Kraken アカウントを保護する方法: 完全なセキュリティ ガイド

二要素認証の強制

1. Kraken では、出金や API キー管理などの機密性の高いアカウント機能にアクセスする前に、ユーザーが 2 要素認証 (2FA) を有効にする必要があります。

2. 認証アプリを介した時間ベースのワンタイム パスワード (TOTP) は、依然として Kraken で最も広く採用されている 2FA 方式であり、SMS ベースの検証よりも強力な保護を提供します。

3. 72 時間以内に 2FA を再度有効にせずに 2FA を無効にすると、セッションが自動的に終了され、資金移動機能が一時的に制限されます。

4. Kraken のバックエンドは、TOTP 登録のデバイス バインディングを強制します。新しいデバイスごとに、電子メールの確認と IP アドレスの検証を含む手動の承認フローを受ける必要があります。

5. 2FA 試行が 10 分間に 5 回を超えて失敗すると、15 分間のロックアウト期間がトリガーされ、登録された回復メールに送信される自動セキュリティ アラートが開始されます。

API キー権限のセグメント化

1. すべての Kraken API キーには、作成時に詳細な権限が割り当てられます。デフォルトの「フル アクセス」権限は存在しません。

2. 出金許可は、取引およびクエリのスコープから分離されています。引き出し機能を有効にするには、2FA と電子メール確認による明示的な再認証が必要です。

3. IP ホワイトリストで作成されたキーは、事前に承認された IPv4 または IPv6 アドレスからのリクエストのみを受け入れ、Kraken は監査レビューのためにホワイトリストに登録されていないすべての接続試行をログに記録します。

4. Kraken は、連続 90 日間非アクティブな API キーを自動的に取り消し、ユーザーはスケジュールされた非アクティブ化の 7 日前に通知を受け取ります。

5. 各 API キーには、通話量、エンドポイントの分布、最後に使用されたタイムスタンプなどのリアルタイムの使用状況メトリクスが表示され、セキュリティ設定ダッシュボードに直接表示されます。

出金アドレスのホワイトリスト登録

1. Kraken は、すべての仮想通貨の出金先にアドレスのホワイトリスト登録を義務付け、最初の使用前に電子メールと 2FA による手動確認を要求します。

2. 新しく追加されたアドレスは 48 時間の保留状態になり、その間は引き出しを開始できません。このクールダウンはユーザー認証レベルに関係なく適用されます。

3. 既知のミキサー サービスまたは高リスク交換ホット ウォレットに関連付けられたアドレスは、Kraken の内部脅威インテリジェンス レイヤーによってフラグが立てられ、ホワイトリストからブロックされます。

4. ユーザーは資産タイプごとに最大 25 個のホワイトリストに登録されたアドレスを維持でき、各エントリにはブロックチェーン分析ツールから得られた地理位置メタデータが含まれます。

5. ホワイトリストに登録されていないアドレスに出金しようとすると、即座に取引が拒否され、Kraken の Trust & Safety チームによる完全なアカウント セキュリティ レビューが開始されます。

セッション管理とデバイス認識

1. Kraken は、Cookie やユーザー エージェント文字列だけに依存せず、キャンバス レンダリング、WebGL パラメーター、および TLS スタック特性を使用した永続的なデバイス フィンガープリントを採用しています。

2. 24 時間以内に 3 つ以上の固有のデバイス間で同時セッションが発生すると、「信頼できる」とマークされたセッションを除くすべてのアクティブなセッションに対して必須の再認証が求められます。

3. セッション トークンは 30 日間非アクティブな状態が続くと期限切れになり、Kraken はセキュリティ クリティカルなインターフェイスに対する無期限の「このデバイスを記憶する」機能をサポートしません。

4. 認識されないデバイスからログインを試行すると、アカウントにリンクされている以前に検証されたすべてのモバイル デバイスにリアルタイムのプッシュ通知が生成されます。

5. ユーザーは、[アカウント セキュリティ] ページから直接、場所、ブラウザ、OS バージョン、おおよそのログイン時間など、アクティブなすべてのセッションを表示および終了できます。

回復フレーズと本人確認の制御

1. Kraken は回復フレーズを保存または処理しません。秘密キーの管理は完全にプラットフォーム外にあり、Kraken の運用範囲外にあります。

2. KYC 中に提出された本人確認書類は、保存時に AES-256-GCM を使用して暗号化され、アクティブなレビュー サイクル中にのみ復号化されます。カスタマー サポート エージェントはアクセスできません。

3. 正式な名前や住所などの確認済みの身元情報を変更するには、新たに公証された文書の提出が必要で、処理には 72 時間の遅延が必要です。

4. 電子メール アドレスを変更すると、新しいアドレスで完全な検証と 2 番目のチャレンジの解決が完了するまで、すべての出金機能が 14 日間保留されます。

5. Kraken のサポート チームは、いかなる状況でも、たとえ段階的なアカウント回復手順中であっても、パスワード、2FA コード、またはシード フレーズ情報を要求することはありません。

よくある質問

Q: ハードウェア セキュリティ モジュール (HSM) を使用して Kraken API リクエストに署名できますか?はい。 Kraken は、[詳細 API 設定] パネルで構成されている場合、FIPS 140-2 レベル 3 認定の HSM によって生成された ECDSA P-256 署名をサポートします。

Q: Kraken は、Face ID や Touch ID などの生体認証ログイン オプションを提供していますか?いいえ、Kraken は、暗号化セッションの整合性チェックをバイパスする可能性のあるデバイスレベルの信頼モデルへの依存を防ぐために、ログイン フローから生体認証を意図的に除外しています。

Q: 私の Kraken アカウントが Tor 終了ノードからアクセスされた場合はどうなりますか? Tor、I2P、または既知の匿名化プロキシ ネットワークから発信されたすべてのリクエストは HTTP 403 で拒否され、フォレンジック分析のためにログに記録されます。認証済みアカウントであっても例外は認められません。

Q: Kraken のセキュリティ ヘッダーは OWASP Secure Headers Project 標準に準拠していますか?はい。 Kraken は、すべての Web エンドポイントにわたって厳格な CSP、HSTS、X-Content-Type-Options、Referrer-Policy、および Feature-Policy ヘッダーを実装しており、独立したサードパーティのペネトレーション テスターに​​よって四半期ごとに監査されます。