ทำไมรหัสผ่านกำลังจะหายไป —
และ Passkey ปลอดภัยกว่าอย่างไร?
เป็นเวลาหลายสิบปี เราปกป้องชีวิตออนไลน์ด้วย คำลับที่มนุษย์ต้องจำ แต่ปัญหาคือ สิ่งที่มนุษย์จำได้ง่าย มักเป็นสิ่งที่คนร้ายเดาได้ง่าย — และสิ่งที่ปลอดภัยมาก กลับเป็นสิ่งที่มนุษย์จำแทบไม่ได้
รหัสผ่านเป็นเทคโนโลยีที่แปลกมาก เราถูกบอกให้สร้างรหัสที่ ยาว ซับซ้อน ไม่ซ้ำใคร และห้ามจดไว้ในที่ไม่ปลอดภัย แต่คนหนึ่งคน อาจมีบัญชีออนไลน์หลายสิบ หรือหลายร้อยบัญชี เราจึงทำสิ่งที่มนุษย์ทำได้จริง: ใช้รหัสง่าย ใช้รหัสซ้ำ หรือกด “Forgot Password” Passkey พยายามแก้ปัญหานี้ ด้วยการเปลี่ยนหลักการทั้งระบบ: แทนที่จะถามมนุษย์ว่า “ความลับของคุณคืออะไร?” ระบบถามอุปกรณ์ว่า “คุณพิสูจน์ได้ไหมว่า คุณมี cryptographic key ที่ถูกต้อง?”
ลองนึกถึง password ที่เราใช้ประจำ
สมมติเราตั้งรหัสว่า Somchai1975!
ใช้กับอีเมล Facebook ร้านค้าออนไลน์ และบริการอีกสองแห่ง
วันหนึ่ง ร้านค้าออนไลน์แห่งหนึ่ง ถูกเจาะฐานข้อมูล
คนร้ายได้ email + password
เขาไม่ได้หยุดที่ร้านนั้น
เขานำ email และ password เดิม ไปลองกับ Gmail Facebook ธนาคาร และบริการอื่น
นี่เรียกว่า credential stuffing
ปัญหาไม่จำเป็นต้องเกิดเพราะ บัญชี Gmail ถูก hack
มันอาจเริ่มจาก เว็บไซต์เล็กที่สุด ที่เราเคยใช้ password เดียวกัน
Password มีปัญหาอะไร?
มนุษย์จำไม่ไหว
รหัสที่ปลอดภัยควรยาว แตกต่างกัน และไม่ซ้ำกัน แต่คนทั่วไปมีบัญชีจำนวนมาก
Password Reuse
เมื่อจำไม่ไหว มนุษย์จึงใช้รหัสเดิม หลายเว็บไซต์ ทำให้ breach หนึ่งแห่ง ลามไปอีกแห่งได้
Phishing
คนร้ายสร้างหน้า login ปลอม แล้วหลอกให้เรา ส่ง password ให้เอง
Server Breach
ฐานข้อมูล credential อาจถูกขโมย และ password hash ที่อ่อน อาจถูกนำไปโจมตีต่อได้
Passkey คืออะไร?
Passkey เป็น credential ที่อาศัยมาตรฐาน FIDO2 / WebAuthn และใช้ public-key cryptography
ฟังดูยาก แต่หลักการพื้นฐาน ง่ายมาก
เมื่อเราสร้าง passkey อุปกรณ์สร้าง กุญแจสองดอกที่สัมพันธ์กันทางคณิตศาสตร์
เว็บไซต์ได้รับ Public Key
ส่วน Private Key ยังอยู่กับอุปกรณ์ หรือระบบจัดเก็บ passkey ของผู้ใช้
เว็บไซต์ ไม่จำเป็นต้องรู้ private key
Public Key กับ Private Key ต่างกันอย่างไร?
Public Key
ส่งให้เว็บไซต์ได้ ไม่จำเป็นต้องเก็บเป็นความลับ ใช้ตรวจสอบหลักฐาน จาก private key ที่คู่กัน
Private Key
เป็นกุญแจที่ใช้พิสูจน์ตัวตน และไม่ควรถูกส่งไปยังเว็บไซต์ หรือเปิดเผยออกจากระบบจัดเก็บ
“เราสองฝ่ายรู้ความลับเดียวกัน”
Passkey ทำงานด้วยหลัก
“ฉันพิสูจน์ได้ว่าฉันมีกุญแจลับ โดยไม่ต้องส่งกุญแจลับให้คุณ”
ตอน Login เกิดอะไรขึ้น?
