Pass-ta-key ทำให้สับสนเรื่องความปลอดภัยของพาสคีย์ แต่ไม่ใช่ช่องโหว่ใหม่อย่างที่คิด

บทความของ Ars Technica อธิบายกระแสความสนใจรอบ “Pass-ta-key” ซึ่งถูกนำเสนอว่าเป็นแนวโจมตีแบบใหม่ต่อระบบยืนยันตัวตนด้วยพาสคีย์ แต่ความจริงแล้วพฤติกรรมที่ถูกสาธิตไม่ได้เป็นเทคนิคใหม่หรือจำเพาะกับพาสคีย์โดยตรง จึงทำให้เกิดความสับสนทั้งในหมู่ผู้ใช้ทั่วไปและผู้เชี่ยวชาญด้านความปลอดภัยว่าพาสคีย์ยังเชื่อถือได้แค่ไหน

จุดเริ่มต้นมาจากรายงานของ Arie Olshtein นักวิจัยจาก Palo Alto Networks ที่อธิบายว่า หากเครื่อง Windows ติดมัลแวร์ ก็อาจดึงพาสคีย์ที่เก็บไว้ในแอป Google Password Manager บน Windows ออกมาได้จำนวนมาก การนำเสนอประเด็นนี้ทำให้หลายคนเข้าใจไปว่าพาสคีย์อาจไม่ได้ถูกเก็บอย่างปลอดภัยในฮาร์ดแวร์ที่ป้องกันสูงอย่าง TPM (Trusted Platform Module) ตามที่เชื่อกัน

อย่างไรก็ตาม Ars ชี้ว่าแก่นของปัญหาไม่ใช่การ “แฮ็กพาสคีย์” ในความหมายที่หลายคนกังวล แต่เป็นการโจมตีที่อาศัยสภาพแวดล้อมของเครื่องปลายทางที่ถูกมัลแวร์ยึดครองอยู่แล้ว กล่าวคือ หากระบบปฏิบัติการหรือโปรเซสที่เกี่ยวข้องถูกเจาะได้ ผู้โจมตีก็อาจเข้าถึงข้อมูลรับรองบางส่วนที่แอปจัดการไว้ได้อยู่ดี ประเด็นนี้จึงสะท้อนความเสี่ยงของ endpoint security มากกว่าจะเป็นข้อบกพร่องเฉพาะของมาตรฐานพาสคีย์

บทความยังเน้นว่าพาสคีย์ยังคงเป็นแนวทางยืนยันตัวตนที่ปลอดภัยกว่ารหัสผ่านแบบเดิมอย่างมีนัยสำคัญ เพราะลดความเสี่ยงจากฟิชชิง การนำรหัสผ่านไปใช้ซ้ำ และการขโมยข้อมูลจากฐานข้อมูลรหัสผ่าน แต่ความเข้าใจผิดที่เกิดขึ้นจากข่าวของ Pass-ta-key ทำให้ผู้คนบางส่วนอาจตีความว่าพาสคีย์ “ไม่ปลอดภัย” ทั้งที่ข้อเท็จจริงคือการป้องกันพาสคีย์ยังขึ้นอยู่กับความแข็งแรงของอุปกรณ์ ระบบปฏิบัติการ และการป้องกันมัลแวร์โดยรวม

โดยสรุป Ars Technica มองว่า Pass-ta-key ถูกขยายความเกินจริงจนดูเหมือนเป็นการค้นพบช่องโหว่ครั้งใหญ่ ทั้งที่แท้จริงเป็นตัวอย่างที่ย้ำให้เห็นว่าความปลอดภัยของการยืนยันตัวตนไม่ได้จบที่โปรโตคอลหรือฟีเจอร์ใหม่เพียงอย่างเดียว แต่ต้องพึ่งพาความปลอดภัยของอุปกรณ์และซอฟต์แวร์ที่ใช้งานร่วมกันด้วย ผู้ใช้จึงควรมองพาสคีย์เป็นการอัปเกรดด้านความปลอดภัยจากรหัสผ่าน ไม่ใช่โซลูชันที่ทำให้เครื่องพ้นจากความเสี่ยงของมัลแวร์โดยอัตโนมัติ