การล็อกอินแบบสองขั้นตอนและแบบไม่ใช้รหัสผ่านใน Synology DSM 7.0

ปัญหารหัสผ่านรั่วไหล หรือรหัสผ่านไม่ปลอดภัยเพียงพอเป็นปัญหาของบริการออนไลน์จำนวนมาก ในบริการออนไลน์จากผู้ให้บริการรายใหญ่ๆ มักมีความสามารถในการดูแลบริการ ไล่บล็อคไอพีของบอตที่ยิงรหัสผ่าน แต่กับเซิร์ฟเวอร์ขนาดเล็กที่ใช้งานในบ้านหรือในธุรกิจขนาดเล็กนั้นหากตั้งเซิร์ฟเวอร์ออกอินเทอร์เน็ตก็มักจะไม่มีเจ้าหน้าที่หรือระบบมอนิเตอร์มาตรวจสอบการล็อกอินผิดปกติจริงจัง ส่งผลให้มีความเสี่ยงถูกยิงรหัสผ่านจนคนร้ายยึดเครื่องได้โดยง่าย

ผู้ผลิต NAS ทั้ง Synology และ QNAP เพิ่มฟีเจอร์จนกลายเป็นเซิร์ฟเวอร์สำหรับธุรกิจขนาดเล็กในช่วงหลัง ก็ปรับความปลอดภัยรหัสผ่านกันต่อเนื่อง ทั้งสองบริษัทแนะนำให้ผู้ใช้ปิดการใช้งานบัญชี admin ซึ่งเป็นบัญชีเริ่มต้น เพื่อลดความเสี่ยงการถูกยิงรหัสผ่านแบบเดียวกับ Ubuntu ที่บังคับใช้สร้างผู้ใช้ใหม่ทันที ไม่ให้ใช้งานบัญชี root ไปจนถึงการบล็อคไอพีอัตโนมัติเมื่อไอพีใดๆ ยิงรหัสผ่านผิดเกินกำหนด

ใน Synology DSM 7.0 ที่ออกมาปีนี้มีการปรับปรุงความปลอดภัยรหัสผ่านครั้งใหญ่ จากเดิม DSM รองรับการล็อกอินสองขั้นตอนเฉพาะแบบ TOTP ที่ต้องกรอกเลข 6 ตัวจากแอปเช่น Google Authenticator หรือ Microsoft Authenticator เท่านั้น ในเวอร์ชั่นใหม่รองรับการล็อกอินขั้นตอนที่สองอีกสองแบบ ได้แก่

• Approve Sign-in: การล็อกอินผ่านแอป Synology Secure SignIn แบบเดียวกับที่ไมโครซอฟท์ใช้แอป Microsoft Authenticator เวลาผู้ใช้ต้องการล็อกอินบัญชีไมโครซอฟท์ ตัวแอปจะแสดงข้อความแจ้งเตือนให้เรายืนยันว่าเป็นผู้ล็อกอินเองจริงๆ
• Hardware Security Key: สามารถใช้กุญแจ FIDO แบบ USB สำหรับล็อกอินได้

การออกแบบใหม่ครั้งนี้ดูเหมือนว่าทาง Synology จะมองว่าการล็อกอินทั้งสองแบบมีความปลอดภัยสูงกว่ารหัสผ่านอยู่แล้ว จึงเปิดให้ใช้รูปแบบการยืนยันตัวตนทั้งสองแบบแทนรหัสผ่านได้เลย แต่การล็อกอินแบบไร้รหัสผ่านนั้นที่จริงแล้วก็ยังใช้รหัสผ่านได้อยู่ แต่เพิ่มความสะดวกให้กับผู้ใช้ที่จะไม่ต้องจำรหัสผ่านเท่านั้น

การเปิดตัวเลือกการล็อกอินเริ่มจากหน้า Personal จากบัญชีผู้ใช้เอง เลือกแท็บ Account ตัวเลือกจะอยู่ด้านล่างสุด

เมื่อเลือกล็อกอินแบบสองขั้นตอน (2-Factor Authentication) จะมีหน้าต่างขึ้นมากให้เลือกกระบวนการล็อกอินที่ต้องการ จากสามตัวเลือก

สำหรับตัวเลือก Approve sign-in และ Hardware security key นั้นผมแนะนำให้เปิดใช้งาน Dynamic DNS และ HTTPS ซึ่งใน DSM นั้นคอนฟิกคล้ายกับในเราท์เตอร์ SRM เพื่อให้ใช้แอป Secure SignIn โดยตรวจสอบการเข้ารหัสกับตัว NAS ได้ หรือหากเป็นกุญแจ FIDO นั้นจำเป็นต้องตรวจสอบโดเมนของเว็บที่เรากำลังล็อกอินอยู่แล้ว

