Security Key คืออะไร? ป้องกัน Phishing และยืนยันตัวตนอย่างไร

บัญชีอีเมล Cloud, Social Media, Password Manager และระบบขององค์กรจำนวนมากยังเริ่มต้นจากรหัสผ่าน แต่รหัสผ่านที่ยาวและไม่ซ้ำกันก็ยังถูกขโมยผ่านเว็บไซต์ปลอม มัลแวร์ หรือฐานข้อมูลที่รั่วได้ การเพิ่มรหัส OTP ช่วยยกระดับความปลอดภัย แต่รหัสดังกล่าวยังสามารถถูกหลอกให้ผู้ใช้ส่งต่อแบบเรียลไทม์

Security Key แก้ปัญหานี้ด้วยการย้ายขั้นตอนสำคัญของการยืนยันตัวตนมาไว้ในอุปกรณ์จริง ผู้ใช้ต้องเสียบกุญแจเข้ากับพอร์ต USB หรือแตะผ่าน NFC แล้วสัมผัสตัวกุญแจ กรอก PIN หรือยืนยันลายนิ้วมือ ตามรูปแบบของบริการและอุปกรณ์

จุดสำคัญไม่ใช่เพียงการมีอุปกรณ์เพิ่มอีกชิ้น แต่เป็นวิธีที่กุญแจตรวจสอบเว็บไซต์และตอบกลับด้วยการเข้ารหัส ทำให้ข้อมูลที่สร้างไว้สำหรับเว็บไซต์จริงไม่สามารถนำไปใช้กับโดเมนปลอมได้ง่ายเหมือนรหัสที่มองเห็นและคัดลอกได้

Security Key คืออะไร

Security Key หรือกุญแจความปลอดภัย คืออุปกรณ์ยืนยันตัวตนภายนอกที่เก็บข้อมูลรับรองทางการเข้ารหัสไว้ในฮาร์ดแวร์ อุปกรณ์มักมีรูปทรงคล้ายแฟลชไดรฟ์หรือป้ายห้อยกุญแจ และสื่อสารกับคอมพิวเตอร์หรือโทรศัพท์ผ่าน USB-A, USB-C หรือ NFC

Security Key สมัยใหม่ส่วนใหญ่รองรับมาตรฐาน FIDO2 ซึ่งประกอบด้วย WebAuthn ของ W3C และ CTAP ของ FIDO Alliance มาตรฐานนี้รองรับทั้งการเข้าสู่ระบบแบบไม่ใช้รหัสผ่าน การใช้เป็นปัจจัยที่สอง และการยืนยันตัวตนหลายปัจจัย

ในทางปฏิบัติ ผู้ใช้สามารถนำ Security Key ไปลงทะเบียนกับบริการที่รองรับ เช่น Google Account, Microsoft Account หรือ Microsoft Entra ID, Apple Account, GitHub, Password Manager และระบบ Identity Provider ขององค์กร อย่างไรก็ตาม ความสามารถจริงขึ้นอยู่กับบริการ ระบบปฏิบัติการ เบราว์เซอร์ และรุ่นของกุญแจ จึงควรตรวจสอบหน้ารองรับของบริการก่อนซื้อ

Security Key ทำงานอย่างไร

เมื่อผู้ใช้ลงทะเบียน Security Key กับเว็บไซต์ อุปกรณ์จะสร้างข้อมูลรับรองเฉพาะสำหรับบริการนั้น โดยอาศัยการเข้ารหัสแบบ Asymmetric Cryptography หรือกุญแจคู่

1. Private Key ถูกเก็บอยู่ใน Security Key และไม่ควรถูกส่งออกจากอุปกรณ์
2. Public Key ถูกส่งให้บริการออนไลน์เก็บไว้เพื่อใช้ตรวจสอบลายเซ็น
3. เมื่อเข้าสู่ระบบ บริการส่ง Challenge แบบใช้ครั้งเดียวมาให้เบราว์เซอร์
4. Security Key ตรวจสอบบริบทของเว็บไซต์และใช้ Private Key ลงนาม Challenge
5. บริการใช้ Public Key ตรวจสอบคำตอบ หากถูกต้องจึงอนุญาตให้เข้าสู่ระบบ

บริการออนไลน์จึงไม่จำเป็นต้องเก็บความลับแบบเดียวกับรหัสผ่านไว้สำหรับการยืนยันด้วย FIDO หากฐานข้อมูลของบริการรั่ว ผู้โจมตีที่ได้ Public Key ไปก็ไม่สามารถใช้สร้างลายเซ็นแทน Private Key ในอุปกรณ์ได้

