พาสคีย์ (Passkey) คือวิธีเข้าสู่ระบบแบบใหม่ที่ใช้แทนรหัสผ่าน เราแค่ปลดล็อกมือถือหรือคอมพิวเตอร์ด้วยลายนิ้วมือ ใบหน้า หรือ PIN ก็ล็อกอินได้ทันที โดยไม่ต้องจำหรือพิมพ์รหัสผ่าน พาสคีย์ปลอดภัยกว่ารหัสผ่านเพราะเว็บไซต์ไม่ได้เก็บความลับที่ถูกขโมยไปใช้ได้ และใช้กับเว็บปลอมไม่ได้ จึงช่วยกันการหลอกเอารหัส (ฟิชชิง) ได้ดีมาก เริ่มใช้ได้จากหน้าตั้งค่าความปลอดภัยของบัญชีที่รองรับ เช่น บัญชี Google และ Apple
พาสคีย์คืออะไร และทำงานอย่างไร?
พาสคีย์คือข้อมูลยืนยันตัวตนสำหรับล็อกอินที่สร้างขึ้นตามมาตรฐาน FIDO ซึ่งพัฒนาโดย FIDO Alliance (กลุ่มความร่วมมือของบริษัทเทคโนโลยีด้านการยืนยันตัวตน) พาสคีย์ผูกกับบัญชีหนึ่งบัญชีบนเว็บไซต์หรือแอปหนึ่งแห่ง และเก็บไว้ในมือถือ คอมพิวเตอร์ หรือกุญแจความปลอดภัยแบบฮาร์ดแวร์ (security key) เวลาล็อกอิน เราแค่ปลดล็อกอุปกรณ์แบบที่ทำอยู่ทุกวัน
เบื้องหลังพาสคีย์คือการเข้ารหัสแบบกุญแจสาธารณะ (public-key cryptography) พาสคีย์แต่ละอันมีกุญแจ 2 ดอกที่ทำงานคู่กัน
- กุญแจส่วนตัว (private key): อยู่ในอุปกรณ์ของเราเท่านั้น ไม่ถูกส่งไปที่เว็บไซต์
- กุญแจสาธารณะ (public key): เว็บไซต์เก็บไว้ ใช้ตรวจว่าคำยืนยันมาจากกุญแจส่วนตัวของเราจริง แต่เอาไปปลอมตัวเป็นเราไม่ได้
ข้อมูลไบโอเมตริก เช่น ลายนิ้วมือหรือใบหน้า ไม่ได้ถูกส่งไปที่เว็บไซต์ อุปกรณ์ใช้ข้อมูลนี้แค่ตรวจว่าเป็นเจ้าของเครื่องจริง แล้วส่งผลยืนยันไปให้เว็บไซต์เท่านั้น
พาสคีย์ปลอดภัยกว่ารหัสผ่านอย่างไร?
พาสคีย์ปลอดภัยกว่าเพราะไม่มีรหัสให้ขโมย ไม่มีรหัสให้พิมพ์ลงเว็บปลอม และใช้ซ้ำข้ามเว็บไม่ได้ ถึงเว็บไซต์จะถูกเจาะฐานข้อมูล คนร้ายก็ได้ไปแค่กุญแจสาธารณะซึ่งใช้ล็อกอินแทนเราไม่ได้
จุดเด่นสำคัญคือกันฟิชชิงได้ เพราะพาสคีย์ผูกกับเว็บไซต์ตัวจริงที่สร้างไว้ ถ้าเราเผลอกดลิงก์ไปเว็บปลอมที่หน้าตาเหมือนธนาคารหรืออีเมล อุปกรณ์จะไม่ยอมใช้พาสคีย์กับเว็บนั้น คนร้ายจึงไม่ได้อะไรไป ต่างจากรหัสผ่านและรหัส OTP ที่เราอาจถูกหลอกให้พิมพ์ลงไปเองได้
| หัวข้อ | รหัสผ่าน | รหัสผ่าน + 2FA | พาสคีย์ |
|---|---|---|---|
| ต้องจำหรือพิมพ์อะไรไหม | ต้องจำและพิมพ์รหัสผ่าน | พิมพ์รหัสผ่าน แล้วยืนยันขั้นที่สอง เช่น รหัส OTP | ไม่ต้อง แค่ปลดล็อกอุปกรณ์ |
| ถ้าเว็บไซต์ถูกเจาะข้อมูล | รหัสผ่านอาจหลุดและถูกนำไปใช้ | รหัสผ่านอาจหลุด แต่ยังมีขั้นที่สองช่วยกัน | หลุดได้แค่กุญแจสาธารณะ ซึ่งใช้ล็อกอินไม่ได้ |
