ตั้ง passkey บัญชี Google ให้ปลอดภัย: อย่าสร้างบนเครื่องที่ใช้ร่วมกัน

หากต้องการสร้าง passkey สำหรับบัญชี Google ให้เปิด myaccount.google.com/signinoptions/passkeys บนโทรศัพท์หรือคอมพิวเตอร์ส่วนตัว เลือก Create a passkey แล้วปลดล็อกอุปกรณ์เพื่อยืนยัน คำแนะนำของ Google เตือนว่าไม่ควรสร้าง passkey บนเครื่องที่ใช้ร่วมกัน เพราะผู้ที่ปลดล็อกเครื่องนั้นได้อาจเข้าบัญชีของคุณได้ แม้คุณจะออกจากระบบแล้ว

ก่อนสร้าง ให้ตรวจว่ามีเพียงคุณที่รู้รหัสปลดล็อกเครื่อง และยังมีวิธีเข้าบัญชีอีกทางหากโทรศัพท์หาย การเพิ่ม passkey ทำให้ระบบเสนอวิธีลงชื่อเข้าใช้นี้เป็นหลัก แต่ไม่ได้ลบรหัสผ่านหรือข้อมูลกู้คืนเดิม จึงควรตรวจทั้งรายการ passkey และช่องทางกู้คืนในคราวเดียวกัน

สร้างบนอุปกรณ์ส่วนตัวและตรวจผลทันที

เริ่มจากเปิดการล็อกหน้าจอ แล้วอัปเดตระบบปฏิบัติการและเบราว์เซอร์ที่ใช้ลงชื่อเข้าใช้ หากใช้ iPhone, iPad หรือ Mac ให้เปิด iCloud Keychain หรือทำตามคำขอให้เปิดระหว่างตั้งค่า ชื่อเมนูอาจต่างกันตามภาษาและอุปกรณ์ แต่รายการที่ต้องหาในบัญชี Google คือ Passkeys and security keys

1. ลงชื่อเข้าใช้บัญชีที่ต้องการตั้งค่า แล้วเปิด myaccount.google.com/signinoptions/passkeys หากใช้หลายบัญชีในเบราว์เซอร์เดียวกัน ให้ตรวจที่อยู่บัญชีบนหน้าเว็บก่อนดำเนินการ
2. เลือก Create a passkey แล้วเลือกสร้างบนอุปกรณ์ที่กำลังใช้ ยืนยันตัวตนด้วยวิธีปลดล็อกที่ตั้งไว้บนเครื่อง เช่น รหัสปลดล็อก ลายนิ้วมือ หรือใบหน้า
3. กลับไปที่หน้ารายการ passkey และดูว่ามีรายการที่คาดว่าจะสร้าง จากนั้นลองลงชื่อเข้าใช้ด้วย passkey บนอุปกรณ์ส่วนตัว เพื่อให้รู้ว่าทั้งบัญชีและวิธีปลดล็อกเครื่องพร้อมใช้งาน

ลายนิ้วมือหรือใบหน้าใช้ปลดล็อกกุญแจบนอุปกรณ์ ข้อมูลชีวมิติสำหรับขั้นตอนนี้อยู่บนเครื่องและไม่ได้ส่งให้ Google ประเด็นที่ต้องตัดสินใจก่อนสร้างจึงเป็นสิทธิ์เข้าถึงเครื่อง: หากสมาชิกในบ้านรู้รหัสปลดล็อกเดียวกัน หรือใช้บัญชีผู้ใช้ของระบบร่วมกัน อุปกรณ์นั้นไม่เหมาะจะเก็บ passkey ของบัญชีส่วนตัว

หลังสร้าง passkey ระบบอาจชวนให้สร้างเพิ่มเมื่อคุณลงชื่อเข้าใช้บนอุปกรณ์อื่น อย่ากดยอมรับตามความเคยชิน ให้พิจารณาก่อนว่าใครปลดล็อกอุปกรณ์ใหม่ได้ และตัวจัดการข้อมูลรับรองที่ปรากฏเป็นของบัญชีใด หากสร้างบนเครื่องที่ผู้อื่นใช้ด้วยโดยผิดพลาด ให้กลับมาถอนรายการนั้นจากบัญชีทันที

