การพิสูจน์ตัวจริงโดยไร้รหัสผ่าน

การพิสูจน์ตัวจริงโดยไร้รหัสผ่าน
(passwordless authentication) เป็นวิธีการพิสูจน์ตัวผู้ใช้
เมื่อลงชื่อเข้าใช้บัญชีระบบคอมพิวเตอร์โดยไม่ต้องจดจำหรือใส่รหัสผ่าน หรือแม้แต่ข้อมูลลับที่มีร่วมกันอื่นๆ
ในการทำให้เกิดผลโดยมาก ผู้ใช้จะใส่ตัวระบุบัญชี (เช่นชื่อผู้ใช้ เบอร์โทร หรือที่อยู่อีเมล) แล้วพิสูจน์ตัวตนด้วยข้อมูลระบุผู้ใช้ ซึ่งเก็บไว้อย่างปลอดภัยในอุปกรณ์ที่ลงทะเบียนไว้
การพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านปกติจะอาศัยโครงสร้างพื้นฐานของการเข้ารหัสแบบกุญแจอสมมาตร เมื่อลงทะเบียน ระบบผู้ใช้จะให้กุญแจสาธารณะ (public key) แก่ระบบบริการไม่ว่าจะเป็นเซิร์ฟเวอร์ แอป หรือเว็บไซต์ โดยระบบผู้ใช้จะเก็บกุญแจส่วนตัว (private key) ไว้ในคอมพิวเตอร์ สมาร์ทโฟน หรือใน security token ซึ่งสามารถเข้าถึงได้โดยลักษณะทางชีวมิติ (เช่นลายนิ้วมือ) หรือปัจจัยการพิสูจน์ตัวจริงอื่นๆ ที่ปกติจะไม่อาศัยความรู้
ปัจจัยการพิสูจน์ตัวจริงที่ไม่ใช้ความรู้ปกติจะจัดอยู่ในหมวดสองหมวด คือ
สิ่งที่ผู้ใช้มี เช่น โทรศัพท์มือถือ, โทเค็นสร้างรหัสผ่านที่ใช้ครั้งเดียว (OTP token), สมาร์ตการ์ด หรือ security token
สิ่งที่ผู้ใช้เป็น คือสิ่งที่มีโดยธรรมชาติ เช่น ลายนิ้วมือ ลายม่านตา ใบหน้า หรือเสียงพูด
วิธีการอื่นๆ อาจรวมการใช้ปัจจัยหลายอย่างร่วมกัน เช่น ตำแหน่งทางภูมิศาสตร์ ที่อยู่ไอพี รูปแบบพฤติกรรม และท่าทาง/การเคลื่อนไหวร่างกาย
การพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านบางครั้งจะสับสนกับการพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่าง (MFA)
เพราะทั้งสองล้วนใช้ปัจจัยการพิสูจน์ตัวจริงหลายอย่าง ความต่างก็คือ MFA เป็นตัวเพิ่มความปลอดภัยให้แก่การพิสูจน์ตัวผู้ใช้ซึ่งต้องใช้รหัสผ่าน
แต่การพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านจะไม่ใช้ความลับที่ต้องจำอย่างใดอย่างหนึ่ง และปกติจะใช้ปัจจัยที่ปลอดภัยมากเพื่อพิสูจน์ตัวผู้ใช้ จึงทำให้ใช้ได้ง่ายกว่าและเร็วกว่า
เมื่อใช้วิธีทั้งสองร่วมกัน ก็จะใช้คำว่า "Passwordless MFA" โดยการพิสูจน์ตัวผู้ใช้จะทั้งไม่ใช้รหัสผ่านและใช้ปัจจัยหลายอย่างร่วมกัน ซึ่งจะปลอดภัยที่สุดเมื่อทำให้เกิดผลได้อย่างถูกต้อง
== ประวัติ ==
