วิธีนำ Passkeys ไปใช้ในองค์กรทีละขั้น

การนำ passkeys (ข้อมูลรับรองการเข้าใช้แบบกุญแจดิจิทัลที่ใช้แทนรหัสผ่าน) ไปใช้ในองค์กร คือการเปลี่ยนวิธียืนยันตัวตนของพนักงานจากรหัสผ่านและรหัสที่ผู้โจมตีฟิชชิงได้ ไปเป็นข้อมูลรับรอง FIDO (มาตรฐานยืนยันตัวตนแบบไม่ใช้รหัสผ่าน) ที่ต้านฟิชชิงได้ โดยทยอยเปลี่ยนทีละกลุ่มผู้ใช้และทีละระบบ CISA แนะนำให้ทำเป็นเฟส เริ่มจากระบบและผู้ใช้ที่มีมูลค่าสูงก่อน ไม่ต้องเปลี่ยนทั้งองค์กรในครั้งเดียว บทความนี้เป็นภาคคู่กับ Passkeys และ FIDO2 คืออะไร ซึ่งอธิบายหลักการไว้ หากยังไม่คุ้นกับภาพรวม ให้อ่าน Zero Trust คืออะไร ก่อน

ก่อนเริ่ม: กำหนดขอบเขตและเป้าหมาย

CISA เสนอคำถามสองข้อให้ผู้นำด้านไอทีใช้จัดลำดับเฟส ข้อแรก ระบบใดต้องปกป้อง เช่น อีเมล ไฟล์เซิร์ฟเวอร์ การเข้าถึงระยะไกล และระบบจัดการตัวตนอย่าง Active Directory (ระบบกลางที่เก็บบัญชีผู้ใช้ขององค์กร) ข้อสอง ผู้ใช้กลุ่มใดเป็นเป้าหมายที่ผู้โจมตีให้ค่าสูง เช่น ผู้ดูแลระบบ หรือคนที่เข้าถึงข้อมูลอ่อนไหว อย่างฝ่ายกฎหมายและ HR นอกจากนี้ CISA แนะนำให้เริ่มที่บริการซึ่งรองรับ FIDO อยู่แล้ว เพราะอีเมลและระบบ SSO (ระบบล็อกอินครั้งเดียวเพื่อเข้าใช้หลายแอป) ที่ผู้ให้บริการภายนอกดูแลให้ส่วนใหญ่รองรับอยู่แล้ว

ก่อนลงมือ ควรตั้งเป้าหมายที่วัดได้ เช่น สัดส่วนบัญชีผู้ดูแลระบบที่ใช้ passkeys แล้ว และจำนวนระบบที่ปิดการล็อกอินด้วยรหัสผ่านได้

เลือกชนิด passkeys ให้ตรงกับกลุ่มผู้ใช้

FIDO Alliance แนะนำให้เริ่มจากข้อกำหนดทางกฎหมาย ระเบียบ และความปลอดภัยขององค์กรเอง แล้วจึงพิจารณาว่าควรใช้ synced passkey (ซิงก์ข้ามอุปกรณ์ผ่านบัญชีของผู้ให้บริการ) device-bound passkey (ผูกกับอุปกรณ์เครื่องเดียว) หรือใช้ผสมกัน FIDO คาดว่าองค์กรส่วนใหญ่ต้องใช้หลายแบบ เพราะแต่ละงานมีเงื่อนไขต่างกัน การจับคู่ด้านล่างเป็นไปตามคำแนะนำของ FIDO

• พนักงานทั่วไป: synced passkeys ใช้ง่ายและกู้คืนง่าย FIDO มองว่าเหมาะกับผู้ใช้ที่มีอุปกรณ์ประจำไม่กี่เครื่อง
• ผู้ดูแลระบบและระบบสำคัญ: ควรพิจารณา device-bound passkeys บน hardware security key (กุญแจฮาร์ดแวร์ เช่นอุปกรณ์เสียบ USB) สำหรับงานที่ต้องการความเชื่อมั่นด้านตัวตนสูง (high assurance) FIDO แนะนำให้ขอ attestation (ข้อมูลที่อุปกรณ์ส่งมายืนยันว่าเป็นอุปกรณ์ชนิดใด) ทุกครั้งที่ลงทะเบียน
• เครื่องที่ใช้ร่วมกัน: ไม่เหมาะกับ platform passkey (passkey ที่เก็บไว้ในตัวเครื่อง) เพราะคนอื่นที่ใช้เครื่องเดียวกันเข้าถึง credential ได้ ให้ใช้ hardware key แทน หรือลงทะเบียน passkey บนโทรศัพท์ แล้วใช้โทรศัพท์ยืนยันตัวตนตอน login บนเครื่องนั้น (cross-device)
• ข้อกำหนดระดับ AAL3 ของ NIST (ระดับความเชื่อมั่นสูงของ NIST): ใช้ syncable passkeys ไม่ได้ ต้องใช้กุญแจที่ส่งออกจากอุปกรณ์ไม่ได้

