แอปเปิลออกส่วนขยาย (Extension) iCloud Passwords สำหรับใช้กับเบราว์เซอร์ Firefox ทำให้ผู้ใช้งานสามารถจัดเก็บรหัสผ่านและใช้งานต่อเนื่องได้ผ่าน Firefox

ส่วนขยายบน Firefox ตัวนี้เดิมถูกพัฒนาโดยนักพัฒนาภายนอก แต่ต่อมาแอปเปิลได้เข้ามาดูแลจัดการต่อ ทำให้ส่วนขยายนี้ระบุเลยว่าเป็นของแอปเปิล

อย่างไรก็ตามส่วนขยาย iCloud Passwords บน Firefox นี้ รองรับเฉพาะการใช้งานบน macOS Sonoma ขึ้นไปเท่านั้น แอปเปิลบอกว่ายังไม่รองรับ Windows ในเวลานี้

ที่มา: MacRumors

Chrome on Android ปรับปรุงการกรอกฟอร์ม (autofill) จากแอพจัดการรหัสผ่านภายนอก ให้ดีเทียบเท่ากับ Google autofill แล้ว

เดิมที Chrome on Android รองรับ autofill อยู่แล้ว โดยมีแอพ Google ทำหน้าที่ช่วยกรอกรหัสผ่านและฟอร์มต่างๆ เป็นดีฟอลต์ แต่ถ้าผู้ใช้มีแอพจัดการรหัสผ่านตัวอื่น ก็สามารถเลือกใช้แอพเหล่านี้แทนได้ โดยมีข้อจำกัดคือแอพเหล่านี้ต้องทำงานแบบ compatibility mode ผ่านช่องทาง accessibility ของระบบปฏิบัติการ แต่ก็มีปัญหาตามมาว่าการเลื่อนหน้าจออาจกระตุก และการกรอกฟอร์มอาจซ้ำซ้อนกับ Google autofill ได้

การยืนยันตัวตนด้วย Passkey ซึ่งเป็นการเก็บคู่กุญแจเข้ารหัสไว้ในเครื่อง ได้รับความนิยมมากขึ้นเรื่อยๆ นับตั้งแต่เปิดตัวช่วงต้นปี 2023 ก็มีบริการออนไลน์จำนวนมากประกาศรองรับ Passkey กันถ้วนหน้า

อย่างไรก็ตาม ปัญหาสำคัญของ Passkey คือการซิงก์กุญแจข้ามเครื่อง หรือข้ามซอฟต์แวร์จัดการล็อกอินคนละยี่ห้อกัน ซึ่งยังไม่มีมาตรฐานกลางมากำหนดว่าควรทำอย่างไร

กูเกิลขยายฟีเจอร์จัดการ Passkey ให้สามารถซิงก์ Passkey ข้ามอุปกรณ์ได้ด้วย

ของเดิมนั้น การใช้ Passkey ผ่าน Google Password Manager บน Android เก็บตัว Passkey ไว้บนอุปกรณ์ตัวนั้นตัวเดียว หากต้องการนำไปใช้บนอุปกรณ์อื่นต้องใช้วิธีสแกน QR ระหว่างกัน

ของใหม่คือ Passkey ของเราจะถูกซิงก์อัตโนมัติในจักรวาล Google Password Manager ข้ามแพลตฟอร์มทั้ง Windows, macOS, Linux, Android, ChromeOS โดยมีระบบรักษาความปลอดภัยคือต้องตั้งรหัส PIN 6 หลัก เพื่อไม่ให้คนอื่นเข้าถึง Passkey ของเราได้ (แม้เข้าถึงตัวฮาร์ดแวร์ได้เชิงกายภาพ)

เดิม 1Password จะให้ Secret Key กับผู้ใช้ในรูปของ Emergency Kit เป็นไฟล์ PDF หลังเริ่มใช้งาน เอาไว้ในกรณีที่จำ Master Password ไม่ได้ แต่หาก Secret Key หายด้วย ผู้ใช้งานแทบไม่มีทางเลือกในการเข้าถึงบัญชีเลย

