Passwordless Authentication คืออะไร? วิธีลดความเสี่ยงรหัสผ่านรั่วสำหรับ SME ไทย

Passwordless Authentication คือระบบยืนยันตัวตนที่ให้ผู้ใช้ล็อกอินด้วยสิ่งที่ “เป็น” หรือ “มี” เช่น ลายนิ้วมือ ใบหน้า หรือคีย์เข้ารหัสในอุปกรณ์ แทนการพิมพ์รหัสผ่าน สำหรับ SME ไทย ปัญหาไม่ใช่แค่พนักงานจำรหัสไม่ไหว แต่คือรหัสผ่านเป็นช่องทางที่แฮกเกอร์ใช้ฟิชชิง ใช้ซิมสว็อป และใช้ข้อมูลรั่วจากเว็บอื่นบุกเข้าระบบได้ง่ายที่สุด การเปลี่ยนไปใช้ passkey หรือ biometric จึงช่วยลดความเสี่ยงได้ตั้งแต่ชั้นล็อกอินโดยไม่ต้องเทรนพนักงานให้จำรหัสที่ซับซ้อน และทำให้ลูกค้าเข้าเว็บหรือแอปได้สะดวกขึ้น

Passwordless Authentication คืออะไร

Passwordless Authentication คือแนวคิดที่ผู้ใช้ไม่ต้องป้อนรหัสผ่านเพื่อพิสูจน์ตัวตนอีกต่อไป แต่ใช้ปัจจัยอย่างใดอย่างหนึ่งที่ปลอดภัยกว่า เช่น สแกนใบหน้า ลายนิ้วมือ หรือการยืนยันบนอุปกรณ์เคลื่อนที่ ระบบจะตรวจสอบตัวตนโดยอาศัยคีย์เข้ารหัสแบบสองชุด ได้แก่ private key ที่เก็บอยู่เฉพาะในอุปกรณ์ของผู้ใช้ และ public key ที่เก็บอยู่บนเซิร์ฟเวอร์

เมื่อผู้ใช้ล็อกอิน ระบบจะส่ง challenge หรือข้อมูลสุ่มไปยังอุปกรณ์ อุปกรณ์จะให้ผู้ใช้ยืนยันตัวตนด้วย biometric หรือ PIN ก่อน แล้วจึงเซ็น challenge ด้วย private key จากนั้นส่งกลับไปให้ระบบตรวจสอบด้วย public key กระบวนการนี้ทำให้รหัสผ่าน ความลับ หรือ OTP ไม่ต้องเดินทางผ่านเครือข่ายเลย

Passkey คือชื่อที่ผู้ใช้งานทั่วไปเรียกใช้งานจริงของมาตรฐาน FIDO2/WebAuthn โดย Google, Apple และ Microsoft ผลักดันให้เป็นมาตรฐานเดียวกัน เว็บไซต์และแอปพลิเคชันที่รองรับ passkey จะแสดงปุ่ม “ใช้ Passkey” หรือ “สแกน QR เพื่อยืนยันตัวตน” ให้ผู้ใช้เลือก แทนการกรอกอีเมลและรหัสผ่าน สำหรับ SME แล้ว สิ่งนี้คือโอกาสที่จะลดภาระการจัดการรหัสผ่านพนักงานหลายสิบคน และลดความเสี่ยงที่ไม่ได้เกิดจากความประมาทของพนักงานเพียงคนเดียว

ทำไมรหัสผ่านถึงเป็นความเสี่ยงอันดับต้นๆ ของ SME ไทย

SME ไทยส่วนใหญ่ยังเปิดใช้งานอีเมล ระบบบัญชี และ ERP ด้วยรหัสผ่านเพียงอย่างเดียว บางแห่งเพิ่ม OTP ผ่าน SMS แต่ก็ยังถูกโจมตีได้หลายวิธี

ฟิชชิง คือการส่งอีเมลหรือข้อความปลอมที่แอบอ้างเป็นธนาคาร กรมสรรพากร หรือผู้ให้บริการคลาวด์ เมื่อพนักงานเผลอกรอกรหัสผ่านบนหน้าเว็บปลอม แฮกเกอร์ก็จะได้ข้อมูลทันที แม้บริษัทจะติดตั้งระบบป้องกันอีเมลไว้แล้วก็ตาม เพราะการหลอกให้คนกรอกรหัสผ่านไม่ใช่การเจาะระบบ แต่คือการหลอกลวงทางสังคม

