นำการรักษาความปลอดภัยที่ดียิ่งขึ้นและประสบการณ์ของผู้ใช้ที่ดีขึ้นในบัญชี Google
พาสคีย์เป็นเทคโนโลยีการตรวจสอบสิทธิ์ข้ามอุปกรณ์ที่ใช้งานง่ายและปลอดภัย ซึ่งช่วยให้สามารถสร้างบัญชีออนไลน์และลงชื่อเข้าใช้บัญชีเหล่านั้นได้โดยไม่ต้องป้อนรหัสผ่าน หากต้องการเข้าสู่ระบบบัญชี เพียงผู้ใช้จะเห็นข้อความแจ้งให้ใช้การล็อกหน้าจอในอุปกรณ์ เช่น แตะเซ็นเซอร์ลายนิ้วมือ
Google ทำงานร่วมกับ FIDO Alliance เป็นเวลาหลายปีร่วมกับ Apple และ Microsoft เพื่อนำพาสคีย์มาสู่โลก ในปี 2022 เราได้เปิดตัวการรองรับพาสคีย์ในแพลตฟอร์มเพื่อให้ผู้ใช้ Android และ Chrome ลงชื่อเข้าใช้แอปและเว็บไซต์ในอุปกรณ์ทุกเครื่องได้อย่างราบรื่น ในเดือนพฤษภาคม 2023 เราได้เปิดใช้การลงชื่อเข้าใช้บัญชี Google ด้วยพาสคีย์เพื่อให้ผู้ใช้ของเราได้รับความปลอดภัยและความสะดวกสบายของพาสคีย์
Google อยู่ในตำแหน่งที่โดดเด่น เนื่องจากเราทั้งคู่กำลังสร้างโครงสร้างพื้นฐานสำหรับพาสคีย์และเป็นหนึ่งในบริการที่ใหญ่ที่สุดที่ใช้พาสคีย์ เรากำลังเปิดตัวพาสคีย์สำหรับบัญชี Google อย่างรอบคอบและระมัดระวัง เพื่อให้สามารถวัดผลลัพธ์และใช้ความคิดเห็นดังกล่าวในการปรับปรุงโครงสร้างพื้นฐานของพาสคีย์และประสบการณ์การใช้งานบัญชี Google ต่อไป
การเปลี่ยนให้ผู้ใช้ไปใช้พาสคีย์
รหัสผ่านคือวิธีการลงชื่อเข้าใช้มาตรฐานมาตั้งแต่ถือกำเนิดประสบการณ์ออนไลน์ที่ปรับเปลี่ยนในแบบของคุณ เราจะนำเสนอประสบการณ์การใช้พาสคีย์ที่ไม่ต้องใช้รหัสผ่านได้อย่างไร
งานวิจัยชี้ให้เห็นว่าเมื่อพูดถึงการตรวจสอบสิทธิ์ ผู้ใช้ให้ความสำคัญกับความสะดวกสบายมากที่สุด พวกเขาต้องการที่จะเปลี่ยนไปใช้ประสบการณ์จริง ที่ราบรื่นและรวดเร็ว ซึ่งจะมาหลังจากลงชื่อเข้าใช้เท่านั้น
แต่ถึงอย่างนั้น การเปลี่ยนไปใช้พาสคีย์จะต้องมีการเปลี่ยนแปลงหน่วยความจำของกล้ามเนื้อ และผู้ใช้ก็ต้องเชื่อว่าคุ้มค่าที่จะเปลี่ยนไปใช้
ประสบการณ์ของผู้ใช้พาสคีย์สำหรับ Google.com ได้รับการออกแบบมาอย่างมีกลยุทธ์เพื่อเน้นย้ำหลักการ 2 ข้อในทุกขั้นตอนของการตรวจสอบสิทธิ์ ได้แก่ การใช้งานง่ายและความปลอดภัย
นำหน้าด้วยความสะดวก
หน้าจอพาสคีย์แรกที่ผู้ใช้เห็นมีน้ำหนักเบาและเข้าใจง่าย ส่วนหัวเน้นสิทธิประโยชน์ของผู้ใช้ พร้อมระบุว่า "ทำให้การลงชื่อเข้าใช้ง่ายขึ้น"
เนื้อความจะอธิบายว่า "ตอนนี้พาสคีย์จะทำให้คุณใช้ลายนิ้วมือ ใบหน้า หรือการล็อกหน้าจอเพื่อยืนยันตัวตนได้"
