- Nikita Bier หัวหน้าฝ่ายผลิตภัณฑ์ของ X วิจารณ์ว่า แนวคิดของ Passkey และตำแหน่งที่มันถูกเก็บไว้ไม่ได้ถูกสื่อสารให้ผู้ใช้เข้าใจอย่างชัดเจน จนกลายเป็นประสบการณ์ที่เหมือนถูกขอ “ผงวิเศษ” ที่ไม่รู้ว่าคืออะไรเวลาล็อกอินเข้าแอป
- เป็นเรื่องยากที่จะรู้ว่า Passkey คือโทรศัพท์/เบราว์เซอร์/ระบบปฏิบัติการ/ข้อมูลชีวมิติอย่างใดอย่างหนึ่ง และยัง ขาดคำอธิบายที่ชัดเจนพอ ให้ผู้ใช้ประเมินข้อดีด้านความปลอดภัยได้
- ฝ่ายที่สนับสนุน Passkey อธิบายว่า แทนที่จะเป็นคำที่ต้องพิมพ์เข้าไป มันคือ วิธีใช้เครื่องมือที่ผู้ใช้ครอบครองเป็นกุญแจ เช่น โทรศัพท์หรือโน้ตบุ๊ก และปลอดภัยกว่ารหัสผ่านที่ขโมยได้ง่าย
- ความเห็นฝั่งคัดค้านชี้ว่า หากทำอุปกรณ์ Passkey เครื่องเดียวที่มีอยู่หาย ก็อาจสูญเสียการเข้าถึงบัญชีไปด้วย และด้วยการติดตั้งใช้งานที่ยังไม่สมบูรณ์กับประสบการณ์การกู้คืนที่ไม่ดี จึงเพิ่ม ความเสี่ยงที่จะถูกล็อกออกจากบัญชี
- บางคนสงสัยว่าแรงจูงใจของการนำมาใช้คือการลดต้นทุนและ การผูกติดกับระบบนิเวศของแพลตฟอร์มใหญ่ ขณะที่อีกฝ่ายโต้แย้งว่ารหัสผ่านนั้นมีจุดอ่อนในระดับพื้นฐานอยู่แล้ว จึงไม่ควรปฏิเสธทางเลือกอื่นเพียงเพราะมันไม่สะดวก
วิธีการยืนยันตัวตนที่ผู้ใช้ไม่เข้าใจ
- ผู้ดูแลบริษัทเทคโนโลยีรายหนึ่งกล่าวว่า สำหรับผู้ใช้ที่เพิ่งพอจะเรียนรู้วิธีเก็บรหัสผ่านได้ Google กลับเสนอ Passkey ให้ แต่ยากจะเข้าใจด้วยซ้ำว่ามันคือ ลายนิ้วมือ/การจดจำใบหน้า/ข้อมูลตัวเลข อย่างไหนกันแน่
- Nikita Bier วิจารณ์ว่า Passkey ถูกสร้างขึ้นโดย วิศวกรความปลอดภัยที่ไม่เข้าใจจิตวิทยาผู้บริโภค
- เขามองว่าผู้ใช้ไม่เข้าใจว่า Passkey คืออะไร จึงยากที่จะประเมินข้อดีหรือแม้แต่โต้แย้งมัน
- ผลลัพธ์คือกลายเป็นสถานการณ์ที่แอปเรียกร้องวิธีการยืนยันตัวตนที่ไม่รู้ด้วยซ้ำว่าอยู่ที่ไหนเพื่อใช้ล็อกอิน
- เขาชี้ว่าแม้แต่เรื่องที่ว่า Passkey อยู่ในโทรศัพท์/เบราว์เซอร์/ระบบปฏิบัติการ/ร่างกายของผู้ใช้ ก็ยังให้ความรู้สึกคลุมเครือ
จาก “คำที่ต้องพิมพ์” เป็น “กุญแจที่คุณถืออยู่”
- คอมเมนต์ที่สนับสนุน Passkey อธิบายว่ามันไม่ใช่คำที่ต้องพิมพ์แบบรหัสผ่าน แต่เป็น กุญแจที่ผู้ใช้ครอบครอง
- คนส่วนใหญ่ใช้โทรศัพท์เป็นกุญแจ แต่ก็สามารถใช้โน้ตบุ๊กหรืออุปกรณ์อื่นได้เช่นกัน
- ประเด็นสำคัญคือคำสามารถถูกขโมยได้ง่าย แต่กุญแจนั้นขโมยได้ยากกว่าเมื่อเทียบกัน
