รหัสผ่านแบบ Passkeys ถูกคิดว่าจะมาแทนที่รหัสผ่าน แต่กลับล้มเหลวด้วยเหตุผลที่คาดเดาได้ที่สุด

รหัสผ่านเป็นปัญหา ไม่เพียงแต่ว่าพวกมันได้ถึงจุดที่รหัสผ่านที่ "แข็งแรง" คือรหัสผ่านที่ไม่มีมนุษย์คนใดจำได้ (ยิ่งไม่ต้องพูดถึงการจำหลายสิบรหัส) แต่พวกมันก็ไม่ได้ปลอดภัยเพียงพอตามที่ควร รหัสผ่านกุญแจรวมกันระหว่างคู่กุญแจคริปโตกราฟิกสาธารณะและส่วนตัวกับการตรวจสอบสิทธิ์ในเครื่องเช่นลายนิ้วมือหรือการสแกนใบหน้า อุปกรณ์สามารถพิสูจน์ตัวตนของมันได้อย่างแน่นอน และสมมติฐานคือมีเพียงคุณเท่านั้นที่สามารถปลดล็อกมันได้

เมื่อมันใช้งานได้ รหัสผ่านแบบ Passkey รู้สึกเหมือนกับการค้นพบใหม่ แต่ฉันกล้ายืนยันได้ว่าส่วนใหญ่คุณยังคงยุ่งอยู่กับตัวจัดการรหัสผ่านของคุณ และรหัสผ่านยังคงเป็นวิธีหลักที่คุณใช้ในการเข้าถึงสิ่งต่าง ๆ ดังนั้นถ้ารหัสผ่านแบบ Passkey ดีขนาดนั้น ทำไมเราถึงยังมีรหัสผ่านอยู่?

ผู้ใช้ส่วนใหญ่ยังไม่รู้ว่ารหัสผ่านคืออะไร

เรากลัวสิ่งที่ไม่คุ้นเคย

ฉันคิดว่าปัญหาใหญ่ที่สุดโดยห่างไกลก็คือรหัสผ่านแบบพิเศษ (passkeys) แค่เกิดขึ้นเฉยๆ ผู้คนใช้ชีวิตบนอินเทอร์เน็ตตามปกติ และครั้งต่อไปที่พวกเขาพยายามเข้าสู่ระบบ พวกเขาก็ได้รับตัวเลือกให้ใช้รหัสผ่านแบบพิเศษ สิ่งที่จะเกิดขึ้นจากจุดนี้ก็ขึ้นอยู่กับเดาได้ยาก ขึ้นอยู่กับว่าเว็บไซต์นั้นกดดันมากแค่ไหน หลายคนก็แค่เลือก "ข้าม" หรืออะไรก็ตามที่ทำให้พวกเขาเข้าสู่ระบบตามปกติ

อย่างไรก็ตาม สำหรับผู้ที่อยากรู้อยากเห็น (หรือไม่ใส่ใจ) การแตะตัวเลือก passkey นั้นอาจทำให้คุณหลงเข้าไปในเรื่องราวที่ซับซ้อนโดยมีคำอธิบายน้อยมาก ฉันเขียนเกี่ยวกับความปลอดภัยทางอินเทอร์เน็ตและคอมพิวเตอร์เป็นอาชีพ และฉันก็ไม่สามารถเข้าใจได้เลยว่า "passkey" คืออะไรจากข้อมูลที่เว็บไซต์ให้มา ไม่เจอเว็บไซต์ใดเลย แม้แต่ของผู้เล่นรายใหญ่ ที่สามารถอธิบายได้เพียงพอว่ามันทำงานอย่างไรหรือทำไมคุณควรใช้มันในคำง่ายๆ พวกเขาเพียงสั่งให้คุณทำตามขั้นตอน และตอนนี้คุณก็ได้ตกลงใช้วิธีการรักษาความปลอดภัยใหม่ที่อาจไม่เหมาะสมกับระดับความเสี่ยงของคุณ

เว็บไซต์กลัวการบังคับให้ต้องยอมรับ

ความเสี่ยงนั้นคุ้มกับรางวัลไหม?

อีกด้านหนึ่งของเหรียญคือเว็บไซต์ที่ไม่แสดงความมุ่งมั่น แทนที่จะทำให้รหัสผ่านแบบผ่านกุญแจบังคับ กลับกลายเป็นแค่ตัวเลือกเพิ่มเติม เว็บไซต์ไม่ได้ขี้อายขนาดนี้เวลาที่ต้องทำการยืนยันตัวตนสองขั้นตอนบังคับหรือบังคับใช้กฎที่ไร้สาระที่สุดสำหรับรหัสผ่านที่ 'แข็งแรง' แล้วเกิดอะไรขึ้น?