ภาพประกอบมีจุดมุ่งหมายเพื่อสร้างความเชื่อมโยงกับข้อความที่มีคุณค่าซึ่งหน้าเว็บนำเสนอ การกระทําหลักสีน้ำเงินที่มีขนาดใหญ่จะกระตุ้นให้ผู้ใช้ดําเนินการต่อ รวม "ไว้ทีหลัง" เป็นการดำเนินการรองเพื่อให้ผู้ใช้เลือกได้ว่าจะใช้หรือไม่เลือกใช้ในขณะนี้ โดยที่ผู้ใช้เป็นผู้ควบคุม นอกจากนี้ ยังมี "ดูข้อมูลเพิ่มเติม" ให้กับผู้ใช้ที่อยากรู้อยากเห็นที่สุดซึ่งต้องการทำความเข้าใจพาสคีย์ให้ดียิ่งขึ้นก่อนดำเนินการต่อ
เราได้สำรวจหลายๆ หน้าที่มีการนำมาใช้เพื่อแนะนำให้ผู้ใช้รู้จักพาสคีย์ระหว่างการลงชื่อเข้าใช้ ซึ่งรวมถึงการพยายามใช้เนื้อหาที่เน้นเรื่องความปลอดภัย เทคโนโลยี และแง่มุมอื่นๆ ของพาสคีย์ แต่ความสะดวกสบายคือสิ่งที่ตรงใจผู้ใช้มากที่สุด กลยุทธ์เนื้อหา ภาพประกอบ และการออกแบบการโต้ตอบของ Google แสดงให้เห็นถึงหลักการสำคัญนี้สำหรับการนำพาสคีย์มาใช้
เชื่อมโยงคำว่า "พาสคีย์" กับประสบการณ์ด้านความปลอดภัยที่คุ้นเคย
พาสคีย์เป็นคำศัพท์ใหม่สำหรับผู้ใช้ส่วนใหญ่ เราจึงตั้งใจให้ผู้ใช้ค่อยๆ เห็นคำศัพท์ดังกล่าวเพื่อสร้างความคุ้นเคย เราใช้แนวทางการวิจัยภายในเพื่อเชื่อมโยงพาสคีย์กับ การรักษาความปลอดภัยอย่างมีกลยุทธ์
คำว่า "พาสคีย์" จะรวมอยู่ตลอดทั้งขั้นตอนการลงชื่อเข้าใช้ในตำแหน่งสำเนาเนื้อหาที่โดดเด่นน้อยกว่า โดยมีประสบการณ์ด้านความปลอดภัยที่คุ้นเคยซึ่งเปิดใช้พาสคีย์มาอย่างต่อเนื่อง ไม่ว่าจะเป็นลายนิ้วมือ การสแกนใบหน้า หรือการล็อกหน้าจอของอุปกรณ์
การวิจัยของเราแสดงให้เห็นว่าผู้ใช้จำนวนมากเชื่อมโยงข้อมูลไบโอเมตริกกับความปลอดภัย แม้ว่าพาสคีย์ไม่จำเป็นต้องใช้ข้อมูลไบโอเมตริก (เช่น สามารถใช้พาสคีย์ร่วมกับ PIN ของอุปกรณ์ได้) แต่เราก็หันมาใช้การเชื่อมโยงของพาสคีย์กับข้อมูลไบโอเมตริก เพื่อให้ผู้ใช้รับรู้เกี่ยวกับประโยชน์ด้านความปลอดภัยของพาสคีย์มากขึ้น
เนื้อหาเพิ่มเติมที่อยู่เบื้องหลัง "ดูข้อมูลเพิ่มเติม" มีข้อมูลที่เป็นประโยชน์จำนวนมากสำหรับผู้ใช้ เช่น การสร้างความมั่นใจให้กับผู้ใช้ว่าข้อมูลไบโอเมตริกที่ละเอียดอ่อนของผู้ใช้จะยังอยู่ในอุปกรณ์ส่วนตัว และจะไม่จัดเก็บหรือแชร์เมื่อสร้างหรือใช้พาสคีย์ เราใช้วิธีนี้เนื่องจากผู้ใช้ส่วนใหญ่พบว่าแง่มุมอำนวยความสะดวกของพาสคีย์น่าสนใจ แต่มีเพียงไม่กี่รายที่พิจารณาองค์ประกอบข้อมูลไบโอเมตริกระหว่างการทดสอบ
แนะนำพาสคีย์เมื่อเกี่ยวข้องกับผู้ใช้
