รหัสผ่านแปะไว้ที่จอ
พนักงานที่ทำงานเป็นกะใช้บัญชีเดียวกันสำหรับแอปบน PC อุตสาหกรรม (IPC) แต่ละเครื่อง และรหัสผ่านมักแปะอยู่ที่จอ เมื่อมีการเปลี่ยนการตั้งค่าเครื่องหรือมีของเสียหลุดออกไป ก็ไม่มีใครบอกได้ว่าใครใช้เครื่องอยู่ในเวลานั้น
เปิดรับโรงงานเข้าร่วมโครงการนำร่อง (ไทย · ญี่ปุ่น)
Hardware Root of Trust สำหรับ Physical AI และ Zero Trust ในโรงงาน
ให้พนักงานทุกคนมีคีย์ความปลอดภัย FIDO2 ของตัวเอง ในราคาประมาณ 15 ดอลลาร์สหรัฐต่อชิ้น พนักงานล็อกอินเข้าเว็บแอปในโรงงานด้วยคีย์ แทนรหัสผ่านที่ใช้ร่วมกัน เมื่อ AI พบของเสีย พนักงานแตะคีย์ครั้งเดียวเพื่อเซ็นผลตรวจ ทีม QA และ auditor ตรวจดูได้ว่าผลตรวจนั้นเซ็นด้วยคีย์ใด และยืนยันได้ว่าผลตรวจไม่ถูกแก้ไขหลังเซ็น
ไม่ต้องติดตั้งไดรเวอร์ และไม่ใช่ USB storage คีย์เชื่อมต่อเป็นอุปกรณ์ FIDO HID มาตรฐาน ไม่ได้ทำงานเป็นคีย์บอร์ด จึงพิมพ์ข้อความใด ๆ ไม่ได้
ปัญหา
ไลน์ผลิตยังใช้รหัสผ่านร่วมกัน และเก็บ log ที่ไม่มีลายเซ็น
เครื่องมือ Zero Trust สำหรับองค์กรออกแบบมาโดยถือว่าแต่ละคนใช้โน้ตบุ๊กในออฟฟิศและมีบัญชีของตัวเอง แต่ในไลน์ผลิต พนักงานหลายคนใช้ PC เครื่องเดียวและบัญชีเดียวกัน
บันทึกผลตรวจที่ใครก็แก้ไขได้
ระบบกล้องตรวจสอบบันทึกผลตรวจลงไฟล์หรือฐานข้อมูลทั่วไป ใครที่มีสิทธิ์เข้าถึงสามารถแก้ NG เป็น OK ภายหลังได้ และใน log ก็ไม่มีร่องรอยว่ามีการแก้ไข
แจก YubiKey ให้พนักงานทุกคน ค่าใช้จ่ายสูงเกินไป
YubiKey 5 NFC ราคา 58 ดอลลาร์ในร้านค้าออนไลน์ของ Yubico สหรัฐอเมริกา การซื้อแจกพนักงานทุกคนทุกกะจึงขออนุมัติงบได้ยาก
ราคา YubiKey ณ เดือนตุลาคม 2026
วิธีการทำงาน
คีย์ราคาประหยัดชิ้นเดียว ใช้ทั้งล็อกอินและเซ็นผลตรวจ
- PhysKeynRF52840 · FIDO2 / CTAP2USB HID
- EdgeJetson · PC อุตสาหกรรม Windows / Linuxรายการที่เซ็นแล้ว
- Cloudflare Tunnelขาออกเท่านั้นHTTPS
- ระบบจัดการส่วนกลางauthentik · FastAPI · PostgreSQL
edge agent ส่งรายการที่เซ็นแล้วออกไปทาง Cloudflare Tunnel โรงงานจึงไม่ต้องเปิดพอร์ตขาเข้า และทุกคำขอของผู้ดูแลระบบต้องผ่านการยืนยันตัวตนกับ authentik (ระบบยืนยันตัวตนแบบโอเพนซอร์ส) ก่อนถึงระบบจัดการส่วนกลาง
01
ฮาร์ดแวร์หาซื้อได้ทั่วไป ประมาณ 15 ดอลลาร์ต่อชิ้น
PhysKey ทำงานบนดองเกิล Nordic nRF52840 (มีแผนรองรับ Seeed XIAO nRF52840 ในอนาคต) โดยใช้เฟิร์มแวร์ที่พัฒนาต่อจาก OpenSK ซึ่งเป็นโอเพนซอร์สของ Google บอร์ดเปล่าราคาไม่ถึง 10 ดอลลาร์ที่ Digi-Key เมื่อรวมเคสและการเขียนเฟิร์มแวร์พร้อมตั้งค่าคีย์ (provisioning) จะอยู่ที่ประมาณ 15 ดอลลาร์
02
ลงทะเบียนผ่านเบราว์เซอร์ ไม่ต้องติดตั้งไดรเวอร์