แนวคิดว่ารหัสผ่านควรจะเลิกใช้ ได้มีในวิทยาการคอมพิวเตอร์อย่างช้าก็เริ่มในปี2004
เหตุผลที่ให้มักจะเกี่ยวกับความสะดวกง่ายดายในการใช้และความปลอดภัย
ในงานประชุม RSA Conference ปี2004 บิล เกตส์ได้พยากรณ์การยกเลิกใช้รหัสผ่านโดยกล่าวว่า "มันใช้การได้ไม่ดีกับทุกอย่างที่ต้องการทำให้ปลอดภัย"
ในปี2011 บริษัทไอบีเอ็มพยากรณ์ว่า ใน 5ปี "จะไม่ต้องใช้รหัสผ่านอีกต่อไป"
ส่วนนักข่าวที่นิตยสาร Wired ผู้ตกเป็นเหยื่อของแฮ็กเกอร์ได้กล่าวในปี2012 ว่า "สมัยของรหัสผ่านได้ถึงที่สุดแล้ว"
ส่วนผู้จัดการทางความปลอดภัยข้อมูลของกูเกิลได้กล่าวในปี2013 ว่า "รหัสผ่านจบแล้วที่"
ส่วนรองประธานด้านวิศวกรรมความปลอดภัยที่กูเกิลระบุว่า "รหัสผ่านกับโทเค็นที่ใช้ระบุผู้ใช้ตามปกติ เช่น คุกกี้ [ปัจจุบัน]ไม่พอรักษาความปลอดภัยให้แก่ผู้ใช้แล้ว"
ส่วนนักข่าวที่หนังสือพิมพ์  ได้กล่าวว่า รหัสผ่าน "ในที่สุดก็กำลังจะตาย" และพยากรณ์การพิสูจน์ตัวผู้ใช้ด้วยอุปกรณ์ แล้วระบุว่ารหัสผ่านของเขาสำหรับทวิตเตอร์ทำให้เขาต้องเปลี่ยนเบอร์โทรศัพท์มือถือ
งานศึกษาปี2012 ได้เปรียบเทียบวิธีการพิสูจน์ตัวผู้ใช้ด้วยรหัสผ่านกับวิธี 35อย่างอื่นๆ ที่เป็นคู่แข่งโดยการใช้ง่าย การจัดนำไปใช้ได้ง่าย (deployability) และความปลอดภัย
(รายงานทางเทคนิคที่อ้างอิงจะมีรายละเอียดยิ่งกว่าเอกสารทางวิชาการที่ตีพิมพ์ในวารสารที่ตรวจสอบโดยผู้รู้เสมอกัน)
การวิเคราะห์พบว่า วิธีการอื่นๆ โดยมากดีกว่ารหัสผ่านในเรื่องความปลอดภัย บางอย่างดีกว่าและบางอย่างแย่กว่าในเรื่องการใช้ง่าย แต่ไม่มีวิธีไหนเลยที่จัดนำไปใช้ได้ง่ายเท่ากับรหัสผ่าน
ดังนั้นผู้เขียนจึงระบุว่า "ความดีกว่าเพียงเล็กน้อยมักไม่มีกำลังพอให้มองข้ามค่าใช้จ่ายที่สูงในการเปลี่ยนระบบ ซึ่งอาจอธิบายได้ดีสุดว่า ทำไมเราจึงน่าจะต้องอยู่ต่อไปอีกนานพอสมควรกว่าจะได้เห็นขบวนแห่ศพของรหัสผ่านที่จะนำไปสู่สุสาน"
ความก้าวหน้าทางเทคโนโลยีเร็วๆ นี้ (เช่น การขยายตัวใช้อุปกรณ์ทางชีวมิติและสมาร์ทโฟนอย่างรวดเร็ว) และความเปลี่ยนแปลงทางธุรกิจ (เช่น การยอมรับใช้ลักษณะทางชีวมิติ และการมีพนักงานที่ไม่ได้ทำงานในที่เดียวกัน)
เป็นแรงผลักดันให้ยอมรับการพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านเพิ่มขึ้นเรื่อยๆ
บริษัทเทคโนโลยีแนวหน้า เช่น ไมโครซอฟต์
และกูเกิล