วิธีการของ Google จะเป็นตัวกำหนดผู้ที่จะเห็นหน้าจอแนะนำอย่างละเอียด ปัจจัยบางประการได้แก่ ผู้ใช้เปิดใช้การยืนยันแบบ 2 ขั้นตอนหรือไม่ และเข้าถึงบัญชีดังกล่าวเป็นประจำจากอุปกรณ์เดียวกันหรือไม่
ระบบจะเลือกผู้ใช้ที่มีแนวโน้มจะประสบความสำเร็จในการใช้พาสคีย์เป็นอันดับแรก และเมื่อเวลาผ่านไปจะมีการเปิดตัวผู้ใช้เพิ่มขึ้น (แต่ทุกคนเริ่มต้นใช้งานได้ที่ g.co/passkeys ในวันนี้)
ระบบจะแจ้งให้ผู้ใช้ที่เลือกสร้างพาสคีย์หลังจากลงชื่อเข้าใช้ด้วยชื่อผู้ใช้และรหัสผ่าน เหตุผล 2-3 ข้อที่เราเลือกจุดนี้ในเส้นทางของผู้ใช้มีดังนี้
- ผู้ใช้เพิ่งลงชื่อเข้าใช้โดยได้รับทราบเกี่ยวกับข้อมูลเข้าสู่ระบบและขั้นตอนที่ 2
- เรามั่นใจว่าผู้ใช้อยู่ในอุปกรณ์แล้ว เพิ่งลงชื่อเข้าใช้ ผู้ใช้จึงเดินออกไปหรือวางอุปกรณ์ลง
- ในเชิงสถิติแล้ว การลงชื่อเข้าใช้ครั้งแรกอาจไม่สำเร็จเสมอไป ดังนั้นข้อความที่ช่วยให้การสื่อสารง่ายขึ้นในครั้งถัดไปจึงมีคุณค่าที่จับต้องได้
การใช้พาสคีย์เป็นทางเลือกแทน
รหัสผ่านและยังใช้แทนรหัสผ่านไม่ได้
การวิจัยผู้ใช้เบื้องต้นแสดงให้เห็นว่าผู้ใช้จำนวนมากยังคงต้องการรหัสผ่านเป็นวิธีลงชื่อเข้าใช้สำรอง และผู้ใช้บางคนก็ไม่มีเทคโนโลยีที่จำเป็นในการใช้พาสคีย์
ดังนั้นขณะที่อุตสาหกรรมอย่าง Google เองก็กำลังก้าวสู่ "อนาคตที่ไม่ต้องใช้รหัสผ่าน" แต่ Google ตั้งใจที่จะวางตำแหน่งพาสคีย์ให้เป็นทางเลือกที่ปลอดภัยและใช้งานง่ายแทนรหัสผ่าน UI ของ Google จะมุ่งเน้นประโยชน์ของพาสคีย์ และหลีกเลี่ยงภาษาที่กล่าวเป็นนัยว่าเลิกใช้รหัสผ่าน
ช่วงเวลาที่สร้างสรรค์
เมื่อผู้ใช้เลือกที่จะลงทะเบียน ผู้ใช้จะเห็นโมดัล UI เฉพาะเบราว์เซอร์ที่ช่วยให้ผู้ใช้สร้างพาสคีย์ได้
ตัวพาสคีย์เองจะแสดงพร้อมกับไอคอนที่สอดคล้องกับอุตสาหกรรมและข้อมูลที่ใช้ในการสร้างพาสคีย์ ซึ่งรวมถึงชื่อที่แสดง (ชื่อที่จำง่ายสำหรับพาสคีย์ เช่น ชื่อจริงของผู้ใช้) และชื่อผู้ใช้ (ชื่อที่ไม่ซ้ำกันในบริการ ที่อยู่อีเมลอาจใช้ได้ดีที่นี่) เมื่อต้องทำงานกับไอคอนพาสคีย์ FIDO Alliance แนะนำให้ใช้ไอคอนพาสคีย์ที่ผ่านการพิสูจน์แล้ว และสนับสนุนให้มีการปรับแต่งในแบบของคุณเอง
ไอคอนพาสคีย์จะแสดงอย่างสอดคล้องกันตลอดเส้นทางของผู้ใช้เพื่อสร้างความคุ้นเคยกับสิ่งที่ผู้ใช้จะเห็นเมื่อใช้หรือจัดการพาสคีย์ ห้ามแสดงไอคอนพาสคีย์โดยไม่มีบริบทหรือเนื้อหาสนับสนุน
ด้านบน เราได้สรุปวิธีที่ผู้ใช้และแพลตฟอร์มทำงานร่วมกันเพื่อสร้างพาสคีย์ เมื่อผู้ใช้คลิก "ดำเนินการต่อ" ระบบจะแสดง UI ที่ไม่ซ้ำกัน โดยขึ้นอยู่กับแพลตฟอร์ม