การตั้งค่าให้ใช้ passkey ก่อนเป็นเพียงลำดับวิธีลงชื่อเข้าใช้ หากจำเป็น คุณยังเลือก Try another way เพื่อกลับไปใช้ทางเลือกเดิมที่บัญชีเสนอได้ ผู้ที่ต้องการให้ระบบถามรหัสผ่านก่อนเสมอสามารถปิด Skip password when possible ในการตั้งค่าความปลอดภัยของบัญชี การเปลี่ยนลำดับนี้ไม่ได้แก้ความเสี่ยงของ passkey ที่ค้างอยู่บนเครื่องซึ่งคนอื่นปลดล็อกได้

ลงชื่อเข้าใช้บนคอมพิวเตอร์อีกเครื่องโดยใช้โทรศัพท์

คอมพิวเตอร์เครื่องใหม่ไม่จำเป็นต้องเก็บ passkey ไว้เอง หากกุญแจอยู่บนโทรศัพท์ส่วนตัว คุณสามารถใช้โทรศัพท์ยืนยันการลงชื่อเข้าใช้ที่เริ่มจากคอมพิวเตอร์ได้ วิธีนี้แยกการยืนยันตัวตนออกจากเครื่องที่กำลังใช้งาน จึงเหมาะเมื่อยังไม่ต้องการสร้างข้อมูลรับรองบนคอมพิวเตอร์เครื่องนั้น

1. ที่หน้าลงชื่อเข้าใช้ Google บนคอมพิวเตอร์ ให้กรอกชื่อบัญชี แล้วเลือก Try another way และ Use your passkey
2. เมื่อคอมพิวเตอร์แสดงคิวอาร์โค้ด ให้ใช้โทรศัพท์ส่วนตัวสแกน ตรวจว่าเปิด Bluetooth ตามที่ระบบร้องขอ แล้วเลือกใช้ passkey บนโทรศัพท์
3. ปลดล็อกโทรศัพท์ด้วยวิธีที่ตั้งไว้เพื่อยืนยันคำขอ เมื่อเข้าใช้งานเสร็จบนคอมพิวเตอร์ที่ไม่ใช่ของคุณ ให้ออกจากบัญชีและตรวจว่าไม่ได้ตอบรับคำชวนให้สร้าง passkey บนคอมพิวเตอร์นั้น

คิวอาร์โค้ดในขั้นตอนนี้เชื่อมคำขอลงชื่อเข้าใช้บนคอมพิวเตอร์กับการยืนยันบนโทรศัพท์ การสแกนไม่ได้หมายความว่าคุณได้สร้าง passkey ใหม่บนคอมพิวเตอร์ อย่างไรก็ตาม การลงชื่อเข้าใช้สำเร็จอาจเปิดเซสชันของบัญชีไว้ในเบราว์เซอร์ จึงต้องจัดการเซสชันเมื่อใช้เครื่องของผู้อื่น แม้ตัว passkey จะยังอยู่กับคุณ

หากคอมพิวเตอร์เครื่องใหม่จะเป็นเครื่องส่วนตัวระยะยาว คุณอาจสร้าง passkey บนเครื่องนั้นภายหลัง เมื่อตั้งบัญชีผู้ใช้ของระบบและการล็อกหน้าจอเรียบร้อยแล้ว ก่อนกดยืนยัน ให้ดูว่าระบบจะบันทึกกุญแจในตัวจัดการข้อมูลรับรองใด โดยเฉพาะเครื่องที่เคยให้ผู้อื่นใช้งานหรือมีบัญชีซิงก์หลายบัญชีอยู่ในเบราว์เซอร์

ถ้าตัวเลือก passkey ไม่ปรากฏ ให้เริ่มตรวจจากการล็อกหน้าจอของโทรศัพท์ การอัปเดตระบบและเบราว์เซอร์ รวมถึง Bluetooth เมื่อใช้โทรศัพท์กับคอมพิวเตอร์อีกเครื่อง บางระบบหรือเบราว์เซอร์อาจไม่ให้สร้างหรือใช้ passkey ในโหมดไม่ระบุตัวตน หากต้องเข้าบัญชีในขณะนั้น ให้เลือกวิธีลงชื่อเข้าใช้อื่นที่บัญชีเสนอ แทนการสร้างกุญแจบนเครื่องที่ไม่เหมาะสม

