Passkey คืออะไร เข้าสู่ระบบโดยไม่ใช้รหัสผ่าน และตั้งค่าอย่างไร
ถ้าคุณเคยลืมรหัสผ่านจนต้องกด "ลืมรหัสผ่าน" วนไปหลายรอบ หรือเคยตกใจเพราะได้ข่าวว่ารหัสผ่านของเว็บที่ใช้อยู่รั่วไหล คุณไม่ได้เจอปัญหานี้คนเดียว รหัสผ่านเป็นระบบที่ใช้กันมาหลายสิบปี และมีจุดอ่อนที่แก้ไม่หายสักที คือคนต้องจำ คนมักตั้งซ้ำ และคนถูกหลอกให้พิมพ์ลงเว็บปลอมได้
Passkey (พาสคีย์) คือวิธีเข้าสู่ระบบแบบใหม่ที่บริษัทเทคโนโลยีรายใหญ่ร่วมกันผลักดัน แทนที่จะพิมพ์รหัสผ่าน คุณแค่ยืนยันตัวตนด้วยสิ่งที่ใช้ปลดล็อกมือถือหรือคอมอยู่แล้ว เช่น ลายนิ้วมือ สแกนใบหน้า หรือรหัส PIN ของเครื่อง บทความนี้จะอธิบายว่า Passkey ทำงานอย่างไร ปลอดภัยกว่ารหัสผ่านตรงไหน มีข้อจำกัดอะไร และตั้งค่าอย่างไรทีละขั้น
Passkey คืออะไร อธิบายแบบไม่ต้องมีพื้นฐาน
ให้นึกภาพกุญแจบ้านหนึ่งดอกที่ถูกแบ่งเป็นสองซีก ซีกหนึ่งเก็บไว้ที่เว็บไซต์ อีกซีกหนึ่งเก็บไว้ในอุปกรณ์ของคุณเท่านั้น เวลาจะเข้าสู่ระบบ เว็บไซต์จะส่งโจทย์มาให้ อุปกรณ์ของคุณใช้กุญแจซีกที่เก็บไว้ไขโจทย์นั้นแล้วส่งคำตอบกลับไป เว็บไซต์ตรวจคำตอบด้วยซีกของตัวเอง ถ้าตรงกันก็ให้เข้าได้
ในทางเทคนิค ซีกที่อยู่กับเว็บเรียกว่ากุญแจสาธารณะ (Public Key) ส่วนซีกที่อยู่กับคุณเรียกว่ากุญแจส่วนตัว (Private Key) จุดสำคัญคือกุญแจส่วนตัวไม่เคยถูกส่งออกจากอุปกรณ์ และเว็บไซต์ก็ไม่ได้เก็บอะไรที่เอาไปใช้แทนตัวคุณได้ ต่อให้ฐานข้อมูลของเว็บรั่ว คนร้ายก็ได้แค่กุญแจสาธารณะซึ่งใช้เข้าบัญชีไม่ได้
มาตรฐานเบื้องหลังมีชื่อว่า FIDO2 และ WebAuthn พัฒนาโดยกลุ่ม FIDO Alliance ร่วมกับผู้ผลิตเบราว์เซอร์และระบบปฏิบัติการ ทำให้ Passkey ใช้ได้ทั้งบน Android, iPhone, Windows, macOS และเบราว์เซอร์หลักแทบทุกตัว
ทำไม Passkey ปลอดภัยกว่ารหัสผ่าน
จุดอ่อนใหญ่ของรหัสผ่านคือมันเป็น "ความลับที่พิมพ์ได้" ใครรู้ก็ใช้ได้ทันที ส่วน Passkey ไม่มีอะไรให้พิมพ์ จึงตัดความเสี่ยงหลายแบบออกไปพร้อมกัน
- กันฟิชชิงได้ในตัว Passkey ผูกกับชื่อโดเมนของเว็บจริง ถ้าคุณหลงเข้าเว็บปลอมที่หน้าตาเหมือนธนาคาร อุปกรณ์จะไม่ยอมใช้ Passkey กับโดเมนปลอมนั้นเลย
