Passkeys + device intelligence: การป้องกันการยึดบัญชีแบบหลายชั้น

Passkeys คือการยกระดับการยืนยันตัวตนของผู้บริโภคที่สำคัญที่สุดในรอบทศวรรษ และการวางกรอบเรื่องนี้ในวงการก็ชวนให้เข้าใจผิดอยู่เล็กน้อย กรอบดังกล่าวบอกว่า passkeys "แก้" ปัญหาการยึดบัญชีได้ ทั้งที่จริงมันไม่ได้แก้ทั้งหมด มันกำจัดการยึดบัญชีไปเพียงประเภทเดียว ซึ่งเป็นประเภทที่ใหญ่ที่สุดและทำอัตโนมัติได้มากที่สุด และในการทำเช่นนั้น มันก็ผลักผู้โจมตีไปยังส่วนต่าง ๆ ของวงจรชีวิตบัญชีที่ passkeys ปกป้องไม่ได้โดยโครงสร้าง

บทความนี้เขียนขึ้นสำหรับสถาปนิกด้านความปลอดภัยและทีม product security ที่กำลังนำ passkeys มาใช้ และต้องการแผนที่ที่ชัดเจนว่า passkeys ครอบคลุมอะไร ทิ้งอะไรไว้เปิดโล่ง และชั้นของ device intelligence เข้ามาเติมตรงไหน แก่นของเรื่องคือ passkeys และ device intelligence เสริมซึ่งกันและกัน passkeys เสริมความแข็งแรงให้การยืนยันตัวตน ส่วน device intelligence รักษาความปลอดภัยทุกสิ่งรอบ ๆ มัน

สิ่งที่ passkeys แก้ได้จริง

Passkeys แก้ปัญหาการขโมยข้อมูลรับรองด้วยการกำจัดความลับร่วมออกไปทั้งหมด ไม่มีรหัสผ่านให้ฟิชชิง ไม่มีรหัสผ่านให้นำไปใช้ซ้ำข้ามเว็บไซต์ ไม่มีรหัสผ่านนอนรออยู่ในกองข้อมูลที่รั่วไหลเพื่อรอถูกยัด นั่นคือการปิดการยึดบัญชีซึ่งเป็นพื้นผิวการโจมตีที่ใหญ่ที่สุดได้ในคราวเดียว

ในเชิงกลไก passkey คือคู่กุญแจสาธารณะ-ส่วนตัวที่สร้างขึ้นเฉพาะแต่ละเว็บไซต์โดยใช้มาตรฐาน WebAuthn และ FIDO2 กุญแจส่วนตัวไม่เคยออกจากอุปกรณ์ของผู้ใช้ (หรือผู้ให้บริการข้อมูลรับรองที่ซิงก์ไว้) ส่วนเว็บไซต์เก็บเพียงกุญแจสาธารณะ การยืนยันตัวตนเป็นการท้าทาย-ตอบกลับเชิงการเข้ารหัส เว็บไซต์ส่งคำท้าทายมา อุปกรณ์เซ็นด้วยกุญแจส่วนตัว เว็บไซต์ตรวจสอบด้วยกุญแจสาธารณะ ไม่มีสิ่งที่นำกลับมาใช้ซ้ำได้วิ่งผ่านสาย

คุณสมบัติสองข้อตามมา และเป็นข้อที่สำคัญต่อ ATO

การต้านฟิชชิง passkey ถูกผูกเชิงการเข้ารหัสกับ origin ของเว็บไซต์ ผู้ใช้ที่หลงเข้าโดเมนฟิชชิงหน้าตาคล้ายกันจะไม่สามารถแสดง passkey ที่นั่นได้ เพราะเบราว์เซอร์จะไม่เสนอให้ เนื่องจาก origin ไม่ตรงกัน สิ่งนี้เอาชนะการโจมตีแบบ real-time phishing proxy ทั้งหมวด (การโจมตีสไตล์ Evilginx) ที่ทำให้ MFA แบบรหัสครั้งเดียวไร้ประโยชน์ ข้อมูลรับรองไม่สามารถถูกส่งต่อไปยังปลายทางที่ผิดได้เลย