ล่าสุด 1Password เพิ่มอีกหนึ่งทางเลือกสำหรับกรณีที่ทั้ง Master Password และ Secret Key หาย คือ Recovery Code โดยทาง 1Password แนะนำให้ผู้ใช้งานเข้าไปสร้างและเก็บเอาไว้ทันที เพราะ Recovery Code ไม่สามารถสร้างจากช่องทางอื่นได้ หากไม่ได้ล็อกอินเอาไว้

การสร้างให้เข้าไปที่ Manage Account ที่ไอคอนบัญชีด้านข้าง >> Sign-in & Recovery >> Set up a recovery code

หนึ่งในไฮไลท์ที่แอปเปิลประกาศในงาน WWDC24 คือการแยกแอปสำหรับจัดการรหัสผ่านของบริการต่าง ๆ Passwords ออกมาโดยเฉพาะ โดยจะมีให้ใช้งานทั้งใน iOS 18, iPadOS 18, macOS Sequoia และ visionOS 2

Passwords ไม่ใช่ฟีเจอร์ใหม่สำหรับแอปเปิล เพราะความสามารถจัดการรหัสผ่านแบบข้ามอุปกรณ์นั้นมีอยู่ใน Settings ซิงก์ข้อมูลผ่านบัญชี iCloud มานานแล้ว แต่หลายคนอาจไม่ทราบ แอปเปิลจึงเลือกเปิดตัวแอปแยกออกมาเพื่อผลักดันให้คนใช้งานมากขึ้น

หน้าตาของแอป Passwords นั้นคล้ายกับ Reminders โดยแยกหัวข้อย่อยตามการจัดการรหัสผ่านต่าง ๆ ได้แก่ All, Passkeys, Codes, Wi-Fi, Security และ Deleted รวมทั้ง Family Passwords หากมีการใช้งาน Family Sharing

ใกล้งานสัมมนาสำหรับนักพัฒนาประจำปี WWDC ของแอปเปิล ข่าวลือก็จะออกมาเยอะหน่วยในช่วงนี้ ล่าสุด Mark Gurman แห่ง Bloomberg คนเดิม ให้ข้อมูลเกี่ยวกับแอปพื้นฐานตัวใหม่ใน iOS 18 และ macOS 15 มีชื่อว่า Passwords

วิธีการทำงานของแอป Passwords ก็ตรงตามชื่อ นั่นคือทำงานแบบเดียวกับแอปยอดนิยมอย่าง 1Password หรือ LastPass ที่เก็บข้อมูลล็อกอินของผู้ใช้งานในบริการต่าง ๆ รวมไว้ในที่เดียว การซิงก์ข้อมูลข้ามอุปกรณ์ทำผ่าน iCloud Keychain

Proton Pass แอปจัดการรหัสผ่าน (Password Manager) ของ Proton ประกาศเพิ่มความสามารถใหม่ Pass Monitor เพื่อตรวจสอบว่าผู้ใช้งานตั้งรหัสผ่านที่แข็งแรงพอ และให้คำแนะนำหากพบว่ารหัสที่ใช้มีปัญหา

Pass Monitor จะตรวจสอบความแข็งแรงและปลอดภัยของระบบที่ใช้งานในหลายด้าน ได้แก่ การตรวจสอบว่ารหัสผ่านนั้นตรงกับข้อมูลที่หลุดมาตาม Dark Web หรือไม่, ตรวจสอบความแข็งแรงทั่วไปของรหัสผ่าน, ตรวจสอบว่าบัญชีนี้เปิด 2FA ได้หรือไม่ และแนะนำให้เปิด

ฟีเจอร์ Pass Monitor เริ่มเปิดให้ใช้งานแล้วสำหรับผู้ใช้ Proton

ที่มา: Proton

LastPass ประกาศเสร็จกระบวนการแยกตัวเป็นบริษัทอิสระ จากบริษัทแม่ GoTo (LogMeIn เดิม) โดยใช้เวลานานถึง 3 ปีนับจากประกาศแผนครั้งแรกในปี 2021