การแตะกุญแจมีไว้ทำอะไร

การแตะพื้นผิวของกุญแจเป็นการยืนยันว่ามีผู้ใช้อยู่หน้าอุปกรณ์จริง หรือเรียกว่า User Presence ไม่ใช่การสแกนลายนิ้วมือเสมอไป รุ่นที่รองรับ Biometrics จึงจะแยกแยะลายนิ้วมือได้ ส่วนกุญแจทั่วไปอาจใช้การแตะร่วมกับ PIN เมื่อต้องยืนยันตัวบุคคลหรือใช้ Passkey

ทำไม Security Key จึงป้องกัน Phishing ได้

รหัส OTP เป็นข้อความที่ผู้ใช้มองเห็นและกรอกได้ หากเว็บไซต์ปลอมทำหน้าตาเหมือนเว็บไซต์จริง ผู้โจมตีสามารถขอให้ผู้ใช้กรอกรหัสแล้วนำรหัสนั้นไปใช้กับเว็บไซต์จริงก่อนหมดอายุได้ การโจมตีลักษณะนี้เรียกว่า Adversary-in-the-Middle หรือ Phishing แบบส่งต่อข้อมูลแบบเรียลไทม์

FIDO Security Key ไม่ได้ตอบกลับด้วยรหัสที่นำไปกรอกต่อ แต่ใช้ข้อมูลรับรองที่ผูกกับ Relying Party หรือโดเมนของบริการ เบราว์เซอร์และกุญแจจะตรวจสอบ Origin ที่กำลังขอการยืนยัน หากผู้ใช้อยู่บนโดเมนปลอม ข้อมูลรับรองของเว็บไซต์จริงจะไม่ตรงกับคำขอ จึงไม่สามารถสร้างคำตอบที่เว็บไซต์จริงยอมรับได้

คำว่า Phishing-resistant ไม่ได้หมายความว่า Security Key ป้องกันทุกการโจมตี ผู้โจมตียังอาจหลอกให้ผู้ใช้อนุมัติการเปลี่ยนแปลงอื่น ขโมย Session ที่เข้าสู่ระบบแล้ว เจาะเครื่องปลายทาง หรือใช้กระบวนการกู้คืนบัญชีที่อ่อนแอได้ Security Key จึงต้องใช้ร่วมกับการอัปเดตอุปกรณ์ การตรวจสอบ Session และนโยบายกู้คืนบัญชีที่รัดกุม

Security Key ต่างจาก OTP และ Passkey อย่างไร

Security Key กับ Passkey เป็นสิ่งเดียวกันหรือไม่

ไม่ใช่คำเดียวกันเสียทีเดียว Passkey คือข้อมูลรับรองที่ใช้มาตรฐาน FIDO ส่วน Security Key คืออุปกรณ์จริงที่สามารถเก็บ Device-bound Passkey ได้ Passkey ยังอาจเก็บในโทรศัพท์ คอมพิวเตอร์ หรือ Password Manager และซิงก์ข้ามอุปกรณ์ได้ด้วย

Security Key กับ YubiKey ต่างกันอย่างไร

Security Key เป็นชื่อประเภทของอุปกรณ์ ส่วน YubiKey เป็นชื่อผลิตภัณฑ์ของ Yubico ภายในแบรนด์เดียวกันยังมีทั้ง Security Key Series ที่เน้น FIDO2/WebAuthn และ U2F กับ YubiKey 5 Series ที่เพิ่มโปรโตคอลอย่าง OATH, PIV, OpenPGP และ OTP สำหรับระบบองค์กรหรือระบบเดิม

ใครควรใช้ Security Key

• ผู้ดูแลระบบและบัญชีสำคัญ: บัญชี Cloud, Domain, Source Code, Password Manager และบัญชีที่มีสิทธิ์เปลี่ยนแปลงระบบ
• ธุรกิจและหน่วยงาน: องค์กรที่ต้องการ MFA แบบต้านทาน Phishing และต้องควบคุมชนิดอุปกรณ์หรือ Passkey ที่พนักงานใช้
• ผู้มีความเสี่ยงจากการโจมตีแบบเจาะจง: ผู้บริหาร นักข่าว นักกิจกรรม ผู้ดูแลเพจ และบุคคลสาธารณะ
• ทีมการเงินและผู้อนุมัติรายการสำคัญ: เหมาะกับบัญชีที่ใช้อนุมัติการชำระเงิน เข้าถึงข้อมูลลูกค้า หรือเปลี่ยนแปลงสิทธิ์ของผู้ใช้อื่น
• ผู้ที่ต้องใช้หลายเครื่อง: Security Key หนึ่งดอกสามารถใช้กับคอมพิวเตอร์และโทรศัพท์ที่รองรับได้ โดยไม่ต้องย้ายรหัสลับเข้าเครื่องทุกเครื่อง

