รหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ของคุณไม่ได้ปลอดภัยอย่างที่คุณคิดจริง ๆ

เว็บเบราว์เซอร์ได้กลายเป็นตัวจัดการรหัสผ่านเริ่มต้นสำหรับคนส่วนใหญ่ ให้ความเป็นธรรม พวกมันได้รับความไว้วางใจในหลายกรณี; Chrome, Firefox, Opera, Brave และเบราว์เซอร์ยอดนิยมอื่น ๆ ทั้งหมดได้ทำความก้าวหน้าอย่างมากในด้านความปลอดภัยของรหัสผ่านบนเบราว์เซอร์

แต่ยังคงมีช่องว่างขนาดใหญ่ระหว่าง "ปลอดภัยมากกว่าที่เคยเป็น" กับ "ปลอดภัยเพียงพอที่จะพึ่งพาได้อย่างสมบูรณ์" การบันทึกรหัสผ่านในเบราว์เซอร์ช่วยปกป้องคุณจากภัยคุกคามบางอย่างได้ดีมาก แต่ภัยคุกคามอื่น ๆ ไม่ปลอดภัยต่อมันเท่าไรนัก

โปรแกรมจัดการรหัสผ่านในเบราว์เซอร์สะดวกมาก

นั่นเป็นส่วนหนึ่งของปัญหา

เหตุผลที่ใหญ่ที่สุดที่ใครๆ ใช้ตัวจัดการรหัสผ่านในเบราว์เซอร์คือความสะดวกสบาย ผมเข้าใจ; ผมก็ใช้มาตลอดหลายปี ตัวจัดการรหัสผ่านที่ติดตั้งมากับ Chrome เป็นเหมือนบ้านของผม แม้ว่าผมจะรู้ดีเกี่ยวกับความเสี่ยงและปัญหาของมันทั้งหมดก็ตาม

การลดความยุ่งยากใด ๆ ในการรักษารหัสผ่านหมายความว่าคนส่วนใหญ่จะเลือกเส้นทางที่ง่ายที่สุดซึ่งเป็นเรื่องที่เข้าใจได้ เมื่อเวลาผ่านไป คุณจะมีการเข้าสู่ระบบหลายร้อยรายการสำหรับเว็บไซต์และบริการต่าง ๆ ทั่วเว็บ และบัญชี Google ของคุณก็จะติดตามคุณไปตลอด มักปรากฏขึ้นเมื่อคุณต้องการมัน

ยิ่งฉันเขียนเกี่ยวกับเรื่องนี้มากเท่าไหร่ ก็ยิ่งชัดเจนว่าทำไมหลายคนถึงมักใช้ตัวจัดการรหัสผ่านในเบราว์เซอร์ ฉันไม่ได้พยายามขายหัวข้อของบทความนี้เลย — แต่มีเรื่องอื่น ๆ มากกว่านี้ ฉันขอยืนยัน

ปัญหาที่ใหญ่ที่สุดไม่ใช่กับตัวจัดการรหัสผ่านของเบราว์เซอร์เองเสมอไป โดยส่วนใหญ่แล้ว พวกมันมีความปลอดภัย ใช้การเข้าสู่ระบบของอุปกรณ์ของคุณเป็นวิธีการป้องกัน และจัดการรหัสผ่านของเบราว์เซอร์หลายตัวมีการเข้ารหัสที่ปลอดภัยและเก็บไว้ในเครื่อง

เบราว์เซอร์ของคุณสันนิษฐานว่าคอมพิวเตอร์ของคุณปลอดภัย

คุณรู้ไหมว่าคนเขาพูดกันเกี่ยวกับการสมมติอะไรบ้าง

ปัญหาที่ใหญ่ที่สุดของตัวจัดการรหัสผ่านในเบราว์เซอร์คือพวกมันสมมติว่าทุกสิ่งรอบตัวคุณปลอดภัย พวกมันวางความไว้วางใจอย่างมากในบัญชีระบบปฏิบัติการของคุณว่าปลอดภัย โดยใช้สิ่งนั้นเป็นวิธีหลักในการรักษาความปลอดภัยบัญชีของคุณ

