2FA และ Passkey คืออะไร ต่างกันอย่างไร ควรเปิดแบบไหน

คำตอบสั้น

2FA (การยืนยันตัวตนสองปัจจัย) คือการเพิ่มขั้นตอนที่สองนอกเหนือจากรหัสผ่าน เช่น รหัสจากแอปหรือลายนิ้วมือ ส่วน Passkey เป็นวิธีล็อกอินแบบใหม่ที่ใช้แทนรหัสผ่านได้เลย และผูกกับเว็บจริง จึงกันการหลอกให้กรอกข้อมูลในเว็บปลอมได้ดีกว่า แนวทางที่เหมาะคือใช้ Passkey ในบริการที่รองรับ และเปิด 2FA ในบริการที่ยังไม่รองรับ

2FA คืออะไร

รหัสผ่านอย่างเดียวมีจุดอ่อนคือ ถ้าใครได้รหัสไป ไม่ว่าจะจากการเดา การรั่วไหลของข้อมูลจากเว็บอื่น หรือการหลอกให้กรอก ก็เข้าบัญชีเราได้ทันที 2FA (Two-Factor Authentication) จึงเพิ่มด่านที่สองเข้ามา ต่อให้รหัสผ่านหลุด ผู้อื่นก็ยังเข้าไม่ได้ถ้าไม่มีองค์ประกอบที่สอง

CISA หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ ระบุว่า Multifactor Authentication (MFA), Two Step Authentication, 2-Step Verification และ 2FA หมายถึงแนวคิดเดียวกัน เห็นเมนูที่เขียนต่างกันจึงไม่ต้องกังวล

องค์ประกอบ 3 ประเภท

MFA ขอให้ผู้ใช้พิสูจน์ตัวตนด้วยองค์ประกอบตั้งแต่สองประเภทขึ้นไป CISA แบ่งออกเป็น 3 ประเภท

ประเภท	ตัวอย่าง
สิ่งที่คุณรู้ (Something you know)	รหัสผ่าน หรือ PIN
สิ่งที่คุณมี (Something you have)	แอปยืนยันตัวตน หรือรหัสที่ส่งมาทางข้อความในโทรศัพท์
สิ่งที่คุณเป็น (Something you are)	ลายนิ้วมือ หรือการสแกนใบหน้า

2FA ต้องใช้คนละประเภทกัน เช่น รหัสผ่าน (สิ่งที่รู้) คู่กับรหัสจากโทรศัพท์ (สิ่งที่มี)

CISA ระบุว่าผู้ใช้ที่เปิด MFA มีโอกาสถูกแฮ็กน้อยลงอย่างมาก เหตุผลคือถ้าคนร้ายได้องค์ประกอบเดียว เช่น รหัสผ่าน ก็ยังไม่ผ่านด่านที่สอง CISA แนะนำให้เปิดเมื่อบริการมีตัวเลือกนี้ โดยเฉพาะบัญชีอีเมล บัญชีการเงิน โซเชียลมีเดีย ร้านค้าออนไลน์ และบริการเกมหรือสตรีมมิง

