NAS 的密碼應該怎樣設置比較好?

每年5月的第一個週四，是世界密碼日（World Password Day），你好好地設定你的密碼嗎? 怎樣才能讓你的電腦、雲端服務與 NAS 設備的帳號登入更安全呢 ?
當我們在設定網路儲存伺服器 (NAS) 的密碼時，真的考量到其重要性，建立一個夠強大、足以抵禦潛在威脅的密碼至關重要。以下是一些關於 NAS 密碼設定的建議，旨在幫助大家強化NAS的安全性：

為何我家的 NAS 會被當成駭客的目標？

為什麼密碼強度對 NAS 如此重要？

NAS 通常儲存著大量個人或企業的重要資料。一個弱密碼可能讓未經授權的人輕易地存取檔案，導致資料、個資、家庭與企業私密內容外洩、篡改甚至勒索。因此，將密碼設定得越複雜、越難以猜測，這些資料就越安全。

NAS 密碼設定建議

以下是設定 NAS 密碼時應特別注意的幾個面向：

1. 要有密碼強度的概念

啟用密碼強度限制規則是保護NAS系統的基本措施。透過強制執行複雜的密碼要求，可以有效防範暴力破解攻擊和字典攻擊。建議身為 NAS 管理員或擁有者的你，務必去設定「密碼強度限制規則」，並根據你的公司或單位、家裡的安全需求去調整相關設定。

當我們啟用 NAS 內建的密碼安全機制後，更能確保你和所有使用者都遵循基本的安全準則，可以參考下列幾個原則和系統密碼設定畫面參考來設定。

2. 避免使用個人資訊

不可與關連的使用者名稱相同： 這是一個非常重要的安全措施。許多駭客會嘗試將使用者名稱或使用者描述作為密碼的一部分進行猜測。啟用此選項可以有效阻止這類攻擊。
密碼亦不可使用顛倒的使用者名稱：比方說 cyberq 是你的帳號，密碼中有包括 qrebyc 就不會被系統接受。
不可連續重複三次 (含) 以上的字元： 類似 aaabbbccc，這樣的密碼是不會被系統接受的。

3. 混合使用不同字元類型

一個強大的密碼應該包含多種字元類型，以增加其複雜度。

包含混合大小寫： 密碼中同時包含大寫 (A-Z) 和小寫 (a-z) 字母會大幅增加破解難度。
包含數字： 加入至少一個數字 (0-9) 是基本要求。
包含特殊字元： 特殊字元（例如：~, !, @, #, $, %, ^, &, *, (, ), -, _, =, +, [, {, ], }, \, |, ;, :, ', ", <, >, /, ?, ,, ., 及空白字元）是提升密碼強度的關鍵。建議至少包含一個特殊字元。

4. 避免使用常見密碼

排除常用密碼： 許多人習慣使用簡單、容易記住的密碼，例如「12345678」、「password、Password」或「qwerty」。這些密碼是駭客攻擊的首要目標。啟用此選項可以防止使用者設定這些廣為人知的弱密碼。
不要使用類似「ji394su3」這樣的密碼，這個大概只有台灣用戶會比較清楚，但也上了國際常見密碼榜，猜猜看這是什麼意思? 答案是用注音打的「我的密碼」。

5. 設定足夠的密碼長度

最短密碼長度： 密碼長度是衡量密碼強度的最直接指標。建議將最短密碼長度設定在至少 12 個字元以上。雖然系統允許 8 個字元，但越長的密碼越難以被暴力破解。

建立安全密碼的額外提示

啟用兩步驟驗證 (2FA)： 如果 NAS 支援兩步驟驗證 (2FA)，我們強烈建議啟用這個功能，不外乎是為 NAS 增加了一層額外的安全保護，即使密碼被洩露，未經授權的存取也將變得更加困難。就和我們使用網路銀行轉帳、登入 Google 與各種重要的服務一樣，現在越來越多登入有綁定 2FA 會安全許多。我們可以使用在手機上安裝 Google Authenticator 驗證器軟體、微軟的 Microsoft Authenticator 驗證器軟體等等，在 QNAP NAS 中設定兩階段都會支援。

我們會建議選擇以下方式來完成 2FA 驗證，選取 2FA 啟用按鈕後，驗證方式建議用 TOTP ，這就是上面說的驗證器軟體，不需要網路連線，只要手機打開 App 就會自動去動態顯示 2 階登入用的安全驗證碼。

不但如此，QNAP 和其他 NAS 廠商也多有推薦自己的驗證器軟體 App ，但如果你的手機已經習慣使用 Google 驗證器或微軟驗證器，那麼打開它們，直接來掃描 NAS 這邊步驟產生的 QRCODE 會是最方便也最習慣的。

這時候要點選下一步，選好驗證器，在下一頁掃描 QR 碼之後，把你驗證器最下方顯示的 NAS 登入用安全驗證碼，在下面這個頁面做驗證，才完成你的帳號密碼與手機驗證器程式 App 綁定的步驟，點選完成後，屆時就可以登出 NAS 系統，重新登入一次，就開始正式使用驗證器 2FA 登入服務了。

2FA 啟用後，從任何新裝置登入時一定要注意的是這個選項，如果你是用家裡、辦公室的裝置來控管這台 NAS 設備，可以選「在這裝置上不要再驗證」。
在絕大多數的情況下，除非你的電腦被入侵，不然是可以放心地讓 NAS 信任你目前使用的筆電或桌機，它會記住是這個裝置使用了已經通過的 2FA 安全驗證碼，下次登入帳號密碼時就不用再輸入一次安全性驗證碼了。反而如果是你的帳號密碼外洩，駭客或其他有心人士 (同事、家人、朋友與陌生人) ，他們的裝置輸入你的帳號與密碼，要登入你的 NAS 時，沒有你手機上驗證器提供的動態安全驗證碼，照樣是無法登入。