การพิสูจน์ตัวจริงโดยไร้รหัสผ่าน

การพิสูจน์ตัวจริงโดยไร้รหัสผ่าน 
 เป็นวิธีการพิสูจน์ตัวผู้ใช้
เมื่อลงชื่อเข้าใช้บัญชีระบบคอมพิวเตอร์โดยไม่ต้องจดจำหรือใส่รหัสผ่าน หรือแม้แต่ข้อมูลลับที่มีร่วมกันอื่น ๆ ในการทำให้เกิดผลโดยมาก ผู้ใช้จะใส่ตัวระบุบัญชี (เช่นชื่อผู้ใช้ เบอร์โทร หรือที่อยู่อีเมล) แล้วพิสูจน์ตัวตนด้วยข้อมูลระบุผู้ใช้ ซึ่งเก็บไว้อย่างปลอดภัยในอุปกรณ์ที่ลงทะเบียนไว้
การพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านปกติจะอาศัยโครงสร้างพื้นฐานของการเข้ารหัสแบบกุญแจอสมมาตร เมื่อลงทะเบียน ระบบผู้ใช้จะให้กุญแจสาธารณะ (public key) แก่ระบบบริการไม่ว่าจะเป็นเซิร์ฟเวอร์ แอป หรือเว็บไซต์ โดยระบบผู้ใช้จะเก็บกุญแจส่วนตัว (private key) ไว้ในคอมพิวเตอร์ สมาร์ทโฟน หรือใน security token ซึ่งสามารถเข้าถึงได้โดยลักษณะทางชีวมิติ (เช่น ลายนิ้วมือ) หรือปัจจัยการพิสูจน์ตัวจริงอื่น ๆ ที่ปกติจะไม่อาศัยความรู้
ปัจจัยการพิสูจน์ตัวจริงที่ไม่ใช้ความรู้ปกติจะจัดอยู่ในหมวดสองหมวด คือ
วิธีการอื่นๆ อาจรวมการใช้ปัจจัยหลายอย่างร่วมกัน เช่น ตำแหน่งทางภูมิศาสตร์ ที่อยู่ไอพี รูปแบบพฤติกรรม และท่าทาง/การเคลื่อนไหวร่างกาย
การพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านบางครั้งจะสับสนกับการพิสูจน์ตัวผู้ใช้ด้วยปัจจัยหลายอย่าง (MFA) เพราะทั้งสองล้วนใช้ปัจจัยการพิสูจน์ตัวจริงหลายอย่าง ความต่างก็คือ MFA เป็นตัวเพิ่มความปลอดภัยให้แก่การพิสูจน์ตัวผู้ใช้ซึ่ง"ต้องใช้รหัสผ่าน" แต่การพิสูจน์ตัวผู้ใช้โดย"ไร้รหัสผ่าน"จะไม่ใช้ความลับที่ต้องจำอย่างใดอย่างหนึ่ง และปกติจะใช้ปัจจัยที่ปลอดภัยมากเพื่อพิสูจน์ตัวผู้ใช้ จึงทำให้ใช้ได้ง่ายกว่าและเร็วกว่า
เมื่อใช้วิธีทั้งสองร่วมกัน ก็จะใช้คำว่า "Passwordless MFA" โดยการพิสูจน์ตัวผู้ใช้จะทั้งไม่ใช้รหัสผ่านและใช้ปัจจัยหลายอย่างร่วมกัน ซึ่งจะปลอดภัยที่สุดเมื่อทำให้เกิดผลได้อย่างถูกต้อง
ประวัติ.
