คู่มือความปลอดภัย

Passkeys กับ Passwords

เปรียบเทียบ passkeys และ passwords รวมถึงความต้านทานฟิชชิ่ง การกู้คืน ความน่าเชื่อถือของอุปกรณ์ และเมื่อใดที่ยังจำเป็นต้องใช้รหัสผ่านที่แข็งแกร่ง

สรุป

Passkeys ใช้การเข้ารหัสแบบคีย์สาธารณะและสามารถลดความเสี่ยงจากฟิชชิ่งได้เนื่องจากคีย์ส่วนตัวไม่ได้ถูกพิมพ์ลงในเว็บไซต์ Passwords เป็นความลับที่ใช้ร่วมกัน: หากคุณพิมพ์ลงในหน้าที่ผิด ก็อาจถูกดักจับได้ เมื่อบริการรองรับ passkeys อย่างดี ก็สามารถเป็นวิธีการลงชื่อเข้าใช้หลักที่แข็งแกร่งกว่า

ทำไม passwords ยังคงสำคัญ

หลายบัญชียังคงมี password fallback, recovery passwords, app passwords หรืออุปกรณ์รุ่นเก่า หาก password ยังคงเชื่อมโยงกับบัญชี ควรเป็นรหัสที่ยาว สุ่ม ไม่ซ้ำใคร และป้องกันด้วย MFA หากเป็นไปได้

การกู้คืนเป็นส่วนหนึ่งของความปลอดภัย

Passkeys ขึ้นอยู่กับความปลอดภัยของอุปกรณ์ ผู้ให้บริการซิงค์ และการกู้คืนบัญชี การสูญเสียการเข้าถึงอุปกรณ์หรือพึ่งพาช่องทางการกู้คืนที่อ่อนแออาจสร้างความเสี่ยง ลงทะเบียนตัวเลือกการกู้คืนมากกว่าหนึ่งรายการเมื่อเหมาะสม และปกป้องบัญชีอีเมลที่ใช้สำหรับการกู้คืน

คำแนะนำเชิงปฏิบัติ

• ใช้ passkeys เมื่อรองรับและเข้าใจ
• รักษา password fallback ให้ไม่ซ้ำใครและแข็งแกร่ง
• ปกป้องวิธีการปลดล็อคอุปกรณ์
• ตรวจสอบการตั้งค่าอีเมลและโทรศัพท์สำหรับการกู้คืน
• เก็บรหัสกู้คืนอย่างปลอดภัย

คำแนะนำโดยละเอียด

คู่มือนี้เน้นการเปรียบเทียบ passkeys และ passwords สำหรับการลงชื่อเข้าใช้บัญชี เขียนขึ้นสำหรับผู้ที่ตัดสินใจว่าจะยังคงใช้ passwords ต่อไปหรือไม่เมื่อมี passkeys ให้เลือก ดังนั้นเป้าหมายเชิงปฏิบัติไม่ใช่การสร้างข้ออ้างด้านความปลอดภัยที่รุนแรง แต่เพื่อเลือกนิสัยการใช้รหัสผ่านที่สามารถใช้งานได้ในชีวิตประจำวัน: ฟอร์มลงชื่อเข้าใช้, ตัวจัดการรหัสผ่าน, คีย์บอร์ดมือถือ, การกู้คืนบัญชี, อุปกรณ์ที่ใช้ร่วมกัน และบริการที่มีกฎการตรวจสอบที่แปลกประหลาดเป็นครั้งคราว คำแนะนำที่ปลอดภัยจะมีประโยชน์ก็ต่อเมื่อผู้ใช้จริงสามารถปฏิบัติตามได้อย่างสม่ำเสมอ

จุดเริ่มต้นที่ปลอดภัยที่สุดคือความสุ่มบวกกับความเป็นเอกลักษณ์ ความสุ่มหมายถึงค่าที่ถูกเลือกจากพื้นที่ขนาดใหญ่โดยแหล่งสุ่มที่เหมาะสมทางการเข้ารหัส ไม่ใช่การคิดจากวันเกิด ชื่อสัตว์เลี้ยง รูปแบบคีย์บอร์ด หรือคำพูดที่ชอบ ความเป็นเอกลักษณ์หมายถึงรหัสผ่านเดียวกันไม่ได้ถูกใช้ที่อื่น รหัสผ่านที่ยาวแต่ใช้ซ้ำอาจล้มเหลวอย่างรวดเร็วหลังจากการละเมิดที่ไม่เกี่ยวข้องครั้งเดียว ในขณะที่รหัสผ่านสุ่มที่ไม่ซ้ำใครจะจำกัดความเสียหายให้กับบัญชีเดียวที่ใช้

สำหรับหัวข้อนี้ ค่าเริ่มต้นที่ใช้งานได้จริงคือ passkeys เมื่อรองรับ และรหัสผ่านที่แข็งแกร่งไม่ซ้ำใครเมื่อยังต้องใช้รหัสผ่าน คุณสามารถใช้ค่าเริ่มต้นนี้กับ คู่มือ MFA vs strong password แล้วเก็บค่าสุดท้ายในตัวจัดการรหัสผ่านที่เชื่อถือได้ PwdGen สร้างค่าในเบราว์เซอร์ด้วย Web Crypto; รหัสผ่านที่สร้างขึ้นจะไม่ถูกส่งไปยังเซิร์ฟเวอร์ PwdGen การออกแบบในเครื่องนี้ช่วยลดการเปิดเผยฝั่งเซิร์ฟเวอร์ แต่ไม่ได้ป้องกันทุกภัยคุกคาม ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย อุปกรณ์ที่ถูกบุกรุก หน้าฟิชชิ่ง หรือการจัดการคลิปบอร์ดที่ไม่ปลอดภัยยังคงสามารถเปิดเผยความลับหลังจากสร้างได้