ไม่จำเป็นต้องเลือกแบบเดียวทั้งองค์กร FIDO ระบุว่าองค์กรใช้กฎเข้มกับบางแอปหรือบางกลุ่มได้ และอนุญาต synced passkeys ในส่วนอื่น สำหรับบัญชีสิทธิ์สูง ดูเพิ่มเติมที่ PAM: การจัดการสิทธิ์ผู้ใช้ระดับสูง

ขั้นตอนการนำไปใช้ 6 ขั้น

• ขั้น 1 สำรวจระบบ: ทำรายการแอป ระบบ SSO และบริการที่รองรับ passkeys หรือ FIDO2 ถ้า SSO รองรับ แอปที่เชื่อมกับ SSO (federation) จะได้ประโยชน์ไปพร้อมกัน ส่วนระบบที่ไม่รองรับ MFA (การยืนยันตัวตนหลายปัจจัย) เลย CISA แนะนำให้วางแผนอัปเกรดหรือย้ายระบบ และรายงานความเสี่ยงต่อผู้บริหารระดับสูง
• ขั้น 2 แบ่งกลุ่มผู้ใช้และอุปกรณ์: ดูว่าอุปกรณ์เป็นของส่วนตัวหรือบริษัทจัดให้ ใช้คนเดียวหรือใช้ร่วมกัน และมีข้อจำกัดเรื่อง USB, Bluetooth หรือ NFC หรือไม่ จากนั้นจับคู่ชนิด authenticator (อุปกรณ์หรือวิธียืนยันตัวตน) ให้เหมาะกับแต่ละกลุ่ม
• ขั้น 3 ออกแบบการลงทะเบียนและกู้คืน: ต้องตัดสินใจก่อนเริ่มนำร่องว่าผู้ใช้จะลงทะเบียนอย่างไร และจะกู้คืนบัญชีอย่างไรเมื่ออุปกรณ์หาย รายละเอียดอยู่ในหัวข้อถัดไป
• ขั้น 4 นำร่องกับกลุ่มที่หลากหลาย: เลือกผู้ใช้ให้หลายประเภทและหลายระดับในองค์กร แล้วทดสอบการลงทะเบียน การเข้าสู่ระบบ และการกู้คืนกับผู้ใช้จริง CISA ยกตัวอย่างว่าเจ้าหน้าที่ help desk และผู้ดูแลระบบเหมาะเป็นกลุ่มแรก
• ขั้น 5 ขยายเป็นระลอก: เริ่มที่กลุ่มมูลค่าสูง แล้วขยายต่อโดยนำบทเรียนจากระลอกก่อนมาปรับ และติดตามตัวชี้วัดก่อนและหลังการเปลี่ยนทุกครั้ง
• ขั้น 6 ปิดทางลัดที่ฟิชชิงได้: เมื่อกลุ่มใดพร้อมแล้ว ให้ปิดหรือจำกัดรหัสผ่านและ OTP (รหัสใช้ครั้งเดียว) ของกลุ่มนั้น ส่วนระบบที่ยังใช้ MFA แบบเดิม CISA แนะนำมาตรการเสริม เช่น number matching (ผู้ใช้ต้องพิมพ์ตัวเลขที่หน้าจอ login ลงในแอปจึงจะอนุมัติได้) สำหรับ push notification (การแจ้งเตือนให้กดอนุมัติบนมือถือ) แต่นี่เป็นทางออกชั่วคราว และยังอ่อนกว่า MFA ที่ต้านฟิชชิง (phishing-resistant MFA)

ระบบเก่าไม่ควรทำให้โครงการหยุดชะงัก CISA ระบุว่าแอปธุรกิจจำนวนมากเพิ่ม MFA ได้โดยเชื่อมกับระบบ SSO และระบบจัดการตัวตนขององค์กร และมีเทคโนโลยีสำหรับเชื่อมระบบเก่าหลายแบบเข้ากับ MFA และ SSO สมัยใหม่