ไม่มีความลับร่วมให้ขโมยเป็นจำนวนมาก ไม่มีฐานข้อมูลรหัสผ่านที่แฮชแล้วให้ดึงออกไป ไม่มีรายการข้อมูลรับรองให้ซื้อ ไม่มีวัตถุดิบสำหรับการยัดข้อมูลรับรอง เศรษฐศาสตร์ของการโจมตีรหัสผ่านอัตโนมัติขึ้นอยู่กับข้อมูลรับรองที่ถูกขโมยมาซึ่งถูกและใช้ซ้ำได้ passkeys ทำให้สิ่งเหล่านั้นไม่มีอยู่จริง

สำหรับขั้นตอนที่ passkey ควบคุมโดยตรง คือผู้ใช้ที่กำลังลงชื่อเข้าใช้บนอุปกรณ์ที่ถือ passkey ของตนอยู่แล้ว สิ่งนี้แทบจะรัดกุมสมบูรณ์ หากฐานผู้ใช้ทั้งหมดของคุณยืนยันตัวตนด้วย passkeys เพียงอย่างเดียวบนอุปกรณ์ที่ตนเป็นเจ้าของอยู่แล้ว สูตรสำเร็จ ATO แบบคลาสสิกก็คงตายไปแล้ว

แต่นั่นไม่ใช่โลกที่บริการจริงใด ๆ ดำเนินอยู่

พื้นผิวการโจมตีที่ passkeys ไม่ครอบคลุม

Passkeys รักษาความปลอดภัยเหตุการณ์การยืนยันตัวตน แต่การยึดบัญชีไม่ได้จำกัดอยู่แค่เหตุการณ์การยืนยันตัวตน มันพุ่งเป้าไปที่วงจรชีวิตบัญชีทั้งหมด และวงจรชีวิตส่วนใหญ่นั้นอยู่นอกขอบเขตที่ passkey ควบคุม มีสี่ช่องโหว่ที่สำคัญ

การกู้คืนบัญชี นี่คือเรื่องใหญ่ ทุกบริการต้องมีวิธีให้ผู้ใช้ที่ทำอุปกรณ์หายกลับเข้าสู่บัญชีได้ เส้นทางการกู้คืนนั้น ไม่ว่าจะเป็นลิงก์อีเมล รหัส SMS คำถามความปลอดภัย รหัสสำรอง หรือการยืนยันผ่านทีมช่วยเหลือ ตามนิยามแล้วก็คือวิธีการยืนยันตัวตนโดยไม่ใช้ passkey ผู้โจมตีที่เอาชนะ passkey ไม่ได้ก็จะหันไปโจมตีขั้นตอนการกู้คืนแทน และขั้นตอนการกู้คืนมักอ่อนแอกว่าการยืนยันตัวตนหลักที่มันข้ามไปอย่างมาก การนำ passkey มาใช้ที่มีทางเลือกสำรอง "รีเซ็ตผ่านรหัส SMS" ก็มีประตูหลังที่ฟิชชิงได้และโดน SIM-swap ได้ ไม่ว่าประตูหน้าจะแข็งแรงเพียงใด

การลงทะเบียนอุปกรณ์ การเพิ่ม passkey ใหม่เข้าบัญชีเป็นการดำเนินการแก้ไขบัญชี และหากผู้โจมตีสามารถลงทะเบียน passkey ของอุปกรณ์ตนเองได้ พวกเขาก็จะมีสิทธิ์เข้าถึงแบบถูกต้องตามกฎหมายอย่างถาวร การลงทะเบียนมักถูกกั้นด้วยเซสชันที่ยืนยันตัวตนแล้วที่มีอยู่ ซึ่งหมายความว่ามันสืบทอดจุดอ่อนของสิ่งที่สร้างเซสชันนั้นขึ้นมา รวมถึงขั้นตอนการกู้คืนข้างต้นด้วย การลงทะเบียน passkey ใหม่คือเทียบเท่ายุคใหม่ของ "เพิ่มกฎการส่งต่อ" คือเงียบ ฝังตัวอยู่ และพลาดสังเกตได้ง่าย