- มีความเห็นว่าคำอธิบายที่เน้นเรื่องความสะดวกหรือการยืนยันตัวตนด้วยชีวมิติกลับยิ่งทำให้แนวคิดนี้สับสน และไม่เกี่ยวกับแก่นแท้ที่เป็นการยืนยันตัวตนบนฐานของการครอบครองมากนัก
ปัญหาอุปกรณ์หายและการกู้คืนบัญชี
- ฝั่งวิจารณ์กังวลว่า หากทำ อุปกรณ์ Passkey เครื่องเดียวที่ใช้งานได้ หาย ก็อาจสูญเสียการเข้าถึงบัญชีไปพร้อมกัน
- มีข้ออ้างว่ารหัสผ่านสามารถจำไว้หรือเก็บแยกต่างหากได้ และแอป 2FA ก็ติดตั้งได้บนหลายอุปกรณ์ แต่ Passkey กลับเพิ่มทั้งความแข็งแกร่งเมื่อใช้อย่างถูกต้องและความเป็นไปได้ที่จะทำกุญแจหายไปพร้อมกัน
- อีกคอมเมนต์หนึ่งก็มองว่าการติดตั้งใช้งาน Passkey เป็นความล้มเหลว และยกปัญหาต่อไปนี้ขึ้นมา
- ประสบการณ์ผู้ใช้ไม่ดีและใช้งานยาก
- มีโอกาสสูงที่จะถูกล็อกออกจากบัญชี
- สงสัยว่าเหตุผลที่ผู้ให้บริการแพลตฟอร์มผลักดันการใช้งานคือการลดต้นทุนและการผูกผู้ใช้ไว้กับระบบนิเวศ
ข้อถกเถียงเรื่องการผูกติดกับแพลตฟอร์มใหญ่
- Tim Sweeney ประเมินว่า Passkey คือ แผนการผูกผู้ใช้ไว้กับแพลตฟอร์มเทคโนโลยีขนาดใหญ่
- เนื่องจากประสบการณ์ที่ Passkey ถูกผูกเข้ากับบัญชีของโทรศัพท์/เบราว์เซอร์/ระบบปฏิบัติการ ผู้ใช้จึงอาจรู้สึกว่าตนควบคุมตำแหน่งของวิธีการยืนยันตัวตนและผู้ที่เป็นผู้ดูแลมันได้ยาก
ข้อโต้แย้งว่าเป็นทางเลือกที่ดีกว่ารหัสผ่าน
- บางคนเข้าใจ Passkey ว่าเป็นวิธีที่ผสานอุปกรณ์เข้ากับการยืนยันตัวตนด้วยชีวมิติหรือรหัสผ่าน และมองว่าความเป็นไปได้ที่ผู้โจมตีจะได้ทั้งสององค์ประกอบพร้อมกันนั้นต่ำลง
- ฝ่ายโต้แย้งเน้นว่ารหัสผ่านเป็น โมเดลความปลอดภัยที่พังตั้งแต่รากฐาน และผู้ใช้เองก็แทบไม่เคยใช้งานมันได้อย่างถูกต้อง
- มีความเห็นว่าการหยุดอยู่กับปัญหาง่าย ๆ เพียงเพราะวิธีใหม่ยากเกินไปไม่ใช่ท่าทีที่พึงประสงค์ และแทนที่จะวิจารณ์อย่างเดียว ก็ควรเสนอโมเดลการยืนยันตัวตนที่ดีกว่านี้
4 ความคิดเห็น
อืม Nikita Bier หัวหน้าฝ่ายผลิตภัณฑ์ของ X เดิมทีก็ขึ้นชื่ออยู่แล้วว่าเป็นคนพูดแรง ๆ ครับ คล้ายกับ Elon Musk แต่โทนก็ไม่เหมือนกันเสียทีเดียว
BeeBS ที่เพิ่งเปิดตัวใหม่รองรับ Passkey ครับ ส่วนตัวผมคิดว่ามันสะดวกดี
แต่ถ้าสมัครด้วย Passkey อย่างเดียว และไม่มีการซิงก์หรือวิธีกู้คืนอื่น ๆ เวลาเครื่องหายก็อาจเข้าถึงบัญชีไม่ได้ ดังนั้น BeeBS จึงให้สมัครด้วยลิงก์วิเศษทางอีเมลก่อน แล้วค่อยลงทะเบียน Passkey