เลือกกุญแจแบบซิงก์กับกุญแจความปลอดภัย FIDO2

passkey ที่ตัวจัดการข้อมูลรับรองซิงก์ได้ช่วยให้ใช้กับอุปกรณ์อื่นในระบบเดียวกันหรือเรียกคืนหลังเปลี่ยนเครื่องได้ ความสะดวกนี้มาพร้อมขอบเขตที่ต้องดูแลเพิ่ม: ระบบซิงก์สามารถทำสำเนากุญแจส่วนตัวไปเก็บและส่งต่อสู่อุปกรณ์ที่ได้รับสิทธิ์ ข้อกำหนด NIST เรื่องกุญแจที่ซิงก์ได้ ระบุให้เข้ารหัสสำเนา ควบคุมผู้เข้าถึงระบบซิงก์ และป้องกันการเข้าถึงกุญแจด้วยการยืนยันตัวตนที่เหมาะสม

ความหมายเชิงปฏิบัติคือความปลอดภัยไม่ได้ขึ้นอยู่กับการล็อกโทรศัพท์เครื่องแรกเพียงเครื่องเดียว บัญชีของตัวจัดการข้อมูลรับรอง อุปกรณ์อื่นที่ได้รับกุญแจ และกระบวนการกู้คืนของระบบซิงก์ล้วนเกี่ยวข้อง หากแบ่งปันบัญชีซิงก์กับผู้อื่นหรือปล่อยให้ผู้อื่นปลดล็อกอุปกรณ์ปลายทางได้ ก็ต้องนับคนเหล่านั้นอยู่ในขอบเขตความเสี่ยงด้วย

การทำสำเนาผ่านระบบซิงก์ไม่เหมือนการคัดลอกรหัสผ่านไปกรอกในเว็บปลอม passkey ผูกการใช้กุญแจเข้ากับเว็บไซต์ที่สร้างไว้ จึงช่วยต้านการหลอกให้ใช้ข้อมูลลงชื่อเข้าใช้กับเว็บไซต์เลียนแบบ แต่คุณสมบัตินี้ไม่ได้ป้องกันผู้ที่ควบคุมอุปกรณ์หรือบัญชีซิงก์ที่ได้รับกุญแจอยู่แล้ว การดูแลรหัสปลดล็อกเครื่องและบัญชีตัวจัดการข้อมูลรับรองจึงยังจำเป็น

หากต้องการวิธีเข้าบัญชีสำรองที่แยกจากโทรศัพท์และระบบซิงก์ ให้ใช้กุญแจความปลอดภัยที่รองรับ FIDO2 เปิดหน้าตัวเลือก passkey ของบัญชี เลือก Create a passkey แล้วเลือก Use another device จากนั้นทำตามคำขอให้เสียบกุญแจและยืนยันด้วย PIN หรือเซนเซอร์บนกุญแจตามที่อุปกรณ์รองรับ ตรวจคุณสมบัติ FIDO2 ของรุ่นที่มีอยู่ก่อน เพราะคำว่า security key เพียงอย่างเดียวไม่รับประกันว่าจะสร้าง passkey ด้วยขั้นตอนนี้ได้

กุญแจความปลอดภัยที่เก็บข้อมูลรับรองไว้ในตัวเป็นทางเลือกเมื่อคุณต้องการถืออุปกรณ์สำหรับลงชื่อเข้าใช้แยกต่างหาก การนำติดตัวและการเก็บรักษาจึงต่างจาก passkey ที่กลับมาได้ผ่านระบบซิงก์ หากตั้งไว้เป็นทางสำรองของโทรศัพท์ ควรเก็บในสถานที่ที่เข้าถึงได้เมื่อจำเป็น แต่แยกจากโทรศัพท์และกระเป๋าที่อาจหายไปพร้อมกัน

ก่อนเลือกวิธีสำรอง ให้ถามว่าหากโทรศัพท์หลักใช้งานไม่ได้ คุณยังควบคุมอะไรอยู่บ้าง ผู้ที่มีอุปกรณ์ส่วนตัวอีกเครื่องและเข้าถึงระบบซิงก์ของตนเองได้อาจใช้ passkey ที่ซิงก์ไว้ ส่วนผู้ที่ต้องการทางเข้าที่แยกจากบัญชีซิงก์อาจเพิ่มกุญแจ FIDO2 การมีทางสำรองจะช่วยได้จริงต่อเมื่อคุณยังเข้าถึงอุปกรณ์ บัญชี หรือกุญแจที่เลือกไว้ในวันที่โทรศัพท์หาย

