Passkey คืออะไร?
Passkey คือวิธีการเข้าสู่ระบบเว็บไซต์และแอปพลิเคชันแบบใหม่ โดยไม่ต้องใช้รหัสผ่านแบบดั้งเดิม แทนที่จะต้องสร้างและจดจำชุดตัวอักษร อุปกรณ์ของคุณ — ไม่ว่าจะเป็นสมาร์ตโฟน แล็ปท็อป หรือแท็บเล็ต — จะสร้างคู่กุญแจเข้ารหัสเฉพาะที่ใช้พิสูจน์ตัวตนของคุณ คุณยืนยันตัวตนผ่านฟีเจอร์ที่มีอยู่แล้วในอุปกรณ์ เช่น การสแกนลายนิ้วมือ การจดจำใบหน้า หรือ PIN เว็บไซต์จะไม่มีวันเห็นความลับที่แท้จริงของคุณ แต่จะได้รับเพียงหลักฐานทางการเข้ารหัสที่ยืนยันว่าคุณคือบุคคลที่ถูกต้อง
Passkey ถูกสร้างขึ้นบนมาตรฐานเปิด FIDO2 และ WebAuthn ซึ่งหมายความว่าใช้งานได้บนแพลตฟอร์มหลักต่างๆ ทั้งระบบนิเวศของ Apple, Google และ Microsoft บริการชั้นนำอย่าง Google, Apple, GitHub และ PayPal รองรับ Passkey แล้ว และกำลังได้รับการยอมรับอย่างรวดเร็ว
Passkey ทำงานอย่างไร?
Passkey ทุกตัวประกอบด้วยกุญแจสองดอกที่เชื่อมโยงกันทางคณิตศาสตร์ ได้แก่ กุญแจสาธารณะ (public key) และ กุญแจส่วนตัว (private key)
- กุญแจสาธารณะ จะถูกจัดเก็บไว้บนเซิร์ฟเวอร์ของเว็บไซต์หรือแอปที่คุณกำลังเข้าสู่ระบบ
- กุญแจส่วนตัว จะไม่มีวันออกจากอุปกรณ์ของคุณ และถูกล็อกไว้ด้วยข้อมูลไบโอเมตริกหรือ PIN ของอุปกรณ์
เมื่อคุณเข้าสู่ระบบ เซิร์ฟเวอร์จะส่งสิ่งที่เรียกว่า "challenge" มายังอุปกรณ์ของคุณ ซึ่งก็คือข้อมูลสุ่มชิ้นหนึ่ง อุปกรณ์ของคุณจะใช้กุญแจส่วนตัวในการเซ็นชื่อ challenge นั้น แล้วส่งลายเซ็นกลับไป เซิร์ฟเวอร์จะตรวจสอบลายเซ็นกับกุญแจสาธารณะของคุณ หากตรงกัน คุณก็เข้าสู่ระบบได้เลย
ไม่มีรหัสผ่านใดที่ถูกส่ง จัดเก็บบนเซิร์ฟเวอร์ หรือถูกเปิดเผยเลย แม้ว่าฐานข้อมูลของเว็บไซต์จะถูกละเมิด ผู้โจมตีก็จะพบแต่กุญแจสาธารณะซึ่งไม่มีประโยชน์ใดๆ เมื่อใช้เพียงลำพัง
ทำไม Passkey จึงสำคัญสำหรับผู้ใช้ VPN
ผู้ใช้ VPN มักให้ความสำคัญกับความปลอดภัยมากกว่าผู้ใช้อินเทอร์เน็ตทั่วไป และ Passkey ช่วยแก้ไขภัยคุกคามที่พบบ่อยที่สุดที่ผู้ใช้ VPN พยายามป้องกันตัวเองได้โดยตรง
ทนทานต่อ Phishing: รหัสผ่านแบบดั้งเดิมอาจถูกขโมยผ่านหน้าเข้าสู่ระบบปลอม Passkey ถูกผูกติดกับโดเมนเฉพาะทางการเข้ารหัส ดังนั้นแม้แต่เว็บไซต์ปลอมที่ดูเหมือนจริงก็ไม่สามารถหลอกให้อุปกรณ์ของคุณส่งมอบข้อมูลรับรองตัวตนได้ นี่คือหนึ่งในข้อได้เปรียบด้านความปลอดภัยในทางปฏิบัติที่ยิ่งใหญ่ที่สุดของ Passkey
