Passkey คืออะไร คู่มือเข้าสู่ระบบแบบไม่ใช้รหัสผ่าน

เรามีรหัสผ่านมากเกินไป ใช้ซ้ำบางตัว ลืมตัวที่เหลือ และแอบหวั่นใจทุกครั้งที่ต้องเจออีเมล "รีเซ็ตรหัสผ่าน" Passkey เป็นวิธีเข้าสู่ระบบแบบใหม่ที่พยายามกำจัดจุดอ่อนที่สุดของขั้นตอนนี้ แทนที่จะพิมพ์ความลับ คุณพิสูจน์ตัวตนด้วยสิ่งที่อุปกรณ์ทำได้อยู่แล้ว คือลายนิ้วมือ การสแกนใบหน้า หรือ PIN ที่ใช้ปลดล็อกหน้าจอ

บทความนี้อธิบาย passkey ด้วยภาษาธรรมดา ครอบคลุมหลักการทำงาน การเปรียบเทียบกับรหัสผ่านและรหัส SMS เหตุผลที่ทนต่อฟิชชิง สิ่งที่เกิดขึ้นเมื่อเปลี่ยนหรือทำมือถือหาย ประโยชน์ตอนเดินทาง และแหล่งที่รองรับ แล้วจบด้วยวิธีเริ่มต้นแบบง่ายๆ ชื่อเมนูต่างกันตามอุปกรณ์ แอป และเวอร์ชัน และการรองรับเปลี่ยนเร็วมาก โปรดถือถ้อยคำในบทความเป็นแนวทางทั่วไป

Passkey คืออะไร

Passkey คือข้อมูลยืนยันตัวตนที่มาแทนรหัสผ่านสำหรับเว็บไซต์หรือแอปหนึ่งๆ ในทางเทคนิคคือคู่กุญแจเข้ารหัส อันหนึ่งคือ กุญแจส่วนตัว เก็บในอุปกรณ์ของคุณและป้องกันด้วยการล็อกหน้าจอ อีกอันคือ กุญแจสาธารณะ ซึ่งเว็บไซต์เก็บไว้ เมื่อคุณเข้าสู่ระบบ เว็บไซต์ส่งโจทย์มา อุปกรณ์ลงนามด้วยกุญแจส่วนตัวหลังจากคุณยืนยันด้วยลายนิ้วมือ ใบหน้า หรือ PIN และเว็บไซต์ตรวจลายเซ็นด้วยกุญแจสาธารณะ

ประเด็นสำคัญคือ กุญแจส่วนตัวไม่เคยออกจากอุปกรณ์ในรูปแบบที่ใครอ่านได้ และเว็บไซต์ไม่เคยได้รับความลับที่นำไปใช้ซ้ำที่อื่นได้ FIDO Alliance กลุ่มอุตสาหกรรมเบื้องหลังมาตรฐานนี้ อธิบายแนวคิดไว้ที่หน้า passkeys รายละเอียดเป็นเรื่องเทคนิค แต่สิ่งที่คุณเห็นนั้นเรียบง่าย คือกดเข้าสู่ระบบ ยืนยันด้วยใบหน้าหรือนิ้ว แล้วก็เข้าได้

เปรียบเทียบรหัสผ่าน รหัส SMS และ passkey

เมื่อวางเทียบกันจะเห็นภาพชัด

	รหัสผ่าน	รหัสผ่านร่วมกับรหัส SMS	Passkey
สิ่งที่คุณทำ	พิมพ์ความลับ	พิมพ์ความลับและรหัสที่ส่งเข้ามือถือ	ยืนยันบนอุปกรณ์
โดนฟิชชิงได้ไหม	ได้ ถ้าพิมพ์ในเว็บปลอม	ได้ เว็บปลอมขอรหัสด้วยได้	ยากมาก เพราะกุญแจใช้ได้เฉพาะเว็บจริง
รั่วจากการแฮกเว็บไซต์ได้ไหม	ได้	ส่วนรหัสผ่านรั่วได้	ไม่มีความลับที่ใช้ซ้ำได้เก็บบนเว็บ
ต้องพึ่งสัญญาณมือถือ	ไม่	ใช่	ไม่
ถูกโอนทางการสลับซิมได้ไหม	ไม่โดยตรง	ได้	ไม่ได้
ใช้ซ้ำหลายเว็บได้ง่ายไหม	ง่าย และเป็นปัญหา	เหมือนกัน	แต่ละเว็บได้กุญแจของตัวเอง