- ไม่มีรหัสซ้ำ ทุกเว็บได้กุญแจคู่ใหม่ที่ไม่เกี่ยวกัน เว็บหนึ่งรั่วก็ไม่ลามไปเว็บอื่น
- ไม่ต้องจำ ไม่มีรหัสยาวๆ ให้ลืม ไม่ต้องเปลี่ยนรหัสทุกสามเดือน
- ต้องมีทั้งเครื่องและตัวคุณ คนร้ายต้องได้อุปกรณ์ของคุณไปและผ่านการปลดล็อกด้วย จึงเท่ากับมีการยืนยันสองชั้นอยู่ในขั้นตอนเดียว
ข้อมูลลายนิ้วมือหรือใบหน้าของคุณไม่ได้ถูกส่งไปให้เว็บไซต์ ระบบใช้ข้อมูลชีวมิติเพียงเพื่อปลดล็อกกุญแจในเครื่องเท่านั้น เว็บไซต์รู้แค่ว่าการยืนยันสำเร็จหรือไม่
| ประเด็น | รหัสผ่าน | Passkey |
|---|---|---|
| สิ่งที่ผู้ใช้ต้องทำ | จำและพิมพ์ | สแกนนิ้ว ใบหน้า หรือใส่ PIN เครื่อง |
| ถูกหลอกในเว็บปลอม | เสี่ยงสูง | อุปกรณ์ไม่ยอมใช้กับโดเมนปลอม |
| ฐานข้อมูลเว็บรั่ว | รหัสอาจถูกถอดและนำไปลองเว็บอื่น | คนร้ายได้แค่กุญแจสาธารณะที่ใช้เข้าบัญชีไม่ได้ |
| ใช้ซ้ำหลายเว็บ | คนส่วนใหญ่ทำ | เป็นไปไม่ได้ เพราะแต่ละเว็บได้กุญแจของตัวเอง |
Passkey เก็บไว้ที่ไหน และถ้าทำมือถือหายจะเป็นอย่างไร
คำถามแรกที่คนส่วนใหญ่สงสัยคือ ถ้ากุญแจอยู่ในเครื่อง แล้วเครื่องหายจะเข้าบัญชีไม่ได้หรือเปล่า คำตอบขึ้นกับว่า Passkey ของคุณเป็นแบบไหน
แบบซิงก์ผ่านบัญชี (Synced Passkey)
แบบที่คนทั่วไปใช้มากที่สุด กุญแจจะถูกเข้ารหัสแล้วซิงก์ผ่านตัวจัดการรหัสผ่าน เช่น iCloud Keychain หรือแอป Passwords ของ Apple, Google Password Manager หรือโปรแกรมจัดการรหัสผ่านอิสระที่รองรับ Passkey เมื่อคุณซื้อมือถือเครื่องใหม่และล็อกอินบัญชีเดิม Passkey ก็ตามมาด้วย ทำมือถือหายก็ยังใช้ได้จากเครื่องอื่นที่ซิงก์อยู่
แบบผูกกับอุปกรณ์ (Device-bound Passkey)
กุญแจอยู่ในฮาร์ดแวร์ชิ้นเดียวและคัดลอกออกไม่ได้ เช่น กุญแจความปลอดภัยแบบเสียบ USB หรือแตะ NFC นิยมในองค์กรหรือบัญชีที่ต้องการความปลอดภัยสูงมาก ข้อดีคือไม่มีใครดึงกุญแจออกไปได้ ข้อเสียคือถ้าหายต้องมีวิธีกู้คืนสำรองเตรียมไว้
วิธีตั้งค่า Passkey ทีละขั้น
ขั้นตอนของแต่ละบริการคล้ายกันมาก เมนูอาจเปลี่ยนชื่อเล็กน้อยตามเวอร์ชัน แต่หลักการเหมือนเดิม คือเข้าไปที่หน้าความปลอดภัยของบัญชีแล้วเลือกสร้าง Passkey
บัญชี Google