ตรวจรายการและถอนกุญแจที่ไม่ควรอยู่ในบัญชี

เปิด myaccount.google.com/signinoptions/passkeys แล้วตรวจรายการหลังสร้างทุกครั้ง ดูทั้งรายการที่คุณตั้งใจเพิ่มและอุปกรณ์ที่ไม่คุ้นชื่อ หากใช้บัญชี Google บนอุปกรณ์ Android อาจมี passkey ลงทะเบียนให้อัตโนมัติ จึงอย่าตัดสินจากความจำว่าเคยกด Create a passkey เองหรือไม่ หากใช้หลายบัญชีในเบราว์เซอร์เดียวกัน ให้ตรวจว่ากำลังดูรายการของบัญชีที่ต้องการ

สำหรับ passkey ที่คุณสร้างเอง ให้ไปที่ Security & sign-in แล้วเปิด Passkeys and security keys เลือกรายการของเครื่องที่เลิกใช้ เครื่องที่หาย หรือเครื่องที่ใช้ร่วมกัน จากนั้นกด Remove การถอนจากบัญชีเป็นขั้นตอนสำคัญ เพราะการออกจากระบบบนอุปกรณ์เพียงอย่างเดียวไม่ได้เป็นเหตุให้ passkey ที่สร้างไว้บนเครื่องนั้นหมดสิทธิ์ลงชื่อเข้าใช้

กรณี passkey ที่ Android ลงทะเบียนให้อัตโนมัติ ให้เปิด Security & sign-in ไปที่ Your devices และ Manage all devices เลือกอุปกรณ์ที่เกี่ยวข้องแล้วกด Sign out หากชื่ออุปกรณ์เดียวกันมีหลายเซสชัน ให้ตรวจและออกจากเซสชันที่เกี่ยวข้องทั้งหมด การดูทั้งรายการ passkey และรายการอุปกรณ์ช่วยแยกกุญแจที่สร้างเองออกจากสิทธิ์ซึ่งผูกกับการลงชื่อเข้าใช้บน Android

หลังถอน passkey จากบัญชี บางครั้งตัวจัดการข้อมูลรับรองบนเครื่องยังแสดงรายการเดิมและเสนอให้ใช้ตอนลงชื่อเข้าใช้ รายการที่แสดงบนเครื่องกับสิทธิ์ที่บัญชี Google ยอมรับเป็นคนละส่วน หากยังเห็นคำแนะนำดังกล่าว ให้เปิดตัวจัดการข้อมูลรับรองที่เคยบันทึกกุญแจไว้และลบรายการของบัญชี Google ตามเมนูของผู้ให้บริการนั้น

ก่อนลบข้อมูลในโทรศัพท์หรือส่งต่อคอมพิวเตอร์ ให้ตรวจชื่อบัญชีและรายการ passkey อีกครั้ง โดยเฉพาะถ้าเครื่องเคยใช้ตัวจัดการข้อมูลรับรองหลายตัว การถอนกุญแจผิดรายการอาจทำให้ทางเข้าที่ตั้งใจเก็บไว้หายไป ขณะที่การลบรายการบนเครื่องอย่างเดียวไม่ใช่การตรวจว่าบัญชีได้ถอนสิทธิ์ของกุญแจนั้นแล้ว

เตรียมทางกู้คืนก่อนขายหรือเปลี่ยนโทรศัพท์

โทรศัพท์เครื่องที่จะเลิกใช้ไม่ควรเป็นทางเข้าบัญชีเพียงทางเดียว แนวทางป้องกันการถูกล็อกออกจากบัญชีของ Google ให้ตรวจเบอร์โทรศัพท์และอีเมลสำหรับกู้คืน รวมถึงเตรียมวิธีพิสูจน์ตัวตนสำรอง เช่น รหัสสำรองสำหรับบัญชีที่เปิดการยืนยันแบบสองขั้นตอน ทำเรื่องนี้ขณะยังถือเครื่องเดิมและเข้าบัญชีได้

ตรวจว่าเบอร์กู้คืนยังรับข้อความได้ และอีเมลกู้คืนเป็นอีกบัญชีที่คุณเปิดได้จริง อีเมลนั้นควรต่างจากที่อยู่ของบัญชี Google ซึ่งกำลังตั้งค่า หากเก็บรหัสสำรองไว้ในโทรศัพท์เครื่องเดียวกับ passkey การทำโทรศัพท์หายอาจทำให้คุณเสียทั้งวิธีหลักและวิธีสำรองพร้อมกัน จึงควรเก็บรหัสในที่ปลอดภัยซึ่งเข้าถึงได้โดยไม่ต้องใช้เครื่องนั้น