ซิมสว็อป คือการที่แฮกเกอร์โทรศัพท์ไปหลอกศูนย์บริการมือถือให้ย้ายเบอร์ไปใส่ซิมการ์ดใหม่ โดยอ้างว่าโทรศัพท์หายหรือเปลี่ยนเครื่อง เมื่อเบอร์จริงถูกยึด OTP ที่ส่งมาทาง SMS ก็จะตกไปอยู่ที่แฮกเกอร์ จากนั้นแฮกเกอร์สามารถรีเซ็ตรหัสผ่านอีเมลธุรกิจ และเข้าไปอ่านใบแจ้งหนี้หรือเปลี่ยนเลขบัญชีเพื่อโอนเงินได้

รหัสผ่านซ้ำ คือปัญหาที่พบมากที่สุดในองค์กรขนาดเล็ก พนักงานคนหนึ่งอาจใช้รหัสผ่านเดียวกันกับ Facebook, เว็บสตรีมมิ่ง และอีเมลบริษัท เมื่อเว็บไหนเว็บหนึ่งถูกแฮก รหัสผ่านชุดเดียวกันจะถูกนำไปสุ่มลองกับระบบอื่นโดยอัตโนมัติ วิธีนี้เรียกว่า credential stuffing ซึ่งไม่ต้องใช้ทักษะสูงและทำงานได้ทั้งวัน SME ที่ไม่มีระบบตรวจจับการโจมตีจึงเสี่ยงกว่าแบงก์ใหญ่หลายเท่า

แม้แต่การตั้งรหัสผ่านให้ซับซ้อนก็ยังไม่ปลอดภัย เพราะพนักงานมักเขียนรหัสผ่านใส่กระดาษ แปะใต้คีย์บอร์ด หรือแชร์กันในไลน์กลุ่ม ปัญหาเหล่านี้ไม่ใช่เรื่องเทคโนโลยี แต่เป็นเรื่องโครงสร้างการยืนยันตัวตนที่ผิดวิธี การใช้ passkey ตัดปัญหาที่ต้นทาง เพราะไม่มีรหัสผ่านให้ถูกหลอก ไม่มี OTP ให้ดัก และไม่มี secret ให้นำไปใช้ซ้ำ

Passkey กับ FIDO2 ทำงานอย่างไรและปลอดภัยกว่ารหัสผ่าน + OTP ตรงไหน

FIDO2 คือมาตรฐานการยืนยันตัวตนแบบเปิดที่พัฒนาโดย FIDO Alliance ร่วมกับ W3C โดยมี WebAuthn เป็น API ที่เบราว์เซอร์ใช้เมื่อผู้ใช้เลือก “ล็อกอินด้วย Passkey” หลักการคือแทนที่จะให้เซิร์ฟเวอร์เก็บรหัสผ่าน บัญชีจะถูกผูกกับคีย์คู่ดังนี้:

1. เมื่อสมัครใช้งานครั้งแรก อุปกรณ์จะสร้าง private key และ public key
2. private key ถูกเก็บในระบบรักษาความปลอดภัยของอุปกรณ์ เช่น Secure Enclave ของ Apple หรือ TPM ของ Windows
3. public key ถูกส่งไปเก็บที่เว็บไซต์หรือระบบคลาวด์ เช่น Google Workspace หรือ Microsoft Entra ID
4. เมื่อล็อกอิน เซิร์ฟเวอร์ส่ง challenge ไปยังอุปกรณ์ อุปกรณ์ให้ผู้ใช้ยืนยันตัวตนด้วยใบหน้า ลายนิ้วมือ หรือ PIN แล้วเซ็น challenge กลับมา
5. เซิร์ฟเวอร์ตรวจสอบกับ public key โดยไม่ต้องรู้ว่า private key คืออะไร

ความปลอดภัยที่เหนือกว่ารหัสผ่าน + OTP อยู่ที่ private key ไม่เคยออกจากอุปกรณ์ และ biometric ใช้เพียงปลดล็อก key เท่านั้น ไม่มีการส่งข้อมูลชีวภาพไปยังเซิร์ฟเวอร์ ดังนั้นแม้เว็บไซต์ปลอมจะสร้างหน้าเลียนแบบได้สมบูรณ์ passkey ก็ไม่สามารถถูกใช้ซ้ำที่เว็บปลอมได้ เพราะ challenge ที่เซิร์ฟเวอร์ปลอมส่งมานั้นผูกกับ origin ของเว็บปลอม อุปกรณ์จะไม่เซ็นให้เมื่อตรวจพบ domain ไม่ตรงกับบัญชี

