Sign in with Google เพิ่ม session metadata ใหม่ — claim auth_time และ amr ช่วยทำ risk-based access control

Google ประกาศเพิ่ม session metadata claim ใหม่ใน Sign in with Google เมื่อวันที่ 16 มิถุนายน 2026 โดยใส่ OIDC (OpenID Connect) standard claim สองตัวเข้าไปใน ID Token ที่ backend ของแอปได้รับ ได้แก่ auth_time และ amr ซึ่งให้ข้อมูลเชิงลึกว่าผู้ใช้ยืนยันตัวตนกับ Google เมื่อไร และ ด้วยวิธีใด ฟีเจอร์นี้เปิดให้ใช้กับแอปที่ผ่านการ verify แล้ว และรองรับทั้งบัญชี Gmail ส่วนตัวและบัญชีที่จัดการโดย Google Workspace

แนวคิดหลักคือการให้แอปได้ “ยืม” ผลการตรวจสอบ session ที่ Google ทำไว้แล้ว แทนที่จะต้องสร้างกลไก strong authentication ขึ้นเองทั้งหมด ช่วยลดภาระทีมพัฒนาในการจัดการความปลอดภัยของการล็อกอิน

auth_time และ amr ต่างกันอย่างไร

auth_time คือ timestamp ที่บอกว่าผู้ใช้ล็อกอินเข้าบัญชี Google ครั้งล่าสุดเมื่อใด ซึ่งต่างจากเวลาที่ออก token ให้แอป จุดนี้สำคัญเพราะมันบอก “ความสด” ของ session ทำให้แอปบังคับนโยบายอย่างการขอให้ยืนยันตัวตนซ้ำก่อนทำธุรกรรมสำคัญได้

ส่วน amr (Authentication Methods Reference) เป็น array ที่ระบุ วิธี ที่ผู้ใช้ยืนยันตัวตน มีค่าที่รองรับเช่น pwd (รหัสผ่าน), mfa (ผ่าน multi-factor), hwk (hardware-secured key), swk (software key), tel และ sms ทำให้แอปรู้ระดับความแข็งแรงของการล็อกอิน และนำไปกำหนดสิทธิ์แบบละเอียดได้ เช่น ปฏิเสธการเข้าถึงฟังก์ชัน admin ถ้าไม่มี mfa หรือไม่ได้ใช้ security key

ใช้ทำอะไรได้บ้าง

Google ยกตัวอย่าง use case อย่าง step-up authentication (ใช้ auth_time เช็กอายุ session แล้วบังคับยืนยันซ้ำถ้า session เก่าเกินไป), authorization policy ที่อิงกับวิธีล็อกอิน และ audit logging ที่บันทึก amr ไว้เป็นหลักฐานว่าผู้ใช้เข้าถึงข้อมูลสำคัญด้วยวิธีไหน claim เหล่านี้ใช้ได้ทั้งบน Android, iOS และ Web เพียงร้องขอผ่าน standard OIDC claims parameter โดยแทบไม่ต้องแก้ flow เดิม

มุมมอง AI Curator

นี่เป็นการอัปเดตที่ดู “เล็ก” แต่สะท้อนทิศทางสำคัญของการออกแบบความปลอดภัยยุคนี้ — ขยับจาก static policy (“ล็อกอินแล้วผ่านยาว”) ไปสู่ continuous/risk-based access ที่ประเมินบริบทของแต่ละการกระทำ ในยุคที่ phishing และ account takeover รุนแรงขึ้นเรื่อย ๆ การรู้ว่าผู้ใช้ยืนยันตัวตน “เมื่อไรและด้วยวิธีอะไร” คือข้อมูลที่มีค่ามากกว่าแค่ “ล็อกอินสำเร็จหรือไม่”

สำหรับนักพัฒนาไทยและ SEA จำนวนมากที่ใช้ Sign in with Google เป็นช่องทางล็อกอินหลักของแอปและ fintech การได้ signal เหล่านี้แบบฟรีโดยไม่ต้องสร้างระบบ MFA เองถือเป็นการยกระดับความปลอดภัยที่ต้นทุนต่ำมาก โดยเฉพาะแอปการเงินที่ควรบังคับ step-up ก่อนทำรายการโอนหรือเปลี่ยนข้อมูลสำคัญ ข้อแนะนำคือเริ่มจาก audit logging ค่า amr ก่อน เพื่อเข้าใจพฤติกรรมการล็อกอินจริงของผู้ใช้ ก่อนจะค่อย ๆ ขึ้น policy ที่เข้มขึ้น

แหล่งข่าว

• Enhance Security and Trust: New Session Metadata in Sign in with Google — Google Developers Blog
• Sign in with Google — Security bundle documentation