Passkeys แม้จะปลอดภัยกว่ารหัสผ่าน แต่ยังไม่ใช่คำตอบสุดท้าย

เป็นเวลาหลายทศวรรษที่รหัสผ่านเป็นหนึ่งในจุดอ่อนที่เรื้อรังที่สุดของความปลอดภัยไซเบอร์ ผู้ใช้งานมักลืม ใช้ซ้ำ แบ่งปัน และตกเป็นเหยื่อของเว็บไซต์ phishing ที่แนบเนียน ขณะที่ผู้โจมตีก็ขโมยข้อมูลประจำตัว (credentials) เพื่อทำ credential stuffing โดยอัตโนมัติ และใช้ปัญญาประดิษฐ์เพื่อเพิ่มประสิทธิภาพในการทำ Social Engineering มากขึ้นเรื่อยๆ

Passkeys คืออะไร?

Passkeys สัญญาว่าจะขจัดปัญหาเหล่านี้ส่วนใหญ่ด้วยเทคโนโลยี public-key cryptography ที่เข้ามาแทนที่ความลับที่ใช้ร่วมกัน (shared secrets) ด้วยข้อมูลประจำตัวแบบเข้ารหัส ทำให้ไม่มีรหัสผ่านให้ผู้โจมตีขโมย ดักจับผ่าน phishing หรือนำไปใช้ซ้ำได้ นอกจากนี้ Passkeys ที่ถูกนำมาใช้อย่างถูกต้องยังมีความสามารถในการป้องกัน phishing (phishing-resistant) เนื่องจากกระบวนการตรวจสอบสิทธิ์จะผูกติดกับบริการที่ถูกต้องตามกฎหมายโดยตรง

นั่นแสดงถึงการปรับปรุงที่สำคัญเหนือกว่ารหัสผ่านและ multi-factor authentication (MFA) แบบเดิม แต่มันยังไม่ได้ตอบคำถามพื้นฐานที่สำคัญกว่า: เพียงเพราะใครบางคนตรวจสอบสิทธิ์สำเร็จ เราควร ไว้วางใจตัวตนนั้น ต่อไปหรือไม่?

Passkeys ช่วยเสริมความแข็งแกร่งให้กับการตรวจสอบสิทธิ์ (authentication) แต่ไม่ได้ขจัดความเสี่ยงด้านตัวตน (identity risk) ให้หมดไป

สิ่งที่ Passkeys ทำได้ถูกต้อง

การตรวจสอบสิทธิ์แบบดั้งเดิมมักพึ่งพารหัสผ่านร่วมกับรหัสผ่านแบบใช้ครั้งเดียว (OTP), SMS หรือการแจ้งเตือนแบบ push แม้จะแข็งแกร่งกว่าการใช้รหัสผ่านเพียงอย่างเดียว แต่ระเบียบวิธีเหล่านี้ยังคงมีความเสี่ยงต่อ phishing, การโจมตีแบบ adversary-in-the-middle, MFA fatigue, SIM swapping และ Social Engineering

Passkeys เปลี่ยนรูปแบบนั้นอย่างสิ้นเชิง อุปกรณ์ของผู้ใช้จะถือรหัสลับเข้ารหัสส่วนตัว (private cryptographic key) ในขณะที่บริการจะถือรหัสสาธารณะ (public key) ที่สอดคล้องกัน โดยรหัสส่วนตัวจะไม่ถูกส่งผ่านในระหว่างการตรวจสอบสิทธิ์

สิ่งนี้ให้การป้องกันที่มีประสิทธิภาพต่อ phishing, credential stuffing และการขโมยฐานข้อมูลรหัสผ่าน นอกจากนี้ยังช่วยให้ผู้ใช้ไม่ต้องจำรหัสผ่านที่ซับซ้อน อย่างไรก็ตาม ความผิดพลาดคือการทึกทักไปว่า การตรวจสอบสิทธิ์ที่แข็งแกร่งขึ้น จะแก้ปัญหาความปลอดภัยด้านตัวตนได้ทั้งหมด

การตรวจสอบสิทธิ์ไม่ใช่ตัวตน

เมื่อการตรวจสอบสิทธิ์ด้วย passkey สำเร็จ ระบบจะมีหลักฐานการเข้ารหัสที่แข็งแกร่งว่าข้อมูลประจำตัวนั้นผ่านกระบวนการตรวจสอบแล้ว แต่ไม่ได้ยืนยันว่าบัญชีนั้นถูกสร้างขึ้นอย่างถูกต้องหรือไม่ หรือตัวตนเบื้องหลังถูกเจาะระบบไปแล้วหรือเปล่า

กลไกการตรวจสอบสิทธิ์ที่ทำงานสมบูรณ์แบบไม่สามารถชดเชยตัวตนที่ไม่ควรได้รับความไว้วางใจตั้งแต่แรกได้ หากผู้โจมตีเข้าควบคุมบัญชีก่อนที่ passkey จะถูกผูกไว้ องค์กรอาจกำลังตรวจสอบสิทธิ์ให้กับบุคคลที่ผิดคนในภายหลัง ยิ่งตัวรับรองความถูกต้องแข็งแกร่งขึ้นเท่าใด ความสมบูรณ์ของขั้นตอนการลงทะเบียน (enrollment) ก็ยิ่งมีความสำคัญมากขึ้น

จะเกิดอะไรขึ้นเมื่อมีการเปลี่ยนอุปกรณ์?