- เปิดหน้าการจัดการบัญชี Google แล้วไปที่เมนูความปลอดภัย (Security)
- หาหัวข้อ Passkey และกุญแจความปลอดภัย (Passkeys and security keys) แล้วกดสร้าง Passkey
- ยืนยันด้วยลายนิ้วมือ ใบหน้า หรือ PIN ของเครื่องที่ใช้อยู่
- ครั้งต่อไปที่เข้าสู่ระบบ Google จะเสนอให้ใช้ Passkey ก่อนรหัสผ่าน
บัญชี Apple และ iPhone
บน iPhone และ Mac ระบบรองรับ Passkey ผ่านพวงกุญแจ iCloud อยู่แล้ว เมื่อเว็บหรือแอปเสนอให้สร้าง Passkey ให้กดยอมรับแล้วยืนยันด้วย Face ID หรือ Touch ID กุญแจจะถูกเก็บในแอป Passwords และซิงก์ไปเครื่อง Apple อื่นที่ใช้ Apple ID เดียวกัน
บัญชี Microsoft และ Windows
ไปที่หน้าความปลอดภัยของบัญชี Microsoft เลือกตัวเลือกการลงชื่อเข้าใช้ขั้นสูง แล้วเพิ่มวิธีลงชื่อเข้าใช้แบบใบหน้า ลายนิ้วมือ หรือ PIN (Windows Hello) หรือ Passkey บนมือถือ ระบบจะพาสร้างกุญแจให้ทีละขั้น
เว็บไซต์และแอปอื่น
บริการจำนวนมาก เช่น ร้านค้าออนไลน์ โซเชียลมีเดีย และเครื่องมือทำงาน เริ่มรองรับ Passkey แล้ว ให้ดูในหน้าตั้งค่าความปลอดภัยของแต่ละบริการ ถ้ายังไม่มีตัวเลือกนี้ แปลว่าบริการนั้นยังไม่รองรับ ให้ใช้รหัสผ่านที่แข็งแรงร่วมกับการยืนยันสองขั้นตอนไปก่อน
ใช้ Passkey ข้ามอุปกรณ์ได้อย่างไร
สมมติคุณมี Passkey อยู่ในมือถือ แต่ต้องเข้าสู่ระบบบนคอมของที่ทำงานซึ่งไม่ได้ซิงก์บัญชีไว้ หน้าเข้าสู่ระบบจะมีตัวเลือกใช้อุปกรณ์อื่น แล้วแสดงคิวอาร์โค้ด (QR Code) ขึ้นมา
ให้ใช้กล้องมือถือสแกนโค้ดนั้น มือถือจะถามให้ยืนยันตัวตน และใช้บลูทูธตรวจว่ามือถืออยู่ใกล้คอมจริง วิธีนี้ทำให้คนร้ายที่อยู่ไกลส่งคิวอาร์โค้ดมาหลอกให้สแกนได้ยากขึ้นมาก หลังเข้าสู่ระบบแล้ว คอมเครื่องนั้นจะไม่ได้เก็บกุญแจของคุณไว้ เว้นแต่คุณจะเลือกสร้าง Passkey ใหม่ให้เครื่องนั้นเอง
ข้อจำกัดและเรื่องที่ควรรู้ก่อนเปลี่ยน
Passkey ดีขึ้นกว่ารหัสผ่านมาก แต่ยังมีบางเรื่องที่ควรเข้าใจก่อนเปลี่ยนทั้งหมด
- ไม่ใช่ทุกบริการรองรับ ช่วงเปลี่ยนผ่านนี้คุณจะยังต้องใช้รหัสผ่านควบคู่กันไปอีกระยะหนึ่ง