ลงทะเบียนและกู้คืนบัญชี

การลงทะเบียนและการกู้คืนบัญชีเป็นจุดที่ผู้โจมตีมักเลือกโจมตี FIDO ระบุว่าการกู้คืนไม่ควรอาศัยปัจจัยที่อ่อนกว่าข้อมูลรับรองที่กำลังกู้คืน และควรทำตามระดับความเสี่ยง เอกสารของ FIDO อธิบายวิธีลงทะเบียนไว้สามแบบ

• Self-service (ผู้ใช้ลงทะเบียนเอง) ด้วยข้อมูลรับรองเดิม: ผู้ใช้ใช้รหัสผ่านเดิมสร้าง passkey ใหม่ แบบนี้สะดวกที่สุด แต่เสี่ยงที่รหัสผ่านเดิมจะถูกฟิชชิงไปก่อน
• Supervised (มีเจ้าหน้าที่ดูแล): IT หรือ help desk เป็นผู้ลงทะเบียนให้ ซึ่งลดความเสี่ยงข้างต้นได้
• Pre-provisioned (จัดเตรียมให้ล่วงหน้า): เตรียม credential ไว้ให้ผู้ใช้ก่อน ใช้แรงงานมากแต่ให้ assurance (ความเชื่อมั่นว่าเป็นตัวบุคคลจริง) สูง และต้องมีช่องทางส่งมอบที่ปลอดภัย รวมถึงการส่ง PIN ให้ผู้ใช้ที่อยู่ระยะไกล

การกู้คืนต้องออกแบบให้ตรงกับชนิดของ passkey และครอบคลุมตลอดช่วงที่พนักงานอยู่กับองค์กร

• Device-bound: ให้ลงทะเบียนมากกว่าหนึ่งตัวต่อคน เช่น security key สำรอง เพราะ passkey ชนิดนี้สำรองหรือกู้คืนด้วยตัวเองไม่ได้ ถ้าไม่มีตัวสำรอง องค์กรต้องกำหนดวิธีกู้คืนของตนเอง FIDO แนะนำให้ออก hardware key สองตัวต่อผู้ใช้
• Synced: ผู้ใช้กู้คืนผ่านผู้ให้บริการ passkey ได้ แต่องค์กรยังต้องบันทึกขั้นตอนการเริ่มใช้งานบนอุปกรณ์ใหม่ และเมื่อต้องกู้คืนบัญชีผู้ให้บริการทั้งบัญชี ต้องใช้กระบวนการที่ระวังความเสี่ยง รวมถึง identity proofing (การพิสูจน์ว่าผู้ขอเป็นตัวบุคคลจริง)
• อุปกรณ์หายหรือพนักงานย้ายออก: ลบ passkeys ที่เกี่ยวข้องทันที และเมื่อลงทะเบียนใหม่ ให้ตรวจว่า passkeys ที่ไม่ได้ผูกกับผู้ใช้คนนั้นแล้วใช้ต่อไม่ได้ ควรให้ผู้ใช้ตั้งชื่อ credential แต่ละตัว เพื่อเพิกถอนเฉพาะตัวที่ต้องการได้

วัดผลและดูแลหลังเปิดใช้

• เวลาที่ใช้ลงทะเบียนอุปกรณ์แรก: บอกว่าขั้นตอนลงทะเบียนไปติดขัดตรงไหน
• อัตราความสำเร็จของการยืนยันตัวตน: ดูอัตราที่ผู้ใช้ล็อกอินสำเร็จ และดูว่ารูปแบบการใช้งานเปลี่ยนไปอย่างไรหลังย้าย
• จำนวน passkeys ต่อผู้ใช้: FIDO คาดว่าประมาณหนึ่งตัวต่ออุปกรณ์ ถ้าพบห้าถึงหกตัวอาจควรตรวจสอบ
• เหตุการณ์ด้านความปลอดภัยตอน onboarding (ช่วงเริ่มลงทะเบียนผู้ใช้): ดูว่าผู้ใช้ลงทะเบียนจากที่ไหน ใช้วิธี identity proofing แบบใด และมีเวลาหรือตำแหน่งที่ผิดปกติหรือไม่
• การแยกบัญชี: ใช้ passkeys แยกกันสำหรับบัญชีผู้ดูแลระบบ บัญชีบริการ และบัญชีฉุกเฉิน (break-glass คือบัญชีที่เก็บไว้ใช้เมื่อวิธีเข้าระบบปกติใช้ไม่ได้)
• ความเข้ากันได้หลังอัปเกรด: หลังอัปเดต browser ระบบปฏิบัติการ หรือแอป ให้ตรวจว่าวิธีเข้าสู่ระบบทุกแบบยังใช้ได้