| กันเว็บปลอม (ฟิชชิง) | กันไม่ได้ | กันได้บางส่วน รหัส OTP ยังถูกหลอกให้กรอกได้ | กันได้ดี เพราะผูกกับเว็บไซต์ตัวจริง |
| ใช้ซ้ำหลายเว็บ | คนมักใช้ซ้ำ ทำให้เสี่ยง | ยังใช้รหัสผ่านซ้ำได้ | ใช้ซ้ำไม่ได้ แต่ละเว็บมีพาสคีย์ของตัวเอง |
ถ้าเว็บไซต์ที่ใช้ยังไม่รองรับพาสคีย์ การตั้งรหัสผ่านที่แข็งแรงและเปิดการยืนยันตัวตนสองขั้นตอน (2FA) ก็ยังเป็นวิธีป้องกันที่ควรทำต่อไป
สร้างพาสคีย์สำหรับบัญชี Google ทำอย่างไร?
บัญชี Google สร้างพาสคีย์ได้จากหน้าตั้งค่าพาสคีย์ของบัญชี ใช้เวลาไม่ถึงนาที ต้องใช้อุปกรณ์ที่ตั้งล็อกหน้าจอไว้ และควรสร้างเฉพาะบนอุปกรณ์ของตัวเอง เพราะใครที่ปลดล็อกอุปกรณ์นั้นได้ก็จะเข้าบัญชีเราได้ด้วย
- เข้าไปที่ myaccount.google.com/signinoptions/passkeys แล้วล็อกอินบัญชี Google
- กด “สร้างพาสคีย์” (Create a passkey) แล้วกดยืนยันอีกครั้ง
- ปลดล็อกอุปกรณ์ด้วยลายนิ้วมือ ใบหน้า หรือ PIN ตามที่ระบบขึ้นมาให้
- เสร็จแล้วพาสคีย์จะแสดงในรายการตัวเลือกการลงชื่อเข้าใช้ของบัญชี
Google ระบุว่าอุปกรณ์ที่ใช้ได้ต้องเป็น Windows 10, macOS Ventura, ChromeOS 109, Android 9 หรือ iOS 16 ขึ้นไป และเบราว์เซอร์ Chrome 109, Safari 16, Edge 109 หรือ Firefox 122 ขึ้นไป หลังสร้างพาสคีย์แล้ว รหัสผ่านเดิมยังใช้ได้ตามปกติ
ใช้พาสคีย์บน iPhone หรือ iPad ทำอย่างไร?
บน iPhone และ iPad พาสคีย์จะถูกเก็บไว้ในแอป “รหัสผ่าน” (Passwords) และใช้ Face ID หรือ Touch ID ยืนยันตอนล็อกอิน ถ้าเปิดซิงค์รหัสผ่านกับ iCloud ไว้ พาสคีย์จะไปอยู่ในอุปกรณ์ Apple เครื่องอื่นของเราด้วย โดย iCloud Keychain เข้ารหัสแบบต้นทางถึงปลายทาง (end-to-end encryption) ที่ Apple เองก็ไม่รู้กุญแจ
- เปิดเว็บไซต์หรือแอปที่รองรับพาสคีย์ แล้วสมัครบัญชีใหม่ หรือล็อกอินบัญชีเดิมและเข้าไปที่การตั้งค่าบัญชี
- เมื่อมีตัวเลือกให้บันทึกพาสคีย์ขึ้นมา ให้แตะ “ดำเนินการต่อ” (Continue)
- ยืนยันด้วย Face ID หรือ Touch ID
- ครั้งถัดไปที่ล็อกอิน เลือกใช้พาสคีย์แล้วยืนยันด้วยใบหน้าหรือลายนิ้วมือได้เลย
ขั้นตอนอาจต่างกันเล็กน้อยในแต่ละเว็บไซต์หรือแอป ถ้าไม่เห็นตัวเลือกพาสคีย์เลย แปลว่าเว็บหรือแอปนั้นยังไม่รองรับ นอกจากนี้ Apple กำหนดให้บัญชี Apple ที่ใช้ iCloud Keychain ต้องเปิดการยืนยันตัวตนสองปัจจัยไว้ก่อน
ถ้าทำมือถือหาย พาสคีย์จะหายไปด้วยไหม?