เมื่อเลือกตัวเลือก Approve sign-in ระบบจะถามรหัสผ่านอีกครั้ง และให้ติดตั้งแอป (รองรับทั้ง iOS และ Android) จากนั้นจะแสดงหน้าให้สแกน QR จากแอป Synology Secure SignIn เมื่อสแกนเสร็จแล้ว ระบบจะให้ตั้งค่า TOTP ทันที ซึ่งสามารถใช้งานบนแอปของ Synology เองหรือแอป TOTP อื่นๆ เช่น Google Authenticator หรือ Microsoft Authenticator ก็ได้

การออกแบบระบบยืนยันตัวตนของ DSM นั้นมองว่าอีเมลเป็นเงื่อนไขสุดท้ายในกรณีที่ผู้ใช้ทำโทรศัพท์หาย ทำให้ไม่สามารถล็อกอินผ่านแอปหรือใส่เลข TOTP ได้ การกู้บัญชีจึงต้องเซ็ตอัพให้ NAS ส่งอีเมลได้ด้วย ที่น่าแปลกใจคือ DSM 7.0 ไม่มีตัวเลือก OTP สำหรับการกู้คืนระบบ ที่ปกติแล้วบริการออนไลน์อย่างกูเกิลหรือเฟซบุ๊ก จะให้รหัสผ่านไว้ 8-12 ชุด เพื่อใช้งานได้ครั้งเดียวในกรณีที่ไม่มีโทรศัพท์อยู่กับตัว

หลังจากเซ็ตอัพการล็อกอินขั้นตอนที่สองเรียบร้อยแล้ว เราสามารถกลับเข้ามาจัดการอุปกรณ์สำหรับการล็อกอินขั้นที่สองได้ โดยเพิ่มอุปกรณ์ได้ในกรณีที่เรามีโทรศัพท์หลายเครื่อง สำหรับการล็อกอินด้วยกุญแจ USB นั้นก็สามารถเลือกภายหลังได้เช่นกัน

หลังจากนั้นเมื่อผู้ใช้ต้องการล็อกอินเข้าไปยัง DSM ก็จะได้รับข้อความแจ้งเตือนในโทรศัพท์ และสามารถกดยืนยันการล็อกอินได้ทันที

จะเห็นว่า DSM 7.0 นั้นรองรับตัวเลือกสำหรับการล็อกอินค่อนข้างมาก นับว่าใกล้เคียงกับบริการออนไลน์รายใหญ่ๆ อย่างไรก็ดี การใช้ระบบล็อกอินเหล่านี้มีข้อจำกัดอยู่บ้าง เช่น

• การล็อกอินด้วย แอป Secure SignIn ต้องผูก NAS เข้ากับบัญชี Synology Account เสมอ ไม่เช่นนั้นจะใช้งานไม่ได้ (ตัว NAS ยิง notification เข้าแอปผ่านเซิร์ฟเวอร์ของ Synology)
• หาก NAS เข้าถึงจากอินเทอร์เน็ตไม่ได้ จะไม่สามารถกดยืนยันการล็อกอินได้ หากโทรศัพท์ไม่ได้อยู่บนเน็ตเวิร์คเดียวกัน แม้จะเห็น notification และหน้าจอถามการยืนยันล็อกอินก็ตาม
• การใช้กุญแจ FIDO ต้องตั้งโดเมนและใช้ HTTPS เท่านั้น
• แอปต่างๆ ของ Synology เอง เช่น Drive หรือ Photos Mobile ยังรองรับเฉพาะ TOTP เท่านั้น ทาง Synology ระบุว่ากำลังพัฒนาแอปให้รองรับกุญแจ FIDO เพิ่มเติมในอนาคต

แม้จะจำกัดอยู่บ้าง แต่การที่ Synology DSM รองรับมาตรฐานยืนยันตัวตนผู้ใช้ในรูปแบบใหม่ๆ ก็แสดงให้เห็นว่าการยืนยันตัวตนในอนาคตมีแนวโน้มจะใช้การยืนยันตัวตนสองขั้นตอนไปจนถึงการยืนยันตัวตนแบบไม่ใช้รหัสผ่านอีกเลย สำหรับผู้ใช้งาน NAS เป็นการภายใน ในตอนนี้มาตรการเหล่านี้อาจจะยังไม่จำเป็นนัก แต่สำหรับหลายคนที่เปิด NAS ออกสู่อินเทอร์เน็ตผมเชื่อว่าในอนาคตก็น่าจะได้ใช้งานกันเป็นปกติ