ปัญหารหัสผ่านรั่วไหล หรือรหัสผ่านไม่ปลอดภัยเพียงพอเป็นปัญหาของบริการออนไลน์จำนวนมาก ในบริการออนไลน์จากผู้ให้บริการรายใหญ่ๆ มักมีความสามารถในการดูแลบริการ ไล่บล็อคไอพีของบอตที่ยิงรหัสผ่าน แต่กับเซิร์ฟเวอร์ขนาดเล็กที่ใช้งานในบ้านหรือในธุรกิจขนาดเล็กนั้นหากตั้งเซิร์ฟเวอร์ออกอินเทอร์เน็ตก็มักจะไม่มีเจ้าหน้าที่หรือระบบมอนิเตอร์มาตรวจสอบการล็อกอินผิดปกติจริงจัง ส่งผลให้มีความเสี่ยงถูกยิงรหัสผ่านจนคนร้ายยึดเครื่องได้โดยง่าย
ผู้ผลิต NAS ทั้ง Synology และ QNAP เพิ่มฟีเจอร์จนกลายเป็นเซิร์ฟเวอร์สำหรับธุรกิจขนาดเล็กในช่วงหลัง ก็ปรับความปลอดภัยรหัสผ่านกันต่อเนื่อง ทั้งสองบริษัทแนะนำให้ผู้ใช้ปิดการใช้งานบัญชี admin ซึ่งเป็นบัญชีเริ่มต้น เพื่อลดความเสี่ยงการถูกยิงรหัสผ่านแบบเดียวกับ Ubuntu ที่บังคับใช้สร้างผู้ใช้ใหม่ทันที ไม่ให้ใช้งานบัญชี root ไปจนถึงการบล็อคไอพีอัตโนมัติเมื่อไอพีใดๆ ยิงรหัสผ่านผิดเกินกำหนด
ใน Synology DSM 7.0 ที่ออกมาปีนี้มีการปรับปรุงความปลอดภัยรหัสผ่านครั้งใหญ่ จากเดิม DSM รองรับการล็อกอินสองขั้นตอนเฉพาะแบบ TOTP ที่ต้องกรอกเลข 6 ตัวจากแอปเช่น Google Authenticator หรือ Microsoft Authenticator เท่านั้น ในเวอร์ชั่นใหม่รองรับการล็อกอินขั้นตอนที่สองอีกสองแบบ ได้แก่
การออกแบบใหม่ครั้งนี้ดูเหมือนว่าทาง Synology จะมองว่าการล็อกอินทั้งสองแบบมีความปลอดภัยสูงกว่ารหัสผ่านอยู่แล้ว จึงเปิดให้ใช้รูปแบบการยืนยันตัวตนทั้งสองแบบแทนรหัสผ่านได้เลย แต่การล็อกอินแบบไร้รหัสผ่านนั้นที่จริงแล้วก็ยังใช้รหัสผ่านได้อยู่ แต่เพิ่มความสะดวกให้กับผู้ใช้ที่จะไม่ต้องจำรหัสผ่านเท่านั้น
การเปิดตัวเลือกการล็อกอินเริ่มจากหน้า Personal จากบัญชีผู้ใช้เอง เลือกแท็บ Account ตัวเลือกจะอยู่ด้านล่างสุด
เมื่อเลือกล็อกอินแบบสองขั้นตอน (2-Factor Authentication) จะมีหน้าต่างขึ้นมากให้เลือกกระบวนการล็อกอินที่ต้องการ จากสามตัวเลือก
สำหรับตัวเลือก Approve sign-in และ Hardware security key นั้นผมแนะนำให้เปิดใช้งาน Dynamic DNS และ HTTPS ซึ่งใน DSM นั้นคอนฟิกคล้ายกับในเราท์เตอร์ SRM เพื่อให้ใช้แอป Secure SignIn โดยตรวจสอบการเข้ารหัสกับตัว NAS ได้ หรือหากเป็นกุญแจ FIDO นั้นจำเป็นต้องตรวจสอบโดเมนของเว็บที่เรากำลังล็อกอินอยู่แล้ว
เมื่อเลือกตัวเลือก Approve sign-in ระบบจะถามรหัสผ่านอีกครั้ง และให้ติดตั้งแอป (รองรับทั้ง iOS และ Android) จากนั้นจะแสดงหน้าให้สแกน QR จากแอป Synology Secure SignIn เมื่อสแกนเสร็จแล้ว ระบบจะให้ตั้งค่า TOTP ทันที ซึ่งสามารถใช้งานบนแอปของ Synology เองหรือแอป TOTP อื่นๆ เช่น Google Authenticator หรือ Microsoft Authenticator ก็ได้
การออกแบบระบบยืนยันตัวตนของ DSM นั้นมองว่าอีเมลเป็นเงื่อนไขสุดท้ายในกรณีที่ผู้ใช้ทำโทรศัพท์หาย ทำให้ไม่สามารถล็อกอินผ่านแอปหรือใส่เลข TOTP ได้ การกู้บัญชีจึงต้องเซ็ตอัพให้ NAS ส่งอีเมลได้ด้วย ที่น่าแปลกใจคือ DSM 7.0 ไม่มีตัวเลือก OTP สำหรับการกู้คืนระบบ ที่ปกติแล้วบริการออนไลน์อย่างกูเกิลหรือเฟซบุ๊ก จะให้รหัสผ่านไว้ 8-12 ชุด เพื่อใช้งานได้ครั้งเดียวในกรณีที่ไม่มีโทรศัพท์อยู่กับตัว
หลังจากเซ็ตอัพการล็อกอินขั้นตอนที่สองเรียบร้อยแล้ว เราสามารถกลับเข้ามาจัดการอุปกรณ์สำหรับการล็อกอินขั้นที่สองได้ โดยเพิ่มอุปกรณ์ได้ในกรณีที่เรามีโทรศัพท์หลายเครื่อง สำหรับการล็อกอินด้วยกุญแจ USB นั้นก็สามารถเลือกภายหลังได้เช่นกัน
หลังจากนั้นเมื่อผู้ใช้ต้องการล็อกอินเข้าไปยัง DSM ก็จะได้รับข้อความแจ้งเตือนในโทรศัพท์ และสามารถกดยืนยันการล็อกอินได้ทันที
จะเห็นว่า DSM 7.0 นั้นรองรับตัวเลือกสำหรับการล็อกอินค่อนข้างมาก นับว่าใกล้เคียงกับบริการออนไลน์รายใหญ่ๆ อย่างไรก็ดี การใช้ระบบล็อกอินเหล่านี้มีข้อจำกัดอยู่บ้าง เช่น
แม้จะจำกัดอยู่บ้าง แต่การที่ Synology DSM รองรับมาตรฐานยืนยันตัวตนผู้ใช้ในรูปแบบใหม่ๆ ก็แสดงให้เห็นว่าการยืนยันตัวตนในอนาคตมีแนวโน้มจะใช้การยืนยันตัวตนสองขั้นตอนไปจนถึงการยืนยันตัวตนแบบไม่ใช้รหัสผ่านอีกเลย สำหรับผู้ใช้งาน NAS เป็นการภายใน ในตอนนี้มาตรการเหล่านี้อาจจะยังไม่จำเป็นนัก แต่สำหรับหลายคนที่เปิด NAS ออกสู่อินเทอร์เน็ตผมเชื่อว่าในอนาคตก็น่าจะได้ใช้งานกันเป็นปกติ