ข้อจำกัดการส่งออก Passkey จุดประกายการถ่ายเทเรื่องการควบคุมผู้ใช้และการถูกผูกมัดกับผู้ให้บริการ

ชุมชนเทคโนโลยีกำลังถกเถียงกันอย่างกระตือรือร้นเกี่ยวกับอนาคตของ passkey โดยเฉพาะอย่างยิ่งเรื่องข้อจำกัดการส่งออกที่ป้องกันไม่ให้ผู้ใช้สามารถย้ายข้อมูลประจำตัวการยืนยันตัวตนระหว่างตัวจัดการรหัสผ่านต่างๆ ได้ แม้ว่า passkey จะสัญญาว่าจะให้ความปลอดภัยที่ดีกว่ารหัสผ่านแบบดั้งเดิม แต่ความกังวลที่เพิ่มขึ้นเกี่ยวกับการถูกผูกมัดกับผู้ให้บริการและสิทธิของผู้ใช้กำลังสร้างความขัดแย้งในภูมิทัศน์การยืนยันตัวตน

ข้อจำกัดการส่งออกสร้างปัญหาการย้ายข้อมูล

หนึ่งในประเด็นที่ถกเถียงกันมากที่สุดในการใช้งาน passkey ปัจจุบันคือการไม่สามารถส่งออกกุญแจส่วนตัวระหว่างตัวจัดการรหัสผ่านต่างๆ ได้ ไม่เหมือนกับรหัสผ่านแบบดั้งเดิมที่สามารถคัดลอกหรือส่งออกได้อย่างง่ายดาย passkey ถูกออกแบบให้ไม่สามารถส่งออกได้เพื่อเหตุผลด้านความปลอดภัย สิ่งนี้สร้างความท้าทายอย่างมากสำหรับผู้ใช้ที่ต้องการเปลี่ยนระหว่างผู้ให้บริการยืนยันตัวตนหรือรักษาวิธีการเข้าถึงสำรอง

สถานการณ์จะกลายเป็นปัญหาโดยเฉพาะอย่างยิ่งเมื่อผู้ใช้ค้นพบว่าพวกเขามีบัญชีหลายร้อยบัญชีที่เชื่อมโยงกับ passkey จากผู้ให้บริการรายเดียว สมาชิกชุมชนรายงานว่ามีรายการ passkey ตั้งแต่ 60 ถึง 400 รายการ ทำให้การลงทะเบียนใหม่ด้วยตนเองในบริการต่างๆ กลายเป็นงานที่หนักหนาสาหสัมหากพวกเขาต้องเปลี่ยนตัวจัดการรหัสผ่าน

สถานะปัจจุบันของการรองรับการส่งออก Passkey:

• Apple : ประกาศฟังก์ชันการส่งออกสำหรับ iOS 26 และ macOS 26 (พร้อมใช้งานใน public beta)
• Bitwarden : รองรับ passkey ตั้งแต่เดือนพฤษภาคม 2024 รวมถึงแอปมือถือ
• KeePassXC : รองรับ passkey พร้อมความสามารถในการส่งออก
• 1Password : ประกาศแผนการสำหรับฟังก์ชันการส่งออก/นำเข้า
• Google : ไม่เปิดเผยข้อมูล attestation สำหรับ passkey ของผู้บริโภค แต่มีให้สำหรับองค์กรผ่าน MDM

การยืนยันตัวตนในครอบครัวกลายเป็นเรื่องซับซ้อนมากขึ้น

ผู้ปกครองและผู้ดูแลครอบครัวพบว่าการจัดการ passkey น่าหงุดหงิดมากขึ้นเมื่อเปรียบเทียบกับการแชร์รหัสผ่านแบบง่ายๆ ขั้นตอนการยืนยันตัวตนแบบใหม่ต้องใช้หลายแอปพลิเคชันและกระบวนการอนุญาตที่ซับซ้อนเมื่อพยายามเข้าถึงบัญชีในอุปกรณ์ของเด็กหรือช่วยเหลือสมาชิกในครอบครัวกับบัญชีของพวกเขา

การเข้าสู่ระบบบัญชีของฉันในอุปกรณ์ของลูกๆ เปลี่ยนจากกระบวนการที่ตรงไปตรงมาเป็นประสบการณ์ที่น่าหงุดหงิดอย่างเหลือเชื่อ ฉันพบว่าตัวเองต้องจัดการกับแอปพลิเคชันและขั้นตอนต่างๆ มากมาย

ความซับซ้อนนี้ขยายไปถึงสถานการณ์ฉุกเฉินที่สมาชิกในครอบครัวต้องการเข้าถึงบัญชีของญาติที่เสียชีวิต ซึ่งสร้างความท้าทายใหม่ที่ไม่เคยมีอยู่กับระบบรหัสผ่านแบบดั้งเดิม

