Passkeys คืออะไร ทำไมถึงแทนรหัสผ่านได้

บทนำ: ทำไมเรายังติดอยู่กับรหัสผ่าน

บทความนี้จะพาคุณเข้าใจภาพรวมของ Authentication ยุคใหม่ ตั้งแต่ปัญหาของรหัสผ่านดั้งเดิม หลักการทำงานของ Passkeys ที่อยู่บนมาตรฐาน FIDO2 และ WebAuthn ไปจนถึงวิธีจัดการ Account Recovery ไม่ให้ถูกล็อกออกจากบัญชีตัวเอง คุณจะได้รู้ว่าควรเริ่มใช้ Passkeys เมื่อไหร่ ตั้งค่าอย่างไรให้ปลอดภัย และต้องเตรียมแผนสำรองอะไรบ้าง

ปัญหาคลาสสิกของผู้ใช้ทั่วไปคือจำรหัสผ่านไม่ได้ ใช้ซ้ำทุกเว็บ หรือตั้งง่ายจนถูกเดาได้ง่าย ส่วนฝั่งองค์กรก็ต้องรับมือกับ phishing, credential stuffing และฐานข้อมูลหลุด Passkeys จึงถูกผลักดันจาก Apple, Google, Microsoft ร่วมกับ FIDO Alliance เพื่อลดจุดอ่อนเชิงโครงสร้างของรหัสผ่าน ไม่ใช่แค่เพิ่มความสะดวก

1. Authentication มีกี่แบบ และทำไมต้องมีหลายชั้น

Authentication คือการพิสูจน์ว่าคุณคือคุณจริง ๆ ปกติแบ่งเป็น 3 ปัจจัย

• Something you know: สิ่งที่รู้ เช่น รหัสผ่าน, PIN
• Something you have: สิ่งที่มี เช่น โทรศัพท์, Security Key, OTP app
• Something you are: สิ่งที่เป็น เช่น ลายนิ้วมือ, ใบหน้า

ระบบที่ใช้รหัสผ่านอย่างเดียวถือว่ามีปัจจัยเดียว จึงเปราะบาง เมื่อเพิ่มปัจจัยที่สองเข้าไป เช่น OTP ผ่านแอป เรียกว่า Multi-Factor Authentication (MFA) จะปลอดภัยขึ้นมาก แต่ OTP แบบ SMS ยังเสี่ยงต่อ SIM swapping

แนวคิดใหม่คือเปลี่ยนจาก shared secret (รหัสผ่านที่ทั้งผู้ใช้และเซิร์ฟเวอร์ต้องรู้ตรงกัน) ไปเป็น public-key cryptography ที่ไม่มีความลับร่วมกันบนเซิร์ฟเวอร์ให้ขโมยได้

2. Passkeys คืออะไร ทำงานอย่างไร

Passkey คือ credential แบบ passwordless ที่สร้างจากมาตรฐาน FIDO2 และ WebAuthn ของ W3C และ FIDO Alliance ตัวอุปกรณ์ของคุณจะสร้างคู่กุญแจ (key pair)

• Private Key: อยู่บนอุปกรณ์ของคุณเท่านั้น ถูกป้องกันด้วย Secure Enclave / TPM และปลดล็อกด้วย biometrics หรือ PIN ไม่เคยส่งออกไปที่ไหน
• Public Key: ส่งไปเก็บไว้ที่เว็บไซต์หรือแอป

เวลาเข้าสู่ระบบ เว็บไซต์จะส่ง challenge แบบสุ่มมา อุปกรณ์จะขอให้คุณยืนยันตัวตนด้วยใบหน้าหรือลายนิ้วมือ แล้วใช้ private key เซ็น challenge นั้น ส่งลายเซ็นกลับไป เซิร์ฟเวอร์ตรวจสอบด้วย public key ที่เก็บไว้ ถ้าตรงกันก็ให้เข้าได้

จุดสำคัญคือ Passkey ผูกกับโดเมนจริงของเว็บไซต์ (origin-bound) ทำให้เว็บปลอมที่ทำหน้าตาเหมือนกันไม่สามารถใช้ challenge เดียวกันได้ จึงต้านทาน phishing ได้ดีกว่ารหัสผ่านและ OTP ทั่วไปมาก