วิธียืนยันตัวตนสองขั้นตอนที่พบบ่อย

CISA จัดรูปแบบ MFA ยอดนิยมไว้ 4 กลุ่ม แต่ละแบบมีจุดแข็งและข้อจำกัดต่างกัน

วิธี	ทำงานอย่างไร	ข้อสังเกต
รหัสทาง SMS หรือสายโทรศัพท์	บริการส่งรหัสสั้นๆ มาที่เบอร์โทรศัพท์ แล้วเรากรอกกลับ	ใช้ง่าย แต่มีข้อจำกัดด้านความปลอดภัย (ดูหัวข้อถัดไป)
แอปยืนยันตัวตน	แอปในเครื่องสร้างรหัสครั้งเดียว (OTP) เปลี่ยนตามเวลา หรือส่งการแจ้งเตือนให้กดอนุมัติ	รหัสจากแอปไม่ต้องพึ่งสัญญาณมือถือ แต่ยังถูกหลอกให้บอกรหัสหรือกดอนุมัติได้
ลายนิ้วมือหรือสแกนใบหน้า	ใช้ไบโอเมตริกของเครื่อง	สะดวก มักใช้ปลดล็อกอุปกรณ์หรือยืนยันผ่าน passkey
MFA ที่ต้านการหลอกลวง (phishing-resistant)	ใช้มาตรฐาน FIDO/WebAuthn เช่น passkey หรือกุญแจความปลอดภัย	ผูกกับเว็บจริง กันเว็บปลอมได้

ทำไมรหัส SMS จึงไม่ใช่ตัวเลือกที่แข็งแรงที่สุด

SMS ดีกว่าไม่มีอะไรเลย CISA ระบุชัดว่า “MFA แบบใดก็ดีกว่าไม่มี MFA” แต่ CISA ก็ระบุว่า MFA แต่ละแบบให้ระดับการป้องกันไม่เท่ากัน และแนะนำว่าถ้ายังใช้ phishing-resistant MFA ไม่ได้ ให้ใช้ number matching (การจับคู่ตัวเลข) เพื่อป้องกันการถล่มอนุมัติผ่านการแจ้งเตือน (push bombardment) และการโจมตีที่พุ่งเป้าไปที่ SMS

เอกสารแนวทางการพิสูจน์ตัวตนของ NIST (สถาบันมาตรฐานและเทคโนโลยีแห่งสหรัฐฯ) SP 800-63B ซึ่งเป็นมาตรฐานอ้างอิงที่หน่วยงานและบริการจำนวนมากใช้ อธิบายความเสี่ยงของ SMS และสายโทรศัพท์ไว้ตรงๆ ว่าเป็นวิธีแบบ “restricted” หรือถูกจำกัดการใช้ และ NIST ระบุว่าอาจปรับสถานะนี้ตามสถานการณ์ภัยคุกคามที่เปลี่ยนไป เหตุผลที่เอกสารกล่าวถึง ได้แก่

• คนร้ายอาจโน้มน้าวผู้ให้บริการมือถือให้โอนสายของเหยื่อมาให้ตน แล้วรับรหัสแทน NIST แนะนำให้ผู้ให้บริการยืนยันตัวตนพิจารณาสัญญาณเสี่ยง เช่น การเปลี่ยนเครื่อง การเปลี่ยนซิม หรือการย้ายเลขหมาย ก่อนส่งรหัสทางโทรศัพท์
• แอปอันตรายบนเครื่องอาจอ่านรหัสที่ส่งมาทาง SMS แล้วส่งให้คนร้าย

ถ้าบริการมีแค่ SMS ก็ควรเปิดไว้ แต่ถ้ามีแอปยืนยันตัวตนหรือ passkey ให้เลือกสิ่งเหล่านั้นก่อน

อีกความเสี่ยงหนึ่งเกิดกับการอนุมัติแบบ push ไม่ใช่ SMS คือคนร้ายส่งคำขอรัวๆ จนผู้ใช้กดอนุมัติเพื่อให้หยุด NIST เรียกว่า authentication fatigue (ความล้าจากการยืนยันตัวตน)

จุดอ่อนร่วมของ OTP และ push: ถูกหลอกได้

NCSC หน่วยงานด้านไซเบอร์ของสหราชอาณาจักรประเมินว่า MFA แบบดั้งเดิมทุกชนิด ทั้งรหัสผ่านคู่กับรหัส SMS รหัสทางอีเมล รหัส OTP จากแอปหรืออุปกรณ์ และการกดอนุมัติแบบ push “ถูกฟิชชิ่งได้โดยธรรมชาติ” เพราะรหัสหรือการอนุมัติเหล่านั้นถูกดักและส่งต่อได้ระหว่างที่เรากำลังล็อกอินอยู่ ตัวอย่างเช่น เราเปิดเว็บปลอมที่หน้าตาเหมือนธนาคาร กรอกรหัสผ่านและรหัส OTP คนร้ายก็นำค่าเหล่านั้นไปกรอกที่เว็บจริงทันที

