จะเกิดอะไรขึ้นหากคุณทำอุปกรณ์ที่มีพาสคีย์หาย? พาสคีย์ที่ซิงค์กับพาสคีย์ที่ผูกกับอุปกรณ์

การทำโทรศัพท์หายยิ่งเป็นวันที่แย่กว่าเดิม หากข้อมูลลงชื่อเข้าใช้ของคุณอยู่ในเครื่องนั้น พาสคีย์ของคุณจะยังใช้ได้หรือไม่ขึ้นอยู่กับเรื่องเดียว นั่นคือพาสคีย์ซิงค์ไว้กับอุปกรณ์ต่าง ๆ หรือผูกไว้กับอุปกรณ์เครื่องที่คุณทำหาย

ต่อไปนี้คือสิ่งที่จะเกิดขึ้นในแต่ละกรณี เหตุใดการกู้คืนบัญชีจึงเป็นจุดอ่อน สิ่งที่ควรทำเป็นอันดับแรก และวิธีเตรียมตัว บทความนี้อธิบายการทำงานของพาสคีย์โดยทั่วไป ส่วนขั้นตอนที่แน่นอนจะแตกต่างกันไปตามบริการและอุปกรณ์

สิ่งที่จะเกิดขึ้นขึ้นอยู่กับประเภทของพาสคีย์

พาสคีย์ที่ซิงค์จะได้รับการสำรองข้อมูลผ่านบริการซิงค์และปรากฏบนอุปกรณ์เครื่องอื่น ๆ ของคุณ ส่วนพาสคีย์ที่ผูกกับอุปกรณ์จะอยู่บนอุปกรณ์เครื่องเดียวและไม่สามารถคัดลอกได้ ซึ่งเป็นลักษณะการทำงานของพาสคีย์ที่จัดเก็บไว้ในกุญแจความปลอดภัยแบบกายภาพ ตามข้อมูลของ FIDO Alliance

แนวทางด้านอัตลักษณ์ดิจิทัลของ NIST แสดงให้เห็นถึงข้อแลกเปลี่ยนดังกล่าว โดยอนุญาตให้ใช้กุญแจที่ส่งออกได้ เช่น พาสคีย์ที่ซิงค์ ในระดับการรับประกันระดับกลาง แต่ห้ามใช้ในระดับสูงสุด ซึ่งกำหนดให้เป็นกุญแจที่ไม่สามารถออกจากอุปกรณ์ได้ แนวทางนี้ใช้กับระบบของรัฐบาล แต่ก็สะท้อนทางเลือกเดียวกัน กล่าวคือ ยิ่งกุญแจย้ายไปใช้อุปกรณ์อื่นได้มากเท่าไร ก็ยิ่งกู้คืนได้ง่ายขึ้นเท่านั้น และยิ่งผูกติดกับฮาร์ดแวร์ชิ้นใดชิ้นหนึ่งน้อยลง

หากคุณทำอุปกรณ์ที่มีพาสคีย์ที่ซิงค์ไว้หาย

NCSC ของสหราชอาณาจักรอธิบายว่าพาสคีย์ที่ซิงค์จะถูกส่งไปยังอุปกรณ์ทุกเครื่องในบัญชีซิงค์เดียวกัน ดังนั้นการทำอุปกรณ์หายหนึ่งเครื่องจะไม่ทำให้คุณเข้าใช้งานไม่ได้ หากคุณยังมีอุปกรณ์เครื่องอื่นอยู่ หากอุปกรณ์ที่ทำหายเป็นเครื่องเดียวที่คุณมี คุณจะต้องใช้อุปกรณ์เครื่องใหม่ ไม่ว่าจะยืมหรือซื้อ แล้วกู้คืนบัญชีซิงค์เพื่อกลับมาเข้าใช้งานได้ เมื่อกู้คืนบัญชีนั้นแล้ว พาสคีย์ของคุณก็จะกลับมาด้วย

นั่นทำให้บัญชีซิงค์เป็นส่วนสำคัญ หากกู้คืนบัญชีได้อย่างปลอดภัย คุณก็จะกู้คืนทุกอย่างที่บัญชีนั้นเก็บไว้ได้ แต่หากการกู้คืนบัญชีมีการรักษาความปลอดภัยที่อ่อนแอ ผู้โจมตีก็สามารถมุ่งเป้าไปที่ช่องทางเดียวกันได้ FIDO Alliance ยังอธิบายถึงการลงชื่อเข้าใช้ข้ามอุปกรณ์ ซึ่งใช้พาสคีย์บนอุปกรณ์อีกเครื่องที่อยู่ใกล้เคียงเพื่อลงชื่อเข้าใช้บนอุปกรณ์เครื่องอื่นได้ วิธีนี้มีประโยชน์หากคุณกำลังใช้คอมพิวเตอร์ที่ไม่มีพาสคีย์ของคุณ