เมื่อรวมสองอย่างนี้เข้าด้วยกัน ก็ไม่จำเป็นต้องเก็บรหัสผ่านของผู้ใช้ไว้บนเซิร์ฟเวอร์เลย และแม้จะเปลี่ยนเครื่องหรือทำเครื่องหาย ก็ยังสามารถล็อกอินใหม่ผ่านอีเมลแล้วลงทะเบียน Passkey ใหม่ได้
"Passkey นั้นดี อย่าวิจารณ์ถ้าไม่มีทางเลือกอื่น!!" เขาว่ากันแบบนั้น
แต่จริง ๆ แล้ว passkey เองนี่แหละที่อยู่ในตำแหน่งของทางเลือกแทนวิธีเดิม และทั้งที่ยังเสนอทางเลือกที่เหมาะสมไม่ได้ ก็ยังยืนยันว่ามันดีอยู่นั่น
ถ้าจะใช้ Passkey ให้สะดวก ก็ต้องใช้แอปจัดการรหัสผ่านเพียงตัวเดียวที่ครอบคลุมทุกแพลตฟอร์ม....
ไม่อย่างนั้นก็ไม่รู้ด้วยซ้ำว่าตัวเองสร้าง Passkey ไว้ที่ไหนและอย่างไร และยังสังเกตได้ยากว่าเบราว์เซอร์กำลังถามคำขอ Passkey กับฝ่ายที่ไม่ถูกต้องอยู่ ผลก็คือ นอกจากแพลตฟอร์มไม่กี่ตัวที่ใช้บ่อยแล้ว ก็ไม่ใช้ Passkey เพราะมันไม่สะดวก
มองตอนนี้แล้วเหมือนเป็นฟีเจอร์ที่ทำขึ้นมาเพื่อขายแอปจัดการรหัสผ่านเลย
ความคิดเห็นจาก Hacker News
ผมทำงานใน วงการเทคโนโลยีมา 26 ปี และเข้าใจหลักการของกุญแจสาธารณะ/กุญแจส่วนตัว แต่ก็ยังไม่รู้ว่าควรใช้ passkey อย่างไรในหลายอุปกรณ์และหลายเบราว์เซอร์เพื่อไม่ให้มีปัญหาในการล็อกอิน
ผมใช้ Brave, Firefox, Safari และ LastPass บน iPad, iPhone, เดสก์ท็อป Windows และ MacBook Pro แต่ยังไม่ชัดเจนว่าถ้าบังเอิญสร้าง passkey บน Safari ในมือถือแล้ว จะยังล็อกอินจากอุปกรณ์อื่นได้หรือไม่, ซิงก์ passkey หรือเพิ่มแยกตามอุปกรณ์ได้ไหม, และแต่ละเว็บอนุญาตได้สูงสุดกี่อัน
นโยบายอาจแตกต่างกันไปตามแต่ละเว็บและแอป ดังนั้นช่วงนี้ผมตั้งใจจะใช้ LastPass กับรหัสผ่าน ต่อไป เพราะยังสามารถกู้คืนได้แม้ทำอุปกรณ์หายหรือใช้อุปกรณ์ของคนอื่น
ในกรณีแชร์บัญชี Pandora หรือ Amazon Prime กับคู่สมรส ก็ยังสงสัยว่าแต่ละคนสร้าง passkey ของตัวเองได้ไหม และถ้าไม่ได้จะให้สิทธิ์เข้าถึงแก่คู่สมรสอย่างไร
แม้ผมจะเป็นวิศวกร UI ของ passkey ก็ยังไม่ชัดเจนเลย และทุกฝ่ายพยายามผูกขาดการจัดการ passkey ของผู้ใช้ ขณะเดียวกันก็ซ่อนความจริงนั้นไว้ แล้วพูดแค่ว่า “จะจัดการให้แทน”
คนรู้จักที่ไม่ใช่สายเทคนิคสับสนอย่างหนักว่าควรใช้ passkey หรือไม่และใช้อย่างไร แม้แต่ผมเองก็ยังตอบให้ดีได้ยาก