แนวคิดว่ารหัสผ่านควรจะเลิกใช้ ได้มีในวิทยาการคอมพิวเตอร์อย่างช้าก็เริ่มในปี#เปลี่ยนทาง 2004
เหตุผลที่ให้มักจะเกี่ยวกับความสะดวกง่ายดายในการใช้และความปลอดภัย
ในงานประชุม RSA Conference ปี#เปลี่ยนทาง 2004 บิล เกตส์ได้พยากรณ์การยกเลิกใช้รหัสผ่านโดยกล่าวว่า "มันใช้การได้ไม่ดีกับทุกอย่างที่ต้องการทำให้ปลอดภัย"
ในปี#เปลี่ยนทาง 2011 บริษัทไอบีเอ็มพยากรณ์ว่า ใน 5#เปลี่ยนทาง ปี "จะไม่ต้องใช้รหัสผ่านอีกต่อไป"
ส่วนนักข่าวที่นิตยสาร "Wired" ผู้ตกเป็นเหยื่อของแฮ็กเกอร์ได้กล่าวในปี#เปลี่ยนทาง 2012 ว่า "สมัยของรหัสผ่านได้ถึงที่สุดแล้ว"
ส่วนผู้จัดการทางความปลอดภัยข้อมูลของกูเกิลได้กล่าวในปี#เปลี่ยนทาง 2013 ว่า "รหัสผ่านจบแล้วที่#เปลี่ยนทาง "
ส่วนรองประธานด้านวิศวกรรมความปลอดภัยที่กูเกิลระบุว่า "รหัสผ่านกับโทเค็นที่ใช้ระบุผู้ใช้ตามปกติ เช่น คุกกี้ [ปัจจุบัน]ไม่พอรักษาความปลอดภัยให้แก่ผู้ใช้แล้ว"<ref name="10.1109/MSP.2012.162"></ref>
ส่วนนักข่าวที่หนังสือพิมพ์ #เปลี่ยนทาง ได้กล่าวว่า รหัสผ่าน "ในที่สุดก็กำลังจะตาย" และพยากรณ์การพิสูจน์ตัวผู้ใช้ด้วยอุปกรณ์ แล้วระบุว่ารหัสผ่านของเขาสำหรับทวิตเตอร์ทำให้เขาต้องเปลี่ยนเบอร์โทรศัพท์มือถือ
งานศึกษาปี#เปลี่ยนทาง 2012 ได้เปรียบเทียบวิธีการพิสูจน์ตัวผู้ใช้ด้วยรหัสผ่านกับวิธี 35#เปลี่ยนทาง อย่างอื่น ๆ ที่เป็นคู่แข่งโดยการใช้ง่าย การจัดนำไปใช้ได้ง่าย (deployability) และความปลอดภัย
การวิเคราะห์พบว่า วิธีการอื่น ๆ โดยมากดีกว่ารหัสผ่านในเรื่องความปลอดภัย บางอย่างดีกว่าและบางอย่างแย่กว่าในเรื่องการใช้ง่าย แต่ไม่มีวิธีไหนเลยที่จัดนำไปใช้ได้ง่ายเท่ากับรหัสผ่าน
ดังนั้นผู้เขียนจึงระบุว่า "ความดีกว่าเพียงเล็กน้อยมักไม่มีกำลังพอให้มองข้ามค่าใช้จ่ายที่สูงในการเปลี่ยนระบบ ซึ่งอาจอธิบายได้ดีสุดว่า ทำไมเราจึงน่าจะต้องอยู่ต่อไปอีกนานพอสมควรกว่าจะได้เห็นขบวนแห่ศพของรหัสผ่านที่จะนำไปสู่สุสาน"
ความก้าวหน้าทางเทคโนโลยีเร็ว ๆ นี้ (เช่น การขยายตัวใช้อุปกรณ์ทางชีวมิติและสมาร์ทโฟนอย่างรวดเร็ว) และความเปลี่ยนแปลงทางธุรกิจ (เช่น การยอมรับใช้ลักษณะทางชีวมิติ และการมีพนักงานที่ไม่ได้ทำงานในที่เดียวกัน) เป็นแรงผลักดันให้ยอมรับการพิสูจน์ตัวผู้ใช้โดยไร้รหัสผ่านเพิ่มขึ้นเรื่อย ๆ
บริษัทเทคโนโลยีแนวหน้า เช่น ไมโครซอฟต์
และกูเกิล
และโปรเจ็กต์ริเริ่มต่าง ๆ ที่ได้การสนับสนุนจากอุตสาหกรรม ต่างก็กำลังพัฒนาทั้งสถาปัตยกรรมและแนวปฏิบัติเพื่อให้นำไปใช้ได้อย่างกว้างขวาง โดยอาจสำรองเก็บรหัสผ่านไว้ใช้ในบางกรณี
การพัฒนามาตรฐานแบบโอเพน เช่น FIDO2 และ WebAuthn ก็ทำให้มีการยอมรับใช้เทคโนโลยีที่ไร้รหัสผ่านมากขึ้น เช่น วินโดวส์ฮัลโหล
ในวันที่#เปลี่ยนทาง 24 มิถุนายน 2020 เว็บบราวเซอร์ซาฟารีประกาศว่า เทคโนโลยี Face ID และ Touch ID จะสามารถใช้เป็นตัวพิสูจน์ตัวผู้ใช้สำหรับการลงชื่อเข้าบัญชีแบบไร้รหัสผ่าน
กลไก.
ผู้ใช้จะต้องลงทะเบียนกับระบบก่อนที่จะใช้กระบวนการพิสูจน์ตัวตนผู้ใช้ได้
การลงทะเบียนแบบไร้รหัสผ่านอาจมีขั้นตอนดังต่อไปนี้
เมื่อลงทะเบียนแล้ว ผู้ใช้ก็จะสามารถลงชื่อเข้าบัญชีของระบบด้วยกระบวนการดังต่อไปนี้
ข้อดีข้อเสีย.
ผู้สนับสนุนชี้ข้อดีพิเศษของวิธีนี้ซึ่งเหนือกว่าวิธีการพิสูจน์ตัวผู้ใช้อื่น ๆ
ส่วนผู้อื่นก็ชี้ข้อเสียในด้านปฏิบัติการและค่าใช้จ่าย
เชิงอรรถและอ้างอิง.
<templatestyles src="Reflist/styles.css" />