นอกจากนี้ passkey ยังไม่ไวต่อการโจมตีแบบ man-in-the-middle เพราะต่างจากรหัสผ่านและ OTP ที่แฮกเกอร์สามารถรับแล้วส่งต่อได้ทันที หากฐานข้อมูล public key รั่วไหล แฮกเกอร์ก็ได้เพียงกุญแจสาธารณะซึ่งไม่มีประโยชน์ต่อการล็อกอิน เพราะต้องอาศัย private key ในอุปกรณ์ของผู้ใช้เท่านั้น

ธุรกิจ SME ไทยใช้ Passwordless ในสถานการณ์จริงได้อย่างไร

ร้านค้าออนไลน์และธุรกิจ e-commerce: หน้าร้านออนไลน์มักมีระบบสมาชิก อีเมลแจ้งโปรโมชัน และประวัติสั่งซื้อ เดิมลูกค้าต้องกรอกรหัสผ่านหรือรอ OTP ทาง SMS ซึ่งมีค่าใช้จ่ายต่อครั้งและมีโอกาสถูกดัก interception การเพิ่มปุ่ม “ล็อกอินด้วย Passkey” บนหน้า login ช่วยให้ลูกค้าสแกนใบหน้าหรือแตะนิ้วบนโทรศัพท์เพียงครั้งเดียวก็เข้าระบบได้ เมื่อลูกค้าเปลี่ยนเครื่อง ระบบ passkey ที่ผูกกับ Apple iCloud Keychain, Google Password Manager หรือ Microsoft Account จะช่วยให้คีย์กู้คืนกลับมาได้เองโดยไม่ต้องกรอกรหัสผ่าน

โรงงานหรือผู้ผลิตขนาดกลาง: พนักงานในไลน์ผลิตมักใช้เครื่องคอมพิวเตอร์ร่วมกัน ระบบ ERP ต้องใช้ชื่อผู้ใช้และรหัสผ่านเฉพาะตัว แต่การให้พนักงานพิมพ์รหัสผ่านบนเครื่องร่วมอันตรายมาก เพราะอาจมี keylogger หรือพนักงานคนอื่นเห็นตอนพิมพ์ การใช้ passkey จากโทรศัพท์ส่วนตัวผ่าน QR code ช่วยให้พนักงานยืนยันตัวตนบนเครื่องร่วมได้โดยไม่ต้องพิมพ์อะไรเลย ที่สำคัญคือเมื่อพนักงานลาออก ผู้ดูแล IT ไม่ต้องเดาว่าพนักงานใช้รหัสผ่านอะไรบ้าง แค่ลบ public key ของพนักงานคนนั้นออกจากระบบกลางก็เสร็จ

สำนักงานบัญชี กฎหมาย หรือธุรกิจบริการ: องค์กรที่เก็บข้อมูลลูกค้าอ่อนไหวจำเป็นต้องเข้าถึงอีเมล CRM และระบบจัดเก็บเอกสารบ่อยครั้ง การใช้ passkey ช่วยป้องกันไม่ให้บัญชีอีเมลถูกเข้ายึด แล้วนำไปใช้หลอกลวงลูกค้าให้โอนเงินเข้าบัญชีม้า ผู้บริหารและพนักงานระดับ senior ควรเป็นกลุ่มแรกที่ได้ใช้ passkey เพราะบัญชีของคนเหล่านี้เป็นเป้าหมายหลักของฟิชชิงแบบ spear phishing

วิธีเริ่มต้นเปลี่ยนเป็น Passwordless สำหรับ SME ไทย

การเปลี่ยนผ่านไม่จำเป็นต้องทำในวันเดียว เริ่มแบบค่อยเป็นค่อยไปด้วยขั้นตอนเหล่านี้:

ขั้นแรก สำรวจระบบที่รองรับ passkey/Kepada: ระบบ SaaS ยอดนิยม เช่น Google Workspace, Microsoft 365, Slack, Notion และระบบบัญชีคลาวด์หลายตัวรองรับ WebAuthn แล้ว อีเมลคือจุดเริ่มต้นที่ดีที่สุด เพราะเป็นศูนย์กลางการยืนยันตัวตนสำหรับระบบอื่นเกือบทั้งหมด