ผู้ถือหุ้นของ LastPass ยังเป็นกลุ่มผู้ถือหุ้นเดิมของ LogMeIn ที่ถือหุ้นในนามบริษัท LMI Parent, L.P. อีกที แต่การบริหารงานของ LastPass เป็นอิสระจาก GoTo/LogMeIn ทำให้คล่องตัวมากขึ้น แยกบริหารเงินเอง และโฟกัสที่ธุรกิจด้านความปลอดภัยไซเบอร์โดยตรง ต่างจาก GoTo/LogMeIn ที่เป็นธุรกิจด้านระบบรีโมท ควบคุมคอมพิวเตอร์จากระยะไกล

ที่มา - LastPass

1Password ประกาศฟีเจอร์ใหม่ที่มีสถานะทดลอง โดยอยู่ในส่วน Labs ที่ผู้ใช้งานต้องเปิดใช้งานเอง ซึ่ง 1Password จะรับความเห็นจากผู้ใช้งานเพื่อปรับปรุงก่อนเปิดเป็นฟีเจอร์ทั่วไป มีของใหม่ดังนี้

Bitwarden บริการจัดการรหัสผ่านโอเพนซอร์สชื่อดังเริ่มรองรับการล็อกอินเข้าใช้งานด้วย Passkey แล้ว ทดแทนการใช้ชื่อบัญชีและรหัสผ่านตามปกติ

Bitwarden เลือกรองรับ Passkey ผ่านส่วนเสริม PRF ของมาตรฐาน WebAuthn โดยหลักการของ PRF คือให้กุญแจยืนยันตัวตนสร้างกุญแจเข้ารหัสขึ้นมาชุดหนึ่งสำหรับ Bitwarden (หรือเว็บไซต์อื่นๆ) โดยเฉพาะ จากนั้น Bitwarden ก็จะนำกุญแจนี้ไปใช้กับการเข้ารหัสและปลดล็อคข้อมูลของผู้ใช้ใน vault อีกทอดหนึ่งด้วย

RedTeam Pentesting บริษัทความปลอดภัยซอฟต์แวร์จากเยอรมนีรายงานถึงการตรวจสอบความปลอดภัยของ Bitwarden ซอฟต์แวร์เก็บรหัสผ่าน โดยพยายามถอดรหัสฐานข้อมูลเมื่อผู้ใช้เปิดใช้งานฟีเจอร์ปลดล็อกฐานข้อมูลด้วย Windows Hello ที่ทำให้ผู้ใช้ไม่ต้องพิมพ์ master password ทุกรอบที่ต้องการใช้งาน แต่เพียงแต่ตรวจสอบลายนิ้วมือหรือใบหน้าเท่านั้น

แอพจัดการรหัสผ่าน 1Password อัพเดตเวอร์ชันใหม่ รองรับการยืนยันตัวตนด้วย Passkey แล้วทั้งบนเบราว์เซอร์และ iOS 17 ขึ้นไป ส่วน Android จะตามมาในเร็วๆ นี้หลัง Android 14 ออกตัวจริง

Passkey เป็นระบบการล็อกอินแบบใหม่ที่ไม่ใช้รหัสผ่าน แต่ใช้กุญแจ public/private key แทน โดยแอพจัดการรหัสผ่านแต่ละตัวจะช่วยเรื่องการซิงก์กุญแจข้ามอุปกรณ์ หรือแชร์กุญแจระหว่างกัน รายละเอียดอ่านในบทความ Passkey อนาคตแห่งการล็อกอินไร้รหัสผ่าน

แอปเปิลเพิ่มฟีเจอร์ให้กับ macOS 14 Sonoma ที่ตอนนี้ยังมีสถานะเป็น Beta โดยตัวจัดการรหัสผ่านของ iCloud สามารถใช้งานกับเบราว์เซอร์ตัวอื่นที่ไม่ใช่ Safari เช่น Chrome หรือ Edge ได้แล้ว

การใช้งานจำเป็นต้องติดตั้งส่วนขยาย iCloud Passwords จาก Chrome Web Store ก่อน จากนั้นหากเราบันทึกรหัสผ่านไว้ใน iCloud (เช่น จากบน iOS) ก็สามารถสั่งให้กรอกรหัสผ่านใน Chrome ได้เลย

