Comment mettre en place une clé de sécurité matérielle sur Kraken ? (Sécurité avancée)

Comprendre les clés de sécurité matérielles sur Kraken

1. Kraken prend en charge les clés de sécurité matérielles compatibles FIDO U2F et FIDO2, notamment YubiKey, Google Titan et SoloKeys.

2. Ces appareils génèrent des signatures cryptographiques pour vérifier l'identité lors des confirmations de connexion et de retrait.

3. Contrairement aux SMS ou TOTP, les clés matérielles fonctionnent hors ligne et résistent aux attaques de phishing, d'interception et de relecture.

4. La clé privée ne quitte jamais l'appareil, ce qui rend l'extraction à distance impossible même si le système hôte est compromis.

5. Kraken nécessite une clé matérielle comme deuxième facteur obligatoire pour certains niveaux de compte et autorisations de retrait de grande valeur.

Conditions préalables à l'inscription

1. Un compte Kraken avec une identité vérifiée et une authentification à deux facteurs activée via une application d'authentification ou SMS.

2. Une clé de sécurité compatible USB-A, USB-C ou NFC : le micrologiciel doit être mis à jour vers la dernière version stable.

3. Un navigateur de bureau prenant en charge WebAuthn : Chrome, Edge, Firefox ou Opera (Safari a une prise en charge limitée).

4. Accès physique à l'appareil pendant la configuration : aucune machine virtuelle ni session de bureau à distance n'est autorisée.

5. Privilèges d'administrateur sur la machine locale pour installer les pilotes ou extensions de navigateur nécessaires si nécessaire.

Processus d'inscription étape par étape

1. Connectez-vous à Kraken en utilisant vos informations d'identification et la méthode 2FA existante.

2. Accédez à Paramètres de sécurité > Authentification à deux facteurs > Ajouter une clé de sécurité .

3. Insérez la clé matérielle dans un port USB ou activez le mode NFC s'il est pris en charge ; le navigateur vous demandera une confirmation tactile.

4. Saisissez une étiquette personnalisée telle que « Work Laptop » ou « Primary YubiKey » pour distinguer plusieurs appareils enregistrés.

5. Confirmez l'enregistrement en appuyant sur le bouton de la clé lorsque vous y êtes invité : Kraken affiche un message de réussite et répertorie la clé sous les méthodes 2FA actives.

Utiliser la clé pour les actions critiques

1. Lors de la connexion, après avoir saisi le mot de passe et terminé la première étape 2FA, insérez la clé et appuyez sur lorsque le navigateur demande une vérification.

2. Pour les retraits supérieurs à 10 000 USD, Kraken déclenche un défi WebAuthn nécessitant une interaction avec une clé physique avant la soumission.

3. Lors de la gestion des clés API, l'activation de « Exiger une clé matérielle pour la suppression de l'API » ajoute une couche supplémentaire avant de révoquer les intégrations sensibles.

4. Si la clé est perdue ou endommagée, Kraken autorise une solution de secours à l'aide de codes de sauvegarde ou d'un e-mail de récupération, mais uniquement après avoir passé des étapes supplémentaires de vérification d'identité.

5. Chaque clé enregistrée fonctionne indépendamment ; la suppression d’un élément n’affecte pas les autres, sauf si elle est explicitement supprimée de la page Paramètres de sécurité.

Foire aux questions

Q : Puis-je utiliser la même clé matérielle sur plusieurs comptes Kraken ? Oui, Kraken enregistre chaque clé par compte, de sorte qu'un appareil physique peut s'authentifier sur plusieurs profils vérifiés.

Q : Pourquoi ma YubiKey clignote-t-elle mais ne s'enregistre-t-elle pas lors de la configuration ? Cela indique généralement un micrologiciel obsolète, une version du navigateur non prise en charge ou une interférence d'un logiciel antivirus bloquant les appels WebAuthn.

Q : Kraken stocke-t-il la clé publique ou les données d'attestation de ma clé ? Kraken stocke uniquement l'identifiant d'identification de la clé publique et les métadonnées associées, et non les certificats d'attestation bruts ou les modèles biométriques.

Q : Puis-je utiliser une clé matérielle avec l'application mobile de Kraken ? Non, l'application mobile Kraken ne prend pas en charge WebAuthn. La vérification des clés matérielles est limitée aux navigateurs de bureau pendant les sessions Web.