Passkey คืออะไร แล้วต่างจากรหัสผ่านตรงไหน?
Passkey คือการยืนยันตัวตนด้วย "กุญแจดิจิทัล" ที่เก็บอยู่ในอุปกรณ์ของเรา แทนที่จะพิมพ์รหัสผ่าน เราแค่สแกนนิ้ว สแกนหน้า หรือใส่ PIN ของเครื่อง เหมือนเวลาปลดล็อกมือถือ แค่นั้นจบ
เบื้องหลังคือระบบกุญแจคู่ (Public-Private Key) กุญแจลับอยู่ในเครื่องเราเท่านั้น ส่วนเว็บไซต์เก็บแค่กุญแจสาธารณะที่เอาไปทำอะไรไม่ได้ ผลคือ:
- ไม่มีอะไรให้จำ — ลาก่อนโพสต์อิทแปะจอ
- ฟิชชิ่งหลอกไม่ได้ — Passkey ผูกกับเว็บจริงเท่านั้น เว็บปลอมหน้าเหมือนแค่ไหนก็ใช้ไม่ได้
- เว็บโดนแฮกก็ไม่เดือดร้อน — เพราะเซิร์ฟเวอร์ไม่มีรหัสผ่านของเราให้ขโมยตั้งแต่แรก
ทำไมตอนนี้ถึงเป็นจังหวะที่ต้องสนใจ?
เพราะยักษ์ใหญ่ลงเรือลำเดียวกันหมดแล้ว Google, Apple และ Microsoft ผลักดันมาตรฐานนี้ร่วมกันผ่าน FIDO Alliance ตอนนี้บริการหลักๆ อย่าง Gmail, iCloud, Facebook, TikTok, PayPal รองรับ Passkey แล้วทั้งนั้น บางเจ้าเริ่มตั้งเป็นค่าเริ่มต้นแทนรหัสผ่านด้วยซ้ำ ฝั่งไทยเองธนาคารและแอปภาครัฐหลายเจ้าก็ทยอยตามมา
ที่เคยกังวลกันว่า "แล้วถ้าเครื่องหายล่ะ?" ปัจจุบันก็แก้ได้แล้ว เพราะ Passkey ซิงก์ผ่านระบบคลาวด์ของแต่ละค่าย (iCloud Keychain, Google Password Manager) เปลี่ยนเครื่องใหม่ก็กู้กลับมาได้เหมือนรูปถ่าย
องค์กรและคนไอทีควรทำอะไร?
สำหรับคนทั่วไป เริ่มง่ายที่สุดคือเข้าไปตั้งค่า Passkey ในบัญชี Google หรือ Apple ของตัวเองวันนี้เลย ใช้เวลาไม่ถึง 2 นาที ส่วนสายไอทีที่ดูแลระบบให้องค์กร นี่คือช่วงเวลาทองของการวางแผน เพราะการรองรับ Passkey ไม่ใช่แค่เรื่องความปลอดภัย แต่ช่วยลดต้นทุนซ่อนอยู่มหาศาล ทั้งค่า Support จากเคสลืมรหัสผ่าน และความเสียหายจากบัญชีถูกขโมย
จุดที่ควรศึกษาคือมาตรฐาน WebAuthn สำหรับฝั่งนักพัฒนา และการวางนโยบายเปลี่ยนผ่านแบบค่อยเป็นค่อยไป ให้ Passkey ทำงานคู่กับระบบเดิมก่อน แล้วค่อยลดบทบาทรหัสผ่านลงเรื่อยๆ
สรุปส่งท้าย
รหัสผ่านอยู่คู่โลกไอทีมากว่า 60 ปี และมันคือจุดอ่อนอันดับหนึ่งของความปลอดภัยออนไลน์มาตลอด Passkey คือทางออกที่ทั้งปลอดภัยกว่าและสะดวกกว่าในเวลาเดียวกัน ซึ่งเป็นของหายากมากในโลก Security เริ่มใช้ก่อน ปลอดภัยก่อน แล้ววันหนึ่งคุณจะเล่าให้เด็กรุ่นหลังฟังว่า สมัยก่อนเราต้องนั่งจำรหัสผ่านกันเองด้วยนะ