ทุกครั้งที่เข้าสู่ระบบบัญชีหรือปลดล็อกอุปกรณ์ จำเป็นต้องพิสูจน์ว่าได้รับอนุญาตให้เข้าถึง ในอดีต การพิสูจน์นั้นอยู่ในรูปแบบของรหัสผ่าน ซึ่งเป็นสตริงลับที่ต้องจดจำ หรือจัดเก็บไว้ใน โปรแกรมจัดการรหัสผ่าน
พาสคีย์แตกต่างจากรหัสผ่านตรงที่เชื่อมโยงการเข้าถึงเข้ากับสิ่งที่มีอยู่จริง เช่น โทเค็นเข้ารหัสลับที่จัดเก็บในโทรศัพท์ แล็ปท็อป หรือคีย์ความปลอดภัย ร่วมกับ ปัจจัยทางชีวภาพ เช่น ลายนิ้วมือหรือการสแกนใบหน้า
วิธีทั่วไปในการอธิบายความแตกต่างคือ:
- รหัสผ่าน = สิ่งที่รู้
- พาสคีย์ = สิ่งที่มี + ตัวตนที่เป็น
แม้ว่าทั้งสองวิธีจะช่วยให้เข้าถึงได้ แต่วิธีการทำงานเพื่อให้บรรลุเป้าหมายนั้นแตกต่างกัน และอาจส่งผลกระทบอย่างมากต่อความปลอดภัยและความสะดวกในการใช้งาน
พาสคีย์คืออะไร?
พาสคีย์ เปรียบเสมือนรหัสผ่านที่อยู่ในอุปกรณ์และสามารถตรวจสอบได้โดยบัญชีที่เข้าสู่ระบบโดยใช้การเข้ารหัสลับ พาสคีย์ทำงานบนมาตรฐาน FIDO2 (กำหนดโดย FIDO Alliance(หน้าต่างใหม่)) และ WebAuthn API
วิธีการทำงาน:
เมื่อสร้างพาสคีย์ โปรแกรมจัดการรหัสผ่านจะสร้างชุดคีย์เข้ารหัสลับที่จับคู่กัน ได้แก่ คีย์สาธารณะและคีย์ส่วนตัว
- คีย์สาธารณะ จะถูกแชร์กับบริการที่ลงทะเบียน
- คีย์ส่วนตัว จะยังคงอยู่ในโปรแกรมจัดการรหัสผ่านหรืออุปกรณ์และจะไม่ถูกส่งออกไปภายนอก
ในระหว่างการพยายามเข้าสู่ระบบ บริการจะส่งคำท้าทายแบบสุ่ม อุปกรณ์จะใช้คีย์ส่วนตัวในอุปกรณ์เพื่อลงนามคำท้าทายดังกล่าว เพื่อสร้างการตอบสนองที่มีเพียงคีย์ส่วนตัวที่ตรงกันเท่านั้นที่สร้างขึ้นได้ จากนั้นบริการจะยืนยันลายเซ็นด้วยคีย์สาธารณะที่จัดเก็บไว้ก่อนหน้านี้ เพื่อยืนยันว่าเป็นผู้ถือบัญชีที่ถูกต้องตามสิทธิ์
เนื่องจากคีย์ส่วนตัวไม่มีวันออกจากอุปกรณ์ ไซต์ฟิชชิ่งจึงไม่สามารถหลอกลวงเพื่อขอข้อมูลดังกล่าวได้ ทำให้พาสคีย์สามารถต้านทานฟิชชิ่งได้โดยธรรมชาติ
การเปรียบเทียบความปลอดภัย: พาสคีย์ vs รหัสผ่าน
การจะใช้รหัสผ่านหรือพาสคีย์นั้นขึ้นอยู่กับปัจจัยหลายประการ ไม่ใช่ทุกเว็บไซต์ที่จะมีพาสคีย์ให้เลือกใช้งาน แต่สำหรับเว็บไซต์ที่มีให้ใช้งาน มีเหตุผลหลายประการที่ควรพิจารณาเปลี่ยนมาใช้งาน
พาสคีย์ถือว่าปลอดภัยกว่ารหัสผ่านเนื่องจากคีย์ลับไม่มีวันออกจากอุปกรณ์ แม้ว่าจะมีผู้หลอกลวงด้วยไซต์ปลอม ขโมยทราฟฟิกเครือข่าย หรือพยายามโจมตีแบบ brute-force ก็ไม่สามารถรับคีย์ส่วนตัวได้ เนื่องจากคีย์นี้จะถูกเก็บไว้ในโทรศัพท์ คอมพิวเตอร์ หรือดองเกิลคีย์ความปลอดภัย ตราบใดที่ปกป้องอุปกรณ์ด้วย PIN ลายนิ้วมือ หรือการยืนยันตัวตนรูปแบบอื่น เช่น การยืนยันตัวตนผ่านสองขั้นตอน (2FA) และมีวิธีการกู้คืนที่เชื่อถือได้ พาสคีย์จะช่วยให้มีการตั้งค่าความปลอดภัยที่แข็งแกร่งและป้องกันฟิชชิ่งได้ดีกว่ารหัสผ่านทั่วไป