หากคุณทำพาสคีย์ที่ผูกกับอุปกรณ์หาย

พาสคีย์ที่ผูกกับอุปกรณ์ไม่สามารถส่งออกได้ ดังนั้นหากทำอุปกรณ์หรือกุญแจความปลอดภัยหาย ข้อมูลรับรองนั้นก็จะหายไปพร้อมกัน NCSC ระบุว่าในสถานการณ์นี้ ผู้ใช้ต้องใช้ข้อมูลสำรองที่ลงทะเบียนไว้ก่อนหน้านี้ หรือดำเนินการตามขั้นตอนการกู้คืนบัญชีของแต่ละบริการ นอกจากนี้ยังระบุว่าผู้ใช้ที่เลือกข้อมูลรับรองสำหรับอุปกรณ์เครื่องเดียวต้องรับผิดชอบจัดการข้อมูลสำรองด้วยตนเอง และบริการต่าง ๆ ควรสนับสนุนให้ผู้ใช้ลงทะเบียนอุปกรณ์สำรองไว้

เหตุใดการกู้คืนจึงเป็นจุดอ่อน

เมื่อทำพาสคีย์หาย การกู้คืนจะเป็นตัวตัดสินว่าคุณปลอดภัยจริงแค่ไหน NCSC ระบุว่าผู้โจมตีมุ่งเป้าไปที่การกู้คืนบัญชี เพราะมักมีความปลอดภัยน้อยกว่าการลงชื่อเข้าใช้ โดยเฉพาะการโจมตีที่มีแรงจูงใจทางการเงิน หรือเมื่อผู้โจมตีควบคุมอีเมลของเหยื่ออยู่แล้ว พาสคีย์ช่วยป้องกันฟิชชิง แต่จะช่วยไม่ได้หากมีใครสามารถใช้คำพูดหลอกล่อหรือรีเซ็ตบัญชีผ่านช่องทางการกู้คืนที่อ่อนแอกว่าได้

วิธีการกู้คืนที่คุณตั้งค่าไว้ล่วงหน้ามีความสำคัญด้วยเหตุผลเดียวกัน NIST อธิบายว่ารหัสกู้คืนที่บันทึกไว้เป็นความลับแบบใช้ครั้งเดียว ซึ่งจัดเก็บไว้เพื่อใช้เมื่ออุปกรณ์ยืนยันตัวตนอื่นหาย รหัสเหล่านี้มีประโยชน์ แต่ไม่สามารถป้องกันฟิชชิงได้ จึงควรเก็บไว้แบบออฟไลน์และเป็นความลับ

สิ่งที่ควรทำเป็นอันดับแรกและวิธีเตรียมตัว

หากคุณทำอุปกรณ์หาย ให้เริ่มจากสิ่งที่ยังมีอยู่ ใช้อุปกรณ์เครื่องอื่นหากคุณมี ตรวจสอบบัญชีซิงค์ว่ามีอุปกรณ์ที่ไม่รู้จักหรือไม่ และรักษาความปลอดภัยให้บัญชีนั้นก่อน การลบพาสคีย์ออกจากอุปกรณ์ที่ทำหายไม่ได้ยกเลิกพาสคีย์นั้นกับบริการโดยอัตโนมัติ ตามข้อมูลของ NCSC ดังนั้นสำหรับบัญชีสำคัญ ให้ลบพาสคีย์เก่าในการตั้งค่าความปลอดภัยของบัญชี หากบริการนั้นอนุญาต NIST ยังระบุด้วยว่าบริการต่าง ๆ ควรมีวิธีปิดใช้งานอุปกรณ์ยืนยันตัวตนที่หายทันทีที่คุณรายงาน

การเตรียมตัวที่ดีที่สุดคือทำไว้ก่อนที่จะต้องใช้ ลงทะเบียนพาสคีย์หรือวิธีลงชื่อเข้าใช้มากกว่าหนึ่งวิธีในบัญชีสำคัญ เก็บรหัสกู้คืนไว้ออฟไลน์ ปกป้องบัญชีซิงค์ด้วยการลงชื่อเข้าใช้ที่รัดกุม และใช้ PIN อุปกรณ์ที่คาดเดายาก เพราะ NCSC ระบุว่าขโมยที่รู้รหัสผ่านที่อ่อนแออาจใช้ข้อมูลรับรองที่จัดเก็บไว้ได้ นอกจากนี้ ควรอัปเดตอีเมลและหมายเลขโทรศัพท์สำหรับกู้คืนให้เป็นปัจจุบันด้วย