เว็บไซต์ส่งโจทย์ทาง cryptography มายังอุปกรณ์
อุปกรณ์ใช้ private key สร้างคำตอบ
เว็บไซต์ใช้ public key ตรวจว่าคำตอบนั้นถูกต้อง
Private key ไม่ได้ถูกส่งไปกับคำตอบ
นี่เป็นจุดแตกต่างที่สำคัญมาก จาก password
แล้ว Face ID หรือ Fingerprint คือ Passkey หรือไม่?
ไม่ใช่สิ่งเดียวกัน
นี่เป็นความเข้าใจผิดที่พบบ่อย
Face ID ลายนิ้วมือ หรือ PIN ของเครื่อง มักใช้เป็น local user verification
คือใช้ถามว่า
“คนที่ถือเครื่องอยู่ตอนนี้ ได้รับอนุญาตให้ใช้ private key หรือไม่?”
ถ้าผ่าน ระบบจึงอนุญาตให้ passkey ทำงาน
ดังนั้นเว็บไซต์ ไม่จำเป็นต้องได้รับ รูปใบหน้า หรือลายนิ้วมือของเรา เพียงเพราะเราใช้ biometrics ปลดล็อก passkey
+1 : Passkey แก้ phishing ไม่ใช่ด้วยการ “สอนคนให้ระวังมากขึ้น” แต่ด้วยการออกแบบระบบให้ความผิดพลาดของมนุษย์ทำอันตรายได้ยากขึ้น
ระบบ password ฝากภาระไว้กับสมองมนุษย์มาก
เราต้องสังเกตว่า
- URL ถูกหรือไม่
- หน้าเว็บจริงหรือปลอม
- อีเมลน่าเชื่อหรือไม่
- ข้อความเร่งให้ login เป็น scam หรือไม่
แต่ phishing ถูกออกแบบมา เพื่อเล่นงานข้อจำกัดของมนุษย์
คนที่รีบ เหนื่อย กลัว หรือถูกกดดัน สามารถผิดพลาดได้
Passkeys เปลี่ยนแนวทาง จาก “ฝึกคนไม่ให้ถูกหลอก” เพียงอย่างเดียว
ไปสู่
“สร้าง credential ที่เว็บไซต์ปลอมไม่สามารถนำไปใช้ เหมือน password ได้ง่าย ๆ”
มาตรฐาน FIDO เชื่อม credential เข้ากับเว็บไซต์หรือ service ที่ถูกต้อง
ดังนั้นหน้า phishing ไม่สามารถเพียง เลียนแบบช่อง username/password แล้วรับ secret ไปใช้ต่อ แบบเดิม
ทำไมเรียกว่า phishing-resistant ไม่ใช่ phishing-proof?
คำว่า phishing-resistant แม่นกว่า
เพราะ passkey ช่วยตัดช่องโจมตีประเภท “ขโมย credential ผ่านหน้า login ปลอม” ได้อย่างมาก
แต่ผู้ใช้ยังอาจถูกหลอก ในรูปแบบอื่น
หลอกให้โอนเงิน
หลอกให้อนุมัติการเปลี่ยนบัญชี
หลอกเจ้าหน้าที่ support
ขโมย session หลัง login
ยึดบัญชีผ่านช่องทาง recovery ที่อ่อนแอ
ติด malware ในเครื่อง
ดังนั้น passkey ไม่ได้ทำให้ cybersecurity จบลง
มันลดพื้นที่โจมตี ประเภท credential theft ที่สำคัญมากประเภทหนึ่ง
แล้วถ้าเว็บไซต์ถูก hack ล่ะ?
นี่เป็นอีกจุดที่โมเดลใหม่ น่าสนใจ
ในระบบ password เว็บไซต์ต้องเก็บข้อมูลที่เกี่ยวกับ secret ในรูป password hash และ salt อย่างถูกต้อง
หากจัดการไม่ดี breach สามารถเปิดทาง ไปสู่การ crack password หรือ credential reuse
ในระบบ passkey เว็บไซต์เก็บ public key
Public key ไม่ได้มีหน้าที่เป็นความลับ เหมือน password
ดังนั้นการขโมยฐานข้อมูล public keys ไม่ได้ให้คนร้าย credential ที่สามารถนำไป login ได้แบบตรงไปตรงมา
แล้วถ้าโทรศัพท์หาย?