ฉันคิดว่านี่อาจเผยให้เห็นหนึ่งในจุดอ่อนที่ใหญ่ที่สุดในระบบรหัสผ่านใหม่ เพราะรหัสผ่านของคุณเชื่อมโยงกับอุปกรณ์ทางกายภาพที่เก็บกุญแจเข้ารหัสส่วนตัวในเครื่อง หากอุปกรณ์นั้นสูญหายหรือเสียด้วยเหตุผลใดก็ตาม และคุณไม่มีสำรองข้อมูลที่ซิงค์กับคลาวด์ คุณจะเจอปัญหาใหญ่แน่นอน แน่นอนว่าคุณสามารถมีหลายอุปกรณ์ที่มีรหัสผ่านได้ แต่คุณยังคงต้องมีระบบสำรองข้อมูล เพื่อให้คนเข้าถึงสิ่งต่างๆ ได้อย่างปลอดภัยหากวิธีการยืนยันตัวตนหลักล้มเหลว

อย่างไรก็ตาม หากคุณทำบางสิ่งให้เป็นแบบต้องเลือกเข้าร่วม ผู้คนส่วนใหญ่จะเลือกเส้นทางที่ต้านทานน้อยที่สุดและเพียงแค่ยึดกับระบบที่พวกเขารู้อยู่แล้ว

นอกจากนี้ หากระบบรหัสผ่านแบบดั้งเดิมยังคงอยู่เป็นระบบสำรองสำหรับคีย์ผ่าน คีย์ผ่านจะทำให้ทุกอย่างปลอดภัยขึ้นจริงหรือ? ระบบรหัสผ่านยังคงอยู่เป็นช่องทางโจมตี เช่นเดียวกับที่เป็นมาตลอด สิ่งเดียวที่คีย์ผ่านทำได้คือทำให้สะดวกขึ้นเล็กน้อย แต่ฉันก็ใช้ลายนิ้วมือของฉันเพื่อยืนยันการกรอกรหัสผ่านอัตโนมัติอยู่แล้ว ดังนั้นคีย์ผ่านจะมีความแตกต่างในทางปฏิบัติจริงหรือ?

แรงเสียดทานในโลกความจริงกำลังชะลอโมเมนตัม

ผู้คนแค่ต้องการทำต่อไป

ประสบการณ์ประจำวันของฉันกับพาสคีย์แสดงให้เห็นบางสิ่งที่แย่กว่านั้นบ่อยครั้ง พาสคีย์มักมีความยุ่งยากมากกว่าการเพียงแค่กดรหัสเพื่อกรอกฟิลด์รหัสผ่านโดยอัตโนมัติ

การสแกนรหัส QR เพื่อใช้รหัสผ่านที่เก็บไว้บน iPhone ของฉันบางครั้งใช้เวลานานเกินไป และแม้กระทั่งเมื่อผ่านขั้นตอนทั้งหมดก็ไม่ได้รับประกันว่ารหัสผ่านจะทำงานได้อย่างถูกต้อง บ่อยครั้งเว็บไซต์จะรอจนถึงท้ายสุดเพื่อแจ้งให้ฉันทราบว่ารหัสผ่านไม่สามารถใช้ได้ ทำให้ฉันต้องกลับไปใช้รหัสผ่านพร้อม 2FA อยู่ดี

นี่เป็นหนึ่งในเหตุผลที่ผมถูกบังคับให้สร้างรหัสผ่านบนหลายอุปกรณ์ เนื่องจากโดยปกติแล้วรหัสผ่านบนอุปกรณ์จะเป็นวิธีที่เชื่อถือได้ที่สุดในการเข้าสู่ระบบ แต่ผมก็แน่นอนว่าไม่รู้สึกสบายใจที่จะปล่อยให้มีรหัสผ่านมากมายอยู่บนอุปกรณ์ต่าง ๆ

เหตุผลที่คาดเดาได้ว่าพวกเขากำลังชะลอ

เส้นทางที่มีแรงต้านน้อยที่สุด

ผมคิดว่ารหัสผ่านแบบพาสคีย์เป็นก้าวไปในทิศทางที่ถูกต้อง แต่การเปิดตัวและการดำเนินการยังค่อนข้างยุ่งเหยิงเล็กน้อย ผมอยากทิ้งรหัสผ่านเหมือนคนอื่น ๆ แต่ผมก็รู้ด้วยว่าถ้าให้คนทั่วไปมีทางเลือกในการลองสิ่งใหม่หรือทำตามสิ่งที่เป็นอยู่ พวกเขามักจะเลือกสิ่งที่คุ้นเคยและสบายใจ

หากอุตสาหกรรมความปลอดภัยไซเบอร์ต้องการให้ผู้คนใช้รหัสผ่านใหม่อย่างแพร่หลาย เว็บไซต์จำเป็นต้องทำการตลาดรหัสผ่านเหล่านี้อย่างจริงจัง และความสามารถในการทำงานร่วมกันและความง่ายในการใช้งานของรหัสผ่านเหล่านี้จำเป็นต้องได้รับความสนใจ รหัสผ่านนั้นแย่ต่อความปลอดภัยอย่างแท้จริงและมีความเสี่ยงต่อการโจมตีหลายรูปแบบ แต่ในปัจจุบันนี้ รหัสผ่านใหม่นั้นยังไม่พร้อมที่จะโน้มน้าวให้ใครใช้มัน สรุปคือ หากผู้คนไม่เข้าใจสิ่งที่จะมาแทนที่รหัสผ่าน พวกเขาก็จะยังคงพิมพ์รหัสผ่านต่อไป