การซิงก์รหัสผ่านกับ Google ทำลายจุดประสงค์ทั้งหมดของรหัสผ่าน

ไม่ใช่เรื่องเกินจริงที่จะกล่าวว่า หากคุณเป็นหนึ่งในหกพันล้านคนที่ใช้อินเทอร์เน็ต มันอาจเป็นหนึ่งในเทคโนโลยีที่สำคัญที่สุดในชีวิตของคุณ แทบทุกสิ่งที่คุณทำทุกวันขึ้นอยู่กับอินเทอร์เน็ตในบางรูปแบบ แต่ก็หมายความว่าคุณมีข้อมูลที่ละเอียดอ่อนไว้บนเซิร์ฟเวอร์ที่อยู่ไกลและอยู่นอกการควบคุมของคุณ

การแข่งขันอาวุธระหว่างแพลตฟอร์มและแฮกเกอร์เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนนี้ไม่เคยหยุดหย่อน และมาตรการล่าสุดในการป้องกันไม่ให้บัญชีอีเมลหรือบัญชีธนาคารของคุณถูกแฮกคือการใช้รหัสผ่านแบบกุญแจ อย่างไรก็ตาม คุณควรซิงค์รหัสกุญแจของคุณกับ Google (หรือบริการคลาวด์ใด ๆ) เพื่อให้ใช้งานสะดวกขึ้นหรือไม่? ผมคิดว่าไม่ควร แต่ลองมาพูดถึงความเสี่ยงกัน

Passkeys สัญญาถึงอนาคตที่ปราศจากรหัสผ่าน—แต่ต้องแลกมาด้วยอะไร?

ความสะดวกสบายหรือความปลอดภัย?

พาสคีย์คืออะไร? เผื่อคุณยังไม่ทราบ พาสคีย์คือกุญแจเข้ารหัสที่อยู่ในอุปกรณ์เฉพาะ กล่าวคือ มันก็เหมือนกับการมีบัตรกุญแจหรือกุญแจรักษาความปลอดภัยแบบกายภาพเช่น YubiKey แต่ตอนนี้มันสามารถเป็นสมาร์ทโฟน แล็ปท็อป หรืออุปกรณ์ที่เข้ากันได้อื่น ๆ ของคุณได้

วิธีการตรวจสอบตัวตนท้องถิ่นที่คุณใช้ เช่น รหัสหรือการสแกนลายนิ้วมือ ตอนนี้เป็นวิธีในการเข้าถึงรหัสผ่านเช่นกัน ในทางทฤษฎี นี่หมายความว่าเฉพาะคนที่สามารถปลดล็อกอุปกรณ์ของคุณได้เท่านั้นที่สามารถใช้รหัสผ่านได้

การซิงค์รหัสผ่านของคุณจะสร้างจุดล้มเหลวเดียว

วางไข่ทั้งหมดไว้ในตะกร้าใบเดียว

ปัญหาคือรหัสผ่านแบบ Passkey สามารถสร้างความไม่สะดวกได้อย่างมาก Passkey จะอยู่บนอุปกรณ์ ดังนั้นหากอุปกรณ์ของคุณหาย เสีย หรือไม่ได้อยู่กับคุณ คุณก็ไม่สามารถใช้ Passkey ได้ จากนั้นก็มี Google และบริการจัดการรหัสผ่านอื่นๆ ที่คล้ายกันเสนอทางเลือกในการซิงก์ Passkey ให้คุณ เพื่อที่คุณจะสามารถใช้ Passkey ของคุณบนอุปกรณ์ใดก็ได้ที่เข้าสู่ระบบด้วยบัญชีของคุณ

สะดวกไหม? แน่นอน แต่ก็หมายความว่าบัญชี Google ของคุณจะกลายเป็นกุญแจหลักสำหรับทุกบริการที่ได้รับการปกป้องด้วยรหัสผ่านเหล่านั้น

นี่ท้ายที่สุดแล้วก็ไม่ต่างจากการเก็บรหัสผ่านของคุณกับบริการออนไลน์ สมมติว่าทั้งสองถูกเข้ารหัส ผู้โจมตียังคงต้องมุ่งเป้าไปที่บริการโดยใช้วิธีการแบบดั้งเดิม เช่น การฟิชชิ่งหรือการใช้ประโยชน์จากจุดอ่อนบางอย่างในกระบวนการกู้คืนบัญชี แทนที่จะกระจายความเสี่ยงไปยังรหัสผ่านหลายๆ ชุด คุณกำลังรวมมันไว้ในที่เดียว

ความสะดวกของคลาวด์ทำให้ความปลอดภัยในท้องถิ่อ่อนลง

ทำไมต้องมอบการควบคุม?