ข้อควรระวัง

• เปิดให้ทั้งองค์กรพร้อมกัน: CISA ชี้ว่าการอบรม ลงทะเบียน และช่วยเหลือผู้ใช้ทุกคนในเวลาเดียวกันอาจทำไม่ได้จริง จึงควรแบ่งเป็นเฟส
• ปล่อยรหัสผ่านเป็นช่องทางกู้คืนตลอดไป: FIDO ชี้ว่าถ้ายังพึ่งรหัสผ่านที่เปิดใช้งานอยู่ ประโยชน์ช่วงเปลี่ยนผ่านจะลดลง ควรกำหนดวันปิดรหัสผ่านให้ชัดเจนทีละกลุ่ม
• ไม่มีตัวสำรอง: ถ้ามี hardware key ตัวเดียวแล้วทำหาย ต้องกู้คืนบัญชีทุกครั้ง
• ให้ help desk ตรวจตัวตนแบบหละหลวม: ถ้าทีมสนับสนุนรีเซ็ตให้ทุกคนที่อ้างตัว ผู้โจมตีก็จะใช้ช่องทางนี้แทนการฟิชชิง ควรเขียนขั้นตอนยืนยันตัวตนไว้เป็นลายลักษณ์อักษร
• ใช้ platform passkey บนเครื่องที่ใช้ร่วมกัน: คนอื่นที่ใช้เครื่องเดียวกันเข้าถึง credential ได้
• ลืมบัญชีที่ไม่ใช่คน: passkeys ออกแบบมาสำหรับผู้ใช้ที่ปลดล็อกอุปกรณ์เองได้ ส่วนบัญชีบริการต้องใช้แนวทางอื่น ดู Non-Human Identity และ Service Account
• มองข้ามแรงต่อต้านของผู้ใช้: CISA แนะนำให้ผู้ดูแลด้านความปลอดภัยนำเสนอความเสี่ยงต่อผู้บริหารสูงสุดเพื่อขออนุมัติ เพราะผู้บริหารอยู่ในตำแหน่งที่เหมาะที่สุดในการดูแลเรื่องวัฒนธรรมองค์กรและการสื่อสาร

ขั้นแรกที่ทำได้ทันที

• ทำรายการระบบหลัก: แล้วตรวจว่า SSO หรือระบบจัดการตัวตนที่ใช้อยู่รองรับ FIDO2 หรือไม่
• เลือกกลุ่มนำร่องขนาดเล็ก: ให้มีทั้งทีม IT, help desk และผู้ใช้ทั่วไป
• จัด hardware key สองตัวต่อคนให้ผู้ดูแลระบบและผู้บริหาร: ตัวหนึ่งใช้ประจำ อีกตัวเก็บไว้สำรอง
• เขียนขั้นตอนกู้คืนบัญชีเป็นลายลักษณ์อักษร: และให้ผู้บริหารไอทีอนุมัติก่อนเริ่มนำร่อง
• หากยังใช้ push notification อยู่: ให้เปิด number matching เป็นมาตรการชั่วคราวระหว่างช่วงเปลี่ยนผ่าน

หากต้องการดูว่าการยืนยันตัวตนและการจัดการตัวตนขององค์กรอยู่ตรงไหนเมื่อเทียบกับแนวปฏิบัติที่ดี ลองใช้ แบบประเมินตนเอง

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• CISA: Implementing Phishing-Resistant MFA: แนวทางจัดลำดับเฟส ปัญหาที่พบบ่อย และผู้ใช้มูลค่าสูง
• CISA: Implementing Number Matching in MFA Applications: มาตรการชั่วคราวสำหรับองค์กรที่ใช้ push notification
• FIDO Alliance: Enterprise Passkey Deployment Resources: ภาพรวมของเอกสารและแหล่งข้อมูลสำหรับองค์กร
• FIDO Alliance: Deploying Passkeys in the Enterprise (introduction): นิยาม ตัวเลือก และแนวทางการกู้คืน
• FIDO Alliance: Replacing Password-Only Authentication with Passkeys: สำหรับองค์กรที่ใช้รหัสผ่านอย่างเดียว
• FIDO Alliance: Displace Password + OTP Authentication with Passkeys: การนำร่อง การลงทะเบียน การกู้คืน และตัวชี้วัด
• FIDO Alliance: High Assurance Enterprise FIDO Authentication: attestation และ device-bound passkeys
• FIDO Alliance: Passkeys, The Journey to Prevent Phishing Attacks: เส้นทางไปสู่การต้านฟิชชิงแบบเป็นขั้นตอน
• NIST SP 800-63B-4: ระดับ assurance และภาคผนวก B เรื่อง syncable authenticators