ขั้นที่สอง เปิดใช้งาน passkey ใน Google Workspace หรือ Microsoft Entra ID: ผู้ดูแลระบบสามารถกำหนดนโยบายให้ผู้ใช้บางกลุ่มต้องใช้ passkey ขณะที่กลุ่มอื่นยังใช้รหัสผ่าน + OTP ได้ชั่วคราว ไม่ต้องซื้ออุปกรณ์เพิ่มในระยะแรก เพราะพนักงานส่วนใหญ่มีโทรศัพท์มือถือที่รองรับ Face ID หรือสแกนนิ้วอยู่แล้ว

ขั้นที่สาม ทดลองกับกลุ่มเล็กก่อน: เลือกฝ่ายการเงิน ผู้บริหาร และทีม IT จำนวน 5-10 คน ให้เริ่มใช้ passkey จริงกับงานประจำ เช่น อีเมลและระบบเอกสาร บันทึกปัญหาว่ามีอุปกรณ์ใดใช้ไม่ได้ หรือขั้นตอนไหนที่พนักงานสับสน จากนั้นปรับคู่มือและกระบวนการช่วยเหลือก่อนขยายผล

ขั้นที่สี่ ใช้ security key สำหรับบัญชีสำคัญ: สำหรับบัญชีผู้ดูแลระบบสูงสุด หรือบัญชี break-glass ที่ใช้เมื่อระบบล็อกผู้ใช้ออกทั้งหมด ควรใช้ฮาร์ดแวร์ security key เช่น YubiKey หรือ Feitian แทนการเก็บ passkey ไว้ในโทรศัพท์เดียว ราคาอยู่ที่ 500-2,000 บาทต่อตัว (ผู้ให้บริการระบุ ผลจริงขึ้นกับบริบท) ซึ่งคุ้มค่ามากเมื่อเทียบกับความเสียหายที่เกิดจากบัญชีผู้ดูแลระบบรั่ว

ขั้นที่ห้า ขยายผลไปยังระบบภายในและเว็บไซต์ลูกค้า: เมื่อระบบคลาวด์ใช้งานได้ลื่นไหล ให้เริ่มเพิ่ม WebAuthn ในระบบ ERP ที่บริษัทสร้างเองหรือระบบ legacy โดยใช้ reverse proxy หรือ authentication middleware ที่รองรับ FIDO2 สำหรับหน้า login ของลูกค้า ควรเปิด passkey แบบ opt-in ก่อน แล้วเก็บรหัสผ่านเดิมไว้ช่วงเปลี่ยนผ่าน

ขั้นที่หก ติดตามผลและปิดรหัสผ่าน: ตั้งเป้าหมายลดจำนวน ticket รีเซ็ตรหัสผ่านและเหตุการณ์ฟิชชิงใน 3 เดือน หากผลดีและพนักงานใช้อุปกรณ์ครบแล้ว จึงค่อยปิดใช้งานรหัสผ่านสำหรับกลุ่มที่ไม่มีความจำเป็น เปิดใช้งานการล็อกอินด้วย passkey เท่านั้น พร้อมมีช่องทาง recovery รองรับ

ค่าใช้จ่าย ผลตอบแทน และข้อควรระวังที่ต้องวางแผน

ค่าใช้จ่ายหลัก ของการเปลี่ยนเป็น Passwordless ไม่ใช่ค่าซอฟต์แวร์ แต่เป็นเวลาและค่าแรงของทีม IT ในการทดสอบระบบ หากใช้ Google Workspace หรือ Microsoft 365 อยู่แล้ว ฟีเจอร์ passkey พื้นฐานมีอยู่ในแผนขององค์กรอยู่แล้ว (บางฟีเจอร์เช่น Conditional Access หรือ FIDO2 policy อาจต้องใช้สิทธิ์ผู้ดูแลระบบเพิ่มเติมของ Microsoft Entra ID Premium ขึ้นอยู่กับแผน) ค่าใช้จ่ายเพิ่มเติมอาจมาจาก security key สำหรับผู้ดูแลระบบ พนักงานที่ไม่มีสมาร์ตโฟน หรืออุปกรณ์เก่าที่ไม่รองรับ biometric