คำถามนี้สำคัญมาก
Passkeys อาจถูกจัดเก็บ ในระบบ credential manager และหลายแพลตฟอร์ม สามารถ sync passkeys ระหว่างอุปกรณ์ของเจ้าของบัญชี ด้วยการเข้ารหัส
ตัวอย่างเช่น Apple ระบุว่า passkeys สามารถ sync ผ่าน iCloud Keychain ซึ่งใช้ end-to-end encryption
ดังนั้นการทำโทรศัพท์เครื่องหนึ่งหาย ไม่ได้แปลว่า บัญชีทั้งหมดต้องหายไปด้วย หากผู้ใช้มีระบบ recovery และอุปกรณ์อื่นที่เหมาะสม
แต่ Account Recovery ยังสำคัญมาก
ระบบยืนยันตัวตน จะแข็งแรงเพียงใด ถ้าช่องทาง recovery ยังอาศัยคำถามง่าย ๆ SMS ที่ถูกยึดหมายเลขได้ หรือเจ้าหน้าที่ support ที่ถูก social engineering?
ความปลอดภัยของบัญชี จึงต้องมองทั้ง account lifecycle ตั้งแต่สมัคร login เพิ่มอุปกรณ์ จนถึง recovery ไม่ใช่ดู passkey อย่างเดียว
5 พันล้าน Passkeys หมายความว่า password จบแล้วหรือ?
รายงาน State of Passkeys 2026 ระบุว่าการใช้ passkeys ขยายตัวอย่างรวดเร็ว ในทั้งผู้บริโภคและองค์กร
การสำรวจผู้ใหญ่ 11,000 คน ใน 10 ประเทศ ดำเนินการในเดือนเมษายน 2026
แต่ password ยังไม่หายไป
FIDO ระบุว่า แม้องค์กรจำนวนมาก เริ่ม deploy passkeys แล้ว 57% ยังใช้ authentication ที่ phishing ได้ เป็นวิธี login ประจำวันของพนักงาน
นี่สะท้อนสิ่งสำคัญ:
ไม่เท่ากับ
เป็น Passwordless แล้ว
ทำไมองค์กรยังไม่เลิก Password?
Legacy Systems
ระบบเก่าบางชนิด ยังออกแบบมารอบ password และเปลี่ยนยาก
Interoperability
องค์กรต้องรองรับ อุปกรณ์ OS browser และระบบจำนวนมาก
User Transition
ผู้ใช้ยังคุ้นกับ password และอาจสับสนเรื่อง การเพิ่มอุปกรณ์หรือ recovery
Operational Change
ฝ่าย IT help desk identity management และ security policy ต้องปรับตาม
+1 อีกชั้น : ปัญหาของ Password ไม่ใช่เพียง “คนตั้งรหัสไม่ดี” แต่เป็นการออกแบบระบบที่โยนงานด้าน Security ไปให้ความจำของมนุษย์
ลองนึกว่าระบบธนาคาร บอกเราว่า
“กุญแจตู้เซฟของคุณ ต้องจำรูปร่างเอง ห้ามซ้ำกับกุญแจตู้เซฟอื่น และต้องจำให้ได้ 70 ดอก”
เราคงบอกว่า ระบบออกแบบประหลาด
แต่โลก password ทำสิ่งคล้ายกัน มาหลายสิบปี
เมื่อมนุษย์ ทำตามข้อกำหนดไม่ได้ เรามักตำหนิมนุษย์ว่า “ตั้ง password ไม่ปลอดภัย”
Passkey เป็นตัวอย่างของแนวคิด secure by design
คือพยายามทำให้ พฤติกรรมที่ง่ายสำหรับผู้ใช้ สอดคล้องกับพฤติกรรมที่ปลอดภัย
ไม่ใช่บังคับให้ security กับ usability ต่อสู้กันตลอดเวลา
Passkey เทียบกับ Password + OTP อย่างไร?
| คุณสมบัติ | Password + OTP | Passkey |
|---|---|---|
| ต้องจำ secret | ใช่ | โดยทั่วไปไม่ต้องจำ passkey เอง |
| Password reuse | เป็นไปได้ | credential แยกตาม service |
| Phishing login page | ยังมีความเสี่ยง โดยเฉพาะเมื่อ OTP ถูกหลอกพร้อมกัน | ออกแบบให้ phishing-resistant |
| Server ถือ shared secret หรือข้อมูลที่เกี่ยวกับ secret | มี password verifier/hash | ถือ public key |
| Biometric required เสมอหรือไม่ | ไม่ | ไม่จำเป็นเสมอ — อาจใช้ PIN/device unlock ตามระบบ |
| Login experience | พิมพ์ password + OTP | มักยืนยันผ่านอุปกรณ์โดยตรง |
แล้ว Biometrics ปลอดภัยไหม?