ข้อสรุปไม่ใช่ว่ารหัส SMS ไร้ประโยชน์ สถาบันมาตรฐานและเทคโนโลยีของสหรัฐฯ (NIST) ในแนวทางด้านอัตลักษณ์ดิจิทัล SP 800-63B จัดรหัสทางข้อความเป็นขั้นตอนที่สองที่อ่อนกว่า และพูดถึงตัวเลือกที่แข็งแรงกว่า รวมถึงตัวยืนยันที่ทนต่อฟิชชิง รหัสที่ส่งทาง SMS ดีกว่ารหัสผ่านอย่างเดียว แต่ถูกดัก โอนเส้นทาง หรือหลอกเอาไปได้ ดูเพิ่มในบทความเรื่องการยืนยันตัวตนสองขั้นตอน

ทำไม passkey ทนต่อฟิชชิง

ฟิชชิงทำงานโดยหลอกให้คุณพิมพ์ความลับลงในเว็บที่หน้าตาเหมือนของจริง ข้อความบอกว่าบัญชีธนาคารมีปัญหา คุณกดลิงก์ หน้าเว็บดูถูกต้อง คุณกรอกรหัสผ่านและรหัสที่เพิ่งได้รับ แล้วผู้โจมตีส่งทั้งสองอย่างต่อไปยังเว็บจริง คำแนะนำของ CISA เรื่องฟิชชิงรวบรวมสัญญาณที่พบบ่อย และบทความวิธีสังเกตเว็บไซต์ฟิชชิงอธิบายต่อ

Passkey เปลี่ยนเกมเพราะผูกกับที่อยู่ของเว็บไซต์จริง ถ้าคุณเข้าโดเมนปลอม อุปกรณ์จะไม่เสนอ passkey เพราะมันถูกสร้างไว้สำหรับเว็บจริงเท่านั้น ไม่มีอะไรให้พิมพ์ จึงไม่มีอะไรให้ใครได้ไป การตรวจสอบทำโดยซอฟต์แวร์ที่ไม่เหนื่อยและไม่เผลอ นี่คือข้อต่างสำคัญ แต่ฟิชชิงไม่ใช่อันตรายเพียงอย่างเดียว Passkey ไม่ช่วยถ้ามีคนได้มือถือที่ปลดล็อกอยู่ ถ้ามัลแวร์คุมเครื่อง หรือถ้าคุณถูกหลอกให้กดอนุมัติบางอย่างบนเว็บจริง มันลดความเสี่ยงที่พบบ่อยมากอย่างหนึ่งได้ดี

การซิงก์ข้ามอุปกรณ์ และเมื่อทำมือถือหาย

ความกังวลแรกๆ คือ ถ้ากุญแจอยู่ในมือถือเครื่องเดียวแล้วเครื่องหายจะทำอย่างไร Passkey ในปัจจุบันมักซิงก์ได้ บัญชีของมือถือ เบราว์เซอร์ หรือโปรแกรมจัดการรหัสผ่านเก็บสำเนาที่เข้ารหัสไว้ เพื่อให้เครื่องใหม่กู้คืนได้หลังคุณเข้าสู่ระบบบัญชีนั้น รายละเอียดต่างกันตามระบบ ชื่อเมนูก็ต่างกัน โปรดตรวจดูว่าระบบของคุณมีอะไรให้