เบราว์เซอร์ส่วนใหญ่จะแสดงรหัสผ่านที่บันทึกไว้หลังจากตรวจสอบการยืนยันตัวตนของระบบอย่างรวดเร็ว เช่น PIN ของ Windows ของคุณ หรือ Windows Hello รหัสผ่าน macOS ของคุณ ลายนิ้วมือ เป็นต้น นี่ไม่ใช่ระดับความคาดหวังที่ไม่สมเหตุสมผล

แต่ปัญหาคือว่า วิธีที่ไม่ใช้ชีวมาตรมีความง่ายต่อการถูกเจาะในบางกรณี โดยเฉพาะถ้าคุณใช้รหัสผ่านที่อ่อนแอและง่ายต่อการจำเพื่อทำให้การเข้าสู่ระบบง่ายขึ้น ชีวมาตรยากที่จะปลอมแปลงมากกว่า แม้ว่าเราเคยเห็นคนที่ใช้หน้ากากปลดล็อกอุปกรณ์ (หรือเด็ก ๆ ใช้หน้าของ Norman Reedus เพื่อหลีกเลี่ยงการตรวจสอบอายุออนไลน์)

ยังมีช่วงเวลาที่หลงลืมด้วย ซึ่งฉันมั่นใจว่าทุกคนก็เคยเป็นเป็นครั้งคราว โดยปกติฉันจะจำได้ดีมากที่จะกด CTRL + L เมื่อเดินออกจากแล็ปท็อปในร้านกาแฟ แต่เราทุกคนก็เป็นมนุษย์ และมนุษย์ก็ทำสิ่งโง่ ๆ ได้ ฉันจำได้ว่าทิ้งแล็ปท็อปไว้ไม่ล็อกในงานเทคโนโลยีใหญ่ ๆ ในห้องสื่อ ฉันคาดว่าคนส่วนใหญ่ที่นั่นน่าจะมีความระมัดระวังและคงไม่กระโดดไปขโมยข้อมูลจากแล็ปท็อปของฉันทันที แต่คุณไม่อาจรู้ได้ และนั่นคือส่วนหนึ่งของปัญหาเกี่ยวกับตัวจัดการรหัสผ่านของเบราว์เซอร์

มัลแวร์ไม่สนใจว่ารหัสผ่านของคุณจะแข็งแกร่งแค่ไหน

ความซับซ้อนเป็นปัญหาสำหรับมนุษย์ ไม่ใช่คอมพิวเตอร์

คำแนะนำด้านความปลอดภัยจำนวนมากมุ่งเน้นไปที่การสร้างรหัสผ่านที่แข็งแรงขึ้น และเพื่อความชัดเจน นั่นเป็นเรื่องสำคัญอย่างยิ่ง การใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบัญชียังคงเป็นหนึ่งในสิ่งที่ดีที่สุดที่คุณสามารถทำได้เพื่อปรับปรุงความปลอดภัยของคุณ โดยเฉพาะเมื่อเกิดการละเมิดข้อมูลอยู่แทบจะตลอดเวลา ตัวจัดการรหัสผ่านในเบราว์เซอร์ช่วยได้มากที่นี่เพราะมันทำให้คุณไม่ต้องจำรหัสผ่านหลายสิบหรือหลายร้อยตัวเอง

ปัญหาคือผู้โจมตีไม่จำเป็นต้องใช้รหัสผ่านจริงของคุณอีกต่อไปแล้ว มัลแวร์ขโมยข้อมูลกลายเป็นหนึ่งในภัยคุกคามที่ใหญ่ที่สุดที่ผู้ใช้เบราว์เซอร์ต้องเผชิญ เนื่องจากเบราว์เซอร์เก็บข้อมูลที่เป็นประโยชน์จำนวนมากเกินกว่าข้อมูลประจำตัวเพียงอย่างเดียว คุกกี้การยืนยันตัวตน ข้อมูลการชำระเงิน เซสชันการท่องเว็บ และข้อมูลเข้าสู่ระบบที่บันทึกไว้สามารถกลายเป็นเป้าหมายได้ทั้งนั้น ขึ้นอยู่กับมัลแวร์ที่เกี่ยวข้อง

