กูเกิลประกาศผู้ใช้งานบัญชีกูเกิลทุกคนสามารถสร้าง Passkeys ได้ตั้งแต่วันนี้เป็นต้นไป เมื่อผู้ใช้งานเปิดใช้ Passkeys กูเกิลจะไม่ถามการยืนยันตัวตนสองขั้นตอนอีก เมื่อมีการล็อกอินเข้าสู่ระบบ

Passkeys เป็นรูปการล็อกอินยืนยันตัวตนที่ไม่ต้องใช้รหัสผ่าน แต่อาศัยการยืนยันตัวตนกับอุปกรณ์แทน มีความปลอดภัยมากกว่า ผู้ใช้ไม่ต้องจดจำรหัสผ่านซึ่งหลายครั้งมักเป็นรหัสผ่านที่คาดเดาได้ง่าย อีกทั้งการผูกกับอุปกรณ์โดยเฉพาะ ก็ทำให้มีความปลอดภัยมากกว่าการใช้ SMS OTP ยืนยันตัวตน แนวทางนี้เป็นมาตรฐานที่ทั้งกูเกิล แอปเปิล และไมโครซอฟท์ ประกาศผลักดันร่วมกันบนมาตรฐาน FIDO

PayPal เริ่มรองรับ Passkey มาตั้งแต่ปลายปีที่แล้ว โดยเริ่มรับรองบน iOS ก่อน

ล่าสุด PayPal รองรับ Passkey บน Android แล้ว ทั้งแอปและ paypal.com ผ่านเว็บบนมือถือ โดยจะเริ่มรองรับในสหรัฐก่อนขยายไปประเทศอื่นๆ ต่อไป โดยจะรองรับ Android 9 (ที่รองรับ Passkey) ขึ้นไป

ที่มา - PayPal

Nordpass แอปจัดการรหัสผ่าน ประกาศรองรับ Passkey โดยผู้ใช้งานสามารถเลือกเก็บข้อมูลคีย์เหล่านี้ได้สำหรับเว็บไซต์หรือแอปที่รองรับ

ในประกาศนั้น Nordpass บอกว่าตามที่บริษัทรายใหญ่ไม่ว่าจะเป็นไมโครซอฟท์ แอปเปิล กูเกิล ต่างสนับสนุน Passkey โดยมองว่าเป็นแนวทางอนาคตของการยืนยันตัวตน Nordpass จึงเพิ่มการรองรับ Passkey ด้วยนั่นเอง

สำหรับการใช้งานบนเบราว์เซอร์นั้น Firefox และ Chrome ตัว Extension ได้เพิ่มการรองรับ Passkey แล้ว ส่วน Safari จะออกมาภายในปีนี้

Nordpass เป็นแอปจัดการรหัสผ่านรายล่าสุดที่ประกาศสนับสนุน Passkey ก่อนหน้านี้ 1Password ก็ประกาศเตรียมรองรับ Passkey ภายในช่วงกลางปีนี้

มาตรฐาน Passkey เปิดทางให้ผู้ใช้สามารถผูกบัญชีเข้ากับบัญชีเก็บรหัสผ่าน เช่น Google Account หรือ iCloud ได้ แม้ว่าตอนนี้จะต้องใช้บัญชีของผู้ผลิตระบบปฎิบัติการเท่านั้นแต่ในอนาคตเราก็น่าจะเก็บบัญชีไว้ที่อื่นๆ ได้ด้วย ล่าสุด Dashlane ก็ออกมาประกาศแล้วว่าจะรองรับการทำงานเป็นผู้เก็บบัญชี Passkey บน Android 14

Android 14 เปิด API ออกมาให้ซอฟต์แวร์นอกเหนือจากกูเกิลสามารถทำหน้าที่จัดการ Passkey แทนได้ การใช้งานคล้ายกับตอนนี้ที่ใช้ Google Password Manager แต่เมื่อต้องการล็อกอินก็จะแสดงหน้าจอยืนยันตัวตนของ Dashlane ขึ้นมาแทน

Android 14 จะออกจริงช่วงเดือนสิงหาคมปีนี้ ระหว่างนี้คาดว่าโปรแกรมจัดการรหัสผ่านอีกหลายค่ายน่าจะออกมารองรับแบบเดียวกัน