Proton เปิดตัว Proton Pass โปรแกรมจัดการรหัสผ่าน หลังจากเปิดตัวในสถานะเบต้าจำกัดแพลตฟอร์มก่อนหน้านี้ โดย Proton Pass เปิดให้ใช้งานกับผู้ใช้ทั่วโลกแล้ว ในทุกแพลตฟอร์มทั้ง iOS, Android และส่วนขยายในเบราว์เซอร์ Chrome, Firefox, Edge, Brave และอื่น ๆ

Proton Pass ช่วยจัดการการสร้างรหัสผ่านเวลาใช้งาน ตามแนวทางของความปลอดภัย เช่น ใช้ passphrase, ไม่ซ้ำกันในทุกเว็บไซต์, ระบบที่ใช้อีเมลล็อกอิน จะสร้างเมลซ่อน alias เพื่อป้องกันตัวตน นอกจากนี้ยังมีฟีเจอร์เสริม เช่น ซ่อนโน้ตที่บันทึกข้อมูลสำคัญ, เป็นตัวจัดการ 2FA

Proton ผู้ให้บริการออนไลน์แบบเข้ารหัส ที่เป็นที่รู้จักจาก Proton Mail เปิดตัวบริการใหม่โปรแกรมจัดการรหัสผ่าน Proton Pass ซึ่ง Andy Yen ซีอีโอและผู้ก่อตั้ง Proton บอกว่า เป็นหนึ่งในผลิตภัณฑ์ที่ผู้ใช้งานร้องขอให้ทำมากที่สุดตั้งแต่มี Proton Mail

Proton Pass มีจุดขายคือการเข้ารหัสทั้งหมดแบบ end-to-end ซึ่งบอกว่าสูงกว่ามาตรฐานโปรแกรมจัดการรหัสผ่านอื่นในตลาด ทั้งนี้บริการ Proton Pass ยังมีสถานะเบต้า โดยคาดว่าจะเปิดตัวให้ใช้งานได้ทุกคนภายในปีนี้ ในเบื้องต้นมีให้ใช้งานแบบแอปใน iOS และ Android ส่วนบนเดสก์ท็อปมีส่วนขยายใน Brave และ Chrome ขณะที่ Firefox อยู่ในขั้นตอนการอนุมัติ

KeePassXC โปรแกรมจัดการรหัสผ่านโอเพนซอร์สเปิดเผยรายงานตรวจสอบความปลอดภัยโค้ด ที่ตรวจสอบโดย Zaur Molotnikov ที่ปรึกษาด้านความปลอดภัย การตรวจสอบเน้นเฉพาะระบบการอ่านและเขียนฐานข้อมูลรหัสผ่าน โดยไม่ได้ตรวจสอบส่วนอื่นๆ เช่น เช่น ระบบการสุ่มรหัสผ่าน

KeePassXC เป็นโครงการโอเพนซอร์สที่พัฒนาโปรแกรมโดยใช้ฐานข้อมูลร่วมกับโปรแกรม KeePass ได้ แม้จะใช้ฐานข้อมูลแบบเดียวกัน แต่ KeePass นั้นพัฒนาด้วยภาษา C# และต้องการ .NET ขณะที่ KeePassXC ใช้ภาษา C++ และพัฒนาด้วย Qt สำหรับโปรแกรม KeePass เองนั้นเคยถูกตรวจสอบโดยสหภาพยุโรปเป็นผู้ให้ทุน

Nordpass แอปจัดการรหัสผ่าน ประกาศรองรับ Passkey โดยผู้ใช้งานสามารถเลือกเก็บข้อมูลคีย์เหล่านี้ได้สำหรับเว็บไซต์หรือแอปที่รองรับ

ในประกาศนั้น Nordpass บอกว่าตามที่บริษัทรายใหญ่ไม่ว่าจะเป็นไมโครซอฟท์ แอปเปิล กูเกิล ต่างสนับสนุน Passkey โดยมองว่าเป็นแนวทางอนาคตของการยืนยันตัวตน Nordpass จึงเพิ่มการรองรับ Passkey ด้วยนั่นเอง

สำหรับการใช้งานบนเบราว์เซอร์นั้น Firefox และ Chrome ตัว Extension ได้เพิ่มการรองรับ Passkey แล้ว ส่วน Safari จะออกมาภายในปีนี้