และโปรเจ็กต์ริเริ่มต่างๆ ที่ได้การสนับสนุนจากอุตสาหกรรม ต่างก็กำลังพัฒนาทั้งสถาปัตยกรรมและแนวปฏิบัติเพื่อให้นำไปใช้ได้อย่างกว้างขวาง โดยอาจสำรองเก็บรหัสผ่านไว้ใช้ในบางกรณี
การพัฒนามาตรฐานแบบโอเพน เช่น FIDO2 และ WebAuthn ก็ทำให้มีการยอมรับใช้เทคโนโลยีที่ไร้รหัสผ่านมากขึ้น เช่น วินโดวส์ฮัลโหล
ในวันที่24 มิถุนายน 2020 เว็บบราวเซอร์ซาฟารีประกาศว่า เทคโนโลยี Face ID และ Touch ID จะสามารถใช้เป็นตัวพิสูจน์ตัวผู้ใช้สำหรับการลงชื่อเข้าบัญชีแบบไร้รหัสผ่าน
== กลไก ==
การลงทะเบียน
ผู้ใช้จะต้องลงทะเบียนกับระบบก่อนที่จะใช้กระบวนการพิสูจน์ตัวตนผู้ใช้ได้
การลงทะเบียนแบบไร้รหัสผ่านอาจมีขั้นตอนดังต่อไปนี้
Registration request (การขอให้ลงทะเบียน) คือเมื่อผู้ใช้พยายามจะลงทะเบียนกับเว็บไซต์ เซิร์ฟเวอร์จะส่งคำขอให้ลงทะเบียนไปยังอุปกรณ์ของผู้ใช้
Authentication factor selection (การเลือกปัจจัยการพิสูจน์ตัวผู้ใช้) คือเมื่ออุปกรณ์ผู้ใช้ได้รับคำขอ ก็จะเลือกวิธีการพิสูจน์ตัวผู้ใช้ เช่น อาจจะเลือกลักษณะทางชีวมิติ เช่น ลายนิ้วมือ หรือใบหน้า เพื่อเป็นตัวระบุผู้ใช้
Key generation (การสร้างกุญแจ) คืออุปกรณ์ผู้ใช้จะสร้างคู่กุญแจ คือกุญแจสาธารณะกับกุญแจส่วนตัว แล้วส่งกุญแจสาธารณะไปให้เซิร์ฟเวอร์เพื่อใช้พิสูจน์ยืนยันผู้ใช้ในอนาคต
การใช้เข้าบัญชี
เมื่อลงทะเบียนแล้ว ผู้ใช้ก็จะสามารถลงชื่อเข้าบัญชีของระบบด้วยกระบวนการดังต่อไปนี้
Authentication challenge (การเรียกร้องให้พิสูจน์ตัวผู้ใช้) คือเมื่อผู้ใช้พยายามจะลงชื่อเข้าบัญชี เซิร์ฟเวอร์จะส่งคำเรียกร้องให้พิสูจน์ตัวผู้ใช้ไปยังอุปกรณ์ของผู้ใช้
User authentication (การพิสูจน์ตัวผู้ใช้) คือผู้ใช้พิสูจน์ตนต่ออุปกรณ์โดยใช้ลักษณะทางชีวมิติ เป็นการปลดล็อกกุญแจส่วนตัว
Challenge response (การตอบสนองคำเรียกร้อง) คือ อุปกรณ์ผู้ใช้จะเซ็นคำตอบสนองทางดิจิทัลด้วยกุญแจส่วนตัวของผู้ใช้ เพื่อตอบสนองต่อคำเรียกร้องให้พิสูจน์ตัวผู้ใช้
Response validation (การตรวจสอบคำตอบสนอง) คือ เซิร์ฟเวอร์จะใช้กุญแจสาธารณะของผู้ใช้เพื่อตรวจสอบความถูกต้องของคำตอบสนองที่เซ็นทางดิจิทัล แล้วจึงให้ผู้ใช้เข้าถึงบัญชีได้
== ข้อดีข้อเสีย ==
ข้อดี
ผู้สนับสนุนชี้ข้อดีพิเศษของวิธีนี้ซึ่งเหนือกว่าวิธีการพิสูจน์ตัวผู้ใช้อื่นๆ