การขโมยเซสชัน passkeys ยืนยันตัวตน แต่ไม่ยืนยันตัวตนซ้ำอย่างต่อเนื่อง เมื่อผู้ใช้ลงชื่อเข้าใช้แล้ว โทเคนเซสชันที่ได้ก็เป็นข้อมูลรับรองแบบ bearer เหมือนอย่างอื่น ขโมยมันไป ไม่ว่าจะผ่านมัลแวร์ ส่วนขยายที่เป็นอันตราย อุปกรณ์ที่ถูกเจาะ หรือการโจมตีดึงโทเคนออก แล้วคุณก็ได้เซสชันที่ยืนยันตัวตนแล้วโดยไม่ต้องแตะ passkey เลย ความแข็งแรงของการล็อกอินไม่ได้บอกอะไรเกี่ยวกับความปลอดภัยของชั่วโมงที่ตามมา

กลุ่มผู้ใช้จำนวนมากที่ไม่ได้ลงทะเบียน การรับ passkey มาใช้เกิดขึ้นจริงแต่เป็นเพียงบางส่วน สัดส่วนที่มีนัยสำคัญของฐานผู้บริโภคใด ๆ จะไม่มี passkey ได้แก่ อุปกรณ์รุ่นเก่า เครื่องที่ใช้ร่วมกันหรือของบริษัท ผู้ใช้ที่ปัดข้อความแจ้งทิ้ง ผู้ใช้ที่ไม่เข้าใจมัน ทุกบัญชีเหล่านั้นยังคงมีเส้นทางแบบใช้รหัสผ่านหรือใช้รหัส และผู้โจมตีก็จดจ่ออยู่กับเส้นทางนั้นเป๊ะ ๆ บริการจะปลอดภัยได้เพียงเท่ากับวิธีการยืนยันตัวตนที่อ่อนแอที่สุดที่มีให้ใช้ และสำหรับกลุ่มที่ไม่ได้ลงทะเบียน วิธีนั้นก็คือวิธีเก่า

รูปแบบที่เห็นได้ในทั้งสี่ช่องโหว่ คือ การยืนยันตัวตนที่แข็งแรงไม่ได้ขจัดแรงจูงใจในการยึดบัญชี มันย้ายที่ตั้งของการโจมตี นี่คือบทเรียนที่สอดคล้องกันจากภูมิทัศน์ ATO ปี 2026 ทุกครั้งที่เวกเตอร์หนึ่งแข็งแรงขึ้น ผู้โจมตีก็ไหลไปยังเวกเตอร์ที่อ่อนแอที่สุดถัดไป passkeys ย้ายสมรภูมิจากฟอร์มล็อกอินไปยังขั้นตอนการกู้คืน ขั้นตอนการลงทะเบียน และเซสชันหลังล็อกอิน

ทำไม device intelligence จึงอุดช่องโหว่ได้

Device intelligence อุดช่องโหว่ของ passkey ได้เพราะมันทำงานบนแกนที่ต่างออกไป passkeys ถามว่า "ผู้ใช้รายนี้ถือกุญแจที่ถูกต้องหรือไม่" ส่วน device intelligence ถามว่า "นี่คืออุปกรณ์และบริบทที่เราคาดหวังสำหรับบัญชีนี้หรือไม่ ในทุก ๆ การกระทำ" คำถามที่สองตอบได้แม้ไม่มี passkey เข้ามาเกี่ยวข้อง ซึ่งเป็นสถานการณ์เดียวกับที่เกิดในการกู้คืน การลงทะเบียน และกลุ่มที่ไม่ได้ลงทะเบียนพอดี