ด้วยเหตุนี้ เราจึงเรียนรู้ผ่านการวิจัยภายในว่าหน้าจอยืนยันเมื่อสร้างพาสคีย์มีประโยชน์อย่างมากในแง่ของความเข้าใจและการปิดการขายในขั้นตอนนี้
หน้าจอยืนยันเป็นการ "หยุดชั่วคราว" เพื่อเป็นการจองเส้นทางการแนะนำผู้ใช้ให้รู้จักพาสคีย์ และเข้าสู่กระบวนการสร้างพาสคีย์เอง เนื่องจากเป็น (มีแนวโน้ม) ที่ผู้ใช้จะได้ใช้พาสคีย์เป็นครั้งแรก หน้านี้จึงมุ่งเน้นที่การปิดเส้นทางอย่างชัดเจน เราเลือกหน้าสแตนด์อโลนหลังจากลองใช้เครื่องมืออื่นๆ บางอย่าง เช่น การแจ้งเตือนขนาดเล็กและแม้แต่อีเมลหลังการสร้าง โดยเพียงแค่มอบประสบการณ์การใช้งานที่เสถียรและมีประสิทธิภาพ
เมื่อผู้ใช้คลิก "ดำเนินการต่อ" ที่นี่ ระบบจะนําผู้ใช้ไปยังปลายทาง
กำลังลงชื่อเข้าใช้
เมื่อผู้ใช้พยายามลงชื่อเข้าใช้ในครั้งถัดไป ระบบจะทักทายผู้ใช้ด้วยหน้านี้ ซึ่งใช้การจัดวาง ภาพประกอบ และคำกระตุ้นการตัดสินใจหลักแบบเดียวกันเพื่อกระตุ้นให้เกิดประสบการณ์ "การสร้างสรรค์" ครั้งแรกที่ระบุไว้ข้างต้น เมื่อผู้ใช้เลือกที่จะลงทะเบียนพาสคีย์แล้ว หน้านี้ควรจะคุ้นเคยและผู้ใช้จะจดจำขั้นตอนที่ต้องทำเพื่อลงชื่อเข้าใช้
ความคุ้นเคยก็เหมือนกัน โดยตั้งใจจะใช้ระบบการตีความ สัญลักษณ์ ภาพประกอบ การจัดวาง และข้อความแบบเดียวกัน ข้อความภายใน UI ของ WebAuthn จะมีความกระชับ กว้าง และใช้ซ้ำได้ ทุกคนจึงสามารถใช้ทั้งสำหรับการตรวจสอบสิทธิ์และการตรวจสอบสิทธิ์ซ้ำได้
การจัดการพาสคีย์
การแนะนำหน้าใหม่ทั้งหมดภายในหน้าการตั้งค่าบัญชี Google จำเป็นต้องมีการพิจารณาอย่างรอบคอบเพื่อให้มั่นใจว่าผู้ใช้จะได้รับประสบการณ์ที่สอดคล้องกัน ใช้งานง่าย และสอดคล้องกัน
เพื่อให้บรรลุเป้าหมายนี้ เราได้วิเคราะห์รูปแบบเกี่ยวกับการนำทาง เนื้อหา ลำดับชั้น โครงสร้าง และความคาดหวังที่มีอยู่ในบัญชี Google
อธิบายพาสคีย์ตามระบบนิเวศ
เพื่อสร้างระบบหมวดหมู่ในระดับสูงที่น่าจะเข้าใจได้ว่าเราเลือกอธิบายพาสคีย์ตามระบบนิเวศ วิธีนี้จะช่วยให้ผู้ใช้ทราบว่ามีการสร้างพาสคีย์ขึ้นที่ใดและใช้พาสคีย์นั้นที่ไหน ผู้ให้บริการข้อมูลประจำตัวแต่ละราย (Google, Apple และ Microsoft) จะมีชื่อตามระบบนิเวศ เราจึงเลือกใช้ผู้ให้บริการข้อมูลประจำตัวเหล่านั้น (เครื่องมือจัดการรหัสผ่านบน Google, พวงกุญแจ iCloud และ Windows Hello ตามลำดับ)
เพื่อรองรับการใช้งานนี้ เราเพิ่มข้อมูลเมตาเพิ่มเติม เช่น เวลาสร้าง เวลาใช้งานครั้งล่าสุด และระบบปฏิบัติการที่ใช้ ในแง่ของการดำเนินการการจัดการผู้ใช้ API จะรองรับเฉพาะการเปลี่ยนชื่อ การเพิกถอน และการสร้าง