วิธีเลือก Security Key

1. เลือกพอร์ตให้ตรงกับอุปกรณ์

USB-A เหมาะกับคอมพิวเตอร์รุ่นเดิมและเครื่องสำนักงานจำนวนมาก ส่วน USB-C เหมาะกับโน้ตบุ๊ก โทรศัพท์ Android, iPhone รุ่นที่ใช้ USB-C และอุปกรณ์สมัยใหม่ หากต้องใช้ทั้งโทรศัพท์และคอมพิวเตอร์ การมี NFC ช่วยให้แตะกับมือถือได้โดยไม่ต้องเสียบพอร์ต

2. ตรวจว่าต้องการ FIDO-only หรือ Multi-protocol

หากต้องการใช้กับ Google, Microsoft, Apple, Social Media หรือ Password Manager ที่รองรับ FIDO รุ่น Security Key Series มักเพียงพอและคุ้มค่า แต่ถ้าองค์กรต้องใช้ Smart Card/PIV, OpenPGP, OATH-TOTP, Challenge-response หรือ Yubico OTP ควรดู YubiKey 5 Series และตรวจระบบที่ใช้งานจริง

3. พิจารณาการยืนยันด้วย PIN หรือ Biometrics

FIDO2 Security Key สามารถใช้ PIN เพื่อยืนยันตัวบุคคลได้ รุ่น Bio เพิ่มเซ็นเซอร์ลายนิ้วมือบนกุญแจ ช่วยลดการกรอก PIN ในกรณีที่ระบบรองรับ แต่ไม่ได้ทำให้ต้องซื้อรุ่น Biometrics เสมอไป การแตะกุญแจทั่วไปก็ยังยืนยันการมีผู้ใช้อยู่หน้าเครื่องได้

4. ตรวจมาตรฐานและบริการที่รองรับ

มองหารุ่นที่รองรับ FIDO2/WebAuthn และ FIDO U2F พร้อมตรวจ Compatibility List ของผู้ผลิตและบริการปลายทาง หากเป็นการจัดซื้อองค์กร ควรพิจารณา FIDO Certification, Attestation, AAGUID, การกำหนดนโยบายใน Identity Provider และความสามารถด้าน Inventory เพิ่มเติม

5. วางแผนจำนวนกุญแจและการกระจายความเสี่ยง

กุญแจหลักควรอยู่กับผู้ใช้ ส่วนกุญแจสำรองควรเก็บในสถานที่ปลอดภัยอีกแห่งหนึ่ง สำหรับ Apple Account ระบบกำหนดให้ลงทะเบียนอย่างน้อยสองดอก ขณะที่บริการอื่นอาจมีข้อกำหนดต่างกัน องค์กรควรมีขั้นตอนออกกุญแจ ทดแทน เพิกถอน และตรวจสอบผู้ขอกู้คืนบัญชีอย่างชัดเจน

วิธีเริ่มใช้งาน Security Key อย่างปลอดภัย

1. ซื้อจากผู้ผลิต ตัวแทน หรือร้านที่ตรวจสอบแหล่งที่มาได้ และตรวจสภาพบรรจุภัณฑ์เมื่อได้รับสินค้า
2. อัปเดตระบบปฏิบัติการและเบราว์เซอร์ก่อนลงทะเบียน
3. ตั้ง FIDO2 PIN ผ่านเครื่องมือหรือขั้นตอนที่ผู้ผลิตแนะนำ โดยไม่ใช้ PIN เดียวกับอุปกรณ์อื่น
4. ลงทะเบียนกุญแจหลักและกุญแจสำรองกับบัญชีเดียวกันให้เสร็จในครั้งเดียว
5. ตั้งชื่อกุญแจในหน้าบัญชี เช่น “ใช้งานประจำ” และ “สำรองที่บ้าน” เพื่อจัดการภายหลังได้ง่าย
6. เก็บ Recovery Code แบบ Offline และตรวจว่าช่องทางกู้คืนไม่ได้อ่อนแอกว่านโยบายที่ต้องการ
7. ทดลองเข้าสู่ระบบด้วยกุญแจทุกดอกก่อนออกจากระบบหรือยกเลิกวิธีเดิม
8. หากกุญแจสูญหาย ให้เข้าสู่บัญชีด้วยกุญแจสำรองและเพิกถอนกุญแจที่หายทันที