ไม่มีความเสี่ยงจาก Credential Stuffing: เนื่องจากไม่มีรหัสผ่านที่นำกลับมาใช้ซ้ำได้ให้ขโมย การโจมตีแบบ credential stuffing — ที่ผู้โจมตีนำชุด username/password ที่รั่วไหลไปลองใช้กับบริการต่างๆ — จึงไม่ได้ผลกับบัญชีที่ป้องกันด้วย Passkey เลย
ปกป้องบัญชี VPN ของคุณ: ผู้ให้บริการ VPN หลายรายเริ่มรองรับ Passkey สำหรับการเข้าสู่ระบบบัญชี หากบัญชี VPN ของคุณป้องกันด้วย Passkey ผู้โจมตีที่ได้รับอีเมลและรหัสผ่านของคุณจากการละเมิดข้อมูลอื่นก็ไม่สามารถเข้าสู่ระบบ เปลี่ยนแผนการสมัครสมาชิก หรือเข้าถึงการตั้งค่าบัญชีของคุณได้
ทำงานร่วมกับ Zero-Trust Security ได้ดี: สำหรับผู้ใช้ VPN ในองค์กรและพนักงานที่ทำงานจากระยะไกล Passkey เสริมรูปแบบ zero-trust network access ด้วยการยืนยันตัวตนที่แข็งแกร่งและทนทานต่อ phishing ก่อนอนุญาตให้เข้าถึงทรัพยากร
ตัวอย่างและกรณีการใช้งานจริง
- ความปลอดภัยของบัญชีส่วนตัว: คุณเข้าเว็บไซต์ Google แตะ "Sign in with passkey" และโทรศัพท์จะแจ้งให้สแกนลายนิ้วมือ เท่านั้นเอง — ไม่จำเป็นต้องใช้รหัสผ่าน
- การเข้าถึงระยะไกลในองค์กร: พนักงานใช้ Passkey บนแล็ปท็อปของตนเพื่อยืนยันตัวตนกับ VPN สำหรับการเข้าถึงระยะไกล ขจัดความเสี่ยงที่รหัสผ่าน VPN ที่ถูกขโมยจะนำไปสู่การเข้าถึงโดยไม่ได้รับอนุญาต
- ความปลอดภัยระหว่างเดินทาง: หากคุณเดินทางผ่านภูมิภาคที่มีการเฝ้าระวังสูงหรือมีความเสี่ยงจาก Wi-Fi สาธารณะ Passkey หมายความว่าไม่มีรหัสผ่านใดให้ keylogger หรือ network sniffer จับได้เลย
- การเข้าถึงของนักพัฒนาและเซิร์ฟเวอร์: แพลตฟอร์มอย่าง GitHub รองรับ Passkey เพื่อรักษาความปลอดภัยในการเข้าถึง repositories และโครงสร้างพื้นฐานโดยไม่ต้องเปิดเผยรหัสผ่าน
สรุป
Passkey ถือเป็นการพัฒนาที่แท้จริงเหนือกว่ารหัสผ่านทั่วไป — มีความปลอดภัยมากกว่า ใช้งานง่ายกว่า และทนทานต่อวิธีการโจมตีที่พบบ่อยที่สุด สำหรับทุกคนที่ใส่ใจเรื่องความเป็นส่วนตัวและความปลอดภัยออนไลน์ การเปิดใช้งาน Passkey ทุกที่ที่เป็นไปได้คือหนึ่งในขั้นตอนที่มีประสิทธิภาพที่สุดที่คุณสามารถทำได้ในตอนนี้