ในทางปฏิบัติ

• เปลี่ยนมือถือใหม่ หลังเข้าสู่ระบบบัญชีบนเครื่องใหม่และปลดล็อก passkey มักปรากฏขึ้นอีกครั้ง ลองทดสอบกับเว็บสำคัญสักสองสามแห่ง
• มือถือหายหรือถูกขโมย การล็อกหน้าจอปกป้องกุญแจในเครื่อง ให้ล็อกหรือลบข้อมูลเครื่องด้วยฟีเจอร์ค้นหาอุปกรณ์ของผู้ผลิต แล้วกู้คืน passkey ลงเครื่องใหม่จากบัญชี
• อุปกรณ์ต่างยี่ห้อ ถ้าใช้มือถือยี่ห้อหนึ่งกับโน้ตบุ๊กอีกยี่ห้อ การเข้าสู่ระบบข้ามอุปกรณ์ช่วยให้ใช้มือถืออนุมัติการล็อกอินบนโน้ตบุ๊กได้ มักด้วยการสแกน QR และยืนยันเมื่ออยู่ใกล้กัน การรองรับต่างกัน
• โปรแกรมจัดการรหัสผ่าน โปรแกรมจัดการรหัสผ่านหลายตัวเก็บ passkey ได้ด้วย ช่วยเมื่อคุณสลับไปมาระหว่างแพลตฟอร์ม

จุดอ่อนย้ายจาก passkey ไปอยู่ที่บัญชีที่ซิงก์ ดังนั้นต้องป้องกันบัญชีนั้นด้วยรหัสผ่านที่แข็งแรง ขั้นตอนที่สอง และวิธีกู้คืนที่คุณควบคุมได้ จนกว่าจะมั่นใจ ให้เก็บทางเข้าสำรองสำหรับบัญชีสำคัญที่สุด เช่น รหัสสำรองที่เก็บไว้ในที่ปลอดภัย

ใช้ passkey ตอนเดินทาง

การเดินทางคือช่วงที่ passkey แสดงคุณค่า หลายคนพึ่งรหัส SMS ที่ส่งเข้าเบอร์ไทยเพื่อเข้าสู่ระบบหรืออนุมัติการชำระเงิน เมื่ออยู่ต่างประเทศ อาจมีปัญหา ซิมไทยอาจไม่มีสัญญาณหรือปิดโรมมิง ข้อความอาจมาช้า หรือคุณใช้แพ็กอินเทอร์เน็ตท้องถิ่นแทนเบอร์ปกติ หากต้องการความช่วยเหลือสถานการณ์แบบนี้ eSIMonline เว็บที่ขาย eSIM สำหรับนักเดินทาง มีบทความเรื่องการรับรหัส SMS ระหว่างอยู่ต่างประเทศ

Passkey อนุมัติบนอุปกรณ์ที่อยู่ในมือคุณ จึงไม่ต้องใช้ข้อความ SMS เลย สำหรับนักเดินทางที่พึ่งซิมไทย นั่นคือข้อพึ่งพาที่ลดไปหนึ่งอย่าง และลดความเสี่ยงด้วย เมื่อมีรหัส SMS ที่ลอยอยู่น้อยลง ก็มีให้มิจฉาชีพดักหรือได้ไปทางการสลับซิมน้อยลง

นิสัยตอนเดินทางที่เข้ากันดี

1. ตั้ง passkey ของบัญชีสำคัญก่อนออกเดินทาง อีเมล ธนาคาร ช้อปปิ้ง และบัญชีที่เสียไม่ได้
2. ล็อกหน้าจอให้แข็งแรง Passkey ปลอดภัยเท่ากับการล็อกบนอุปกรณ์ หลีกเลี่ยง PIN ง่ายๆ และพิจารณาปิดทางลัดที่แสดงเนื้อหาสำคัญบนหน้าจอล็อก
3. เก็บทางเข้าสำรอง รหัสกู้คืนที่เก็บออฟไลน์ช่วยได้ถ้ามือถือหายหรือพังที่ต่างประเทศ
4. อย่าลืม Wi-Fi สาธารณะ Passkey ปกป้องการเข้าสู่ระบบ แต่ไม่ได้ปกป้องทุกอย่างที่คุณทำบนเครือข่าย VPN เพิ่มอีกชั้นบนโรงแรม สนามบิน และร้านกาแฟ ดังในคู่มือความปลอดภัยบน Wi-Fi สาธารณะ แต่สองอย่างนี้ไม่ได้ทดแทนกัน