ช่วงสองสามปีที่ผ่านมาปัญหาบัญชีถูกแฮกยังคงเป็นปัญหาใหญ่ของระบบความปลอดภัยจำนวนมาก แม้บริการต่างๆ จะพยายามต่อสู้กับการโจมตีบัญชีผู้ใช้ช่องทางต่างๆ ทั้งการเปิดการล็อกอินสองขั้นตอน หรือการตั้งกฎรหัสผ่านให้ยากขึ้นเรื่อยๆ แม้ว่า NIST จะบอกให้เลิกตั้งกฎไปแล้ว ขอแค่อย่าใช้รหัสที่เคยหลุดมาแล้วก็พอก็ตามที แต่ผลสุดท้ายเรายังเห็นผู้ใช้ตั้งรหัสผ่านซ้ำกันไปมา ไม่ยอมเปิดใช้ฟีเจอร์ล็อกอินสองขั้นตอนหากไม่ใช่บัญชีองค์กรที่บังคับ หรือหากบังคับก็จะเลือกช่องทางที่สะดวกที่สุด เช่น SMS แต่ปลอดภัยน้อยที่สุด

1Password ผู้ให้บริการระบบจัดการรหัสผ่าน ประกาศเดินหน้าสนับสนุนแนวทาง Passkey ให้เป็นมาตรฐานของการล็อกอินยืนยันตัวตนเต็มรูปแบบ โดยตั้งแต่กลางปีนี้เป็นต้นไป (ฤดูร้อนอเมริกา) 1Password จะล็อกอินใช้งานด้วย Passkey เท่านั้น ไม่มีการกรอกรหัสผ่านรูปแบบเดิมอีกแล้ว รวมถึงผู้สมัครใช้งานใหม่ก็ไม่ต้องตั้งรหัสผ่านอีกต่อไป

วิธีการดังกล่าว 1Password ใช้คำว่า All In หรือไปแบบเต็มตัว ไม่มีทางเลือกอื่นอีกแล้ว ซึ่งบริษัทเคยเปิดตัวรองรับ Passkey ไปเมื่อปลายปีที่แล้ว

Chrome 108 Stable เริ่มรองรับการล็อกอินแบบไร้รหัสผ่านหรือ Passkey ตามที่กูเกิลประกาศไว้ตั้งแต่เดือนตุลาคม

Passkey เป็นวิธีการยืนยันตัวตนแบบใหม่ที่พยายามแก้ปัญหาเดิมๆ ของรหัสผ่าน ด้วยการใช้คู่กุญแจดิจิทัล (private/public key) ยืนยันตัวตนแทน แต่ปรับให้ใช้ง่ายขึ้นด้วยการซิงก์กุญแจผ่านคลาวด์ของผู้ให้บริการ (ในที่นี้คือ Google Password Manager แต่ถ้าเป็นของค่ายอื่นก็อย่างเช่น แอปเปิลซิงก์ผ่าน iCloud) ตอนนี้เริ่มมีบริการออนไลน์ดังๆ อย่าง PayPal เริ่มรองรับการล็อกอินวิธีนี้แล้ว

1Password ผู้ให้บริการ Password Manager เปิดตัวระบบ Passkey ซึ่งเป็นมาตรฐาน WebAuthen ที่ FIDO Alliance พัฒนาร่วมกับ W3C ให้ผู้ใช้สามารถล็อกอินบริการต่างๆ ได้โดยไม่ต้องใช้พาสเวิร์ดอีกต่อไป

จุดที่ 1Password โชว์คือการรองรับการซิงก์ข้ามแพลตฟอร์ม, แชร์ Passkeys กับครอบครัวหรือการพอร์ตข้อมูล โดยลูกค้า 1Password จำเป็นจะต้องใช้ส่วนเสริมบน Chrome เพื่อใช้งาน Passkeys และจะเริ่มให้บริการจริงช่วงต้นปี 2023

ที่มา - 1Password

PayPal ประกาศรองรับการล็อกอินแบบ Passkeys ที่รองรับโดยแพลตฟอร์มของกูเกิล แอปเปิล ไมโครซอฟท์ ทำให้ไม่ต้องใช้รหัสผ่านในการล็อกอินอีกต่อไป