ถ้าทำหายก็รีเซ็ตด้วยขั้นตอนกู้คืนเดิม ๆ เช่นอีเมล “ลืมรหัสผ่าน” และโดยปกติจะถูกเก็บไว้ใน password manager แล้วซิงก์ไปยังอุปกรณ์อื่น จึงไม่ค่อยสูญหาย
เพียงแต่ไม่อนุญาตให้คัดลอก/วาง และบังคับให้นำเสนอผ่าน password manager เพื่อป้องกันความเป็นไปได้ที่จะส่งให้ฝ่าย phishing ผิดคน
ผู้จัดการหลัก ๆ ไม่รองรับการส่งออกเป็นไฟล์ที่ผู้ใช้อ่านหรือสำรองได้ และเมื่อต้องย้ายระหว่างผู้จัดการก็ต้องผ่านขั้นตอนโอนย้ายระหว่างแอปที่ยุ่งยากของแต่ละราย ราวกับยินดีกับ ผลของการผูกติดกับผู้ให้บริการ
เฉพาะตอนล็อกอินเข้า password manager เองเท่านั้นที่ต้องใช้วิธีภายนอกอย่างรหัสผ่านหรือ YubiKey
https://danfabulich.medium.com/passkeys-are-just-passwords-t...
LastPass ทำรหัสผ่านทั้งหมดรั่วในปี 2022 และยังรั่วอีกเมื่อเดือนที่แล้วด้วย ถึงเวลาย้ายออกแล้ว และทางเลือกที่ใกล้เคียงที่สุดคือ 1Password ซึ่งไม่ได้ผ่านเหตุละเมิดร้ายแรงหลายครั้ง
แต่ ช่องทางล็อกอินสำรอง นี้ทำให้เป้าหมายหลักของ passkey คือการกำจัด phishing กลายเป็นโมฆะ จึงไม่รู้ว่าจะคงอยู่ไปอีกนานแค่ไหน
บางเว็บหลังล็อกอินด้วย passkey แล้วยังขอการยืนยันตัวตนสองขั้นตอนแบบ TOTP หรือยืนยันทางอีเมลอีก ทำให้ข้อดีหลักเรื่องความสะดวกของผู้ใช้หายไปด้วย
รหัสผ่านสามารถจดลงกระดาษแล้วเก็บไว้ในที่ปลอดภัยทางกายภาพได้ แต่ passkey กับการยืนยันตัวตนสองขั้นตอนนั้นการกู้คืนเป็นฝันร้าย และถ้าเตรียมวิธีกู้คืนที่ใช้งานได้จริงไว้ ความปลอดภัยก็หายไป
ในทางกลับกัน passkey นั้นยอดเยี่ยมสำหรับผู้บริโภคทั่วไปจำนวนมาก และดูเหมือนวิศวกรที่เข้าใจการยืนยันตัวตนและมีระบบจัดการรหัสผ่านของตัวเองต่างหากที่สับสนกว่า
ผู้ใช้ใน ecosystem ของ Apple คุ้นเคยอยู่แล้วกับการใช้ Touch ID หรือ Face ID เมื่อถูกขอ
หลังตั้งค่า passkey บน Amazon แล้ว ผมก็ล็อกอินจาก Mac และ iPhone ได้แบบไม่มีสะดุด
สำหรับผู้ใช้ทั่วไป passkey ไม่ได้มาแทนกระบวนการค้นหารหัสผ่านซับซ้อนใน password manager แล้วคัดลอกไปวาง แต่มาแทน พฤติกรรมการพิมพ์รหัสผ่านเดียวกันด้วยตัวเอง ที่ใช้ร่วมกันทุกเว็บไซต์
passkey ผูกกับอุปกรณ์เฉพาะ พอใช้อุปกรณ์อื่นก็เริ่มไม่สะดวก และดูเหมือนเป็นรหัสเดียวที่เชื่อมกับทุกอย่าง มากกว่าจะเป็นข้อมูลรับรองที่ผู้ใช้เป็นเจ้าของและควบคุมเอง
ในบางสถานการณ์อาจปลอดภัยกว่า แต่ดูใกล้เคียงกับ ทางเลือกที่ด้อยกว่า สำหรับปัญหาที่มีวิธีแก้ดีกว่าอยู่แล้ว