ที่ไหนรองรับ passkey บ้าง

การรองรับเติบโตเร็วแต่ยังไม่ครบทุกแห่ง บริษัทเทคโนโลยีใหญ่ๆ บริการอีเมล โซเชียลเน็ตเวิร์ก และธนาคาร ร้านค้า รวมถึงพอร์ทัลภาครัฐที่เพิ่มขึ้นมีให้ใช้ มือถือ แท็บเล็ต โน้ตบุ๊ก และเบราว์เซอร์รุ่นใหม่โดยทั่วไปรองรับการสร้างและใช้งาน และโปรแกรมจัดการรหัสผ่านหลายตัวก็รองรับ

ควรระวังถ้อยคำดังนี้

• การรองรับต่างกันตาม เว็บไซต์ แอป และ เวอร์ชันระบบปฏิบัติการ บางเว็บอนุญาตให้ใช้ passkey ในเบราว์เซอร์แต่ไม่ใช่ในแอปมือถือ หรือกลับกัน
• บางเว็บให้ใช้ passkey ควบคู่ กับรหัสผ่าน บางเว็บให้เลิกใช้รหัสผ่านได้เลย นโยบายต่างกัน
• อุปกรณ์และเบราว์เซอร์รุ่นเก่าอาจไม่รองรับ ซึ่งคุณอาจได้รับวิธีอื่นแทน
• ธนาคารและที่ทำงานบางแห่งมีกฎของตัวเอง ให้ทำตามคำแนะนำอย่างเป็นทางการ

วิธีที่ดีที่สุดคือเปิดการตั้งค่าความปลอดภัยหรือการเข้าสู่ระบบของบริการนั้น แล้วมองหา Passkeys, Security keys หรือ Passwordless sign-in ถ้าไม่มีตัวเลือก บริการนั้นอาจยังไม่รองรับ

วิธีเริ่มต้นทีละขั้น

คุณไม่จำเป็นต้องเปลี่ยนทุกอย่างพร้อมกัน ลำดับที่สมเหตุสมผลคือ

1. ตรวจพื้นฐาน อัปเดตมือถือและเบราว์เซอร์ เปิดการล็อกหน้าจอ และใช้ PIN หรือการยืนยันตัวตนทางชีวภาพที่คุณไว้ใจ
2. เลือกบัญชีที่สำคัญที่สุดก่อน มักเป็นอีเมล เพราะใช้รีเซ็ตบัญชีอื่นได้ จากนั้นเป็นธนาคารและโซเชียลหลัก
3. เปิดการตั้งค่าความปลอดภัยของบัญชี มองหา Passkeys หรือ Passwordless sign-in แล้วทำตามขั้นตอน ระบบจะให้ยืนยันด้วยลายนิ้วมือ ใบหน้า หรือ PIN ชื่อเมนูต่างกัน
4. ดูว่าเก็บไว้ที่ไหน จดไว้ว่า passkey ถูกเก็บในบัญชีมือถือ เบราว์เซอร์ หรือโปรแกรมจัดการรหัสผ่าน เพื่อให้รู้วิธีกู้คืน
5. ทดสอบ ออกจากระบบ แล้วเข้าสู่ระบบด้วย passkey ทดสอบบนอุปกรณ์เครื่องที่สองด้วยถ้ามี
6. เก็บทางสำรองไว้ อย่าเพิ่งลบรหัสผ่านหรือวิธีกู้คืนทันที ค่อยลบทีหลังเมื่อมั่นใจ ถ้าบริการอนุญาต
7. ทำซ้ำกับบัญชีอื่น ทีละไม่กี่บัญชี

ปฏิบัติต่อคำขอสร้าง passkey เหมือนข้อความเตือนด้านความปลอดภัยทุกอย่าง คืออนุมัติเมื่อคุณเป็นคนเริ่มเองบนเว็บหรือแอปที่คุณเปิดเองเท่านั้น