การซิงโครไนซ์ Passkey ช่วยให้ข้อมูลประจำตัวพร้อมใช้งานในอุปกรณ์ที่รองรับ แต่องค์กรยังคงต้องรองรับกรณีผู้ใช้ทำโทรศัพท์หายหรือเปลี่ยนเครื่องใหม่ ซึ่งความท้าทายจะเปลี่ยนจากการตรวจสอบสิทธิ์ไปสู่การกู้คืนและการสร้างความเชื่อมั่นใหม่

หากการสำรองข้อมูล (fallback) ยังพึ่งพารหัสผ่าน, SMS หรือคำถามยืนยันตัวตน ผู้โจมตีอาจมุ่งเป้าไปที่เส้นทางการกู้คืนที่อ่อนแอกว่านั้น แม้ Passkey จะไม่ถูกเจาะ แต่ผู้โจมตีก็สามารถเลี่ยงผ่านมันไปได้ องค์กรจึงต้องการวิธีที่ปลอดภัยในการสร้างความเชื่อมั่นในตัวตนใหม่ก่อนเชื่อมโยงอุปกรณ์เข้ากับบัญชีเดิม

การตรวจสอบสิทธิ์เป็นเพียงช่วงเวลาหนึ่ง

ช่องว่างสำคัญเกิดขึ้นหลังจากการตรวจสอบสิทธิ์เสร็จสิ้น การโจมตีสมัยใหม่ไม่จำเป็นต้องหยุดอยู่ที่หน้าเข้าสู่ระบบ ผู้โจมตีสามารถไฮแจ็คเซสชันที่ผ่านการตรวจสอบแล้ว (authenticated sessions) หรือเจาะระบบอุปกรณ์ที่เชื่อถือได้เพื่อทำธุรกรรมที่ผิดปกติ

คำถามจึงไม่ใช่แค่ "ผู้ใช้รายนี้ตรวจสอบสิทธิ์สำเร็จหรือไม่?" แต่มันต้องรวมถึง "เรายังมีหลักฐานเพียงพอที่จะไว้วางใจกิจกรรมของตัวตนนี้ต่อไปหรือไม่?"

เสริมการตรวจจับภัยคุกคามด้านตัวตนไว้ด้านบน

นี่คือจุดที่การตรวจจับภัยคุกคามด้านตัวตน (identity threat detection) เข้ามามีบทบาท แทนที่จะไว้วางใจถาวรหลังล็อกอินสำเร็จ องค์กรควรประเมินความเสี่ยงอย่างต่อเนื่องจากลักษณะอุปกรณ์ พฤติกรรม และสัญญาณบ่งชี้ภัยคุกคามต่างๆ

โมเดลที่อิงตามความเสี่ยงจะช่วยให้ผู้ใช้ปกติทำงานได้โดยไม่ถูกขัดจังหวะ แต่จะยกระดับการตรวจสอบทันทีเมื่อพบความผิดปกติ เช่น การเข้าถึงจากอุปกรณ์ที่ไม่คุ้นเคยหรือการเปลี่ยนคุณลักษณะสำคัญของบัญชี โดยเปลี่ยนจากระบบที่ตรวจสอบครั้งเดียวเป็นการประเมินความเสี่ยงตลอดเวลา

อนาคตที่ต้องไปไกลกว่าการตรวจสอบสิทธิ์

Passkeys ช่วยลดความเสี่ยงจากรหัสผ่านและ phishing ขณะที่การตรวจจับภัยคุกคามด้านตัวตนจะจัดการความเสี่ยงรอบด้าน เช่น การกู้คืนบัญชีและการเจาะเซสชัน เมื่อรหัสผ่านหายไป ผู้โจมตีจะเปลี่ยนไปหาจุดอ่อนอื่นรอบๆ ตัวรับรองความถูกต้องแทน

Passkeys ตอบคำถามว่าผู้ใช้มีข้อมูลประจำตัวที่ถูกต้องหรือไม่ ส่วนการตรวจจับภัยคุกคามจะตอบว่าเรายังควรไว้วางใจตัวตนนี้อยู่หรือไม่ ซึ่งองค์กรจำเป็นต้องมีคำตอบสำหรับทั้งสองคำถามนี้