เป็น แนวคิดที่เลวร้าย ที่ถูกบังคับใช้กับผู้ใช้ที่ไม่รู้อะไรเลย
มันพยายามผลักดันให้ใช้ PIN ต่อไป มากกว่า YubiKey หรือรหัสผ่าน
เมื่อเว็บไซต์เสนอให้ใช้ passkey เป็นครั้งแรก ผมลองค้นหาดู แต่ภายใน 5 นาทีที่ต้องหยุดงานที่ทำอยู่มาหาคำตอบ ก็ยังหาไม่เจอ
คำจำกัดความที่แม่นที่สุดเท่าที่เคยเห็นมาคือ ผงวิเศษของนางฟ้าที่ทำให้ล็อกอินเข้าแอปได้
สำหรับรหัสผ่านและโทเคน TOTP ผมรู้ว่ามันทำงานอย่างไรและผมต้องรับผิดชอบจัดการอะไรบ้าง แต่ไม่รู้ว่าถ้าทำโทรศัพท์หายจะเกิดอะไรขึ้น ต้องมี passkey แยกเฉพาะสำหรับแต่ละอุปกรณ์หรือไม่ รอบการเปลี่ยนเป็นอย่างไร และต้องรับมืออย่างไรเมื่อถูกขโมย
ดีใจที่ไม่ใช่ผมคนเดียวที่รู้สึกว่ามันถูกอธิบายได้แย่มาก
แม้ผมจะคุ้นเคยกับเทคโนโลยี ก็ยังไม่เข้าใจว่า passkey ถูกเก็บไว้ที่ไหน ผูกกับอุปกรณ์ใด และทำไมการสแกน QR code จาก Chrome บนมือถือถึงทำให้ล็อกอินได้
วันหนึ่งมันก็โผล่มาเป็นตัวเลือกเฉย ๆ กดปุ่มแล้วก็ล็อกอินได้เท่านั้น ไม่มีการให้ความรู้ผู้ใช้เลย
ถ้าผู้ใช้ Hacker News ที่แทบจะอยู่ใน 1% แรกของทักษะการใช้คอมพิวเตอร์ยังเป็นแบบนี้ คนทั่วไปในครอบครัวหรือคนทำงานอสังหาริมทรัพย์ก็คงไม่เข้าใจและไม่เรียนรู้เองแน่
https://news.ycombinator.com/item?id=46301585#46303892
เก็บกุญแจไว้ในโมดูลความปลอดภัยฮาร์ดแวร์อย่าง YubiKey หรือ TPM แทนที่จะเป็นไฟล์ และตอนลงทะเบียนก็สร้างคู่กุญแจอสมมาตรกับเว็บไซต์ จากนั้นตอนล็อกอินใช้วิธีถาม-ตอบตามปกติ
ความก้าวหน้าที่ใหญ่ที่สุดคือการต้านทานฟิชชิง เพราะหน้าเข้าสู่ระบบปลอมสามารถส่งต่อรหัส TOTP ได้ แต่ส่งต่อการถาม-ตอบของ passkey ไม่ได้
แม้จะทำงานในอุตสาหกรรมเทคโนโลยีมากว่า 20 ปี passkey ก็ยังชวนสับสน
เข้าใจแนวคิดเรื่อง key ในวิทยาการคอมพิวเตอร์ แต่ไม่รู้วิธีใช้ข้ามอุปกรณ์ และกังวลมากว่าหากผูกกับคีย์จริงทางกายภาพแล้วทำหาย อาจกู้คืนไม่ได้
บางที่ร้องขอทันทีที่เปิดหน้าเข้าสู่ระบบ บางที่ให้กรอกชื่อผู้ใช้หรืออีเมลก่อน บางที่ passkey เดียวแทนทั้งรหัสผ่านและการยืนยันตัวตนขั้นที่สอง แต่บางที่ใช้เป็นแค่การยืนยันตัวตนขั้นที่สองหลังรหัสผ่าน
บางแห่งต้องการ passkey ร่วมกับการยืนยันตัวตนแยกอย่าง SMS โดยไม่ใช้รหัสผ่านด้วย
เมื่อรวมกับความสับสนเรื่องการลงทะเบียนและซิงก์อุปกรณ์แล้ว จึงขาด ความสม่ำเสมอของประสบการณ์ผู้ใช้ อย่างมาก