มีข้อแตกต่างสำคัญ ระหว่าง
ใช้ biometric เป็น credential ส่งให้เว็บไซต์
กับ
ใช้ biometric ภายในเครื่อง เพื่ออนุญาตการใช้ cryptographic credential
Passkey system โดยทั่วไปเดินในแนวทางหลัง
นี่สำคัญเพราะ password เปลี่ยนได้
แต่ใบหน้า และลายนิ้วมือของเรา เปลี่ยนไม่ได้ง่าย
ระบบจึงไม่ควร ส่ง biometric template ไปเก็บกระจายทั่วเว็บไซต์ โดยไม่จำเป็น
แล้วถ้าใช้เครื่องคนอื่น?
มาตรฐาน passkey รองรับสถานการณ์ ที่ต้อง login จากอุปกรณ์ซึ่งไม่ได้เก็บ passkey
ระบบบางแบบสามารถให้ อุปกรณ์ของเรา ยืนยันการ login กับเครื่องอื่น ผ่าน proximity และช่องทางที่ออกแบบมาเฉพาะ
หลักสำคัญคือ credential ไม่จำเป็นต้องถูก copy ลงเครื่องสาธารณะ เพื่อใช้งานครั้งเดียว
แต่รายละเอียด แตกต่างตาม platform และ service จึงควรอ่านคำแนะนำของผู้ให้บริการ ทุกครั้ง
ถ้าบัญชีรองรับ Passkey วันนี้ ควรเปิดไหม?
หลักปฏิบัติสำหรับผู้ใช้ทั่วไป
-
เปิด Passkey เมื่อบริการที่เชื่อถือได้รองรับ
โดยเฉพาะบัญชีสำคัญ เช่น email, cloud และบริการที่เชื่อมกับชีวิตดิจิทัลจำนวนมาก -
อย่ารีบลบวิธี Recovery ที่จำเป็น
จนกว่าจะเข้าใจว่า ถ้าอุปกรณ์หายจะกู้บัญชีอย่างไร -
รักษาความปลอดภัยของอุปกรณ์
ตั้ง screen lock และ update OS สม่ำเสมอ -
ตรวจ Passkeys ที่ผูกกับบัญชีเป็นระยะ
ลบ credential ของอุปกรณ์ที่ไม่ใช้แล้ว หากระบบมีรายการให้จัดการ -
อย่าคิดว่า Passkey ป้องกัน Scam ทุกชนิด
คนร้ายยังหลอกให้โอนเงิน เปิดไฟล์ หรือเปิด remote access ได้ -
บัญชีที่ยังไม่มี Passkey
ใช้ password manager สร้างรหัสยาวและไม่ซ้ำกัน พร้อม MFA ที่เหมาะสม
ทำไม Password Manager ยังสำคัญ?
โลกจะอยู่ในช่วง transition อีกระยะหนึ่ง
บางเว็บไซต์มี passkey
บางเว็บไซต์ยังไม่มี
บางแห่งมีทั้งสองระบบ
ดังนั้นสำหรับบัญชี ที่ยังต้องใช้ password หลักที่สำคัญยังเหมือนเดิม:
ยาว
ไม่ซ้ำกัน
ไม่สร้างจากข้อมูลส่วนตัวที่เดาง่าย
เก็บด้วย password manager ที่เชื่อถือได้
เปิด MFA เมื่อมี
+1 ชั้นสุดท้าย : การเปลี่ยนจาก Password ไป Passkey คือการเปลี่ยน “ปรัชญาความปลอดภัย”
Password security ตั้งคำถามว่า:
“มนุษย์สามารถรักษาความลับได้ดีเพียงใด?”
Passkey security ถามอีกแบบว่า:
“เราสามารถออกแบบระบบ ที่ไม่ต้องให้มนุษย์ถือ และส่งความลับที่ขโมยง่าย ตั้งแต่แรกได้หรือไม่?”