- การย้ายข้ามระบบนิเวศยังไม่ลื่นไหลเต็มที่ ถ้าใช้ทั้ง iPhone และคอม Windows อาจสะดวกกว่าถ้าเก็บ Passkey ในโปรแกรมจัดการรหัสผ่านที่ใช้ได้ทุกแพลตฟอร์ม ตรวจความสามารถในการนำเข้าและส่งออกล่าสุดที่เว็บไซต์ผู้ให้บริการ
- บัญชีหลักกลายเป็นจุดสำคัญที่สุด ถ้าคนร้ายยึดบัญชี Google หรือ Apple ID ได้ ก็อาจเข้าถึง Passkey ที่ซิงก์อยู่ จึงต้องดูแลบัญชีหลักอย่างดีที่สุด
- อย่ารีบลบรหัสผ่านเดิม บางบริการยังให้รหัสผ่านเป็นทางสำรอง ให้เปลี่ยนรหัสเดิมเป็นรหัสยาวที่ไม่ซ้ำกับที่ไหน แล้วเก็บไว้ในโปรแกรมจัดการรหัสผ่าน
เช็กลิสต์เริ่มใช้ Passkey ใน 1 สัปดาห์
ถ้าอยากเริ่มแบบไม่วุ่นวาย ลองทำตามลำดับนี้ วันละเรื่องสองเรื่องก็พอ
- ตั้งรหัสล็อกหน้าจอมือถือและคอมให้แข็งแรง และเปิดลายนิ้วมือหรือสแกนใบหน้า
- ตรวจว่าบัญชีหลัก (Google, Apple ID หรือ Microsoft) เปิดการยืนยันสองขั้นตอนแล้ว และมีเบอร์หรืออีเมลกู้คืนที่ใช้งานได้
- สร้าง Passkey ให้บัญชีหลักก่อน
- สร้าง Passkey ให้อีเมลงาน บัญชีโซเชียล และร้านค้าออนไลน์ที่ผูกบัตรไว้
- ทดลองเข้าสู่ระบบจากอีกเครื่องหนึ่ง เพื่อให้มั่นใจว่าการซิงก์ทำงาน
- จดรายการบริการที่ยังไม่รองรับ แล้วตั้งรหัสผ่านใหม่ที่ไม่ซ้ำกันให้บริการเหล่านั้น
เมื่อทำครบ คุณจะพบว่าการเข้าสู่ระบบเร็วขึ้นจริง และไม่ต้องกังวลเวลาเห็นข่าวรหัสผ่านรั่วอีกต่อไป เพราะบัญชีที่ใช้ Passkey ไม่มีรหัสให้รั่วตั้งแต่แรก
คำถามที่พบบ่อย
Passkey ส่งลายนิ้วมือหรือรูปใบหน้าของเราไปให้เว็บไซต์หรือไม่
ไม่ส่ง ข้อมูลชีวมิติใช้ปลดล็อกกุญแจภายในเครื่องเท่านั้น เว็บไซต์ได้รับเพียงผลการยืนยันที่เข้ารหัสแล้ว
ถ้าเปลี่ยนมือถือใหม่ ต้องสร้าง Passkey ใหม่ทุกเว็บหรือไม่
ถ้าใช้ Passkey แบบซิงก์ผ่านบัญชี เพียงล็อกอินบัญชีเดิมในเครื่องใหม่ กุญแจก็จะตามมาเอง ไม่ต้องสร้างใหม่
ใช้ Passkey แล้วยังต้องเปิดการยืนยันสองขั้นตอนอีกไหม
Passkey มีการยืนยันสองชั้นในตัวอยู่แล้ว แต่บัญชีหลักที่ใช้เก็บ Passkey ควรเปิดการยืนยันสองขั้นตอนไว้เสมอ
ให้คนในบ้านใช้มือถือเครื่องเดียวกันได้ไหม
ถ้าคนอื่นปลดล็อกเครื่องได้ด้วยนิ้วหรือ PIN ของเขา เขาก็อาจใช้ Passkey ในเครื่องได้ ควรให้เฉพาะเจ้าของบัญชีปลดล็อกเครื่องที่เก็บ Passkey สำคัญ
