การปลดล็อกป้อมปราการดิจิทัล WebAuthn และ FIDO2

เพื่อให้คงไว้ซึ่งความเป็นจริงต่อการเปรียบเทียบระบบล็อกของเรา ให้คิดว่าวิวัฒนาการด้านความปลอดภัยทางไซเบอร์เป็นภาพสะท้อนของโลกแห่งช่างทำกุญแจ เช่นเดียวกับที่เราฝันถึงล็อกที่เปลี่ยนกลไกทุกครั้งที่มีการเข้าถึง ทำให้คีย์และเทคนิคทั่วไปล้าสมัย FIDO2 และ WebAuthn ก็กลับมาโลดแล่นอีกครั้ง โดยนำเสนอ passwordless authentication

เหตุใด FIDO2 และ WebAuthn จึงเป็นสิ่งมหัศจรรย์ของช่างทำกุญแจดิจิทัลในยุคของเรา ลองจินตนาการถึงการออกแบบล็อกที่แต่ละกุญแจไม่ได้มีเอกลักษณ์เฉพาะตัวแต่จะเปลี่ยนแปลงไปหลังการใช้งานแต่ละครั้ง แม้ว่าขโมยเจ้าเล่ห์จะทำซ้ำคีย์ของคุณ (เหมือนกับการขโมยรหัสผ่านของคุณ) มันก็จะไร้ประโยชน์เกือบจะทันทีหลังจากนั้น

การล็อกแบบดิจิทัลก่อนหน้านี้อาศัยรหัสผ่านเป็นส่วนใหญ่ แต่ด้วยการถือกำเนิดของ FIDO2 และ WebAuthn เราได้ก้าวกระโดดความซับซ้อนในการตรวจสอบสิทธิ์ ซึ่งคล้ายคลึงกับการเปรียบเทียบเชิงนวัตกรรมของช่างทำกุญแจ โดยหัวใจหลัก FIDO2 และ WebAuthn มีเป้าหมายที่จะกำจัดการโจมตีแบบฟิชชิ่ง การแทรกกลางการสื่อสาร และการใช้ซ้ำ โดยการนำความสามารถในการรับรองความถูกต้องขั้นสูงมาใช้

FIDO2: มาตรฐานนี้กำหนดโดย Fast IDentity Online (FIDO) Alliance ประกอบด้วยสองส่วน ได้แก่ ไคลเอนต์ (โดยทั่วไปคือเว็บเบราว์เซอร์) และ authenticator (ซึ่งอาจเป็นคีย์ความปลอดภัยทางโทรศัพท์มือถือ หรืออุปกรณ์อื่น ๆ ) มาตรฐานการพิสูจน์ตัวตนบนโลกออนไลน์ที่นำเสนอกลไกการพิสูจน์ตัวตนอย่างราบรื่นและมั่นคงปลอดภัย ถูกออกแบบมาให้สามารถใช้งานได้ในหลากหลายสถานการณ์โดยใช้ Multi-factor Cryptographic Tokens และไม่ต้องพึ่งพา Password แต่อย่างใด

การทำงานของ FIDO2 โดย Authenticator หรือที่รู้จักกันดีว่า FIDO Security Key จะมีการฝัง Private Key 1 Key หรือมากกว่านั้น โดยแต่ละ Key จะถูกใช้สำหรับแต่ละ Online Account แยกจากกัน ในขั้นตอนการยืนยันตัวตนของผู้ใช้ จำเป็นต้องมีปฏิสัมพันธ์ของผู้ใช้ (User Gesture) เข้ามาเกี่ยวข้อง เช่น การใส่รหัส PIN, Biometrics หรือ Authentication Token อื่นๆ ก่อนที่ Private Key จะถูกนำไปใช้เพื่อ Sign บน Response ในขั้นตอน Authentication Challenge

WebAuthn: WebAuthn เป็นมาตรฐานเว็บที่ได้รับการสนับสนุนจาก World Wide Web Consortium (W3C) ซึ่งเป็นส่วนหนึ่งของโปรเจ็กต์ FIDO2 โดยมี API ที่ช่วยให้เว็บแอปพลิเคชันใช้การเข้ารหัสคีย์สาธารณะหรือที่เรียกว่าพาสคีย์สำหรับการตรวจสอบสิทธิ์ผู้ใช้ เมื่อผู้ใช้ลงทะเบียนบนไซต์ WebAuthn API จะเปิดใช้งานการสร้างคู่คีย์สาธารณะ-ส่วนตัวคู่ใหม่บนตัวตรวจสอบสิทธิ์ของผู้ใช้ เฉพาะคีย์สาธารณะเท่านั้นที่จะถูกส่งไปยังเซิร์ฟเวอร์ โดยมีคีย์ส่วนตัวอยู่ในอุปกรณ์ของผู้ใช้อย่างปลอดภัย ในการเข้าสู่ระบบครั้งต่อๆ ไป เซิร์ฟเวอร์จะออกคำถาม ซึ่งลงนามโดยผู้ตรวจสอบความถูกต้องโดยใช้รหัสส่วนตัว และผลลัพธ์ Sign ที่ได้รับจะถูกตรวจสอบข้ามด้วยรหัสสาธารณะที่เก็บไว้