การติดตามคลิปบอร์ดเป็นอีกมุมมองหนึ่ง หากคุณกำลังคัดลอกรหัสผ่านจากที่ใดก็ตาม — แม้แต่ตัวจัดการรหัสผ่านเฉพาะ — มัลแวร์ที่อยู่บนระบบของคุณสามารถดักจับรหัสผ่านเหล่านั้นก่อนที่มันจะถึงช่องเข้าสู่ระบบ การละเมิดส่วนขยายของเบราว์เซอร์ก็เป็นสิ่งที่มักถูกประเมินค่าต่ำเช่นกัน; ส่วนขยายที่เป็นอันตรายหรือถูกบุกรุกมีสิทธิ์เข้าถึงอย่างมากต่อสิ่งที่เบราว์เซอร์ของคุณเห็นและทำ

บัญชีเบราว์เซอร์ก็กลายเป็นเป้าหมายที่มีค่ามากขึ้นเรื่อย ๆ เพราะบ่อยครั้งพวกมันสามารถเปิดเผยข้อมูลได้มากกว่าประวัติการท่องเว็บเพียงอย่างเดียว บัญชีเบราว์เซอร์ที่ถูกบุกรุกอาจเปิดเผยรหัสผ่านที่บันทึก ข้อมูลการชำระเงิน รายละเอียดการกรอกอัตโนมัติ แท็บที่ซิงค์ และข้อมูลอื่น ๆ ขึ้นอยู่กับสิ่งที่คุณเลือกที่จะเก็บ เบราว์เซอร์สมัยใหม่มีการป้องกันด้านความปลอดภัยเกี่ยวกับการซิงค์ และคุณสมบัติเช่นการยืนยันตัวตนหลายขั้นตอนช่วยได้อย่างมาก แต่พวกมันไม่ใช่การแก้ปัญหาอัตโนมัติสำหรับทุกสถานการณ์

การซิงค์เบราว์เซอร์อาจทำให้เกิดปัญหาด้านความปลอดภัยโดยไม่ตั้งใจ

คุณตรวจสอบบ่อยแค่ไหนว่าคุณเข้าสู่ระบบอยู่ที่ไหน

ส่วนหนึ่งที่ทำให้ตัวจัดการรหัสผ่านในเบราว์เซอร์มีประโยชน์มากคือมันช่วยลดความยุ่งยากในชีวิตประจำวัน ผมสลับไปมาระหว่างอุปกรณ์ต่างๆ ตลอดทั้งวัน และการที่รหัสผ่าน แท็บ ประวัติการท่องเว็บ และการเข้าสู่ระบบติดตามผมโดยอัตโนมัติช่วยประหยัดเวลามหาศาล นี่เป็นหนึ่งในเหตุผลที่ทำให้ Chrome ยังคงเป็นเบราว์เซอร์เริ่มต้นของผมมานานหลายปี แม้จะมีปัญหาบางอย่างที่ผมเคยเขียนถึงในที่อื่น

ข้อเสียคือว่าคลังรหัสผ่านของคุณตอนนี้กระจายตัวอยู่บนอุปกรณ์ทุกเครื่องที่บัญชีเบราว์เซอร์ของคุณเปิดใช้งานอยู่ คนอื่นที่ใช้เครื่องนั้นอาจเข้าถึงรหัสผ่านทั้งหมดของคุณโดยไม่ตั้งใจ แม้ว่าคุณจะให้ความสำคัญด้านความปลอดภัยบนอุปกรณ์หลักของคุณอย่างตั้งใจ

โปรแกรมจัดการรหัสผ่านเฉพาะทางนำชั้นความปลอดภัยที่คุณต้องการจริงๆ

ความปลอดภัยเหมือนกับเค้กอร่อย

ตอนนี้ นี่ไม่ได้หมายความว่า "โปรแกรมจัดการรหัสผ่านในเบราว์เซอร์ไม่ดี ส่วนโปรแกรมจัดการรหัสผ่านเฉพาะดี" ฉันกระตือรือร้นที่จะยอมรับว่าการย้ายผู้คนจากการใช้รหัสผ่านเดียวกันในหลายบัญชีไปใช้โปรแกรมจัดการรหัสผ่านในเบราว์เซอร์เป็นการปรับปรุงครั้งใหญ่ จริงๆ นะ: การใช้โปรแกรมจัดการรหัสผ่านในเบราว์เซอร์ย่อมดีกว่าไม่ใช้เลย