การเชื่อมต่อกันระหว่างผู้ให้บริการแพลตฟอร์มอาจปรับปรุงได้ แต่ปัญหาที่แต่ละเว็บไซต์และแอปทำงานไม่เหมือนกันดูจะแก้ยาก
ใช้ตัวจัดการที่รองรับอย่าง Apple, Google, 1Password, KeePass หรือสแกน QR code ที่แสดงขึ้นด้วยโทรศัพท์ที่พกติดตัวตลอดก็ได้ และอุปกรณ์เฉพาะอย่าง YubiKey ก็ใช้ได้เช่นกัน
บน Android และ Chrome ใช้ตัวจัดการรหัสผ่านของ Chrome หรือสแกน QR ด้วยโทรศัพท์ก็ได้
แอปรัฐบาลโปแลนด์ mObywatel ก็มีโครงสร้างคล้ายกัน คือหลังล็อกอินแล้วดาวน์โหลดใบรับรอง จากนั้นสแกน QR code และใช้ PIN หรือชีวมิติยืนยันตัวตนเพื่อเข้าเว็บไซต์ของรัฐ
passkey เรียบง่ายเหมือน รหัสผ่านที่ไม่ต้องพิมพ์ และผมใช้ได้สะดวกเพราะติดตั้ง 1Password ไว้ในทุกอุปกรณ์
บน Android ก็ตั้งเป็นผู้ให้บริการ passkey เริ่มต้นได้ ทำให้แชร์ข้ามอุปกรณ์ได้
การซิงก์กุญแจด้วย 1Password อาจปลอดภัยน้อยลงบ้าง แต่ก่อนหน้านี้ก็แชร์รหัสผ่านด้วยวิธีเดียวกันอยู่แล้ว จึงมองว่าท่าทีด้านความปลอดภัยไม่ได้เปลี่ยนไป
สิ่งที่หายไปคือความจำเป็นในการสร้าง ป้อน และคัดลอกสตริงชื่อผู้ใช้กับรหัสผ่าน และ 1Password จะรับรู้เว็บไซต์กับคำขอ passkey แล้วตอบสนองให้อัตโนมัติ
หากมีหลายบัญชีก็เลือก passkey ที่จะใช้ได้ โดยรวมจึงเป็นระบบที่ ใช้ได้เองโดยแทบไม่ต้องทำอะไร และผมชอบมากกว่ารหัสผ่านมาก
อีกทั้งไม่มี ประโยชน์ด้านความปลอดภัยที่เป็นรูปธรรม เหนือรหัสผ่านที่ซับซ้อนและไม่ซ้ำกันซึ่งสร้างโดย password manager
Firefox บน Windows เรียกตัวจัดการรหัสผ่านของ Windows แทน 1Password ในบางเว็บไซต์ และบน Android ดูเหมือน Chrome กับ Firefox จะจัดการต่างกัน
บัญชี Microsoft ต้องล็อกอินด้วยบัญชีนั้นบนอุปกรณ์ที่เก็บ passkey ไว้ก่อน ทำให้โฟลว์พันกันและต้องอ้อมไปใช้วิธีอื่น
เมื่อแอปอย่าง Libby พาไปที่ Amazon จะขึ้นหน้ารหัสผ่านแยกที่ไม่มี passkey ดังนั้นจึงต้องเตรียมรหัสผ่านไว้ด้วย
ตอนที่มันทำงานได้ดีก็ยอดเยี่ยม แต่สุดท้าย การใช้ 1Password ร่วมกับชื่อผู้ใช้และรหัสผ่าน ดูจะเป็น UX ที่ดีกว่า
เมื่อสร้าง passkey แล้วรหัสผ่านเดิมจะถูกลบหรือไม่ จะล็อกอินบนอุปกรณ์อื่นอย่างไร หากสร้างบนอุปกรณ์ใหม่ passkey เดิมจะเปลี่ยนจนทำให้อุปกรณ์แรกเข้าไม่ได้หรือไม่ เรื่องเหล่านี้ไม่อาจรู้ได้จากการโปรโมตและคำแนะนำเท่านั้น