| คุณสมบัติ | พาสคีย์ | รหัสผ่าน |
| วิธีการยืนยันตัวตน | วิทยาการเข้ารหัสลับแบบคีย์สาธารณะ (คีย์ส่วนตัวที่จัดเก็บในอุปกรณ์) | สตริงลับที่ผู้ใช้จดจำ |
| การต้านทานฟิชชิ่ง | สูง | ต่ำ |
| ตัวเลือกการกู้คืน | การสำรองข้อมูลอุปกรณ์, ขั้นตอนการกู้คืนบัญชี | การรีเซ็ตผ่านอีเมล, คำถามเพื่อความปลอดภัย |
| ประสบการณ์ผู้ใช้งาน | ชีวมาตรหรือ PIN | การพิมพ์หรือการป้อนอัตโนมัติ |
| ความเข้ากันได้ | กำลังเติบโต | การรองรับแบบสากล |
| ช่องโหว่จากการใช้ซ้ำ | ไม่ซ้ำกันในแต่ละไซต์เสมอ | ปัญหาทั่วไป |
ความสะดวกในการใช้งานพาสคีย์และประสบการณ์ผู้ใช้งาน
นอกเหนือจากข้อดีด้านความปลอดภัยของการใช้พาสคีย์แล้ว ยังมีประโยชน์อื่นๆ ดังนี้:
- พาสคีย์ช่วยให้เข้าสู่ระบบได้เร็วขึ้นเนื่องจากขั้นตอนการยืนยันตัวตนลดลงเหลือเพียงการแตะหรือการเหลือบมองเพียงครั้งเดียว ซึ่งช่วยลดความยุ่งยากในการป้อนรหัสผ่านด้วยตนเองหรือการรีเซ็ตรหัสผ่านที่ลืม
- โปรแกรมจัดการรหัสผ่าน หลายโปรแกรมสามารถซิงค์พาสคีย์ได้อย่างปลอดภัยในทุกอุปกรณ์ ส่งผลให้พาสคีย์ที่สร้างบนสมาร์ทโฟนสามารถนำไปใช้บนแล็ปท็อป แท็บเล็ต หรือโทรศัพท์เครื่องอื่นได้โดยไม่ต้องลงทะเบียนใหม่ Proton Pass ทำงานบนแพลตฟอร์มหรืออุปกรณ์ใดก็ได้ จึงสามารถใช้พาสคีย์กับเว็บไซต์ใดๆ ที่รองรับได้
ข้อบกพร่องและกรณีพิเศษของพาสคีย์
แม้ว่าพาสคีย์จะมอบความปลอดภัยที่แข็งแกร่งและประสบการณ์การเข้าสู่ระบบที่ราบรื่น แต่ก็ไม่ใช่โซลูชันที่แก้ปัญหาได้สารพัดประโยชน์ ยังคงมีบางสถานการณ์ที่การใช้พาสคีย์อาจสร้างความท้าทายได้
การสูญหายและการกู้คืนอุปกรณ์
หากอุปกรณ์ที่จัดเก็บพาสคีย์สูญหาย ถูกขโมย หรือเสียหาย จะต้องพึ่งพากลไกการสำรองข้อมูลเพื่อเข้าถึงอีกครั้ง การกู้คืนพาสคีย์มักต้องใช้อุปกรณ์สำรองหรือวลีกู้คืน ดังนั้น หากไม่มีขั้นตอนการกู้คืนที่ออกแบบมาอย่างดี ก็อาจมีความเสี่ยงที่จะสูญเสียการเข้าถึงบัญชีได้
ช่องว่างในการนำมาใช้งาน
เว็บไซต์และแอปพลิเคชันบางแห่งยังไม่ได้ใช้มาตรฐาน WebAuthn/FIDO2 ที่ขับเคลื่อนพาสคีย์ แม้แต่ในกลุ่มที่ใช้งานแล้ว การรองรับพาสคีย์อาจจำกัด เฉพาะบางระบบนิเวศหรือระบบปฏิบัติการ
ข้อจำกัดของฮาร์ดแวร์รุ่นเก่า
อุปกรณ์รุ่นเก่า เช่น สมาร์ทโฟนรุ่นเก่า แล็ปท็อปที่ไม่มีเซ็นเซอร์ชีวมาตร หรือเบราว์เซอร์ที่ไม่มีการรองรับ WebAuthn จะไม่สามารถสร้างหรือจัดเก็บพาสคีย์ได้
เมื่อใดที่ยังจำเป็นต้องใช้รหัสผ่าน?
