ ทั้งที่มี Passkeys แล้ว?
เนื่องจากระบบ Passkeys ยังอยู่ในช่วงเริ่มต้นของการนำมาใช้ในวงกว้าง และผู้ใช้งานส่วนใหญ่ยังมีความคุ้นเคยกับรหัสผ่านแบบเดิม รวมถึงบริการบางแห่งยังไม่รองรับมาตรฐานนี้อย่างเต็มรูปแบบ
Passkeys ปลอดภัยจากการถูก Phishing จริงหรือไม่?
จริง เนื่องจาก Passkeys ทำงานผ่านการตรวจสอบทางคริปโทกราฟีระหว่างอุปกรณ์และเว็บไซต์โดยตรง ทำให้แฮกเกอร์ไม่สามารถหลอกล่อให้ผู้ใช้กรอกข้อมูลเพื่อนำไปสวมรอยได้เหมือนกับรหัสผ่าน
หากฉันเปลี่ยนมือถือหรือคอมพิวเตอร์ Passkeys จะหายไปหรือไม่?
ปัจจุบัน FIDO ได้พัฒนาระบบให้ Passkeys สามารถซิงค์ข้อมูลผ่านบัญชีคลาวด์ระหว่างอุปกรณ์ได้ ทำให้ผู้ใช้ไม่ต้องกังวลเรื่องการสูญเสียการเข้าถึงเมื่อเปลี่ยนอุปกรณ์ใหม่
การใช้ Passkeys ทำให้บริษัทเจ้าของอุปกรณ์ (เช่น Apple หรือ Google) เข้าถึงข้อมูลส่วนตัวได้มากขึ้นหรือไม่?
ไม่ การตรวจสอบ Passkeys เกิดขึ้นในระดับท้องถิ่นบนอุปกรณ์ และถูกออกแบบมาเพื่อปกป้องความเป็นส่วนตัว โดยผู้ให้บริการอุปกรณ์จะทำหน้าที่เพียงอำนวยความสะดวกด้านการโต้ตอบ (UX) เท่านั้น