เมื่ออธิบายให้พ่อแม่วัย 78 ปีฟังว่า กุญแจ U2F แบบกายภาพคือ “กุญแจที่จำเป็นสำหรับเข้าใช้บัญชี เหมือนกุญแจประตูหน้าบ้าน ดังนั้นอย่าทำหายหรือให้ใครยืม และควรมีกุญแจสำรองด้วย” พวกท่านก็เข้าใจอย่างสมบูรณ์และเพิ่มมันเข้าไปในทุกบัญชี
มีการสมมติไปเองว่าผู้บริโภคโง่เกินกว่าจะเข้าใจแนวคิดแบบนี้ โดยไม่ให้โอกาสพวกเขาเลย แต่ในความเป็นจริงแค่ การเปรียบเทียบกับกุญแจจริง ก็เพียงพอแล้ว
ถ้าพกกุญแจทั้งสองอันไปด้วยกันแล้วลงทะเบียนทั้งหมด ก็เสี่ยงทำหายพร้อมกัน แต่ถ้าเก็บอันหนึ่งไว้ในตู้นิรภัย ก็ต้องคอยติดตามว่าใช้กุญแจไหนลงทะเบียนกับบริการใด และทุกครั้งที่มีบริการใหม่ก็ต้องเอากุญแจสำรองออกมาลงทะเบียน
ทั้งสองทางไม่น่าพอใจ สุดท้ายจึงเลือกใช้ แอป OTP ที่สำรองข้อมูลได้
ผู้ให้บริการไม่สนับสนุนวิธีใช้งานแบบนี้ของผู้บริโภคหรือแม้แต่ยอมรับว่ามันมีอยู่ แต่กลับพยายามขายการใช้งานที่ซับซ้อนให้กับองค์กรในราคาแพง
กุญแจจริงทำหายได้ จึงลงเอยด้วยการซ่อนกุญแจสำรองหน้าบ้านไว้ใต้กระถาง และกลายเป็นของอีกชิ้นที่ต้องพกติดตัวตลอดเวลา
โทรศัพท์หาซื้อได้ทุกที่ แต่ตราบใดที่ยังบอกคุณยายไม่ได้ว่า “ไปขอซื้อ YubiKey ที่แผนกอิเล็กทรอนิกส์ของ Walmart นะ” ปัญหาก็ยังอยู่
แม้แต่ Amazon ตามมาตรฐานการจัดส่งในชนบทก็ยังใช้เวลาอย่างน้อย 6 วัน ดังนั้นการสั่งออนไลน์จึงไม่ใช่วิธีแก้ที่ใช้ได้ในสถานการณ์นี้ และแทบเป็นไปไม่ได้ที่จะเปลี่ยนกุญแจที่หายได้ทันที
คนที่มองว่า passkey เป็นเรื่องง่าย โดยมากดูเหมือนจะฝากข้อมูลรับรองทั้งหมดไว้กับผู้ให้บริการคลาวด์แบบผูกขาด แล้วซิงก์ไปยังทุกอุปกรณ์
สำหรับคนที่ต้องการเก็บข้อมูลรับรองแบบออฟไลน์และซิงก์·สำรองข้อมูลเอง ขั้นตอนการลงทะเบียน·สำรองข้อมูล·แชร์ทำงานอย่างไรอย่างแม่นยำจึงสำคัญมาก
สิ่งนี้ดูเป็นส่วนหนึ่งของกระแสเดียวกับการยืนยันจากระยะไกล การตรวจสอบอายุ การสแกน CSAM และการจำกัด sideloading ที่สุดท้าย Big Tech หรือรัฐบาลจะต้องตรวจสอบผู้เข้าร่วม·คอนเทนต์·ฮาร์ดแวร์·ซอฟต์แวร์ก่อนจึงจะอนุญาตให้มีปฏิสัมพันธ์บนอินเทอร์เน็ตได้
แม้ในหมู่คนสายเทคนิคก็มีคนสนับสนุนเรื่องนี้มาก จึงดูเหมือนว่าอีกไม่นานคงเลี่ยงไม่ได้ที่จะต้องเข้าไปอยู่ใน ระบบนิเวศคลาวด์แบบผูกขาด
อาจซื้อ YubiKey สองอัน เก็บอันหนึ่งไว้ในตู้นิรภัยธนาคาร อีกอันไว้คนละที่ แล้วเลิกใช้คลาวด์ก็ได้ แต่ตอนนี้ยังไม่มีเหตุผลมากพอที่จะทำเช่นนั้น