ความมหัศจรรย์ที่แท้จริงของ FIDO2 และ WebAuthn นั้นอยู่ที่ความเข้ากันได้กับตัวตรวจสอบความถูกต้องที่หลากหลาย ตั้งแต่ข้อมูล Biometrics เช่น ลายนิ้วมือ หรือการจดจำใบหน้า ไปจนถึงโทเค็นของฮาร์ดแวร์ภายนอก ความสามารถนี้ ประกอบกับการรักษาความปลอดภัยที่แข็งแกร่งของการเข้ารหัสคีย์สาธารณะ ทำให้เป็นทางเลือกที่มีประสิทธิภาพแทนระบบ User และรหัสผ่านแบบเดิม แม้ว่าพวกเขาจะไม่เปลี่ยน ‘กลไกการล็อก’ อย่างแท้จริงหลังการใช้งานแต่ละครั้ง พวกเขาตรวจสอบให้แน่ใจว่าคีย์ที่ให้มาเป็นแบบชั่วคราวและไม่ซ้ำกัน ทำให้การโจมตีแบบเดิมๆ ล้าสมัย

Blueprint ของ WebAuthn และ FIDO2 มาสเตอร์คลาสของช่างทำกุญแจ

FIDO2 และ WebAuthn ได้พิสูจน์ความแข็งแกร่งในการต่อต้านฟิชชิ่งแล้ว จำวิธีการพิมพ์รหัสผ่านแบบเดิมๆ ได้ไหม? เมื่อออกสู่ธรรมชาติแล้ว มันก็เป็นเกมที่ยุติธรรม FIDO2 และ WebAuthn หลีกเลี่ยงสิ่งนี้ด้วยการจับมือแบบเข้ารหัส การรับรองความถูกต้องเฉพาะบนเว็บไซต์ของแท้จะนำต้นกำเนิดของเว็บไซต์มาสู่การเต้นรำการรับรองความถูกต้อง ขัดขวางข้อมูลระหว่างการย้ายใช่ไหม มันจะไม่เต้นตามจังหวะของเว็บไซต์อื่น ทำให้ฟิชชิ่งกลายเป็นเรื่องไร้สาระ

และมันไม่ได้จบเพียงแค่นั้น ลองนึกภาพกลไกการตอบสนองต่อความท้าทายเช่นการจับมือกันแบบลับๆ เซิร์ฟเวอร์ส่งการเคลื่อนไหว (ความท้าทาย) และมีเพียงผู้เข้าร่วมที่ถูกต้อง (พร้อมรหัสส่วนตัวที่ถูกต้อง) เท่านั้นที่รู้การตอบโต้ (การตอบสนอง) ผู้ดักฟังคนใดก็ตามที่พยายามเลียนแบบลำดับในอีกเซสชันหนึ่งจะพบว่าตัวเองกำลังสะดุด มันคล้ายกับกุญแจที่จะละลายหลังการใช้งานในคำอุปมาเรื่องล็อคของเรา

ช่างทำกุญแจแบบดิจิทัลมีการพัฒนามากขึ้น: พลิกโฉมการบายพาสที่ฉลาดที่สุด

การเปรียบเทียบการล็อกของเรา วิธีการ MFA แบบเก่าให้ความรู้สึกเหมือนกับการใส่แม่กุญแจบนประตูที่ล็อกอยู่แล้ว ก็จะปลอดภัยกว่าเล็กน้อย แต่สามารถแฮ็กได้ FIDO2 และ WebAuthn ได้รื้อประตูเก่าออกแล้วแทนที่ด้วยประตูที่ทำจากโลหะผสมที่ทนทานและเปลี่ยนแปลงตลอดเวลา เปลี่ยนการรักษาความปลอดภัยจากเชิงรับเป็นแบบเชิงรุก หาก MFA แบบเดิมย่อมาจาก Bramah lock โปรโตคอลสมัยใหม่เหล่านี้คือคำมั่นสัญญาของการล็อคที่มีความสลับซับซ้อนที่ไม่เคยมีมาก่อน ซึ่งเป็นส่วนหนึ่งของแนวทางการตรวจสอบสิทธิ์ขั้นสูง

ท้ายที่สุด ความพึงพอใจไม่ใช่ทางเลือก โลกไซเบอร์ในปัจจุบันเต็มไปด้วยภัยคุกคามอันชาญฉลาด ซึ่งพร้อมที่จะเปิดโปงส่วนเล็กๆ ในระปบบป้องกัน ไม่ว่าระบบใด ไม่ว่าจะก้าวหน้าแค่ไหนก็ตามไม่สามารถให้คำมั่นสัญญาด้านความปลอดภัยชั่วนิรันดร์ได้ แต่ทางออกที่ดีที่สุดของเราคือการพัฒนาและปรับตัว โดยยอมรับ FIDO2 และ WebAuthns ของโลกดิจิทัล ท้ายที่สุดแล้ว สมบัติในอาณาจักรดิจิทัลของเรา – ตัวตน เรื่องราว และความลับของเรา – มีค่าดั่งทองคำ ปกป้องสิ่งเหล่านั้นด้วยสิ่งที่ดีที่สุด

สำหรับองค์กรธุรกิจใดที่กำลังมองหาแนวทางเสริมความปลอดภัยให้กับธุรกิจของคุณ แต่ไม่มีโอกาสเข้ามาร่วมงานสัมมนาครั้งนี้ สามารถติดต่อทีมงาน World Information Technology เพื่อรับคำปรึกษาอย่างครบวงจร เตรียมพร้อมให้ธุรกิจของคุณดำเนินงานได้อย่างปลอดภัยจากภัยทาง Cyber