Nordpass เป็นแอปจัดการรหัสผ่านรายล่าสุดที่ประกาศสนับสนุน Passkey ก่อนหน้านี้ 1Password ก็ประกาศเตรียมรองรับ Passkey ภายในช่วงกลางปีนี้

มาตรฐาน Passkey เปิดทางให้ผู้ใช้สามารถผูกบัญชีเข้ากับบัญชีเก็บรหัสผ่าน เช่น Google Account หรือ iCloud ได้ แม้ว่าตอนนี้จะต้องใช้บัญชีของผู้ผลิตระบบปฎิบัติการเท่านั้นแต่ในอนาคตเราก็น่าจะเก็บบัญชีไว้ที่อื่นๆ ได้ด้วย ล่าสุด Dashlane ก็ออกมาประกาศแล้วว่าจะรองรับการทำงานเป็นผู้เก็บบัญชี Passkey บน Android 14

Android 14 เปิด API ออกมาให้ซอฟต์แวร์นอกเหนือจากกูเกิลสามารถทำหน้าที่จัดการ Passkey แทนได้ การใช้งานคล้ายกับตอนนี้ที่ใช้ Google Password Manager แต่เมื่อต้องการล็อกอินก็จะแสดงหน้าจอยืนยันตัวตนของ Dashlane ขึ้นมาแทน

Android 14 จะออกจริงช่วงเดือนสิงหาคมปีนี้ ระหว่างนี้คาดว่าโปรแกรมจัดการรหัสผ่านอีกหลายค่ายน่าจะออกมารองรับแบบเดียวกัน

1Password ผู้ให้บริการระบบจัดการรหัสผ่าน ประกาศเดินหน้าสนับสนุนแนวทาง Passkey ให้เป็นมาตรฐานของการล็อกอินยืนยันตัวตนเต็มรูปแบบ โดยตั้งแต่กลางปีนี้เป็นต้นไป (ฤดูร้อนอเมริกา) 1Password จะล็อกอินใช้งานด้วย Passkey เท่านั้น ไม่มีการกรอกรหัสผ่านรูปแบบเดิมอีกแล้ว รวมถึงผู้สมัครใช้งานใหม่ก็ไม่ต้องตั้งรหัสผ่านอีกต่อไป

วิธีการดังกล่าว 1Password ใช้คำว่า All In หรือไปแบบเต็มตัว ไม่มีทางเลือกอื่นอีกแล้ว ซึ่งบริษัทเคยเปิดตัวรองรับ Passkey ไปเมื่อปลายปีที่แล้ว

Chrome เวอร์ชันเดสก์ท็อป เพิ่มฟีเจอร์ยืนยันตัวตนด้วยไบโอเมทริก (เช่น ลายนิ้วมือ) ก่อนช่วยกรอกรหัสผ่านที่เซฟเก็บไว้ เพิ่มความปลอดภัยในการเข้าถึงรหัสผ่านบน Google Password Manager อีกชั้น

ฟีเจอร์นี้เหมาะกับคนที่ใช้คอมพิวเตอร์ร่วมกับคนอื่นๆ และกลัวคนอื่นเข้ามาล็อกอินด้วยบัญชีของเราได้ ก่อนหน้านี้ Chrome ใช้วิธียืนยันตัวตนด้วยรหัสผ่าน (master password) แต่ก็ไม่สะดวกเพราะต้องกรอกใหม่ทุกครั้ง การยืนยันด้วยตนด้วยไบโอเมทริกก็ช่วยให้สะดวกขึ้นกว่าเดิม

Chrome รองรับการยืนยันตัวตนด้วยไบโอเมทริกอยู่แล้ว แต่เฉพาะการกรอกรหัส CVC ตอนจ่ายเงินด้วยบัตรเครดิตเท่านั้น รอบนี้คือขยายมายังการกรอกรหัสผ่านด้วย

