ลองนึกภาพ Passkey เป็นตู้ไปรษณีย์ที่มีล็อคสองชั้น: ใครก็ตามสามารถหย่อนจดหมายลงในช่องสาธารณะได้ แต่มีเพียงคนที่ถือกุญแจส่วนตัวเท่านั้นที่จะเปิดและยืนยันตัวตนได้ นี่คือการเปรียบเทียบที่บทความอธิบายจากสื่อเทคโนโลยีเมื่อไม่นานมานี้ใช้อธิบายกลไกของ Passkey — กุญแจสาธารณะเก็บไว้ที่ฝั่งเว็บไซต์ ส่วนกุญแจส่วนตัวถูกล็อคไว้ในอุปกรณ์ของคุณ ทั้งสองอย่างขาดกันไม่ได้
ปัญหาของรหัสผ่านแบบดั้งเดิมนั้นทุกคนคุ้นเคยกันดี: เว็บไซต์ไม่ควรเก็บรหัสผ่านแบบข้อความธรรมดา จึงต้องทำการแฮชข้อมูล พร้อมเพิ่ม "ซอลต์" แบบสุ่มเพื่อให้รหัสผ่านเดียวกันได้ผลลัพธ์แฮชที่ต่างกัน ลดความเสี่ยงที่ข้อมูลจะถูกกู้คืนกลับมาได้เมื่อฐานข้อมูลรั่วไหล แต่จุดอ่อนของกลไกนี้ไม่ได้อยู่ที่อัลกอริทึม แต่อยู่ที่คน — คนส่วนใหญ่เพื่อความสะดวกในการจำ มักใช้รหัสผ่านที่อ่อนแอชุดเดียวกันซ้ำในหลายบริการ ขณะที่เว็บไซต์ฟิชชิ่งก็อาศัยจุดนี้เป็นพิเศษ หลอกล่อให้ผู้ใช้ "ส่งมอบ" รหัสผ่านออกไปเอง
Passkey อุดจุดอ่อนนี้ได้อย่างไร
Passkey ไม่ต้องการให้คุณจำตัวอักษรใดๆ เลย เมื่อล็อกอิน เว็บไซต์จะขอให้อุปกรณ์ใช้กุญแจส่วนตัวที่จับคู่กับกุญแจสาธารณะเพื่อยืนยันตัวตน กุญแจส่วนตัวชุดนี้ถูกเก็บไว้ในพื้นที่จัดเก็บที่ได้รับการป้องกันของโทรศัพท์หรือคอมพิวเตอร์ และถูกปลุกใช้งานด้วย Face ID, Windows Hello PIN หรือการสแกนลายนิ้วมือ กล่าวคือ คุณต้องมีทั้ง "การถือครองอุปกรณ์" และ "การรู้ PIN หรือมีลักษณะทางชีวภาพ" สองเงื่อนไขพร้อมกัน เท่ากับว่าบรรลุระดับความปลอดภัยที่แต่ก่อนต้องพึ่งการยืนยันตัวตนสองชั้นได้ในคราวเดียว
ที่สำคัญกว่านั้นคือ เมื่อสร้าง Passkey จะถูกผูกกับโดเมนเฉพาะเจาะจง แม้ว่าจะเปิดเว็บไซต์ปลอมที่หน้าตาเหมือนกันทุกประการ อุปกรณ์ก็จะไม่มอบกุญแจส่วนตัวออกไป เท่ากับว่าทำให้เรื่อง "การกรอกรหัสผ่านลงในหน้าฟิชชิ่ง" หมดความหมายไปโดยพื้นฐาน และเนื่องจากข้อกำหนดของ Passkey เองก็บังคับให้มีความแข็งแกร่งสูงอยู่แล้ว จึงไม่มีความเป็นไปได้ที่จะ "ตั้ง Passkey แบบง่ายๆ" เมื่อฐานข้อมูลรั่วไหล สิ่งที่ผู้โจมตีได้ไปมีเพียงกุญแจสาธารณะ ซึ่งแต่เดิมก็ไม่ใช่ความลับอยู่แล้ว
ตำแหน่งจัดเก็บ ต่างหากที่เป็นแหล่งความยุ่งยากตัวจริง
ต้นทุนของ Passkey อยู่ที่มันผูกติดกับอุปกรณ์หรือซอฟต์แวร์ เมื่อไหร่ก็ตามที่ทำหายหรือใช้งานข้ามระบบก็จะติดขัด iOS และ macOS จะเก็บไว้ใน Apple Passwords โดยค่าเริ่มต้น Android พึ่งพา Google Password Manager ส่วน Windows 11 จะเก็บไว้ใน "การตั้งค่า > บัญชี > Passkeys" ขณะที่ Linux ในตอนนี้ยังไม่มีการรองรับแบบดั้งเดิม หากอุปกรณ์ของคุณกระจายอยู่ในระบบนิเวศที่ต่างกัน การเก็บ Passkey ทั้งหมดไว้ในแอปของระบบเดียว เมื่อเปลี่ยนไปล็อกอินด้วยโทรศัพท์เครื่องอื่นก็จะยุ่งยากขึ้น แม้บางบริการจะมีฟีเจอร์สแกนคิวอาร์โค้ดล็อกอินข้ามอุปกรณ์ให้ แต่ก็ไม่ได้ราบรื่นทุกครั้งไป
การแชร์ก็เป็นข้อจำกัดที่เกิดขึ้นจริงอีกเรื่องหนึ่ง สมัยก่อนการบอกรหัสผ่านให้คนที่ไว้ใจได้เป็นเรื่องแค่พูดปากเปล่าก็จบ แต่ Passkey จะทำให้สะดวกเทียบเท่ากันได้ ต้องพึ่งเครื่องมือจัดการรหัสผ่านที่รองรับการแชร์คลังรหัสร่วมกัน ซึ่งโซลูชันที่ติดมากับอุปกรณ์เพียงอย่างเดียวทำแบบนั้นไม่ได้ ด้วยเหตุผลเหล่านี้ การเก็บ Passkey ไว้รวมกันในโปรแกรมจัดการรหัสผ่านที่รองรับการซิงค์ข้ามแพลตฟอร์ม จึงเป็นทางเลือกที่เข้าท่ากว่าการปล่อยให้กระจัดกระจายอยู่ในเครื่องมือเริ่มต้นของแต่ละระบบ และถ้าอยากไปอีกขั้น ก็เลือกเก็บ Passkey ไว้ในกุญแจความปลอดภัยแบบฮาร์ดแวร์อย่าง YubiKey ก็ได้เช่นกัน
ตอนนี้บริการส่วนใหญ่ยังคงให้ Passkey กับรหัสผ่านอยู่คู่กัน บางกรณี Passkey เข้ามาแทนที่รหัสผ่านไปเลย แต่บางกรณีก็แค่เสริมความแข็งแกร่งไม่ได้แทนที่ทั้งหมด — ถ้าบัญชีของคุณอยู่ในกลุ่มหลัง อย่าลืมว่ารหัสผ่านตัวนั้นเองก็ต้องแข็งแรงมากพอด้วย ไม่งั้นทั้งระบบก็ยังถูกจุดที่อ่อนแอที่สุดฉุดให้พังได้อยู่ดี