ปัญหาที่พบบ่อยที่สุดที่ควรหลีกเลี่ยงคือวิธีการกู้คืนที่อ่อนแอ การสูญเสียอุปกรณ์ การล็อกบัญชี บริการที่ไม่รองรับ และการสมมติว่า passkeys ขจัดข้อกังวลด้านความปลอดภัยทั้งหมด ปัญหาเหล่านี้มีความสำคัญเพราะผู้โจมตีไม่ค่อยจำเป็นต้องเดารหัสผ่านทุกแบบเมื่อนิสัยของมนุษย์ทำให้มีทางลัด Credential stuffing, ฟิชชิ่ง, รายการรหัสผ่านที่รั่วไหล และการละเมิดการกู้คืนบัญชีมักเป็นจริงมากกว่าการค้นหาทางคณิตศาสตร์ล้วนๆ นั่นคือเหตุผลที่คำแนะนำที่ดีที่สุดรวมคุณภาพของรหัสผ่านเข้ากับการควบคุมระดับบัญชี เช่น MFA, passkeys, การจัดเก็บรหัสกู้คืน และการตรวจสอบการตั้งค่าอีเมลหรือโทรศัพท์สำหรับการกู้คืนเป็นประจำ

ใช้รายการตรวจสอบนี้เมื่อใช้คำแนะนำ:

• ใช้ passkeys สำหรับบัญชีหลักเมื่อสะดวก
• รักษาตัวเลือกการกู้คืนให้ปลอดภัย
• ใช้รหัสผ่านที่แข็งแกร่งสำหรับบริการที่ไม่มี passkeys
• อย่าใช้รหัสผ่าน fallback ซ้ำ

หากเว็บไซต์ปฏิเสธการตั้งค่าที่เหมาะสม อย่าบังคับรหัสผ่านให้เป็นรูปแบบที่อ่อนแอกว่าด้วยตนเอง ปรับเปลี่ยนทีละตัวแปร หากปฏิเสธสัญลักษณ์ ให้เปิดใช้อักษรตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก และตัวเลข และเพิ่มความยาว หากความยาวสูงสุดต่ำ ให้ใช้ความยาวสูงสุดที่ยอมรับและตรวจสอบให้แน่ใจว่าค่าไม่ซ้ำ หากต้องอ่านออกเสียง พิมพ์ หรือพิมพ์บนหน้าจอทีวีหรือเราเตอร์ ให้พิจารณาไม่รวมอักขระที่สับสนและเพิ่มความยาวเพื่อชดเชยตัวอักษรที่เล็กลง

สุดท้าย จำขอบเขตของคำแนะนำรหัสผ่าน รหัสผ่านที่แข็งแกร่งคือชั้นป้องกันหนึ่งชั้น ไม่ใช่การรับประกัน ไม่สามารถทำให้หน้าฟิชชิ่งปลอดภัย แก้ไขมัลแวร์ หรือชดเชยบริการที่จัดเก็บข้อมูลประจำตัวอย่างไม่ดี นิสัยที่มีประโยชน์คือ น่าเบื่อแต่ทนทาน: สร้างค่าที่ไม่ซ้ำใคร จัดเก็บอย่างปลอดภัย ป้องกันเส้นทางการกู้คืน และเปลี่ยนใหม่อย่างรวดเร็วหากสงสัยว่าถูกเปิดเผย

ขั้นตอนต่อไปที่ปลอดภัย

หลังจากอ่านคู่มือนี้ ให้ตรวจสอบบัญชีเล็กๆ น้อยๆ แทนที่จะพยายามแก้ไขทุกอย่างพร้อมกัน เลือกบัญชีที่จะสร้างปัญหามากที่สุดหากถูกยึดครอง ยืนยันว่ารหัสผ่านไม่ซ้ำใคร และตรวจสอบอีเมลกู้คืน โทรศัพท์กู้คืน วิธีการ MFA และการจัดเก็บรหัสสำรอง หากส่วนใดของห่วงโซ่นั้นอ่อนแอ ให้ปรับปรุงส่วนนั้นก่อนย้ายไปยังบัญชีที่มีความเสี่ยงต่ำกว่า ลำดับนี้ทำให้งานจัดการได้และปกป้องบัญชีที่ผู้โจมตีมักใช้เป็นบันได สำหรับ passkeys vs passwords ผลลัพธ์ที่ดีที่สุดคือนิสัยที่ทำซ้ำได้: สร้างในเครื่อง จัดเก็บอย่างระมัดระวัง และหลีกเลี่ยงการใช้ซ้ำ

คำถามที่พบบ่อย

Passkeys ดีกว่า passwords หรือไม่?

Passkeys สามารถให้ความต้านทานฟิชชิ่งที่แข็งแกร่งกว่า แต่การกู้คืนบัญชี การเข้าถึงอุปกรณ์ และการรองรับแพลตฟอร์มยังคงมีความสำคัญ

Passkeys ทำให้ passwords หมดไปโดยสมบูรณ์หรือไม่?

ไม่ทุกที่ หลายบริการยังคงใช้ passwords เป็น fallback, recovery หรือข้อมูลประจำตัวเพื่อความเข้ากันได้

ฉันควรใช้รหัสผ่านที่แข็งแกร่งเมื่อมี passkeys หรือไม่?

หากบัญชียังมี password fallback ให้รักษารหัสผ่านนั้นให้ไม่ซ้ำใครและแข็งแกร่ง