ในโครงการนำร่อง ผู้ดูแลระบบลงทะเบียนคีย์จาก Chrome หรือ Edge และผูกคีย์แต่ละชิ้นกับรหัสพนักงาน คีย์เชื่อมต่อเป็นอุปกรณ์ USB HID ไม่ใช่ USB storage จึงไม่ติดนโยบายที่บล็อกเฉพาะ USB storage ส่วนสถานีที่ต้องเซ็นผลตรวจจะรัน edge agent ขนาดเล็ก
03
ผลตรวจที่เซ็นด้วยฮาร์ดแวร์
เมื่อ AI ตรวจพบของเสีย พนักงานแตะคีย์ แล้วคีย์จะเซ็นข้อมูลชุดหนึ่ง ได้แก่ เวลา ค่าแฮชของภาพ และผลตัดสิน ส่วน private key จะอยู่ในดองเกิลเสมอ ไม่ถูกส่งออกไปยัง PC หรือเซิร์ฟเวอร์
ข้อมูลที่เซ็น
ผลตรวจที่ auditor ตรวจสอบย้อนกลับได้ว่าเซ็นด้วยคีย์ใด
แต่ละรายการมีเวลา กล้องต้นทาง ผลตัดสิน และค่าแฮช SHA-256 ของภาพ ส่วนไฟล์ภาพจริงยังเก็บไว้ในโรงงาน ระบบจัดการส่วนกลางตรวจสอบลายเซ็นด้วย public key ของคีย์ชิ้นนั้นที่ลงทะเบียนไว้ ใช้ตัวนับลายเซ็นเพื่อปฏิเสธการส่งซ้ำ (replay) และเชื่อมแต่ละรายการกับรายการก่อนหน้าด้วยค่าแฮช
หากมีคนแก้ไขรายการภายหลัง ลายเซ็นจะตรวจไม่ผ่าน หากลบรายการที่อยู่ตรงกลาง hash chain จะขาดตอน แต่ hash chain เพียงอย่างเดียวตรวจไม่พบการลบรายการล่าสุด หรือการสร้าง chain ใหม่ทั้งชุด ดังนั้น auditor ควรบันทึกค่าแฮชล่าสุดของ chain (chain head) เก็บไว้ เมื่อตรวจเทียบกับค่านี้ภายหลัง จะพบรายการที่ถูกลบหรือแก้ไขจนถึงจุดที่บันทึกไว้
- ลายเซ็นตรวจผ่านด้วยคีย์ที่ลงทะเบียนไว้
- มีคนอยู่หน้าเครื่องและแตะคีย์ตอนเซ็น (user presence)
- ตัวนับลายเซ็นเพิ่มขึ้น (ป้องกัน replay)
- hash chain ต่อเนื่องครบตั้งแต่รายการแรก
มาตรฐานความปลอดภัยอุตสาหกรรม
PhysKey กับข้อกำหนดระบบของ IEC 62443‑3‑3
IEC 62443‑3‑3 ใช้ประเมินทั้งระบบ และ PhysKey เป็นเพียงส่วนหนึ่งของระบบนั้น ตัว PhysKey เองยังไม่ได้รับการรับรองตามมาตรฐานใด รวมถึง IEC 62443‑4‑2 ซึ่งเป็นมาตรฐานสำหรับชิ้นส่วน (component) ตารางด้านล่างแสดงข้อกำหนดที่ PhysKey รองรับได้ในปัจจุบัน และข้อที่อยู่ในแผนงาน
| SR 1.1 | การระบุและยืนยันตัวตนของผู้ใช้ (Human user identification and authentication) | พนักงานแต่ละคนล็อกอินเข้าเว็บแอปในโรงงานผ่าน authentik ด้วยคีย์ของตัวเอง จึงไม่ต้องใช้บัญชีร่วมกันอีก |
|---|---|---|
| SR 1.2 | การระบุและยืนยันตัวตนของซอฟต์แวร์และอุปกรณ์ (Software process and device identification and authentication) | แผนงานถัดไป: ผูกคีย์แต่ละชิ้นเข้ากับสถานี ปัจจุบัน edge agent ระบุชื่อกล้องหรือ PC ต้นทางไว้ในข้อมูลที่เซ็น จึงแก้ชื่อภายหลังไม่ได้ แต่ยังไม่ได้ยืนยันตัวตนของอุปกรณ์เอง |
| SR 1.5 | การจัดการอุปกรณ์ยืนยันตัวตน (Authenticator management) | ผู้ดูแลระบบลงทะเบียนคีย์ ผูกกับรหัสพนักงาน และเพิกถอนคีย์ได้ที่ระบบจัดการส่วนกลาง |
