อธิบายพาสคีย์: วิธีแทนที่รหัสผ่านและป้องกันฟิชชิง

รหัสผ่านเป็นสิ่งที่ทั้งคุณและเว็บไซต์ต้องรู้ ซึ่งนี่เองที่ทำให้ถูกขโมยได้ง่าย พาสคีย์ถูกออกแบบมาเพื่อหลีกเลี่ยงปัญหานี้ คุณไม่ต้องพิมพ์หรือจดจำอะไร และไม่มีสิ่งใดที่เว็บไซต์ปลอมจะเก็บไปใช้ซ้ำได้

มาดูกันว่าพาสคีย์คืออะไร การลงชื่อเข้าใช้ด้วยพาสคีย์ทำงานอย่างไร เหตุใดจึงต้านทานฟิชชิงได้ และยังต้องอาศัยความระมัดระวังจากคุณในด้านใดบ้าง

พาสคีย์คืออะไร

ตามข้อมูลจาก FIDO Alliance ซึ่งเป็นกลุ่มอุตสาหกรรมที่อยู่เบื้องหลังมาตรฐานนี้ พาสคีย์คือข้อมูลรับรองที่ช่วยให้คุณลงชื่อเข้าใช้แอปหรือเว็บไซต์ด้วยวิธีเดียวกับที่ใช้ปลดล็อกอุปกรณ์ เช่น ลายนิ้วมือ การสแกนใบหน้า PIN หรือรูปแบบการลากเส้น พาสคีย์ผูกอยู่กับบัญชีของคุณบนเว็บไซต์หนึ่ง ๆ และใช้แทนทั้งรหัสผ่านและรหัสเพิ่มเติมในกรณีส่วนใหญ่

เบื้องหลังการทำงาน พาสคีย์เป็นคู่กุญแจเข้ารหัสลับ เว็บไซต์จัดเก็บกุญแจสาธารณะซึ่งไม่สามารถใช้ทำอะไรได้ด้วยตัวเอง ส่วนกุญแจส่วนตัวจะอยู่บนอุปกรณ์ของคุณ มีการสร้างกุญแจคู่ใหม่สำหรับแต่ละเว็บไซต์ จึงไม่สามารถนำพาสคีย์ไปใช้ซ้ำกับบริการต่าง ๆ ได้เหมือนรหัสผ่าน

การลงชื่อเข้าใช้ด้วยพาสคีย์ทำงานอย่างไร

เมื่อคุณลงชื่อเข้าใช้ เว็บไซต์จะส่งคำท้าทายแบบใช้ครั้งเดียวไปยังอุปกรณ์ของคุณ จากนั้นอุปกรณ์จะขอให้คุณปลดล็อกด้วยข้อมูลชีวมิติหรือ PIN แล้วใช้กุญแจส่วนตัวลงลายมือชื่อในคำท้าทายและส่งคำตอบที่ลงลายมือชื่อแล้วกลับไป เว็บไซต์จะตรวจสอบลายมือชื่อกับกุญแจสาธารณะที่จัดเก็บไว้ และอนุญาตให้คุณเข้าใช้งาน NCSC ซึ่งเป็นหน่วยงานความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร อธิบายลำดับขั้นตอนเดียวกันนี้ โดยกุญแจส่วนตัวจะไม่ถูกส่งให้เว็บไซต์หรือเบราว์เซอร์

FIDO ระบุว่าไม่มีการส่งข้อมูลส่วนบุคคลหรือข้อมูลชีวมิติระหว่างการลงชื่อเข้าใช้ ลายนิ้วมือหรือการสแกนใบหน้าใช้เพื่อปลดล็อกกุญแจบนอุปกรณ์ของคุณเท่านั้น

เหตุใดพาสคีย์จึงต้านทานฟิชชิงได้

ความแตกต่างสำคัญคือพาสคีย์ผูกกับโดเมนของเว็บไซต์จริง NCSC อธิบายว่า FIDO authenticator จะแสดงเฉพาะข้อมูลรับรองที่ตรงกับเว็บไซต์ที่คุณกำลังใช้งานจริง และเบราว์เซอร์หรือแอปที่คุณเชื่อถือจะเป็นผู้ตรวจสอบ ดังนั้นหน้าเว็บปลอมจึงแทรกแซงการตรวจสอบนี้ไม่ได้ ไม่มีรหัสผ่านหรือรหัสให้เว็บไซต์เลียนแบบขโมยไป