Security Key ไม่ได้เก็บไฟล์ส่วนตัวเหมือนแฟลชไดรฟ์ และการทำสำเนากุญแจด้วยการคัดลอกไฟล์ทั่วไปทำไม่ได้ วิธีสำรองที่ถูกต้องคือการลงทะเบียนกุญแจอีกดอกกับแต่ละบัญชีหรือใช้กระบวนการกู้คืนที่วางแผนไว้

Security Key รุ่นที่เหมาะกับการใช้งานแต่ละแบบ

Security Key NFC by Yubico: FIDO สำหรับ USB-A และมือถือ

เหมาะกับผู้ใช้ที่ต้องการ FIDO2/WebAuthn และ U2F เป็นหลัก ใช้กับคอมพิวเตอร์ผ่าน USB-A และแตะโทรศัพท์ที่รองรับ NFC ได้ เป็นจุดเริ่มต้นที่คุ้มค่าสำหรับบัญชีออนไลน์สมัยใหม่

Yubico

Security Key NFC by Yubico

฿1,390

• USB-A และ NFC
• รองรับ FIDO2/WebAuthn และ FIDO U2F
• ไม่มีแบตเตอรี่ เหมาะกับบัญชีออนไลน์สมัยใหม่

เพิ่มลงตะกร้า

Security Key C NFC by Yubico: FIDO สำหรับ USB-C และมือถือ

เหมาะกับโน้ตบุ๊กและโทรศัพท์รุ่นใหม่ที่ใช้ USB-C พร้อม NFC สำหรับการแตะบนมือถือ ความสามารถด้าน FIDO ใกล้เคียงกับรุ่น USB-A แต่เลือกหัวต่อให้ตรงกับอุปกรณ์ที่ใช้ประจำ

Yubico

Security Key C NFC by Yubico

฿1,790

• USB-C และ NFC
• รองรับ FIDO2/WebAuthn และ FIDO U2F
• เหมาะกับคอมพิวเตอร์และโทรศัพท์รุ่นใหม่

เพิ่มลงตะกร้า

YubiKey 5 NFC: Multi-protocol สำหรับ USB-A

เหมาะกับผู้ใช้หรือองค์กรที่ต้องการมากกว่า FIDO เพราะ YubiKey 5 Series รองรับโปรโตคอลเพิ่มเติมสำหรับระบบเดิมและงานองค์กร เช่น OATH, PIV, OpenPGP และ OTP ควบคู่กับ FIDO2/WebAuthn

Yubico

YubiKey 5 NFC

฿2,490

• USB-A และ NFC
• รองรับ FIDO2, U2F, OATH, PIV, OpenPGP และ OTP
• เหมาะกับผู้ใช้หลายระบบและองค์กร

เพิ่มลงตะกร้า

YubiKey 5C NFC: Multi-protocol สำหรับ USB-C

ให้ความสามารถแบบ Multi-protocol เช่นเดียวกับตระกูล YubiKey 5 พร้อม USB-C และ NFC จึงเหมาะกับผู้ใช้ที่ต้องดูแลทั้งบริการ Cloud สมัยใหม่และระบบองค์กรบนอุปกรณ์รุ่นใหม่

Yubico

YubiKey 5C NFC

฿2,690

• USB-C และ NFC
• รองรับ FIDO2, U2F, OATH, PIV, OpenPGP และ OTP
• ใช้ได้กับ Desktop และ Mobile รุ่นใหม่

เพิ่มลงตะกร้า

ราคาและจำนวนสินค้าสามารถเปลี่ยนแปลงได้ โปรดตรวจสอบข้อมูลล่าสุดในหน้าสินค้าก่อนสั่งซื้อ หากไม่แน่ใจว่าระบบขององค์กรต้องใช้โปรโตคอลใด ควรตรวจสอบกับผู้ดูแลระบบก่อนเลือกรุ่น

คำถามที่พบบ่อย

Security Key ใช้แทนรหัสผ่านได้หรือไม่

ได้ในบริการที่รองรับ Passwordless หรือ Passkey บน FIDO2 Security Key แต่บางบริการยังใช้กุญแจเป็นขั้นตอนที่สองหลังรหัสผ่าน วิธีใช้งานจึงขึ้นอยู่กับนโยบายของแต่ละบัญชี