ข้อเตือนใจจาก WEEX: ลงทะเบียนข้อมูลสำรองไว้ก่อนที่จะต้องใช้

WEEX ขอเตือนผู้ใช้ให้ตั้งค่าวิธีกลับเข้าใช้บัญชีสำคัญไว้มากกว่าหนึ่งวิธี และเก็บรหัสกู้คืนไว้ออฟไลน์ ไม่ใช่ในรูปภาพหน้าจอหรือบันทึกบนคลาวด์ หลังทำอุปกรณ์หาย ให้ถือว่าข้อมูลทุกอย่างที่จัดเก็บไว้ในเครื่องนั้นอาจถูกเปิดเผยจนกว่าคุณจะรักษาความปลอดภัยให้บัญชีแล้ว และอย่าแชร์รหัสกู้คืนหรือวลี seed phrase กับใครก็ตามที่เสนอความช่วยเหลือ พาสคีย์ไม่ได้สำรองกระเป๋าเงิน ดังนั้นวลี seed phrase ของกระเป๋าเงินแบบดูแลสินทรัพย์ด้วยตนเองจึงต้องมีข้อมูลสำรองออฟไลน์ที่ปลอดภัยแยกต่างหาก เนื้อหานี้ไม่ใช่คำแนะนำทางการเงิน

สรุป

การทำอุปกรณ์หายยังรับมือได้หากคุณเตรียมตัวไว้แล้ว พาสคีย์ที่ซิงค์จะใช้ได้บนอุปกรณ์เครื่องอื่น และกู้คืนได้ด้วยการกู้คืนบัญชีซิงค์ ส่วนพาสคีย์ที่ผูกกับอุปกรณ์จะหายไป เว้นแต่คุณจะลงทะเบียนข้อมูลสำรองไว้ ในทั้งสองกรณี ผู้โจมตีมักมุ่งเป้าไปที่การกู้คืนบัญชี ดังนั้นขั้นตอนที่สำคัญที่สุดคือรักษาความปลอดภัยให้บัญชี เก็บรหัสกู้คืนไว้ออฟไลน์ และลงทะเบียนวิธีเข้าใช้ไว้มากกว่าหนึ่งวิธี

คำถามที่พบบ่อย

1. จะเกิดอะไรขึ้นหากฉันทำโทรศัพท์ที่มีพาสคีย์หาย?
ขึ้นอยู่กับประเภทของพาสคีย์ พาสคีย์ที่ซิงค์จะใช้ได้บนอุปกรณ์เครื่องอื่นในบัญชีซิงค์เดียวกัน หรือกู้คืนได้ด้วยการกู้คืนบัญชีนั้น ส่วนพาสคีย์ที่ผูกกับอุปกรณ์จะคัดลอกไม่ได้ คุณจึงต้องใช้ข้อมูลสำรองที่ลงทะเบียนไว้ก่อนหน้านี้ หรือใช้ขั้นตอนการกู้คืนบัญชีของบริการ

2. หากมีคนพบโทรศัพท์ที่ฉันทำหาย พวกเขาจะใช้พาสคีย์ของฉันได้หรือไม่?
โดยปกติแล้ว การใช้พาสคีย์ต้องปลดล็อกอุปกรณ์ด้วยข้อมูลชีวมิติหรือ PIN NCSC ระบุว่าผู้ที่ขโมยอุปกรณ์ไปและรู้รหัสผ่านที่อ่อนแออาจใช้ข้อมูลรับรองที่จัดเก็บไว้ได้ ดังนั้นการใช้ PIN ที่รัดกุมจึงสำคัญ

3. ฉันต้องลบพาสคีย์ออกจากบัญชีหลังทำอุปกรณ์หายหรือไม่?
สำหรับบัญชีสำคัญ ควรลบ หากบริการอนุญาต NCSC ระบุว่าการลบพาสคีย์ออกจากอุปกรณ์ไม่ได้ทำให้พาสคีย์นั้นใช้ไม่ได้กับบริการโดยอัตโนมัติ และ NIST คาดหวังให้บริการต่าง ๆ เปิดทางให้คุณปิดใช้งานอุปกรณ์ยืนยันตัวตนที่หายได้

4. จะเกิดอะไรขึ้นหากฉันทำอุปกรณ์เครื่องเดียวและพาสคีย์เพียงอันเดียวหาย?
คุณจะต้องใช้ขั้นตอนการกู้คืนบัญชีของบริการ การกู้คืนมักมีความปลอดภัยน้อยกว่าการลงชื่อเข้าใช้ ดังนั้นควรอัปเดตอีเมลและหมายเลขโทรศัพท์สำหรับกู้คืนให้เป็นปัจจุบัน และเก็บรหัสกู้คืนไว้ออฟไลน์

5. ฉันควรลงทะเบียนพาสคีย์มากกว่าหนึ่งอันหรือไม่?
ควร หากบริการอนุญาต NCSC แนะนำให้บริการต่าง ๆ รองรับข้อมูลรับรองหลายรายการในบัญชีเดียว และเสนอให้ลงทะเบียนข้อมูลสำรองสำหรับข้อมูลรับรองที่ใช้กับอุปกรณ์เครื่องเดียว