NCSC เปรียบเทียบวิธีนี้กับการยืนยันตัวตนขั้นที่สองแบบดั้งเดิม และพบว่าทุกวิธี รวมถึงรหัสจากแอปยืนยันตัวตน ล้วนเสี่ยงต่อผู้โจมตีที่ส่งต่อการเข้าสู่ระบบผ่านหน้าเว็บปลอมแบบเรียลไทม์ ขณะที่ข้อมูลรับรอง FIDO2 ไม่เสี่ยงเช่นนั้น นอกจากนี้ยังรายงานว่า ณ เวลาที่เขียนรายงาน ยังไม่พบการโจมตีระบบยืนยันตัวตน FIDO2 โดยตรงในโลกจริง แม้ผู้โจมตีจะพยายามผลักดันให้บัญชีหันไปใช้วิธีกู้คืนสำรองที่อ่อนแอกว่า นั่นทำให้ตัวเลือกการลงชื่อเข้าใช้ที่อ่อนแอที่สุดซึ่งยังเปิดใช้งานอยู่ในบัญชีมีความสำคัญ

พาสคีย์ที่ซิงค์และพาสคีย์ที่ผูกกับอุปกรณ์

พาสคีย์มีสองรูปแบบ พาสคีย์ที่ซิงค์จะได้รับการสำรองข้อมูลผ่านบริการซิงค์และปรากฏบนอุปกรณ์อื่น ๆ ของคุณ ดังนั้นหากอุปกรณ์เครื่องหนึ่งสูญหาย คุณก็ยังเข้าใช้งานได้ ส่วนพาสคีย์ที่ผูกกับอุปกรณ์ เช่น พาสคีย์ที่จัดเก็บไว้ใน security key จริง จะอยู่บนอุปกรณ์เครื่องนั้นเท่านั้นและไม่สามารถคัดลอกได้

แต่ละรูปแบบมีข้อแลกเปลี่ยน NCSC แนะนำให้ป้องกันบัญชีที่ใช้กับบริการซิงค์จากฟิชชิงและเตรียมวิธีกู้คืนบัญชีที่ปลอดภัยไว้ พร้อมระบุว่าในการตรวจสอบบริการซิงค์หลักของผู้ให้บริการโดยตรงในปี 2025 พบว่าบริการเหล่านั้นกำหนดให้ใช้การยืนยันตัวตนสองปัจจัยเพื่อจัดเก็บพาสคีย์ ขณะที่บริการจากผู้ให้บริการรายอื่นมีข้อกำหนดแตกต่างกัน สำหรับพาสคีย์ที่ผูกกับอุปกรณ์ NCSC ระบุว่าผู้ใช้คว้ลงทะเบียนอุปกรณ์สำรองไว้ เพราะไม่สามารถกู้คืนกุญแจที่สูญหายได้

สิ่งที่พาสคีย์ทำไม่ได้

พาสคีย์ปกป้องขั้นตอนการลงชื่อเข้าใช้ ไม่ใช่ทุกสิ่งที่เกี่ยวข้อง พาสคีย์ช่วยไม่ได้หากมีคนได้อุปกรณ์ของคุณไปและรู้ PIN ที่คาดเดาได้ง่าย อีกทั้ง NCSC ระบุว่าการกู้คืนบัญชีมักมีการป้องกันอ่อนแกว่าการลงชื่อเข้าใช้เอง และเป็นเป้าหมายที่ผู้โจมตีมุ่งโจมตี พาสคีย์ยังไม่ใช่กุญแจของกระเป๋าคริปโต แต่ใช้ลงชื่อเข้าใช้บัญชี ส่วน seed phrase หรือกุญแจส่วนตัวของวอลเล็ตจะควบคุมเงินในวอลเล็ตแบบ self-custody และพาสคีย์ไม่สามารถปกป้องหรือใช้แทนสิ่งเหล่านั้นได้