ประเภทของ Passkeys

• Synced Passkeys: ซิงก์ข้ามอุปกรณ์ผ่านผู้ให้บริการ เช่น iCloud Keychain ของ Apple, Google Password Manager, Windows Hello สะดวกที่สุด ผู้ใช้ส่วนใหญ่ใช้งานแบบนี้ ข้อมูลจาก Microsoft ระบุว่าการลงทะเบียนสำเร็จถึง 99% และเข้าสู่ระบบได้เร็วกว่ารหัสผ่าน+MFA แบบเดิมถึง 14 เท่า
• Device-bound Passkeys: private key ไม่เคยออกจากอุปกรณ์เลย เช่น FIDO2 Security Key อย่าง YubiKey หรือ passkey ใน Microsoft Authenticator เหมาะกับบัญชีสิทธิสูงหรืองานที่ต้องการการควบคุมอุปกรณ์เข้มงวด

3. ทำไมแพลตฟอร์มใหญ่ถึงดัน Passkeys ตอนนี้

• Google: ตั้งแต่ปลายปี 2023 ทำให้ Passkeys เป็นตัวเลือกเริ่มต้นสำหรับบัญชีส่วนบุคคล และรายงานการใช้งานเพิ่มขึ้นหลายร้อยเปอร์เซ็นต์
• Apple: เปิดตัว Passkeys บน iOS 16 ปี 2022 และซิงก์ผ่าน iCloud Keychain อัตโนมัติทุกอุปกรณ์ Apple
• Microsoft: ประกาศให้ Passkeys เป็นค่าเริ่มต้นสำหรับบัญชีใหม่ตั้งแต่พฤษภาคม 2025 และรองรับใน Windows Hello และ Entra ID

เบราว์เซอร์หลักอย่าง Chrome, Safari, Edge, Firefox รองรับ WebAuthn หมดแล้ว ทำให้เว็บไซต์สามารถเรียกใช้ Passkeys ได้โดยไม่ต้องติดตั้งอะไรเพิ่ม ผู้ใช้ไม่ต้องมีฮาร์ดแวร์พิเศษ แค่มีสมาร์ทโฟนรุ่นใหม่ที่มี biometrics ก็เริ่มได้

อย่างไรก็ตาม รหัสผ่านยังไม่หายไปทันที บริการส่วนใหญ่ยังเก็บรหัสผ่านเป็น fallback และให้ผู้ใช้ค่อย ๆ เพิ่ม Passkey แทนที่จะบังคับลบทิ้ง

4. ข้อดีและข้อจำกัดที่ต้องรู้ก่อนย้าย

ข้อดีที่ชัดเจน

• ต้านทาน phishing และ credential stuffing เพราะไม่มีรหัสผ่านให้เดาหรือ reuse
• เซิร์ฟเวอร์หลุดก็ไม่ได้ private key ไป ฐานข้อมูล public key ที่หลุดเอาไปเข้าสู่ระบบไม่ได้
• ใช้งานเร็ว อัตราสำเร็จสูง ไม่ต้องพิมพ์รหัสยาว ๆ

ข้อจำกัดที่ต้องวางแผน

• ขึ้นกับความปลอดภัยของอุปกรณ์และบัญชีที่ซิงก์ Passkeys ถ้าอุปกรณ์หลักหายและไม่ได้ซิงก์ จะเข้าไม่ได้
• การซิงก์แบบ synced ไม่รองรับ attestation แบบ cryptographic เต็มรูปแบบ องค์กรที่ต้องการพิสูจน์รุ่นอุปกรณ์ต้องใช้ device-bound
• การแชร์อุปกรณ์หรือโปรไฟล์ร่วมกันไม่เหมาะกับ Passkeys
• บางระบบเก่ายังไม่รองรับ WebAuthn ต้องมี fallback

ดังนั้นการออกแบบ Authentication ที่ดีควรคิดแบบค่อยเป็นค่อยไป: เปิด Passkey เป็นตัวเลือกหลัก แต่ยังเก็บช่องทางกู้คืนที่ปลอดภัยไว้

5. Account Recovery: จุดที่คนลืมคิดแต่สำคัญที่สุด

Passkeys ปลอดภัย แต่ถ้าทำเครื่องหายทั้งหมดล่ะ? นี่คือเหตุผลที่ต้องมีแผนกู้คืนตั้งแต่แรก