เมื่อเทียบกับรหัสผ่าน passkey ไม่มีอะไรที่ต้องยอมเสียไป และกลับจัดการได้ง่ายกว่ามาก
อาจเป็นเพราะเก็บ private key ของ SSH ไว้ในฮาร์ดแวร์ความปลอดภัยมา 10 ปี เลยคุ้นเคยกับการพกกุญแจจริง แต่โดยรวมแล้วมองว่านี่เป็นวิธีที่ดีกว่า
การกำจัดรหัสผ่านไม่เกี่ยวข้องกับการยืนยันจากระยะไกลหรือการตรวจสอบอายุ
ตลอด 20 ปีที่ผ่านมา รหัสผ่านที่จำได้มีแค่สองสามอันสำหรับอุปกรณ์แต่ละเครื่องหรือบัญชีที่ทำงาน·ที่บ้าน ส่วนที่เหลือควรจัดการด้วย ข้อมูลรับรองฮาร์ดแวร์แบบละเอียดแยกส่วน
Passkey คือฝันร้ายสำหรับคนสายเทคนิคที่ต้องการเข้าใจและจัดการเครื่องมือของตัวเอง
มันถูกปรับให้เหมาะกับผู้ใช้ที่ไม่มีทั้งความสามารถและความตั้งใจจะทำความเข้าใจ แค่กดปุ่มตามที่หน้าจอสั่งและใช้ชีวิตอยู่ในระบบนิเวศปิดของใครสักคน
สำหรับการใช้งานแบบนั้นมันทำงานได้ดี แต่สร้าง การผูกติดกับผู้ให้บริการ อย่างหนักหน่วง ที่ทุกอย่างพังทันทีเมื่อออกจากระบบนิเวศนั้น และบางทีนั่นอาจเป็นเป้าหมายการออกแบบตั้งแต่แรกก็ได้
เว็บไซต์ HSA บังคับให้ตั้งค่า passkey ตอนล็อกอินครั้งก่อน พอลงทะเบียนไว้กับแล็ปท็อปที่ทำงานและตัวจัดการรหัสผ่านของบริษัท ตอนนี้จึงเข้าใช้บัญชีจากคอมพิวเตอร์ส่วนตัวไม่ได้แล้ว
เป็น ผลลัพธ์อันยอดเยี่ยม ที่ต้องการจริง ๆ
ตอนนี้ยังล็อกอินผ่าน SSO ของนายจ้างได้อยู่ จึงเลื่อนการตั้งค่าออกไปจนกว่าจะจำเป็นจริง ๆ
Passkey ไม่ใช่เวทมนตร์ แต่เป็นแค่รหัสผ่านประหลาด ๆ แบบหนึ่ง และถ้าเว็บไซต์ไม่ได้ทำปุ่มกู้คืนไว้ นั่นแสดงถึง ข้อบกพร่องในการทำเว็บไซต์ มากกว่าจะเป็นปัญหาของ passkey
ปัญหาของ passkey ไม่ใช่ UX
Big Tech พยายามไม่ให้ผู้บริโภคเป็นเจ้าของอุปกรณ์คอมพิวติ้งอเนกประสงค์ และผลักให้เข้าไปอยู่ในระบบนิเวศปิด โดย passkey ก็ถูกออกแบบให้สอดคล้องกับผลประโยชน์นั้น
เช่นเดียวกับทุกครั้งที่มีการพรากเสรีภาพไป ข้ออ้างคือความปลอดภัย และผลลัพธ์คือ โมเดลการทำงานสำหรับอุปกรณ์ที่องค์กรจัดการ ซึ่งผู้ใช้ทำได้เฉพาะงานที่เจ้าของอุปกรณ์อนุญาตเท่านั้น
UX ที่แย่เป็นผลสืบเนื่องจากปัญหารากฐานนั้น
จนถึงตอนนี้ที่แย่เป็นพิเศษเพราะบังคับใช้ passkey แบบเฉพาะเจาะจงมีแค่ Nintendo เท่านั้น แต่แม้กระนั้นก็ยังจัดว่าเป็นหนึ่งในสิ่งที่ Nintendo ทำแล้วแย่น้อยกว่าเรื่องอื่น ๆ