หาก Security Key หาย คนที่เก็บได้จะเข้าบัญชีได้ทันทีหรือไม่

โดยทั่วไปยังต้องทราบบัญชีที่กุญแจผูกอยู่ และบางกรณีต้องทราบ PIN หรือผ่านการยืนยันเพิ่มเติม แต่ไม่ควรพึ่งข้อจำกัดนี้ เมื่อกุญแจหายควรใช้กุญแจสำรองเข้าสู่ระบบและลบกุญแจที่หายออกจากทุกบัญชีทันที

ควรซื้อ Security Key กี่ดอก

อย่างน้อยสองดอกสำหรับผู้ใช้ทั่วไป ดอกหนึ่งใช้ประจำและอีกดอกเก็บสำรองแยกสถานที่ บริการบางแห่ง เช่น Apple Account กำหนดให้มีอย่างน้อยสองดอกตั้งแต่ขั้นตอนตั้งค่า

Security Key ต้องต่ออินเทอร์เน็ตหรือชาร์จแบตเตอรี่หรือไม่

กุญแจ USB/NFC ทั่วไปไม่ต้องมีอินเทอร์เน็ตหรือแบตเตอรี่ในตัว แต่คอมพิวเตอร์หรือโทรศัพท์ที่ใช้เข้าสู่บริการยังต้องเชื่อมต่อเครือข่ายตามปกติ กุญแจรับพลังงานจาก USB หรือสนาม NFC ระหว่างใช้งาน

Security Key ป้องกันการแฮกได้ทั้งหมดหรือไม่

ไม่ได้ Security Key ลดความเสี่ยงจากการขโมยรหัสผ่าน การนำข้อมูลรับรองกลับมาใช้ และ Phishing ได้มาก แต่ไม่ป้องกันมัลแวร์ทุกชนิด การขโมย Session ช่องโหว่ของบริการ หรือการหลอกผ่านกระบวนการกู้คืนบัญชี

Security Key ใช้กับโทรศัพท์ได้หรือไม่

ได้ หากโทรศัพท์ ระบบปฏิบัติการ และบริการรองรับ วิธีที่สะดวกที่สุดมักเป็น NFC หรือ USB-C ควรตรวจสอบความเข้ากันได้ของอุปกรณ์และบริการก่อนซื้อ

สรุป

Security Key คืออุปกรณ์ยืนยันตัวตนที่ทำให้การเข้าบัญชีต้องอาศัยกุญแจจริงและการตอบกลับทางการเข้ารหัส เมื่อใช้มาตรฐาน FIDO2/WebAuthn ข้อมูลรับรองจะผูกกับเว็บไซต์ที่ลงทะเบียนไว้ จึงต้านทานเว็บไซต์ปลอมและการขโมยรหัสแบบเดิมได้ดีกว่า SMS หรือ OTP

การเลือกไม่ได้เริ่มจากรุ่นที่แพงที่สุด แต่เริ่มจากบริการที่ต้องใช้ พอร์ตของอุปกรณ์ และโปรโตคอลที่ระบบต้องการ ผู้ใช้ทั่วไปอาจเริ่มจาก FIDO-only พร้อม USB/NFC ส่วนองค์กรที่มีระบบ Smart Card, OpenPGP หรือ OTP เดิมอาจต้องใช้รุ่น Multi-protocol

ไม่ว่าจะเลือกรุ่นใด ควรลงทะเบียนกุญแจอย่างน้อยสองดอก ทดสอบทุกดอก เก็บกุญแจสำรองและ Recovery Code แยกจากกุญแจหลัก และทบทวนช่องทางกู้คืนบัญชีเพื่อไม่ให้กลายเป็นทางลัดที่อ่อนแอกว่า Security Key

แหล่งข้อมูลและเอกสารอ้างอิง

1. FIDO Alliance: User Authentication Specifications และภาพรวม FIDO2
2. FIDO Alliance: Passkeys และการยืนยันตัวตนแบบต้านทาน Phishing
3. Google Account Help: การใช้ Security Key กับ 2-Step Verification
4. Microsoft Learn: การเข้าสู่ระบบด้วย FIDO2 Security Key
5. Apple Support: Security Keys สำหรับ Apple Account
6. Yubico: เปรียบเทียบ Security Key Series และ YubiKey Series

บทความนี้อ้างอิงข้อมูลสาธารณะที่ตรวจสอบได้ ณ วันที่ 22 สิงหาคม 2026 การรองรับมาตรฐาน ระบบปฏิบัติการ บริการออนไลน์ Firmware ราคา และสถานะสินค้าอาจเปลี่ยนแปลงได้ โปรดตรวจสอบข้อมูลล่าสุดจากผู้ให้บริการและหน้าสินค้าก่อนตั้งค่าหรือสั่งซื้อ