รหัสผ่านเคยเป็นประตูหลักของบริการออนไลน์ แต่ยิ่งธุรกิจมีระบบมากขึ้น ปัญหารหัสผ่านซ้ำ การลืมรหัส และอีเมลหลอกให้กรอกข้อมูลก็ยิ่งเพิ่มขึ้น “Passkey” จึงกลายเป็นทางเลือกที่น่าสนใจสำหรับองค์กร เพราะช่วยให้ผู้ใช้เข้าสู่ระบบด้วยวิธีเดียวกับการปลดล็อกโทรศัพท์ เช่น ลายนิ้วมือ ใบหน้า หรือ PIN โดยไม่ต้องจำรหัสผ่านอีกชุดหนึ่ง
Passkey ทำงานต่างจากรหัสผ่านอย่างไร
Passkey ใช้หลักการเข้ารหัสแบบกุญแจคู่ อุปกรณ์ของผู้ใช้เก็บกุญแจส่วนตัวไว้ ส่วนเว็บไซต์เก็บเฉพาะกุญแจสาธารณะ เมื่อเข้าสู่ระบบ เว็บไซต์จะส่งคำขอให้อุปกรณ์ยืนยันตัวตน กุญแจส่วนตัวไม่ถูกส่งออกจากอุปกรณ์และไม่สามารถนำข้อมูลฝั่งเว็บไซต์ไปย้อนสร้างกุญแจส่วนตัวได้ วิธีนี้จึงลดความเสี่ยงจากฐานข้อมูลรหัสผ่านรั่ว การเดารหัส และการนำรหัสผ่านชุดเดียวไปลองกับหลายบริการ
ข้อมูลจาก FIDO Alliance อธิบายว่า Passkey ใช้มาตรฐาน FIDO2 ซึ่งประกอบด้วย WebAuthn และ CTAP ผู้ใช้สามารถมี Passkey แบบซิงก์ข้ามอุปกรณ์ หรือแบบผูกกับอุปกรณ์และกุญแจความปลอดภัยสำหรับงานที่ต้องการความมั่นใจสูงกว่าเดิม
ธุรกิจได้ประโยชน์อะไร
ประโยชน์ข้อแรกคือความปลอดภัย Passkey ผูกกับโดเมนจริง จึงต้านทานเว็บไซต์ปลอมได้ดีกว่ารหัสผ่านและรหัส OTP ที่ผู้ใช้สามารถเผลอส่งให้มิจฉาชีพได้ ข้อถัดมาคือประสบการณ์ใช้งาน ลูกค้าไม่ต้องตั้งรหัสตามเงื่อนไขซับซ้อน และพนักงานไม่ต้องเสียเวลาขอรีเซ็ตรหัสบ่อย ๆ สุดท้ายคือการลดต้นทุนฝ่ายสนับสนุน โดยเฉพาะธุรกิจที่มีบัญชีลูกค้าจำนวนมากหรือมีระบบภายในหลายตัว
อย่ารีบปิดรหัสผ่านทันที
แม้ Passkey จะใช้งานสะดวก แต่การเปลี่ยนระบบควรทำเป็นขั้นตอน เริ่มจากเปิดให้ผู้ใช้เพิ่ม Passkey หลังเข้าสู่ระบบตามปกติ จากนั้นทดสอบกับพนักงานหรือกลุ่มลูกค้าขนาดเล็ก เก็บข้อมูลอัตราการสมัคร ความสำเร็จในการเข้าสู่ระบบ และคำร้องขอความช่วยเหลือ ก่อนขยายไปยังผู้ใช้ทั้งหมด
ธุรกิจต้องออกแบบวิธีกู้คืนบัญชีไว้ด้วย หากผู้ใช้ทำโทรศัพท์หาย เปลี่ยนอุปกรณ์ หรือออกจากระบบคลาวด์ที่ใช้ซิงก์ Passkey การกู้คืนที่ง่ายเกินไปอาจกลายเป็นช่องโหว่ แต่ถ้ายากเกินไปก็ทำให้ลูกค้าเลิกใช้ ควรกำหนดหลายทางเลือก เช่น อุปกรณ์สำรอง กุญแจความปลอดภัย หรือกระบวนการตรวจสอบตัวตนที่เหมาะกับความเสี่ยงของบริการ
เช็กลิสต์ก่อนเริ่มใช้งาน
- สำรวจระบบที่รองรับ WebAuthn และผู้ให้บริการยืนยันตัวตนเดิม
- เลือกว่าจะใช้ Passkey แบบซิงก์ แบบผูกอุปกรณ์ หรือใช้ร่วมกันตามระดับความเสี่ยง
- ออกแบบหน้าสมัครและเข้าสู่ระบบให้ผู้ใช้เข้าใจว่า Passkey คืออะไร
- กำหนดขั้นตอนเพิ่ม ลบ กู้คืน และตรวจสอบ Passkey อย่างชัดเจน
- เก็บบันทึกเหตุการณ์และมีช่องทางแจ้งเตือนเมื่อมีการเพิ่มอุปกรณ์ใหม่
Passkey ไม่ใช่เพียงฟีเจอร์ใหม่บนหน้าล็อกอิน แต่เป็นการเปลี่ยนวิธีคิดเรื่องตัวตนดิจิทัล ธุรกิจที่เริ่มจากกรณีใช้งานเล็ก ๆ วางระบบกู้คืนให้รัดกุม และสื่อสารกับผู้ใช้อย่างตรงไปตรงมา จะลดความเสี่ยงจากรหัสผ่านได้โดยไม่สร้างความยุ่งยากชุดใหม่ขึ้นมาแทน