Passkeys เป็นมาตรฐานที่ร่วมกันพัฒนาโดย FIDO Alliance และ W3C แนวคิดของมันคือยืนยันตัวตนผ่านมาตรฐาน WebAuthn ด้วยกุญแจเข้ารหัส (cryptographic key) ที่เก็บอยู่ในอุปกรณ์ของเราอยู่แล้ว โดยซิงก์กุญแจกไปยังอุปกรณ์อื่นๆ ผ่านบริการของเจ้าของแพลตฟอร์ม (เช่น iCloud หรือ Google Password Manager) อีกที (อธิบายง่ายๆ มันคือการล็อกอินด้วย private key แบบเป็นมิตรกับผู้ใช้ทั่วไป)

กูเกิลประกาศรองรับการล็อกอินแบบ Passkey บนโทรศัพท์แอนดรอยด์และเบราว์เซอร์โครม หลังจากก่อนหน้านี้แอปเปิลรองรับไปก่อนแล้ว ทำให้สามารถใช้โทรศัพท์ล็อกอินบริการต่างๆ ได้โดยไม่ต้องตั้งรหัสผ่านอีกต่อไป

Passkey เป็นมาตรฐานบน WebAuthn อีกทีหนึ่ง เปิดทางให้บริการต่างๆ สามารถยืนยันตัวตนผู้ใช้ด้วยกุญแจเข้ารหัสที่เก็บอยู่ในอุปกรณ์ของผู้ใช้ ทั้งโทรศัพท์มือถือและเบราว์เซอร์ โดยกุญแจนี้สามารถซิงก์ข้ามเครื่องไปมาได้ ในกรณีที่ผู้ใช้ต้องการล็อกอินบนอุปกรณ์ที่ไม่รองรับ Passkey แต่สร้างบัญชีไว้โดยไม่ได้ตั้งรหัสผ่าน ก็สามารถใช้งานตั้งล็อกอินผ่าน QR ได้ คล้ายกับการล็อกอิน LINE บนเดสก์ทอปทุกวันนี้

แอปเปิลเปิดบริการ Passkeys บริการสร้าง เปิดทางให้ผู้ใช้ล็อกอินบริการต่างๆ ได้โดยง่าย ไม่มีการตั้งรหัสผ่านอีกต่อไป แต่อาศัยมาตรฐาน WebAuthn เพื่อขอล็อกอินกับตัวอุปกรณ์เช่น โน้ตบุ๊กหรือโทรศัพท์ได้เลย

กุญแจ Passkeys จะซิงก์ข้ามอุปกรณ์ของแอปเปิลผ่าน iCloud Keychain ทำให้สามารถล็อกอินด้วยอุปกรณ์อะไรก็ได้ หรือหากต้องการล็อกอินบนอุปกรณ์อื่นที่ไม่ใช่ของแอปเปิลก็ยังแสกน QR มาล็อกอินได้ แบบเดียวกับการล็อกอิน LINE บนเดสก์ทอป

แนวทางนี้ตรงกับแนวทางที่แอปเปิลประกาศร่วมกับไมโครซอฟท์และกูเกิลไว้ก่อนหน้านี้ว่าจะผลักดันมาตรฐานการล็อกอินแบบไร้รหัสผ่าน

แอปเปิล ไมโครซอฟท์ และกูเกิล ประกาศแผนความร่วมมือ เพื่อรองรับและผลักดันมาตรฐานการล็อกอินยืนยันตัวตนแบบไร้รหัสผ่าน ทั้งบนสมาร์ทโฟน เดสก์ท็อป และเบราว์เซอร์ ที่จัดทำโดย FIDO Alliance และ World Wide Web Consortium (W3C)

ประโยชน์สำหรับผู้ใช้งาน จะทำให้ลดขั้นตอนการล็อกอินซ้ำหลายครั้ง เป็นการลงชื่อยืนยันการใช้งานครั้งเดียว แล้วใช้งานได้ต่อเนื่องในทุกจุด

สองความสามารถใหม่ที่เพิ่มเติมมาในการล็อกอินของมาตรฐาน FIDO ได้แก่ (1) เข้าถึงข้อมูลประจำตัวจากการลงชื่อแบบ FIDO (Passkey) ได้ผ่านอุปกรณ์หลายเครื่อง รวมทั้งเครื่องใหม่ โดยไม่ต้องดำเนินการทุกบัญชี (2) ผู้ใช้งานสามารถตรวจสอบสิทธิ์แบบ FIDO บนอุปกรณ์พกพาใกล้ตัว เพื่อใช้ล็อกอินเข้าเว็บไซต์ หรือระบบปฏิบัติการใด ๆ