ความกังวลเรื่องการควบคุมของบริษัทและการรับรอง

มาตรฐาน passkey รวมถึงระบบการรับรองที่อนุญาตให้เว็บไซต์ระบุประเภทของตัวยืนยันตัวตนที่ผู้ใช้กำลังใช้งาน คุณสมบัตินี้ถูกใช้โดยรัฐบาลบางประเทศแล้ว เช่น Austria เพื่อจำกัดการเข้าถึงบริการราชการเว้นแต่ผู้ใช้จะซื้อโทเค็นฮาร์ดแวร์ที่อยู่ในรายชื่อที่อนุญาตเฉพาะ

ผู้เชี่ยวชาญด้านความปลอดภัยโดยทั่วไปสนับสนุน passkey เนื่องจากคุณสมบัติป้องกันการฟิชชิ่งและความปลอดภัยที่ดีขึ้นเมื่อเปรียบเทียบกับการรวมกันของรหัสผ่านและ TOTP อย่างไรก็ตาม ศักยภาพในการใช้การรับรองในทางที่ผิดโดยบริษัทหรือรัฐบาลเพื่อสร้างสถานการณ์การถูกผูกมัดกับผู้ให้บริการยังคงเป็นความกังวลสำคัญสำหรับผู้สนับสนุนความเป็นส่วนตัวและผู้ที่ชื่นชอบโอเพนซอร์ส

การเปรียบเทียบความปลอดภัยของวิธีการยืนยันตัวตน:

• แข็งแกร่งที่สุด: รหัสผ่าน + กุญแจความปลอดภัยฮาร์ดแวร์ ( WebAuthn )
• แข็งแกร่ง: Passkeys (ต้านทานการฟิชชิ่ง)
• ปานกลาง: รหัสผ่าน + TOTP (เสี่ยงต่อการฟิชชิ่ง)
• อ่อนแอ: รหัสผ่าน + SMS/Email (เสี่ยงต่อการฟิชชิ่งและการแย่งชิง SIM)
• อ่อนแอที่สุด: รหัสผ่านเพียงอย่างเดียว

การพึ่งพาแพลตฟอร์มสร้างความเสี่ยงใหม่

การเปลี่ยนไปใช้ passkey เพิ่มการพึ่งพาแพลตฟอร์มเทคโนโลยีใหญ่ๆ เช่น Google, Apple และ Microsoft ผู้ใช้ที่สูญเสียการเข้าถึงบัญชีหลักของพวกเขาผ่านการยกเลิกอัตโนมัติหรือปัญหาอื่นๆ ตอนนี้เผชิญกับการสูญเสียไม่เพียงแค่ข้อมูลของพวกเขา แต่ยังรวมถึงข้อมูลประจำตัวการยืนยันตัวตนสำหรับเว็บไซต์บุคคลที่สาม

การพึ่งพานี้น่ากังวลโดยเฉพาะอย่างยิ่งเมื่อพิจารณาว่าแพลตฟอร์มใหญ่ๆ เป็นที่รู้จักในการยกเลิกบัญชีโดยไม่มีกระบวนการอุทธรณ์ที่ชัดเจน ทำให้ผู้ใช้ไม่มีทางแก้ไขในการกู้คืนตัวตนดิจิทัลของพวกเขาทั่วทั้งเว็บ

เส้นทางข้างหน้า

แม้จะมีความกังวลเหล่านี้ เทคโนโลยีก็กำลังพัฒนา Apple ได้ประกาศฟังก์ชันการส่งออก passkey ใน iOS และ macOS เวอร์ชันที่จะออกมา และตัวจัดการรหัสผ่านเช่น Bitwarden และ KeePassXC กำลังทำงานเพื่อสนับสนุนการพกพา passkey ที่ดีขึ้น อย่างไรก็ตาม ความตึงเครียดพื้นฐานระหว่างความปลอดภัยและการควบคุมของผู้ใช้ยังคงขับเคลื่อนการอภิปรายของชุมชนเกี่ยวกับอนาคตของการยืนยันตัวตนบนเว็บ

การถกเถียงนี้เน้นย้ำคำถามที่กว้างขึ้นเกี่ยวกับว่าประโยชน์ด้านความปลอดภัยของ passkey สมควรกับการสูญเสียสิทธิของผู้ใช้และการเพิ่มการพึ่งพาแพลตฟอร์มที่มาพร้อมกับการใช้งานปัจจุบันหรือไม่

อ้างอิง: Passkeys and Modern Authentication