ข้อนี้ไม่ได้แปลว่า OTP ใช้ไม่ได้ NCSC ระบุว่า MFA แบบดั้งเดิมยังมีประสิทธิภาพ เพียงแต่ passkey เข้ามาแก้จุดอ่อนเรื่องการถูกหลอกให้กรอก

Passkey คืออะไร

Passkey คือข้อมูลยืนยันตัวตนแบบใหม่ที่ใช้แทนรหัสผ่านได้ NCSC อธิบายว่าเป็นกุญแจดิจิทัลที่ปกป้องด้วยวิธีปลดล็อกอุปกรณ์ที่เราใช้อยู่แล้ว ได้แก่ ลายนิ้วมือ การสแกนใบหน้า หรือรหัสผ่านเครื่อง เราจึงไม่ต้องจำหรือพิมพ์อะไรใหม่

passkeys.dev เว็บทรัพยากรสำหรับนักพัฒนาที่อธิบายเรื่อง passkey ระบุคุณสมบัติหลักไว้ดังนี้

• ไม่ซ้ำกันโดยอัตโนมัติ passkey ถูกสร้างแยกตามแต่ละบริการ จึงไม่มีโอกาสใช้ซ้ำข้ามเว็บ
• ทนต่อการรั่วไหลของข้อมูล passkey เก็บอยู่ในอุปกรณ์ของผู้ใช้ เซิร์ฟเวอร์ของบริการเก็บเฉพาะกุญแจสาธารณะ (public key) แม้เซิร์ฟเวอร์ที่ช่วยซิงก์ passkey ระหว่างอุปกรณ์ก็ไม่สามารถดูหรือใช้กุญแจส่วนตัว (private key) ของผู้ใช้ได้
• ต้านการฟิชชิ่ง ความไว้ใจไม่ได้อยู่ที่ตัวคนที่ต้องตรวจเองว่าเข้าเว็บถูกหรือไม่ แต่เบราว์เซอร์และระบบปฏิบัติการจะบังคับให้ passkey ใช้ได้กับบริการที่ถูกต้องเท่านั้น

Passkey ทำงานอย่างไร (ภาพรวม)

NCSC ระบุว่า FIDO2 ตัดความสามารถในการนำข้อมูลยืนยันตัวตนไปใช้ซ้ำหรือส่งต่อได้ง่ายๆ และเนื่องจากเบราว์เซอร์ตรวจชื่อเว็บก่อนใช้ ถ้าเข้าเว็บปลอม อุปกรณ์ก็จะไม่ส่งการยืนยันให้ นี่คือสาเหตุที่หน้า More than a Password ของ CISA (ปัจจุบันเป็นหน้าเก็บถาวร) ระบุว่าการยืนยันตัวตนแบบ FIDO/WebAuthn เป็นวิธี phishing-resistant เพียงวิธีเดียวที่ใช้ได้อย่างแพร่หลาย และเมื่อคนร้ายหลอกผู้ใช้ให้ล็อกอินในเว็บปลอม โปรโตคอล FIDO จะปิดกั้นความพยายามนั้น

NCSC ประเมินว่า FIDO2 ซึ่งรวมถึง passkey “ปลอดภัยเท่ากับหรือมากกว่า” MFA แบบดั้งเดิมเมื่อเทียบกับการโจมตีทั่วไปที่พบจริง และเมื่อมีการยืนยันตัวผู้ใช้ (user verification) ด้วยวิธีที่ปกติใช้ปลดล็อกอุปกรณ์ ก็นับเป็น MFA ด้วยตัวมันเอง เพราะรวมสิ่งที่มี (กุญแจในเครื่อง) กับสิ่งที่เป็นหรือสิ่งที่รู้ (ลายนิ้วมือ ใบหน้า หรือรหัสเครื่อง) ไว้ในขั้นตอนเดียว