ผลตอบแทน ที่เห็นได้ชัดคือจำนวน ticket “ลืมรหัสผ่าน” ลดลงอย่างมีนัยสำคัญ องค์กรที่ใช้ passwordless หลายแห่งรายงานถึงผลลัพธ์ที่ดีในการลด workload ของฝ่ายไอที (ผู้ให้บริการระบุ ผลจริงขึ้นกับบริบท) SME ที่เคยเสียเวลาหลายชั่วโมงต่อเดือนในการรีเซ็ตรหัสผ่านให้พนักงานสามารถนำเวลานั้นไปพัฒนาระบบจริงได้ ลูกค้าที่ล็อกอินผ่านหน้าเว็บก็ไม่ต้องกด “ลืมรหัสผ่าน” อีกต่อไป และลดต้นทุน SMS OTP ลงได้ โดยเฉพาะธุรกิจที่มีลูกค้าจำนวนมาก

ข้อควรระวังที่ต้องวางแผนก่อนเปลี่ยน:

• ห้ามใช้ passkey เป็นปัจจัยเดียวโดยไม่มี recovery: ผู้ใช้ทำโทรศัพท์หาย เครื่องถูกขโมย หรือเปลี่ยนเครื่องใหม่ ต้องมี methods สำรอง เช่น recovery code, security key สำรอง หรือผู้ดูแลระบบสามารถลบ passkey เก่าและให้ลงทะเบียนใหม่ได้
• ระบบเก่าที่ไม่รองรับ FIDO2: ERP เก่าที่ไม่มี API หรือใช้ Active Directory ในเครื่องเดียวอาจไม่รองรับ passkey ต้องวางแผนให้มี fallback เช่น รหัสผ่านชั่วคราว + OTP แบบ application แทน SMS ระหว่างรออัปเกรด
• Passkey บนระบบนิเวศเดียวกันอาจย้ายไม่ได้ทุกกรณี: Passkey ที่สร้างใน iCloud Keychain อาจซิงก์เฉพาะอุปกรณ์ Apple ส่วน passkey ใน Google Password Manager ใช้กับ Android และ Chrome ได้ดี แต่การย้ายระหว่างระบบนิเวศอาจไม่ฉลาดเท่าไหร่ ควรเลือกโซลูชัน password manager สำหรับองค์กรที่รองรับ passkey แบบ cross-platform หรือใช้ security key เพื่อให้พนักงานย้ายคีย์ได้เอง
• การจัดการอุปกรณ์ส่วนตัว BYOD: เมื่อพนักงานใช้โทรศัพท์ส่วนตัวเป็น passkey แล้วลาออก ผู้ดูแลระบบต้องลบบัญชีและ public key ออกจากระบบทันที แต่ไม่สามารถลบ private key บนโทรศัพท์ส่วนตัวได้ ต้องมีนโยบายชัดเจนและแจ้งพนักงานก่อนเลิกจ้างหรือลาออก

สรุป: ถึงเวลาเลิกใช้รหัสผ่านหรือยัง

สำหรับ SME ไทย คำตอบคือ เริ่มเปลี่ยนได้แล้วอย่างน้อยก็ในระบบอีเมลและระบบคลาวด์ที่ใช้อยู่ทุกวัน รหัสผ่านไม่ใช่แค่เรื่องน่ารำคาญ แต่คือพื้นผิวการโจมตีที่ใหญ่มาก Passkey และ FIDO2 เป็นมาตรฐานที่เปิดกว้าง ใช้งานได้จริงบนอุปกรณ์ที่คนไทยถืออยู่ในมือ และผู้ให้บริการคลาวด์รายใหญ่สนับสนุนเต็มที่ การเปลี่ยนผ่านไม่ต้องยกเลิกรหัสผ่านทั้งหมดในวันเดียว แต่ต้องเริ่มจากระบบสำคัญ กลุ่มผู้ใช้เสี่ยง และสร้างกระบวนการ recovery ที่รัดกุม

ธุรกิจที่ลงมือเปลี่ยนวันนี้จะได้เปรียบทั้งด้านความปลอดภัย ประสบการณ์การใช้งาน และภาระงานของทีมไอทีที่ลดลง วันหมดอายุของรหัสผ่านใกล้เข้ามาแล้ว SME ที่เข้าใจและปรับตัวได้ก่อน จะเป็นองค์กรที่แฮกเกอร์ข้ามไปก่อนเพราะเจาะยากเกินไป