กลไกคืออัตลักษณ์อุปกรณ์ที่คงอยู่ ตัวระบุที่เสถียรซึ่งสร้างจากสัญญาณของเบราว์เซอร์ ฮาร์ดแวร์ เครือข่าย และพฤติกรรม ที่จดจำอุปกรณ์ซึ่งกลับมาอีกครั้งข้ามเซสชันได้โดยไม่ต้องพึ่งข้อมูลรับรองที่จัดเก็บไว้ (วิธีสร้างตัวระบุนั้นและเหตุผลที่มันอยู่รอดแม้ลบคุกกี้ อธิบายไว้ในวิธีการทำงานของ device fingerprinting) เมื่ออัตลักษณ์นั้นผูกกับประวัติของบัญชี ช่องโหว่ทั้งสี่ก็ได้การควบคุมที่ passkeys ให้ไม่ได้

การกู้คืนที่ผูกกับอุปกรณ์ที่รู้จัก เมื่อมีความพยายามกู้คืนเข้ามา device intelligence ตอบคำถามที่ขั้นตอนการกู้คืนตอบเองไม่ได้ นั่นคือ การกู้คืนนี้เริ่มต้นจากอุปกรณ์ที่บัญชีนี้เคยใช้หรือไม่ การกู้คืนจากอุปกรณ์ใหม่เอี่ยมในประเทศใหม่บน IP ของดาต้าเซ็นเตอร์ ย่อมเสี่ยงกว่าการกู้คืนจากแล็ปท็อปประจำของผู้ใช้อย่างเห็นได้ชัด สัญญาณนั้นทำให้คุณจัดระดับขั้นตอนการกู้คืนได้ คือยืนยันแบบเบาจากอุปกรณ์ที่รู้จัก ยืนยันแบบเข้ม (หรือกักไว้) จากอุปกรณ์ที่ไม่รู้จัก แทนที่จะใช้การตรวจ SMS ที่อ่อนแอแบบเดียวกันกับทุกคน

การลงทะเบียนที่กั้นด้วยความน่าเชื่อถือของอุปกรณ์ คำขอลงทะเบียน passkey ใหม่สามารถถูกประเมินเทียบกับประวัติอุปกรณ์ได้ การลงทะเบียน passkey จากอุปกรณ์ประจำของผู้ใช้เป็นสิ่งที่คาดหวังได้ ส่วนการลงทะเบียนจากอุปกรณ์ที่เพิ่งปรากฏเมื่อไม่กี่นาทีก่อน ทันทีหลังเหตุการณ์การกู้คืน จากเครือข่ายที่น่าสงสัย คือลายเซ็นของบัญชีที่กำลังถูกยึด device intelligence ทำให้คำขอลงทะเบียนนั้นอ่านออกแทนที่จะมองไม่เห็น

การประเมินเซสชันอย่างต่อเนื่องหลังล็อกอิน เนื่องจากอัตลักษณ์อุปกรณ์ถูกประเมินในทุกคำขอ ไม่ใช่แค่ตอนล็อกอิน เซสชันที่เริ่มบนอุปกรณ์หนึ่งแล้วดำเนินต่อบนอีกอุปกรณ์หนึ่ง ซึ่งเป็นลายนิ้วมือของโทเคนที่ถูกขโมยและนำไปเล่นซ้ำที่อื่น จึงตรวจจับได้ การที่บริบทอุปกรณ์หรือเครือข่ายกลางเซสชันเปลี่ยนไปจากอุปกรณ์ที่ยืนยันตัวตนไว้ คือสัญญาณการขโมยเซสชันที่ความแข็งแรงของการยืนยันตัวตนที่ประตูหน้าไม่ว่าจะมากแค่ไหนก็จับไม่ได้ นี่คือหลักการของการตรวจสอบอุปกรณ์แบบ zero-trust คือความน่าเชื่อถือถูกประเมินอย่างต่อเนื่อง ไม่ใช่มอบให้ครั้งเดียวที่ประตู