2FA กับ Passkey ต่างกันอย่างไร

สองอย่างนี้ไม่ได้เป็นคู่แข่งโดยตรง 2FA คือแนวคิดการเพิ่มองค์ประกอบที่สองให้รหัสผ่าน ส่วน passkey เป็นเทคโนโลยีที่เข้ามาแทนรหัสผ่านและนับเป็น MFA ในตัวเมื่อมีการยืนยันตัวผู้ใช้

หัวข้อ	รหัสผ่าน + 2FA แบบดั้งเดิม	Passkey
ต้องจำรหัสผ่านหรือไม่	ต้องจำ (หรือเก็บในตัวจัดการรหัสผ่าน)	ไม่ต้อง ปลดล็อกอุปกรณ์ด้วยวิธีที่ใช้อยู่แล้ว
ใช้ซ้ำข้ามบริการได้หรือไม่	รหัสผ่านใช้ซ้ำได้ (ซึ่งเป็นความเสี่ยง)	ไม่ได้ สร้างแยกต่อบริการโดยอัตโนมัติ
ถูกหลอกให้กรอกในเว็บปลอมได้หรือไม่	ได้ ทั้งรหัสผ่านและรหัส OTP	passkey ไม่มีอะไรให้กรอกและใช้กับเว็บปลอมไม่ได้ แต่ถ้าบัญชียังเปิดการเข้าด้วยรหัสผ่านไว้ รหัสผ่านนั้นก็ยังถูกหลอกได้
รองรับในบริการต่างๆ	แพร่หลายมาก	รองรับมากขึ้นเรื่อยๆ แต่ยังไม่ครบทุกบริการ

เรื่องซิงก์ passkey และความกังวลที่พบบ่อย

Passkey หลายชนิดซิงก์ข้ามอุปกรณ์ผ่านบริการของระบบปฏิบัติการหรือผู้ให้บริการได้ ทำให้เปลี่ยนเครื่องแล้วไม่ต้องตั้งใหม่ทั้งหมด NCSC อธิบายว่าความเสี่ยงนี้ไม่ได้ใหม่ เพราะคนส่วนใหญ่ใช้การซิงก์บนคลาวด์กับตัวจัดการรหัสผ่านและอีเมลอยู่แล้ว สิ่งสำคัญคือความแข็งแรงของบัญชีที่ใช้ซิงก์ ซึ่งควรป้องกันด้วย MFA ของตัวเอง

NIST กำหนดไว้ใน SP 800-63B ว่ากุญแจที่ซิงก์ต้องเก็บแบบเข้ารหัส และการเข้าถึงที่เก็บซิงก์ต้องป้องกันด้วย MFA นอกจากนี้ passkey ที่ซิงก์ได้ห้ามใช้ในระดับ AAL3 (ระดับสูงสุด) เพราะกุญแจส่วนตัวต้อง “ส่งออกได้” ส่วนผู้ใช้ทั่วไป NCSC มองว่า passkey ให้การป้องกันที่ดีกว่า MFA แบบดั้งเดิมอยู่แล้ว

ควรเปิดแบบไหน

NCSC ประกาศแนวทางว่าจะเริ่มแนะนำ passkey ทุกที่ที่บริการรองรับ และแนะนำการยืนยันสองขั้นตอน (2SV) ในที่ที่ยังไม่รองรับ สอดคล้องกับคำแนะนำสำหรับผู้ใช้ทั่วไปที่ว่า ให้ใช้ passkey เป็นตัวเลือกแรก ส่วนบัญชีที่ยังไม่มี passkey ให้ใช้รหัสผ่านที่แข็งแรงและไม่ซ้ำกัน ร่วมกับ 2SV นำมาจัดเป็นลำดับเลือกได้ดังนี้