ปลอดภัยดีกว่า เพราะการใช้รหัสผ่านรู้อยู่แล้วว่าเป็นจุดอ่อนของระบบคอมพิวเตอร์ (เพราะรหัสผ่านเดียวกันจะถูกนำไปใช้ซ้ำๆ เพราะให้คนอื่นใช้ เพราะได้เป็นต้น) และจัดว่าเป็นจุดอ่อนที่ทำให้แฮ็กระบบได้มากที่สุด (อาจถึง 80%)
ผู้ใช้สะดวกกว่า เพราะผู้ใช้ไม่ต้องจำรหัสผ่านที่ซับซ้อน หรือต้องทำตามนโยบายความปลอดภัยอันต่างๆ กัน โดยยังไม่ต้องเปลี่ยนรหัสผ่านเป็นประจำอีกด้วย
ค่าใช้จ่ายด้านเทคโนโลยีสารสนเทศขององค์กรจะลดลง เพราะไม่ต้องเก็บและบริหารรหัสผ่าน ฝ่ายเทคโนโลยีสารสนเทศก็จะไม่ต้องตั้งนโยบายรหัสผ่าน ไม่ต้องตรวจจับการรั่วไหล ไม่ต้องจัดการการลืมรหัส และไม่ต้องทำตามกฎหมายควบคุมการเก็บรหัสผ่าน
เห็นได้ชัดเจนกว่าว่าใครใช้ เพราะข้อมูลการเข้าถึงบัญชีจะอยู่กับอุปกรณ์โดยเฉพาะๆ หรือเป็นลักษณะทางชีวมิติของผู้ใช้ จึงไม่สามารถก๊อปเอาไปใช้ได้ ดังนั้น ความปลอดภัยของระบบก็จะดีกว่า
ขยายใช้ได้ดีกว่า เพราะผู้ใช้เพิ่มใช้บัญชีได้โดยไม่ต้องมีรหัสผ่านเพิ่มยิ่งๆ ขึ้น และไม่ต้องผ่านกระบวรการลงทะเบียนบัญชีที่ซับซ้อน
ข้อเสีย
ส่วนผู้อื่นก็ชี้ข้อเสียในด้านปฏิบัติการและค่าใช้จ่าย
มีค่าใช้จ่ายในการทำให้เกิดผล แม้จะยอมรับกันแล้วว่า การพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านจะลดค่าใช้จ่ายในระยะยาว แต่การจัดนำไปใช้ในเบื้องต้นก็มีค่าใช้จ่ายอันเป็นอุปสรรคต่อผู้ที่สนใจใช้เป็นจำนวนมาก โดยมีค่าใช้จ่ายสำหรับการติดตั้งกลไกพิสูจน์ตัวผู้ใช้สำหรับสารบบผู้ใช้ตามที่มีอยู่แล้ว และค่าใช้จ่ายสำหรับฮาร์ดแวร์ที่ผู้ใช้ต้องมี 	(เช่น โทเค็นสร้าง OTP, หรือกุญแจความปลอดภัย)
ต้องมีการฝึกและมีผู้ชำนาญ คือเทียบกับระบบจัดการรหัสผ่านที่คุ้นเคยและใช้มานานแล้ว ทั้งผู้จัดการระบบสารสนเทศและผู้ใช้จะต้องเรียนรู้และปรับตัวใหม่
เป็นจุดล้มเหลวจุดเดียว โดยเฉพาะก็คือ รหัสผ่านแบบใช้ครั้งเดียว หรือข้อความเตือนแบบ push notification ที่ได้ทางแอปสมาร์ทโฟนอาจสร้างปัญหาแก่ผู้ใช้เมื่อสมาร์ทโฟนเสีย หรือหาย หรือถูกขโมย หรือต้องเปลี่ยนใหม่
== เชิงอรรถและอ้างอิง ==
== แหล่งข้อมูลอื่น ==
"True Passwordless MFA" - HYPR Corporation
Passwordless Authentication - Secret Double Octopus
Intro to Passwordless - Passage
ความมั่นคงของระบบคอมพิวเตอร์
การบริหารระบบ
การระบุ
ความมั่นคงของเครือข่ายคอมพิวเตอร์
วิทยาการเข้ารหัสลับ