เหตุผลทั้งหมดที่ทำให้รหัสผ่านแบบ Passkey แข็งแรงกว่ารหัสผ่านทั่วไปคือกุญแจจะมีอยู่เฉพาะบนอุปกรณ์ของคุณเท่านั้น หากมันไม่เคยถูกส่งไปที่ใด ๆ ก็จะไม่สามารถถูกแฮกจากเซิร์ฟเวอร์ได้ หากใครบางคนขโมยโทรศัพท์ของคุณ การดึงเอา Passkey ออกมานั้นแทบเป็นไปไม่ได้ และคุณก็จะมีวิธีเพียงพอที่จะทำให้มันเป็นโมฆะในกรณีที่เป็นไปได้น้อยมากที่โทรศัพท์ของคุณจะถูกเจาะ

การซิงค์บนคลาวด์เปลี่ยนสมการนั้น ในขณะที่บริษัทอย่าง Google เข้ารหัส passkey ที่ซิงค์ แต่ก็ยังเป็นส่วนหนึ่งของระบบที่กว้างขึ้นซึ่งรวมถึงการตรวจสอบบัญชี ความน่าเชื่อถือของอุปกรณ์ และโครงสร้างพื้นฐานฝั่งเซิร์ฟเวอร์ มันเป็นระบบที่ซับซ้อนกว่าการใช้ passkey ธรรมดามาก และยิ่งคุณทำให้ระบบซับซ้อนมากเท่าไหร่ โอกาสในการถูกเจาะระบบก็ยิ่งมากขึ้นเท่านั้น

นี่เป็นการย้ายความน่าเชื่อถือจากอุปกรณ์ของคุณและความปลอดภัยของฮาร์ดแวร์ไปยังความปลอดภัยของ Google เหมือนกับรหัสผ่าน และค่อนข้างตรงข้ามกับจุดประสงค์ของกุญแจผ่านในตอนแรก

การกู้คืนบัญชีกลายเป็นจุดอ่อนที่สุด

เก็บผลไม้ที่ห้อยต่ำ

แฮกเกอร์มักมุ่งไปที่จุดอ่อนที่สุดในระบบ ซึ่งเป็นเหตุผลว่าทำไมการฟิชชิงและรูปแบบอื่น ๆ ของวิศวกรรมสังคมจึงเป็นที่นิยม ทำไมต้องพยายามเจาะเข้าไปถ้าคุณสามารถหลอกคนให้ส่งกุญแจมาให้ได้?

ในความเห็นของฉัน ความอ่อนแอนั้นมีแนวโน้มมากที่สุดที่จะเป็นกระบวนการกู้คืนบัญชี ผู้คนทำกุญแจผ่านหาย และพวกเขาลืมรหัสผ่าน ดังนั้นบริการออนไลน์ทุกอย่างจึงจำเป็นต้องมีวิธีให้คุณกลับเข้าสู่บัญชีของคุณหากเกิดเหตุการณ์นั้น

การรีเซ็ตรหัสผ่านผ่านอีเมล การยืนยันตัวตนผ่าน SMS รหัสสำรอง และกระบวนการสนับสนุนลูกค้าทั้งหมดสามารถกลายเป็นจุดเข้าใช้งานได้ หากใครสามารถเข้าควบคุมบัญชี Google ของคุณโดยใช้วิธีการกู้คืน พวกเขาก็จะสามารถข้ามการใช้รหัสผ่านแบบ passkeys ของคุณได้อย่างสมบูรณ์

รหัสผ่านยังคงเป็นอนาคต—แค่ไม่ใช่เวอร์ชันนี้ของมัน

ความเจ็บปวดเล็กน้อยเพื่อความได้มาก

รหัสผ่านแบบ Passkeys มีปัญหามาจนถึงตอนนี้ แต่ไม่ได้หมายความว่าเราควรละทิ้งพวกมัน จริง ๆ แล้วตรงกันข้ามเลย ไม่ใช่แนวคิดหรือเทคโนโลยีของรหัสผ่านแบบ Passkeys ที่เป็นปัญหา แต่เป็น การนำไปใช้งาน ที่ต้องได้รับการพิจารณาใหม่

อย่างไรก็ตาม คุณไม่จำเป็นต้องรอให้ผู้ให้บริการของคุณคิดหาวิธีเอง คุณสามารถใช้รหัสผ่านแบบผ่านคีย์ได้อย่างปลอดภัยในตอนนี้ ลบพวกมันออกจากบัญชีที่ซิงค์กับคลาวด์ของคุณ หรืออย่าใช้ตั้งแต่แรก เก็บรหัสผ่านแบบผ่านคีย์ที่ไม่ซ้ำกันในทุกอุปกรณ์ที่คุณจำเป็นต้องเข้าถึงบัญชีของคุณ ไม่มีอะไรที่หยุดคุณจากการมีรหัสผ่านแบบผ่านคีย์หลายรหัส หนึ่งรหัสต่อแต่ละอุปกรณ์ เพื่อปลดล็อกสิ่งต่าง ๆ

ใช่ มันสะดวกน้อยกว่า อย่างไรก็ตาม ในกรณีนี้ฉันอยากจะบอกว่าระดับความไม่สะดวกนั้นน้อยเมื่อเทียบกับระดับความปลอดภัยที่คุณได้รับที่เพิ่มขึ้น!