1. Passkey หรือกุญแจความปลอดภัยแบบ FIDO ถ้าบริการรองรับ
2. แอปยืนยันตัวตน (รหัส OTP หรือ push ที่มี number matching) ถ้าไม่มี passkey
3. SMS หรือสายโทรศัพท์ เมื่อไม่มีตัวเลือกอื่น เพราะยังดีกว่าไม่มี MFA

บัญชีที่ควรเปิดก่อน

CISA ระบุบริการที่ควรเปิด MFA ได้แก่ อีเมล บัญชีการเงิน โซเชียลมีเดีย ร้านค้าออนไลน์ และบริการเกมหรือสตรีมมิง หากจะเริ่มทีละบัญชี อีเมลเป็นจุดเริ่มต้นที่ดี เพราะมักใช้รีเซ็ตรหัสผ่านของบริการอื่น

ข้อควรระวังเวลาใช้

• อย่าบอกรหัสให้ใคร ใครมาขอรหัสที่ส่งให้เรา แปลว่าน่าสงสัย
• อย่ากดอนุมัติคำขอที่เราไม่ได้เริ่ม ถ้าแจ้งเตือนเข้ามารัวๆ ให้ปฏิเสธและเปลี่ยนรหัสผ่านของบัญชีนั้น
• ตรวจวิธีกู้คืนบัญชี ดูว่าถ้าโทรศัพท์หายจะกลับเข้าบัญชีได้อย่างไร และเพิ่มวิธียืนยันสำรองไว้ล่วงหน้า
• เปิดผ่านหน้าตั้งค่าที่เข้าเอง ถ้าได้รับข้อความให้กดลิงก์ไป “เปิด 2FA” อาจเป็นการหลอกลวง ดู SMS และลิงก์หลอกลวง

คำถามที่พบบ่อย

เปิด 2FA แล้ว บัญชีจะไม่ถูกแฮ็กเลยใช่ไหม

ไม่ใช่ 2FA ลดความเสี่ยงได้มากแต่ไม่ได้ทำให้เป็นศูนย์ ยังต้องระวังการถูกหลอกให้บอกรหัสหรือกดอนุมัติ ถ้าบริการรองรับ passkey ควรเปลี่ยนมาใช้ และทำตามข้อควรระวังด้านบนประกอบ

Passkey ปลอดภัยกว่า 2FA แบบเดิมจริงหรือ

เมื่อเทียบกับการโจมตีที่พบจริง เช่น ฟิชชิ่ง การใช้รหัสผ่านซ้ำ และการแย่งเซสชัน NCSC ให้คำตอบว่าเท่ากันหรือดีกว่า แต่ความปลอดภัยยังขึ้นกับบัญชีที่ใช้ซิงก์ passkey ด้วย จึงควรป้องกันบัญชีนั้นด้วย MFA

ถ้าโทรศัพท์หายต้องทำอย่างไร

ให้ใช้วิธีกู้คืนที่ตั้งไว้ล่วงหน้า เช่น วิธียืนยันสำรองหรืออุปกรณ์เครื่องอื่นที่ลงทะเบียนไว้ แต่ละบริการมีขั้นตอนต่างกัน จึงควรเตรียมวิธีสำรองไว้ตั้งแต่วันที่เปิด 2FA

แหล่งอ้างอิง

1. More than a Password — CISA (หน้าเก็บถาวร)
2. NIST SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management — NIST
3. Passkeys are more secure than traditional ways to log in — NCSC (UK)
4. Managing your passwords — NCSC (UK)
5. What are passkeys? — passkeys.dev

อ่านต่อ

• Password Manager คืออะไร ปลอดภัยไหม และเริ่มใช้อย่างไร
• SMS และลิงก์หลอกลวงดูอย่างไร เจอแล้วต้องทำอะไร