ตัวอย่างง่ายๆ

สมมติว่านักเดินทางหญิงจากเชียงใหม่ไปเที่ยวโอซาก้า ที่บ้านเธอเข้าธนาคารด้วยรหัสผ่านและรหัส SMS ทางเบอร์ไทย ที่ต่างประเทศเธอปิดโรมมิงเพื่อประหยัด และใช้แพ็กอินเทอร์เน็ตท้องถิ่น ข้อความจึงไม่เข้า และเธออนุมัติการชำระเงินไม่ได้

ก่อนเดินทาง เพื่อนแนะนำให้ลองใช้ passkey เธอตั้งไว้สำหรับอีเมลและบัญชีช้อปปิ้งหลัก และแอปธนาคารก็เสนอให้เช่นกัน ที่สนามบิน เธอใช้ลายนิ้วมือเข้าอีเมลและอนุมัติการซื้อโดยไม่ต้องรอข้อความ บน Wi-Fi โรงแรมเธอเปิด VPN เพิ่มอีกชั้น ตอนที่มือถือหายไปชั่วครู่ในแท็กซี่ เธอโล่งใจที่ล็อกหน้าจอไว้แน่น ใช้ฟีเจอร์ค้นหาอุปกรณ์ล็อกเครื่อง และได้เครื่องคืนในภายหลัง เมื่อกลับบ้านเธอตรวจดูว่าบัญชีทุกอย่างเรียบร้อย

ข้อจำกัดและสิ่งที่ควรระวัง

• Passkey ไม่ใช่เวทมนตร์ ป้องกันฟิชชิงและรหัสผ่านรั่วได้ดี แต่ช่วยไม่ได้ถ้าอุปกรณ์ถูกเจาะ หรือถ้าคุณถูกหลอกให้อนุมัติสิ่งที่เป็นการฉ้อโกง
• การล็อกอุปกรณ์สำคัญ ใครที่รู้ PIN มือถือและถือเครื่องของคุณอยู่ อาจไปได้ไกล ใช้การล็อกที่แข็งแรงและระวังเวลากดในที่สาธารณะ
• การซิงก์เป็นข้อแลกเปลี่ยน สะดวก แต่ทำให้บัญชีที่ซิงก์เป็นเป้าสำคัญ ปกป้องให้ดี
• การรองรับไม่สม่ำเสมอ ให้คาดว่าต้องเก็บรหัสผ่านและขั้นตอนที่สองสำหรับบางเว็บไว้อีกระยะ
• เครื่องที่ใช้ร่วมกันและเครื่องที่ทำงาน อย่าสร้าง passkey บนคอมพิวเตอร์ที่ไม่ใช่ของคุณหรือที่คนอื่นใช้ร่วมกัน
• ยึดแหล่งข้อมูลทางการ กฎที่แน่นอนในประเทศหรือที่ทำงานของคุณ ให้ดูหน้าช่วยเหลือของบริการนั้น คำอธิบายของเราเป็นภาพรวม

สรุป

Passkey แทนความลับที่พิมพ์ด้วยกุญแจในอุปกรณ์ของคุณ ซึ่งอนุมัติด้วยลายนิ้วมือ ใบหน้า หรือ PIN ทนต่อฟิชชิงเพราะใช้ได้เฉพาะบนเว็บจริง ไม่มีรหัสผ่านให้รั่ว และไม่พึ่งรหัส SMS ซึ่งช่วยตอนเดินทางที่ซิมไทยใช้ไม่ได้ การซิงก์ทำให้เปลี่ยนมือถือได้ไม่ยาก แต่ต้องปกป้องบัญชีที่ซิงก์และมีวิธีกู้คืนสำรอง เริ่มจากอีเมลและธนาคาร ทดสอบการเข้าสู่ระบบ และเก็บทางสำรองไว้ระหว่างที่การรองรับยังขยายตัว

หากกำลังเตรียมตัวเดินทางและอยากได้อีกชั้นป้องกันบนเครือข่ายโรงแรมหรือสนามบินศูนย์ช่วยเหลืออธิบายวิธีเชื่อมต่อ VPN เมื่อคุณพร้อม