ส่วนใหญ่ไม่หาย เพราะพาสคีย์ที่เราใช้ทั่วไปเป็นแบบซิงค์ (synced passkey) ซึ่งสำรองไว้กับผู้ให้บริการ เช่น iCloud Keychain หรือตัวจัดการรหัสผ่านของ Google เมื่อล็อกอินบัญชีบนเครื่องใหม่ พาสคีย์ก็กลับมาใช้ได้ ส่วนคนที่เก็บมือถือไปก็ใช้พาสคีย์ไม่ได้ถ้าปลดล็อกเครื่องไม่ได้
เพื่อความปลอดภัย เมื่อทำอุปกรณ์หาย ควรทำดังนี้
- ล็อกอินบัญชีจากอุปกรณ์เครื่องอื่นที่ยังใช้ได้
- สำหรับบัญชี Google ไปที่ “ความปลอดภัยและการลงชื่อเข้าใช้” แล้วเลือก “พาสคีย์และคีย์ความปลอดภัย” จากนั้นเลือกพาสคีย์ของเครื่องที่หายแล้วกดนำออก
- สั่งออกจากระบบบนอุปกรณ์ที่หายจากหน้าจัดการอุปกรณ์ของบัญชี
อีกแบบหนึ่งคือพาสคีย์ที่ผูกกับอุปกรณ์ (device-bound passkey) เช่น พาสคีย์ในกุญแจความปลอดภัยแบบฮาร์ดแวร์ พาสคีย์แบบนี้ไม่ออกจากตัวอุปกรณ์เลย จึงปลอดภัยสูงสุด แต่ถ้าทำหายก็ต้องมีวิธีล็อกอินสำรองไว้
คำถามที่พบบ่อยเกี่ยวกับพาสคีย์
ใช้พาสคีย์แล้ว ยังต้องมีรหัสผ่านอยู่ไหม?
ในช่วงนี้ส่วนใหญ่ยังมี เช่น บัญชี Google ยังเก็บรหัสผ่านไว้ให้ใช้ได้ถ้าเราไม่เลือกปิดเอง จึงควรตั้งรหัสผ่านให้แข็งแรงไว้ต่อไป
ล็อกอินบนคอมพิวเตอร์ของคนอื่นด้วยพาสคีย์ในมือถือได้ไหม?
ได้ ในหน้าล็อกอินให้เลือกใช้พาสคีย์จากอุปกรณ์อื่น แล้วใช้มือถือสแกนคิวอาร์โค้ด (QR code) ที่ขึ้นบนจอ จากนั้นยืนยันบนมือถือ ต้องเปิดบลูทูธไว้ เพราะระบบใช้ตรวจว่ามือถืออยู่ใกล้คอมพิวเตอร์จริง
เว็บไซต์เก็บลายนิ้วมือหรือใบหน้าของเราไปไหม?
ไม่เก็บ ข้อมูลไบโอเมตริกอยู่ในอุปกรณ์ของเราเท่านั้น เว็บไซต์ได้รับแค่ผลการยืนยันว่าปลดล็อกสำเร็จ
ทุกเว็บไซต์ใช้พาสคีย์ได้หรือยัง?
ยังไม่ทุกเว็บ ต้องเป็นเว็บไซต์หรือแอปที่รองรับพาสคีย์เท่านั้น สังเกตได้จากตัวเลือก “พาสคีย์” หรือ “Passkey” ในหน้าล็อกอินหรือหน้าตั้งค่าความปลอดภัยของบัญชี
แหล่งอ้างอิง: FIDO Alliance – Passkeys, Google Account Help – Sign in with a passkey instead of a password, Apple Platform Support – Use passkeys on iPhone and iPad
ภาพหน้าปกโดย Onur Binay จาก Unsplash