หลังเหตุการณ์ LastPass ข้อมูลหลุด ตอนนี้คู่แข่งสำคัญอย่าง 1Password ก็ออกมาแสดงความเห็นว่าแม้รหัสผ่านของผู้ใช้จะถูกเข้ารหัสด้วย PBKDF2 และทาง LastPass จะระบุว่าการเดารหัสผ่านจะใช้เวลานานนับล้านปี หากผู้ใช้ตั้งรหัสผ่านโดยสุ่มมาดีพอและยาว 12 ตัวอักษรขึ้นไป แต่ทาง 1Password ก็ชี้ว่าโดยทั่วไปมนุษย์ไม่สามารถตั้งรหัสผ่านคุณภาพสูงได้อยู่แล้วยกเว้นว่าจะใช้ซอฟต์แวร์สุ่มรหัสผ่านมาให้

บริการจัดการรหัสผ่าน Bitwarden เพิ่มฟีเจอร์ "Log in with device" สามารถเข้าถึงฐานข้อมูลรหัสผ่านได้โดยไม่ต้องใส่รหัสผ่านหลักอีก แต่อาศัยการกดยืนยันจากแอปในโทรศัพท์มือถือ บริษัทยืนยันว่ากระบวนการนี้ยังคงปลอดภัย และบริษัทไม่มีกุญแจถอดรหัสฐานข้อมูลอยู่กับบริษัทเอง

กระบวนการส่งกุญแจปลดล็อกฐานข้อมูลเป็นการส่งแบบ end-to-end จากโทรศัพท์มือถือไปยังเบราว์เซอร์โดยตรง ผู้ใช้ต้องตรวจสอบว่ากุญแจจากเบราว์เซอร์นั้นค่า fingerprint (เป็นคำภาษาอังกฤษ 5 คำ) ตรงกับที่แสดงในโทรศัพท์มือถือ และการปลดล็อกฐานข้อมูลรูปแบบนี้จะใช้ได้กับเบราว์เซอร์ที่เคยล็อกอินแบบปกติมาก่อนแล้วเท่านั้น รวมถึงที่ตัวแอปต้องเปิดฟีเจอร์ Approve login request เอง

Bitwarden แอพจัดการรหัสผ่านแบบโอเพนซอร์ส ประกาศระดมทุน 100 ล้านดอลลาร์ จากบริษัทลงทุน 2 แห่งคือ PSG และ Battery Ventures เพื่อนำไปขยายธุรกิจ

โมเดลธุรกิจของ Bitwarden คือมีแอพเวอร์ชันฟรี (ใช้งานได้ไม่จำกัดอุปกรณ์) และแอพเวอร์ชันพรีเมียมที่มีฟีเจอร์มากขึ้น (เช่น รองรับ 2FA ผ่าน YubiKey/FIDO2) รวมถึงแอพสำหรับธุรกิจที่ใช้งานเป็นทีม

Bitwarden ย้ำว่าแอพเวอร์ชันฟรีของตัวเองจะยังฟรีตลอดไป ใช้สถาปัตยกรรมโอเพนซอร์สเพื่อความโปร่งใส และผู้ใช้สามารถโฮสต์ข้อมูลเอง (self-host) แต่เงินที่ได้จะเน้นการขยายธุรกิจฝั่งองค์กรให้มากขึ้น

ที่มา - Bitwarden

บริการจัดการรหัสผ่านยอดนิยม LastPass ประกาศว่าถูกแฮ็กระบบผ่านบัญชีของพนักงานฝ่ายพัฒนาซอฟต์แวร์รายหนึ่ง ข้อมูลที่ถูกเข้าถึงได้มีซอร์สโค้ดและเอกสารทางเทคนิค แต่ข้อมูลรหัสผ่านของผู้ใช้ยังปลอดภัยเพราะอยู่คนละส่วนกัน

LastPass ยังอธิบายวิธีการเก็บรหัสผ่านของผู้ใช้ ว่าเก็บรหัสผ่านที่เข้ารหัสแล้ว (encrypted passwords) ส่วนรหัสผ่านหลักหรือ Master Password ในการปลดล็อคอยู่ที่ผู้ใช้ และแม้แต่ LastPass เองก็ไม่สามารถเข้าถึงข้อมูลเหล่านี้ได้เช่นกัน (zero knowledge architecture) กรณีนี้ผู้ใช้จึงไม่ต้องทำอะไร และ LassPass ก็ไม่บังคับให้รีเซ็ตรหัสผ่านหลักแต่อย่างใด

ที่มา - LastPass