แนวทางปฏิบัติสำหรับผู้ใช้ทั่วไป

1. มี Passkeys อย่างน้อย 2 อุปกรณ์ที่แยกกัน: เช่น มือถือหนึ่งเครื่อง แล็ปท็อปหนึ่งเครื่อง หรือ security key หนึ่งดอกที่เก็บไว้ในที่ปลอดภัย
2. เปิด Cloud Backup: เปิด iCloud Keychain หรือ Google Password Manager ให้ซิงก์จริง และล็อกบัญชีที่ซิงก์ด้วยรหัสผ่านที่แข็งแรง + MFA
3. เก็บ Recovery Codes แบบออฟไลน์: ถ้าบริการให้รหัสกู้คืน ให้พิมพ์หรือจดเก็บในที่ปลอดภัย อย่าเก็บเป็นไฟล์บนเครื่องเดียวกัน
4. อัปเดตเบอร์กู้คืนและอีเมลสำรอง: เป็นช่องทางสำรองเมื่อซิงก์ล้มเหลว
5. ทดสอบก่อนจำเป็น: ลองเข้าสู่ระบบด้วยอุปกรณ์สำรองตอนที่ยังเข้าอุปกรณ์หลักได้ เพื่อให้มั่นใจว่าใช้งานได้จริง
6. อย่าลบบริการเก่าทันที: ให้รหัสผ่านหรือวิธี MFA เดิมคงไว้จนกว่าจะแน่ใจว่า Passkey ทำงานได้บนทุกอุปกรณ์ที่ต้องใช้

แนวทางปฏิบัติสำหรับผู้พัฒนาระบบ

• ชวนให้ผู้ใช้ลงทะเบียน Passkey สำรองตั้งแต่ onboarding: ข้อความว่า "เพิ่มอุปกรณ์อีกเครื่องเพื่อให้เข้าสู่ระบบได้เสมอ"
• เตรียม cryptographic recovery codes แบบใช้ครั้งเดียว เก็บแบบ hash ด้วย Argon2id
• ออกแบบ flow ให้การ downgrade จาก Passkey ไปวิธีที่อ่อนแอกว่า ต้องออกจาก session เดิมก่อน เพื่อกัน attacker-in-the-middle ดึงให้ใช้วิธีอ่อน
• บันทึกและแจ้งเตือนเมื่อมีการเพิ่ม/ลบ Passkey ใหม่

6. วิธีเริ่มใช้ Passkeys อย่างปลอดภัยวันนี้

1. ตรวจสอบว่าบริการที่ใช้รองรับหรือยัง เช่น Google, Apple ID, Microsoft, GitHub, Amazon, TikTok หลายแห่งมีเมนู Passkeys ใน Security Settings
2. สร้าง Passkey บนอุปกรณ์หลักที่คุณปลดล็อกด้วย biometrics ได้
3. เพิ่มอุปกรณ์ที่สองทันที อย่าปล่อยให้มีแค่ชิ้นเดียว
4. ตั้งชื่อ Passkey ให้จำได้ เช่น "iPhone 15 - หลัก" "MacBook Air - สำรอง"
5. เปิดการล็อกหน้าจออัตโนมัติและอัปเดต OS สม่ำเสมอ
6. สำหรับบัญชีสำคัญ ให้พิจารณาซื้อ FIDO2 Security Key ราคาประมาณ 30-35 ดอลลาร์ เก็บเป็นตัวสำรองในตู้เซฟ

ข้อควรระวัง: อย่าสร้าง Passkey บนเครื่องสาธารณะหรือเครื่องที่คนอื่นควบคุม อย่ากดอนุมัติการซิงก์ถ้าไม่แน่ใจว่าคำขอมาจากอุปกรณ์ของคุณเอง

สรุป

Passkeys ไม่ใช่เวทมนตร์ที่ทำให้ปลอดภัย 100% แต่เป็นการแก้เชิงโครงสร้างที่ตัดวงจรการขโมยรหัสผ่าน การ reuse และการ phishing ที่ใช้รหัสผ่านเป็นศูนย์กลาง หัวใจของมันคือ public-key cryptography ที่ผูกกับโดเมนจริง บวกกับ UX ที่เร็วกว่าเดิม

ความสำเร็จของการย้ายไป passwordless ไม่ได้อยู่ที่เทคโนโลยีอย่างเดียว แต่อยู่ที่การออกแบบ Account Recovery ที่รัดกุม มี Passkey มากกว่าหนึ่งชิ้น มี backup ที่ตรวจสอบได้ และมี fallback ที่ไม่กลายเป็นช่องโหว่เสียเอง ถ้าคุณเริ่มวันนี้ ให้เริ่มจากบัญชีอีเมลหลักก่อน เพราะมันคือกุญแจสู่การกู้คืนของทุกบริการอื่น แล้วค่อยขยายไปยังบริการอื่น ๆ อย่างเป็นลำดับ

แหล่งข้อมูลอ้างอิง

• Microsoft Learn - Passkeys (FIDO2) authentication method in Microsoft Entra ID
• FIDO Alliance & W3C WebAuthn - Passkeys Explained: How Passwordless Login Works
• Google Security Blog - Google Password Manager passkey sync
• Apple Support - iCloud Keychain and Passkeys