นี่คือแนวคิดที่ใหญ่กว่า เรื่อง login
มันคือหลักวิศวกรรม:
อย่าพยายามแก้ความผิดพลาดของมนุษย์ ด้วยการเรียกร้องให้มนุษย์ สมบูรณ์แบบขึ้นเรื่อย ๆ หากสามารถออกแบบระบบ ให้ความผิดพลาดนั้นสร้างความเสียหายได้น้อยลง
การรักษาความปลอดภัยที่ดี จึงไม่ได้เกิดจาก “ผู้ใช้ฉลาดขึ้น” อย่างเดียว
แต่เกิดจาก ระบบฉลาดขึ้นด้วย
สรุปบทเรียน
Password เป็นเทคโนโลยีที่รับใช้โลกดิจิทัล มาหลายสิบปี
แต่มันมีข้อจำกัดพื้นฐาน:
มนุษย์ต้องจำความลับ
เว็บไซต์ต้องตรวจความลับ
และคนร้าย สามารถพยายามขโมยความลับนั้น
Passkey เปลี่ยนสถาปัตยกรรม
เว็บไซต์ถือ public key
ผู้ใช้ถือ private key ผ่านระบบที่ป้องกันไว้
และ login เกิดจาก การพิสูจน์ทาง cryptography โดยไม่ต้องส่ง private key ไปให้เว็บไซต์
ผลคือ credential ไม่สามารถถูกขโมย จากหน้า phishing แบบเดียวกับ password ได้ง่าย
นี่ไม่ได้หมายความว่า โลกออนไลน์ปลอดภัยสมบูรณ์แล้ว
Malware session theft social engineering account recovery และ scam ยังเป็นปัญหา
แต่ Passkey ช่วยกำจัดจุดอ่อนใหญ่หนึ่งอย่าง:
การบังคับให้มนุษย์ ต้องจำและส่ง “ความลับร่วมกัน” ซ้ำแล้วซ้ำอีก
ดังนั้นอนาคตของ login อาจไม่ได้ถามว่า
“คุณจำรหัสอะไรได้?”
แต่ถามว่า
“อุปกรณ์ของคุณพิสูจน์ได้หรือไม่ ว่าคุณมี credential ที่ถูกต้อง?”
และนี่อาจเป็นกรณีหนึ่ง ที่โลกดิจิทัล ใช้ง่ายขึ้น พร้อมกับปลอดภัยขึ้น ในเวลาเดียวกัน
แหล่งข้อมูลสำหรับตรวจสอบและอ่านต่อ
-
FIDO Alliance,
The State of Passkeys 2026:
Global Consumer and Workforce Report,
7 May 2026.
FIDO Alliance -
FIDO Alliance,
Five Billion Passkeys:
Accelerating Global Adoption,
7 May 2026.
FIDO Alliance -
FIDO Alliance,
Passkeys — Technical Overview and Security Benefits.
FIDO Alliance -
Apple Support,
About the Security of Passkeys.
Apple Support -
FIDO Alliance,
NCSC: Passkeys are more secure than traditional ways to log in,
23 April 2026.
FIDO Alliance / UK NCSC
หมายเหตุทางเทคนิค: Passkeys เป็นชื่อที่ใช้กับ credential ซึ่งอาศัยมาตรฐาน FIDO2/WebAuthn และ public-key cryptography รายละเอียดเรื่องการเก็บ sync backup cross-device authentication และ account recovery แตกต่างกันตามระบบปฏิบัติการ credential provider และบริการที่นำมาตรฐานไปใช้
คำว่า phishing-resistant ไม่ได้หมายความว่า passkeys สามารถป้องกัน social engineering หรือการโจมตีทุกชนิด Passkeys ถูกออกแบบมา เพื่อป้องกันการขโมย และ replay credential ในรูปแบบที่พบใน password-based phishing ได้อย่างมาก แต่บัญชียังต้องได้รับการป้องกัน ตลอดวงจร ตั้งแต่ device security จนถึง recovery
ตัวเลขการใช้งานปี 2026 มาจาก FIDO Alliance และการสำรวจที่องค์กรว่าจ้าง ครอบคลุมผู้บริโภค 11,000 คน และผู้ตัดสินใจด้านองค์กร 1,400 คน ใน 10 ประเทศ จึงควรอ่านเป็นตัวชี้วัด การยอมรับเทคโนโลยีในกลุ่มตัวอย่าง และประมาณการระดับโลก ไม่ใช่ census ของบัญชีออนไลน์ทุกบัญชี