นอกเหนือจากการตั้งค่ารหัสผ่านเป็นวิธีสำรองแล้ว ยังมีบางสถานการณ์ที่รหัสผ่านแบบเดิมเป็นสิ่งจำเป็นในฐานะวิธีการเข้าถึงหลัก
1. ไซต์ที่ไม่มีการรองรับพาสคีย์
จนกว่าการใช้งานพาสคีย์จะแพร่หลาย อาจยังจำเป็นต้องใช้รหัสผ่านสำหรับบางไซต์ ในกรณีนี้ สามารถตั้งค่าวิธีการยืนยันตัวตนแบบ 2FA เช่น OTP เพื่อเพิ่มความปลอดภัยได้
2. สถานการณ์ที่ต้องใช้คอมพิวเตอร์สาธารณะหรือคอมพิวเตอร์ที่ใช้ร่วมกัน
หากไม่ได้ใช้อุปกรณ์ของตนเอง การป้อนรหัสผ่าน (ซึ่งควรใช้ร่วมกับ 2FA) จะช่วยให้สามารถเข้าถึงได้ชั่วคราวโดยไม่ทิ้งข้อมูลยืนยันตัวตนไว้
3. นโยบายขององค์กรและข้อกำหนดในการปฏิบัติตามข้อกำหนด
ข้อบังคับของบริษัท รวมถึงมาตรฐานของรัฐบาลหรือสถาบันการเงิน อาจกำหนดให้มีการตั้งค่าแบบหลายปัจจัยที่ยังคงมีรหัสผ่านเป็นส่วนประกอบ หรือกำหนดให้มีการเปลี่ยนรหัสผ่านเป็นระยะเพื่อวัตถุประสงค์ในการตรวจสอบ นอกจากนี้ โซลูชัน การลงชื่อเข้าใช้ครั้งเดียว (SSO) ขององค์กรในบางครั้งจะรวมพาสคีย์ไว้เป็นเพียงปัจจัยทางเลือกเท่านั้น โดยที่รหัสผ่านยังคงเป็นข้อมูลยืนยันตัวตนหลัก
วิธีการเปลี่ยนมาใช้พาสคีย์
การเปลี่ยนมาใช้พาสคีย์ค่อนข้างง่ายดาย
- เปิดใช้งานการรองรับพาสคีย์ในระบบปฏิบัติการ
- ดาวน์โหลดโปรแกรมจัดการรหัสผ่าน
- เลือกโปรแกรมจัดการรหัสผ่านที่รองรับพื้นที่จัดเก็บพาสคีย์ เช่น Proton Pass
- เพิ่มพาสคีย์ลงในโปรแกรมจัดการรหัสผ่าน
- นำเข้าพาสคีย์ที่มีอยู่หรือสร้างพาสคีย์ใหม่โดยตรงจากแอป
- ลงทะเบียนพาสคีย์ในบริการที่รองรับ
- เมื่อลงทะเบียนหรือเข้าสู่ระบบไซต์ที่มีตัวเลือก “เข้าสู่ระบบด้วยพาสคีย์” ให้เลือกตัวเลือกนั้น
- ตั้งค่าวิธีการกู้คืน
- เปิดใช้งานอุปกรณ์สำรองเพื่อจัดเก็บสำเนาของพาสคีย์ และจดบันทึกวลีกู้คืนที่บริการให้มา
คำถามที่พบบ่อย
สามารถใช้พาสคีย์ได้หรือไม่หากไม่มีโปรแกรมจัดการรหัสผ่าน?