การครอบคลุมผู้ใช้ที่ไม่ได้ลงทะเบียน สำหรับผู้ใช้ที่ไม่เคยรับ passkey มาใช้ device intelligence คือชั้นที่ทำงานแทน คือจดจำอุปกรณ์ที่รู้จักของพวกเขาและปล่อยให้การล็อกอินที่ถูกต้องผ่านไปโดยมีแรงเสียดทานต่ำ พร้อมกับตั้งธงเตือนความพยายามยัดข้อมูลรับรองและความพยายามจากอุปกรณ์ที่ไม่รู้จักซึ่งพุ่งเป้าไปยังกลุ่มนี้พอดี ผู้ใช้ที่เสี่ยงที่สุดจากการรับ passkey มาใช้เพียงบางส่วน คือกลุ่มที่ device intelligence ปกป้องได้โดยตรงที่สุด

เส้นเรื่องหลักคือ passkeys พิสูจน์การครอบครองกุญแจ ณ ช่วงเวลาหนึ่ง ส่วน device intelligence สร้างบริบทของอุปกรณ์และพฤติกรรมข้ามทุกช่วงเวลา ช่องโหว่ของอย่างแรกคือขอบเขตของอย่างที่สองพอดี

สองชั้นทำงานร่วมกันในทางปฏิบัติอย่างไร

ในการนำมาใช้แบบหลายชั้น passkeys และ device intelligence ทำงานควบคู่กัน แต่ละอย่างมีอำนาจตัดสินในเรื่องที่ตนเหมาะสม แล้วป้อนเข้าสู่ภาพความเสี่ยงเดียวกัน

ที่ขั้นล็อกอิน passkey เมื่อมีอยู่ก็คือปัจจัยหลักที่แข็งแรง ต้านฟิชชิงและไม่มีความลับร่วม device intelligence ทำงานเคียงข้างไปด้วย โดยยืนยันเงียบ ๆ ว่าอุปกรณ์เป็นที่รู้จักและบริบทเป็นปกติ สำหรับการล็อกอินด้วย passkey จากอุปกรณ์ที่รู้จัก สิ่งนี้มองไม่เห็น ผู้ใช้ลงชื่อเข้าใช้ ไม่มีอะไรถามเพิ่ม สัญญาณอุปกรณ์จะถูกนำมาพิจารณาก็ต่อเมื่อมันไม่สอดคล้องกับสิ่งที่คาดหวังเท่านั้น

ที่ขั้นการกู้คืนและการลงทะเบียน ซึ่งไม่มีการแสดง passkey (นั่นคือแก่นทั้งหมดของขั้นตอนเหล่านี้) device intelligence กลายเป็นข้อมูลความเสี่ยงหลัก ผลตัดสินจากsmart signals ได้แก่ อุปกรณ์ที่รู้จัก ชื่อเสียงของเครือข่าย ความสม่ำเสมอเชิงพฤติกรรม เป็นตัวกำหนดว่าขั้นตอนจะดำเนินต่อไปแบบเบา ยกระดับไปสู่การยืนยันที่เข้มขึ้น หรือกักไว้เพื่อตรวจสอบ นี่คือจุดที่ประตูหลังตัวจริงของการนำ passkey มาใช้ได้ล็อกกุญแจ

หลังล็อกอิน device intelligence ให้การประเมินอย่างต่อเนื่อง หน้าที่ของ passkey จบลงที่การยืนยันตัวตน ส่วนชั้นอุปกรณ์เฝ้าดูเซสชันเพื่อจับการเปลี่ยนบริบทที่บ่งชี้การขโมยโทเคน และสามารถบังคับให้ยืนยันตัวตนใหม่ได้เมื่อสัญญาณอุปกรณ์แตกกลางเซสชัน

สำหรับผู้ใช้ที่ไม่ได้ลงทะเบียน device intelligence แบกภาระหลักที่ขั้นล็อกอินด้วยเช่นกัน โดยแยกแยะอุปกรณ์ที่รู้จักซึ่งกลับมาออกจากความพยายามยัดข้อมูลรับรอง จนกว่า (และถ้า) ผู้ใช้จะรับ passkey มาใช้