การเพิ่มช่องทางกู้คืนหรือ passkey ใหม่อาจยังใช้ได้ไม่ทันทีในบางกรณี จึงไม่ควรรอจนถึงวันขายเครื่องแล้วค่อยตั้งทางสำรอง หลังเพิ่มวิธีเข้าบัญชี ให้ตรวจว่าคุณเข้าถึงอุปกรณ์สำรอง กุญแจความปลอดภัย หรืออีเมลกู้คืนที่เลือกไว้จริง การเห็นชื่อช่องทางอยู่ในหน้าตั้งค่าอย่างเดียวไม่ช่วย หากคุณไม่มีสิทธิ์ใช้งานช่องทางนั้นแล้ว

• ก่อนขายหรือยกเครื่องให้ผู้อื่น: ลงชื่อเข้าใช้จากอุปกรณ์ที่จะเก็บไว้ ตรวจทางเข้าบัญชีสำรอง ถอน passkey ของเครื่องเก่าจากบัญชีและตัวจัดการข้อมูลรับรอง แล้วออกจากเซสชันของอุปกรณ์เก่า ก่อนลบข้อมูลในเครื่องตามขั้นตอนของระบบปฏิบัติการ
• ก่อนเปลี่ยนโทรศัพท์: ตรวจว่าระบบซิงก์ของตัวจัดการข้อมูลรับรองเป็นบัญชีที่คุณควบคุม หากจะใช้กุญแจความปลอดภัยเป็นทางสำรอง ให้เตรียมและเก็บแยกไว้ก่อนเริ่มย้ายข้อมูล
• เมื่อเริ่มใช้เครื่องใหม่: ตั้งการล็อกหน้าจอด้วยรหัสที่ผู้อื่นไม่รู้ ตรวจบัญชีของตัวจัดการข้อมูลรับรอง แล้วจึงสร้าง passkey ใหม่หรือใช้กุญแจที่ซิงก์กลับมา หลังจากนั้นเปิดรายการ passkey ของบัญชี Google เพื่อตรวจว่าเครื่องเก่าไม่ได้ค้างอยู่โดยไม่จำเป็น

เมื่อโทรศัพท์หาย ให้จัดการทั้งกุญแจและเซสชัน

หากโทรศัพท์หายแต่ยังเข้าบัญชีจากอุปกรณ์อื่นได้ ให้ใช้ passkey อีกอัน กุญแจความปลอดภัย หรือวิธีลงชื่อเข้าใช้อื่นที่บัญชีเสนอ เมื่อเข้าได้แล้ว ให้ถอน passkey ที่เกี่ยวข้องกับโทรศัพท์ที่หาย และเปิดรายการอุปกรณ์เพื่อออกจากเซสชันของเครื่องนั้น การจัดการทั้งสองส่วนมีเหตุผลต่างกัน: ส่วนหนึ่งตัดสิทธิ์กุญแจสำหรับการลงชื่อเข้าใช้ครั้งต่อไป อีกส่วนจัดการการเข้าถึงบัญชีที่อาจยังเปิดอยู่

หากหน้าลงชื่อเข้าใช้เสนอ passkey ของโทรศัพท์ที่ไม่มีอยู่แล้ว ให้เลือก Try another way เพื่อดูวิธีที่บัญชีอนุญาต ช่องทางที่ใช้ได้จะขึ้นกับสิ่งที่คุณตั้งไว้ก่อนหน้า รวมถึงการเข้าถึงอีเมลหรือเบอร์กู้คืน หากไม่มีวิธีสำรองพร้อมใช้ อาจต้องเข้าสู่กระบวนการกู้คืนบัญชีและรอการตรวจสอบเพิ่มเติม

หลังกลับเข้าบัญชีได้ ให้ตรวจรายการ passkey อีกครั้งก่อนเพิ่มกุญแจบนโทรศัพท์เครื่องใหม่ หาก passkey เดิมอยู่ในระบบซิงก์ ให้ตรวจด้วยว่าบัญชีตัวจัดการข้อมูลรับรองและอุปกรณ์ที่ได้รับการซิงก์ยังอยู่ภายใต้การควบคุมของคุณ การถอนจากบัญชี Google และการจัดการสำเนาในตัวจัดการข้อมูลรับรองเป็นคนละงาน ซึ่งต้องพิจารณาตามวิธีที่คุณเก็บกุญแจไว้