สามารถใช้งานได้ ระบบปฏิบัติการที่ทันสมัยส่วนใหญ่จะจัดเก็บพาสคีย์ไว้ในเครื่อง (iCloud Keychain บนอุปกรณ์ Apple, Google Password Manager บน Android, Windows Hello บน Windows) โปรแกรมจัดการรหัสผ่านโดยเฉพาะสามารถช่วยให้การซิงค์ข้ามอุปกรณ์ง่ายขึ้น และมีเลเยอร์การสำรองข้อมูลเพิ่มเติม แต่ไม่จำเป็นต้องมีเพื่อใช้งานพาสคีย์
สามารถใช้พาสคีย์บนอุปกรณ์รุ่นเก่าได้หรือไม่?
พาสคีย์ต้องการให้ระบบปฏิบัติการและเบราว์เซอร์รองรับมาตรฐาน WebAuthn/FIDO2 แพลตฟอร์มที่ทันสมัย (iOS 15+, Android 14+, macOS ล่าสุด, Windows 10 1903+ และ Chrome/Edge/Firefox/Safari ที่อัปเดตแล้ว) สามารถใช้งานได้ทันที โทรศัพท์รุ่นเก่า เบราว์เซอร์รุ่นเก่า หรืออุปกรณ์ที่เก่ากว่า pre‑iOS 15/Android 13 จะไม่มีการรองรับดังกล่าว จึงไม่สามารถใช้พาสคีย์บนอุปกรณ์เหล่านั้นได้
พาสคีย์และโทเค็นจริงแตกต่างกันอย่างไร?
พาสคีย์คือข้อมูลยืนยันตัวตนที่จัดเก็บไว้ในอุปกรณ์หรือในโปรแกรมจัดการรหัสผ่าน และซิงค์อย่างปลอดภัยระหว่างอุปกรณ์ โทเค็นจริง (เช่น YubiKey) คือคีย์ฮาร์ดแวร์แบบสแตนด์อโลนที่ต้องแทรกเข้ากับอุปกรณ์ โทเค็นจริงจะไม่จัดเก็บคีย์ส่วนตัวไว้ในอุปกรณ์หลัก ซึ่งให้การแยกส่วนต่างหาก แต่จำเป็นต้องพกพาโทเค็นและจัดการการสำรองข้อมูล ทั้งสองทางเลือกให้การยืนยันตัวตนที่ไร้รหัสผ่านและต้านทานฟิชชิ่ง แต่พาสคีย์จะเน้นความสะดวกและการซิงค์เป็นหลัก ในขณะที่โทเค็นจริงจะเน้นการแยกส่วนของฮาร์ดแวร์
สามารถใช้พาสคีย์บนพีซี Windows ได้หรือไม่?
สามารถใช้งานได้ เนื่องจาก Windows 10/11 รุ่นใหม่รองรับพาสคีย์ผ่าน Windows Hello หลังจากเปิดใช้งาน “การเข้าสู่ระบบแบบไม่ใช้รหัสผ่าน” ในการตั้งค่าแล้ว จะสามารถลงทะเบียนและยืนยันตัวตนด้วยลายนิ้วมือ การจดจำใบหน้า หรือ PIN ที่ปลดล็อกคีย์ส่วนตัวที่จัดเก็บไว้ในโมดูลแพลตฟอร์มที่เชื่อถือได้ (TPM) ซึ่ง TPM เป็นชิปขนาดเล็กที่ป้องกันการงัดแงะซึ่งสร้างขึ้นในพีซี แล็ปท็อป และแท็บเล็ตบางรุ่นที่ทันสมัยส่วนใหญ่ จุดประสงค์คือเพื่อเป็นรากฐานความน่าเชื่อถือของฮาร์ดแวร์สำหรับการทำงานที่สำคัญต่อความปลอดภัย
จะเกิดอะไรขึ้นหากโทรศัพท์สูญหาย?
หากโทรศัพท์เก็บสำเนาพาสคีย์เพียงชุดเดียว จำเป็นต้องมีวิธีการสำรองข้อมูลที่กำหนดค่าไว้ล่วงหน้าเพื่อกู้คืนการเข้าถึง ซึ่งโดยปกติแล้วจะเป็นอุปกรณ์อื่น โปรแกรมจัดการรหัสผ่าน หรือวลีกู้คืนที่บริการจัดเตรียมไว้ให้ หากไม่มีการสำรองข้อมูล จะต้องดำเนินการตามขั้นตอนการกู้คืนบัญชีของบริการนั้น