ข้อควรจำจาก WEEX: พาสคีย์ไม่ใช่ seed phrase

WEEX ขอเตือนผู้ใช้ว่าพาสคีย์ใช้ลงชื่อเข้าใช้บัญชี ส่วน seed phrase หรือกุญแจส่วนตัวใช้ควบคุมวอลเล็ตแบบ self-custody อย่าพิมพ์ seed phrase ลงในหน้าเว็บใด ๆ ที่ขอให้คุณใช้เพื่อ “ยืนยัน” หรือ “กู้คืน” พาสคีย์ และอย่าเปิดเผยให้ใครรู้ รวมถึงคนที่อ้างว่ามาจากฝ่ายสนับสนุน ตั้ง PIN ที่คาดเดายากบนอุปกรณ์ของคุณ อัปเดตตัวเลือกการกู้คืนบัญชีให้เป็นปัจจุบัน และตรวจสอบที่อยู่เว็บไซต์ก่อนลงชื่อเข้าใช้ เนื้อหานี้ไม่ใช่คำแนะนำทางการเงิน

สรุป

พาสคีย์ใช้คู่กุญแจแทนข้อมูลลับที่ใช้ร่วมกัน เว็บไซต์จึงไม่มีสิ่งที่ถูกขโมยไปใช้ซ้ำได้ และเว็บไซต์ปลอมก็ไม่มีอะไรให้เก็บไป นี่จึงเป็นหนึ่งในวิธีลงชื่อเข้าใช้บัญชีส่วนบุคคลที่ปลอดภัยที่สุดวิธีหนึ่ง แต่ยังต้องอาศัยอุปกรณ์ที่ปลอดภัย บัญชีซิงค์ที่ได้รับการปกป้อง และช่องทางกู้คืนที่ดี อีกทั้งไม่ช่วยปกป้อง seed phrase ของวอลเล็ต

คำถามที่พบบ่อย

1. พาสคีย์คืออะไร
พาสคีย์คือข้อมูลรับรอง FIDO ที่ช่วยให้คุณลงชื่อเข้าใช้แอปหรือเว็บไซต์โดยใช้ข้อมูลชีวมิติ PIN หรือรูปแบบการลากเส้นเดียวกับที่ใช้ปลดล็อกอุปกรณ์ แทนการใช้รหัสผ่าน

2. พาสคีย์แตกต่างจากรหัสผ่านอย่างไร
รหัสผ่านเป็นข้อมูลลับที่ใช้ร่วมกัน ซึ่งคุณต้องพิมพ์และเว็บไซต์จัดเก็บไว้ ส่วนพาสคีย์เป็นคู่กุญแจ โดยเว็บไซต์จัดเก็บเฉพาะกุญแจสาธารณะ มีการสร้างพาสคีย์แยกสำหรับแต่ละบัญชี และปลดล็อกบนอุปกรณ์ของคุณ

3. พาสคีย์เป็นการยืนยันตัวตนสองปัจจัยหรือไม่
เมื่อการลงชื่อเข้าใช้กำหนดให้ใช้ข้อมูลชีวมิติหรือ PIN ก็จะรวมสิ่งที่คุณมี ซึ่งก็คือกุญแจบนอุปกรณ์ของคุณ เข้ากับสิ่งที่คุณเป็นหรือสิ่งที่คุณรู้ FIDO ระบุว่าวิธีนี้ใช้แทนรหัสแยกต่างหากได้ และ NCSC ประเมินว่ามีระดับเทียบเท่ากับการยืนยันตัวตนสองปัจจัย

4. พาสคีย์ถูกฟิชชิงได้หรือไม่
พาสคีย์ออกแบบมาเพื่อต้านทานฟิชชิง เพราะผูกกับโดเมนของเว็บไซต์จริง อย่างไรก็ตาม ผู้โจมตีอาจยังพยายามผลักดันให้บัญชีเปลี่ยนไปใช้วิธีสำรองที่อ่อนแอกว่า ดังนั้นตัวเลือกการลงชื่อเข้าใช้อื่น ๆ ในบัญชีก็มีความสำคัญ

5. จะเกิดอะไรขึ้นหากฉันทำอุปกรณ์ที่มีพาสคีย์หาย
พาสคีย์ที่ซิงค์จะใช้ได้บนอุปกรณ์อื่น ๆ ในบัญชีซิงค์เดียวกัน หรือกู้คืนได้ด้วยการกู้คืนบัญชีนั้นบนอุปกรณ์เครื่องใหม่ ส่วนพาสคีย์ที่ผูกกับอุปกรณ์ไม่สามารถคัดลอกได้ จึงต้องมีกุญแจสำรองหรือวิธีกู้คืนอื่น