| SR 2.8 | เหตุการณ์ที่ต้องบันทึกเพื่อการ audit (Auditable events) | ผลตรวจที่ AI ระบุว่าเป็นของเสีย (NG) จะบันทึกเป็นรายการที่มีลายเซ็น |
| SR 3.9 | การปกป้องข้อมูล audit (Protection of audit information) | ลายเซ็นช่วยให้ตรวจพบรายการที่ถูกแก้ไข และเมื่อตรวจ hash chain ของแต่ละคีย์เทียบกับ chain head ที่ auditor บันทึกไว้ครั้งล่าสุด ก็จะตรวจพบรายการที่ถูกลบจนถึงจุดนั้นได้ |
ตัวอย่างการใช้งาน
จุดเริ่มต้น และก้าวต่อไป
ไทย
ไลน์ผลิตที่พนักงานเปลี่ยนบ่อย
โรงงานอิเล็กทรอนิกส์และชิ้นส่วนยานยนต์ในเขตพัฒนาพิเศษภาคตะวันออก (EEC) มีอัตราการเข้าออกของพนักงานสูง เมื่อแจกคีย์ราคาประมาณ 15 ดอลลาร์ให้พนักงานคนละชิ้น ก็เลิกใช้รหัสผ่านที่ใช้ร่วมกันสำหรับเว็บแอปในโรงงานได้ และหากคีย์หาย ผู้ดูแลระบบเพิกถอนได้ที่ระบบจัดการส่วนกลาง
ญี่ปุ่น
การตรวจสอบชิ้นส่วนยานยนต์และอิเล็กทรอนิกส์
ผู้ผลิตรถยนต์และ OEM อิเล็กทรอนิกส์ขอให้ซัพพลายเออร์พิสูจน์ว่าบันทึกผลตรวจไม่ถูกแก้ไข ผล NG ที่เซ็นพร้อมค่าแฮชของภาพจึงเป็นหลักฐานที่ทีม QA ส่งให้ auditor ของ OEM ได้
ทั่วโลก
หุ่นยนต์และ AGV (แผนงานถัดไป)
เมื่อหุ่นยนต์หรือ AGV จะเข้าสู่ขั้นตอนที่มีความเสี่ยง พนักงานจะแตะคีย์เพื่ออนุมัติ และการอนุมัตินั้นจะถูกบันทึกเป็นรายการที่มีลายเซ็น
ขอบเขตการป้องกัน (Threat model)
สิ่งที่ PhysKey ป้องกันได้ และสิ่งที่ป้องกันไม่ได้
ลายเซ็นบอกได้ว่าคีย์ใดอนุมัติผลตรวจ และรายการไม่ถูกแก้ไขตั้งแต่ตอนนั้น แต่ไม่ได้พิสูจน์ว่าผลตรวจถูกต้อง nRF52840 ไม่มี secure element และมีการเผยแพร่วิธีโจมตีแบบ fault injection (CVE-2020-27211) ที่อ่านข้อมูลในแฟลชได้หากเข้าถึงบอร์ดได้ทางกายภาพ
PhysKey จึงออกแบบโดยถือว่าผู้โจมตีอาจแกะคีย์ได้ หากคีย์ถูกโคลนและทั้งคีย์จริงกับคีย์โคลนยังเซ็นต่อไป สุดท้ายจะมีรายการที่ตัวนับลายเซ็นไม่เพิ่มขึ้น และระบบจัดการส่วนกลางจะปฏิเสธรายการนั้น ตัวนับที่ไม่เพิ่มขึ้นจึงเป็นสัญญาณว่าคีย์อาจถูกโคลน ระบบจัดการส่วนกลางยังปฏิเสธทุกลายเซ็นจากคีย์ที่ถูกเพิกถอน คีย์แต่ละชิ้นผูกกับรหัสพนักงานหนึ่งรหัส คีย์ที่ถูกขโมยจึงเซ็นได้เฉพาะในนามของรหัสพนักงานนั้น และใช้ได้จนกว่าผู้ดูแลระบบจะเพิกถอน สำหรับโรงงานที่ต้องการชิปที่ทนการงัดแงะสูงกว่า สามารถใช้คีย์ FIDO2 รุ่นอื่นที่คุณอนุญาตไว้ (เช่น YubiKey) กับระบบจัดการส่วนกลางเดียวกันได้
โครงการนำร่อง
เข้าร่วมโครงการนำร่อง
เรากำลังมองหาโรงงานในไทยและญี่ปุ่นเพื่อร่วมโครงการนำร่องกลุ่มแรก เล่าให้เราฟังเกี่ยวกับไลน์ผลิตของคุณ แล้วเราจะติดต่อกลับทางอีเมล