การเปลี่ยนชื่อช่วยให้ผู้ใช้กำหนดชื่อที่มีความหมายส่วนตัวให้กับพาสคีย์ได้ ซึ่งจะช่วยให้กลุ่มประชากรตามรุ่นที่เจาะจงของผู้ใช้ติดตามและทำความเข้าใจพาสคีย์ได้ง่ายขึ้น
การเพิกถอนพาสคีย์จะไม่ลบพาสคีย์จากเครื่องมือจัดการข้อมูลเข้าสู่ระบบส่วนตัวของผู้ใช้ (เช่น เครื่องมือจัดการรหัสผ่านบน Google) แต่จะทำให้ไม่สามารถใช้พาสคีย์ได้จนกว่าจะตั้งค่าอีกครั้ง เราจึงเลือกรูปกากบาทแทนไอคอนถังขยะหรือลบ เพื่อแสดงถึงการดำเนินการเพิกถอนพาสคีย์
เมื่ออธิบายการดำเนินการเพิ่มพาสคีย์ลงในบัญชี วลี "สร้างพาสคีย์" โดนใจผู้ใช้มากกว่าเมื่อเทียบกับ "เพิ่มพาสคีย์" นี่เป็นทางเลือกภาษาที่ละเอียดอ่อนในการแยกแยะพาสคีย์จากคีย์ความปลอดภัยแบบฮาร์ดแวร์ที่จับต้องได้ (แต่โปรดทราบว่าพาสคีย์สามารถเก็บในคีย์ความปลอดภัยฮาร์ดแวร์บางรุ่นได้)
การให้เนื้อหาเพิ่มเติม
งานวิจัยภายในแสดงให้เห็นว่าการใช้พาสคีย์เป็นประสบการณ์ที่ค่อนข้างราบรื่นและคุ้นเคยดี แต่ก็ยังมีคำถามและข้อกังวลที่ค้างคาใจสำหรับผู้ใช้บางรายเช่นเดียวกับเทคโนโลยีใหม่อื่นๆ
ลักษณะการทำงานของเทคโนโลยีที่ทำงานอยู่เบื้องหลังการล็อกหน้าจอ ปัจจัยที่ทำให้อุปกรณ์ปลอดภัยมากขึ้น รวมถึงสถานการณ์ "ถ้าหาก" พบบ่อยที่สุดที่ Google พบในการทดสอบจะมีการอธิบายไว้ในเนื้อหาในศูนย์ช่วยเหลือเกี่ยวกับพาสคีย์ของ Google การมีเนื้อหาสนับสนุนพร้อมการเปิดตัวพาสคีย์เป็นสิ่งสำคัญสำหรับการเปลี่ยนให้ผู้ใช้ในทุกเว็บไซต์ทำได้อย่างง่ายดาย
เลิกใช้พาสคีย์
การเปลี่ยนกลับไปใช้ระบบเดิมนั้นทำได้ง่าย เพียงแค่คลิก "ลองวิธีอื่น" เมื่อระบบขอให้ผู้ใช้ตรวจสอบสิทธิ์ด้วยพาสคีย์ นอกจากนี้ การออกจาก UI ของ WebAuthn จะเป็นการเริ่มต้นผู้ใช้ในเส้นทางเพื่อลองใช้พาสคีย์อีกครั้ง หรือลงชื่อเข้าใช้บัญชี Google ด้วยวิธีแบบดั้งเดิม
บทสรุป
พาสคีย์ยังอยู่ในช่วงเริ่มต้น ดังนั้นเมื่อออกแบบประสบการณ์ของผู้ใช้ โปรดคำนึงถึงหลักการ 2-3 ข้อต่อไปนี้
- แนะนำพาสคีย์เมื่อเกี่ยวข้องกับผู้ใช้
- ไฮไลต์ประโยชน์ของพาสคีย์
- ใช้โอกาสเพื่อสร้างความคุ้นเคยกับแนวคิดของพาสคีย์
- จัดตำแหน่งพาสคีย์เป็นทางเลือกแทนรหัสผ่าน ไม่ใช่การใช้แทนรหัสผ่าน
ตัวเลือกของพาสคีย์สำหรับบัญชี Google ของเรามาจากแนวทางปฏิบัติแนะนำและการวิจัยภายใน และเราจะพัฒนาประสบการณ์ของผู้ใช้ต่อไปเมื่อได้รับข้อมูลเชิงลึกใหม่ๆ จากผู้ใช้ในชีวิตจริง