การแบ่งงานเป็นระเบียบชัดเจน เพราะกลไกทั้งสองตอบคำถามที่ต่างกันจริง ๆ และล้มเหลวในแบบที่ต่างกันจริง ๆ passkey บอกคุณไม่ได้ว่าอุปกรณ์ที่ขอรีเซ็ตรหัสผ่านน่าเชื่อถือหรือไม่ ส่วน device intelligence ให้การพิสูจน์เชิงการเข้ารหัสแบบต้านฟิชชิงถึงการครอบครองกุญแจไม่ได้ การนำอย่างหนึ่งมาใช้โดยไม่มีอีกอย่างจะทิ้งช่องโหว่ที่คาดเดาได้ passkeys เพียงลำพังทิ้งขั้นตอนการกู้คืนและเซสชันไว้อ่อน ส่วน device intelligence เพียงลำพังก็ขาดความแข็งแรงของการยืนยันตัวตนเชิงการเข้ารหัสที่ประตูหน้า

การวางกรอบอย่างตรงไปตรงมาสำหรับการเปิดใช้ passkey

หากคุณกำลังเปิดใช้ passkeys ข้อความภายในที่ถูกต้องไม่ใช่ "เราแก้ปัญหาการยึดบัญชีได้แล้ว" แต่คือ "เรากำจัดการขโมยข้อมูลรับรองในฐานะเวกเตอร์การโจมตีได้แล้ว และตอนนี้เราต้องเสริมความแข็งแรงให้ขั้นตอนที่ผู้โจมตีจะย้ายไป" ขั้นตอนเหล่านั้น ได้แก่ การกู้คืน การลงทะเบียน เซสชัน และกลุ่มที่ไม่ได้ลงทะเบียน คือจุดที่ความพยายาม ATO รอบถัดไปจะกระจุกตัว ก็เพราะประตูหน้าแข็งแรงขึ้นนั่นเอง การเปิดใช้ passkey ที่ไม่เสริมความแข็งแรงให้การกู้คืนไปพร้อมกัน ก็เท่ากับย้ายกุญแจจากประตูไปที่หน้าต่างโดยเปิดหน้าต่างทิ้งไว้

การเสริมความแข็งแรงนั้นคือสิ่งที่ชั้น device intelligence มอบให้ และเป็นเหตุผลที่ท่าทีป้องกัน ATO ที่แข็งแกร่งที่สุดจับคู่ทั้งสองอย่างเข้าด้วยกัน passkeys ทำให้เหตุการณ์การยืนยันตัวตนแทบเอาชนะไม่ได้ ส่วน device intelligence ทำให้ส่วนที่เหลือของวงจรชีวิตบัญชี ซึ่งเป็นส่วนที่ผู้โจมตีหันไปหาเพราะเหตุการณ์การยืนยันตัวตนเอาชนะไม่ได้ กลายเป็นสิ่งที่สังเกตและประเมินคะแนนได้

Tracio จัดหา device intelligence ครึ่งหนึ่งของการจับคู่นั้น คืออัตลักษณ์อุปกรณ์ที่คงอยู่ซึ่งอยู่รอดแม้ลบคุกกี้และเริ่มเซสชันใหม่ สัญญาณความเสี่ยงของเครือข่ายและพฤติกรรม และผลตัดสินที่คืนกลับในเวลาต่ำกว่า 50ms ที่เสียบเข้ากับการกู้คืน การลงทะเบียน และการตรวจสอบเซสชันต่อเนื่อง มันทำงานเงียบ ๆ อยู่เบื้องหลังการล็อกอินด้วย passkey จากอุปกรณ์ที่รู้จัก และก้าวออกมาข้างหน้าตรงจุดที่ passkeys เอื้อมไม่ถึงพอดี

อยากเห็นไหมว่า device intelligence ครอบคลุมขั้นตอนที่การนำ passkey มาใช้ของคุณเปิดทิ้งไว้ได้อย่างไร

เริ่มทดลองใช้ฟรี — ตรวจสอบฟรี 2,500 ครั้ง ไม่ต้องใช้บัตรเครดิต จองเดโม เพื่อจับคู่ device intelligence เข้ากับสถาปัตยกรรมการยืนยันตัวตน การกู้คืน และเซสชันของคุณ