ความแตกต่างระหว่างเบราว์เซอร์กับโปรแกรมจัดการรหัสผ่านเฉพาะมีความละเอียดอ่อนมากขึ้นเล็กน้อย และนั่นก็เป็นสิ่งที่สร้างความแตกต่างในที่สุด

สิ่งที่สำคัญที่สุดคือสถาปัตยกรรมของคลังข้อมูล โปรแกรมจัดการรหัสผ่านเฉพาะทาง เช่น Bitwarden, 1Password และ Proton Pass ใช้การเข้ารหัสแบบ zero-knowledge ซึ่งหมายความว่าคลังข้อมูลของคุณจะถูกเข้ารหัสบนอุปกรณ์ของคุณก่อนที่จะส่งไปยังเซิร์ฟเวอร์ของพวกเขา แม้แต่ผู้ให้บริการก็ไม่สามารถเห็นรหัสผ่านของคุณได้ การบันทึกรหัสผ่านบนเบราว์เซอร์เชื่อมคลังข้อมูลของคุณโดยตรงกับบัญชี Google, Microsoft, หรือ Apple ของคุณ ซึ่งสะดวก แต่หมายความว่ารหัสผ่านของคุณมีความปลอดภัยเท่ากับบัญชีนั้น

การตรวจสอบการละเมิดเป็นอีกหนึ่งด้านที่ผู้จัดการรหัสผ่านเฉพาะทางมักได้เปรียบมากที่สุด ส่วนใหญ่จะเตือนคุณอย่างแข็งขันเมื่อเว็บไซต์ที่คุณมีข้อมูลรับรองปรากฏในเหตุการณ์ละเมิดข้อมูลที่ทราบ ทำให้คุณต้องเปลี่ยนรหัสผ่านที่ได้รับผลกระทบก่อนที่ใครบางคนจะใช้มันกับคุณ เบราว์เซอร์มีเวอร์ชันพื้นฐานของสิ่งนี้ แต่ผู้จัดการรหัสผ่านเฉพาะทางมักจะทำให้เห็นได้ชัดเจนมากขึ้นและดำเนินการเร็วกว่า

ตัวเลือกที่ปลอดภัยที่สุดไม่ใช่แค่หยุดใช้ตัวจัดการรหัสผ่านของเบราว์เซอร์

ถ้าคุณจำเป็นต้องใช้ตัวจัดการรหัสผ่านของเบราว์เซอร์และไม่อยากเปลี่ยนไปใช้ตัวจัดการรหัสผ่านเฉพาะทางที่ดีที่สุด เช่น Bitwarden อย่างน้อยที่สุด ให้ยกระดับความปลอดภัยของคุณ

• เปิดใช้งาน MFA ในทุกบัญชีที่รองรับ
• ล็อกอุปกรณ์ของคุณอย่างถูกต้อง — ใช้รหัสผ่านเข้าระบบที่แข็งแรง, ล็อกอัตโนมัติเมื่ออยู่เฉย
• ตรวจสอบและลบส่วนขยายของเบราว์เซอร์ที่คุณไม่ได้ใช้งานอย่างสม่ำเสมอ
• รักษาเบราว์เซอร์ของคุณให้ทันสมัย
• ตรวจสอบว่าอุปกรณ์ใดบ้างที่บัญชีเบราว์เซอร์ของคุณซิงค์อยู่
• ใช้รหัสผ่านกุญแจทุกที่ที่มี — พวกมันข้ามรหัสผ่านโดยสิ้นเชิง

อย่างที่ฉันได้บอกไปแล้ว โปรแกรมจัดการรหัสผ่านในเบราว์เซอร์ทำงานได้ดีพอที่คุณไม่ควรรู้สึกแย่ในการใช้งานมัน เพียงแต่ว่าคุณสามารถปลอดภัยยิ่งขึ้นมากด้วยโปรแกรมจัดการรหัสผ่านเฉพาะ และมันยังช่วยลบความรู้สึกว่า "ปลอดภัยพอแล้ว" ซึ่งเป็นจุดเริ่มต้นของปัญหา