セキュリティを最大限に高めるために、Kraken で 2FA とハードウェア キーを有効にする方法は? (アカウントの安全性)

Kraken の 2FA アーキテクチャを理解する

1. Kraken は、基本的な表示を超えるすべてのアカウント操作に対して 2 要素認証を強制します。このプラットフォームは、二次要素として TOTP ベースの認証システム、SMS、電子メールをサポートしていますが、運用環境での使用には TOTP のみが推奨されます。

2. 多くの取引所とは異なり、Kraken では、出金や API キーの作成などのリスクの高い操作中に、スタンドアロンの 2FA メソッドとして SMS を許可しません。これはフォールバック回復チャネルとしてのみ機能します。

3. システムは、RFC 6238 準拠の 30 秒間隔の時間ベースのワンタイム パスワードと SHA-1 ハッシュを使用します。各コードは、Kraken の安全な HSM にのみ保存されているユーザーの一意の秘密シードに暗号的にバインドされています。

4. ユーザーは、ハードウェア セキュリティ キーを有効にする前に、本人確認 (KYC レベル 2) を完了する必要があります。これにより、物理的なトークンのバインドよりも先に、生体認証と文書ベースの認証が確実に行われます。

5. Kraken の 2FA インターフェイスは、ログイン検証をトランザクション署名から分離します。つまり、出金確認には、最初のセッション認証とは異なる追加の暗号署名が必要です。

Google 認証システムのステップバイステップのセットアップ

1. モバイル Web ではなく、公式ブラウザまたはデスクトップ アプリを介して Kraken にログインします。 [設定] → [セキュリティ] → [2 要素認証] に移動します。

2. 「認証アプリを有効にする」をクリックし、Google Authenticator、Authy、または Microsoft Authenticator を使用して表示された QR コードをスキャンします。手動バックアップ手順をスキップしないでください。

3. アプリによって生成された 6 桁のコードを Kraken の認証フィールドに入力します。成功メッセージは、Kraken が内部の時間同期カウンターに対して HMAC-SHA1 出力を検証した後にのみ表示されます。

4. 画面に表示された 16 単語のリカバリ フレーズをすぐにダウンロードして印刷します。オフラインで保存する - Kraken はこのフレーズを保持せず、再生成することもできません。

5. 同じメニューで SMS と電子メールの 2FA オプションを無効にします。これらは表示されたままですが、TOTP がアクティブになるとグレー表示になり、偶発的な復帰を防ぎます。

ハードウェア セキュリティ キーの統合プロセス

1. セットアップを開始する前に、FIDO2 準拠デバイス (YubiKey 5Ci、SoloKeys、Nitrokey FIDO2) を USB-C または NFC 対応ポートに挿入します。

2. [設定] → [セキュリティ] → [ハードウェア セキュリティ キー] で、[新しいキーの追加] をクリックします。 Kraken は、RP ID「kraken.com」を使用して WebAuthn 登録フローを開始します。

3. プロンプトが表示されたら、キーをタップします。デバイスは ECDSA P-256 キーペアを生成します。公開鍵は Kraken に送信されますが、秘密鍵がハードウェアから出ることはありません。

4. ラベル (「仕事用ラップトップ」など) を割り当て、登録を確認します。 Kraken は、完全な公開鍵ではなく、資格情報 ID、構成証明ステートメントのハッシュ、および鍵のタイプのみを保管します。

5. [高度なセキュリティ オプション] で [出金にはハードウェア キーが必要] を有効にします。これにより、500 ドルを超えるすべての暗号通貨または法定通貨の送金に対して、U2F チャレンジ レスポンスが強制されます。

グローバル設定ロック (GSL) の構成

1. GSL は、Kraken 独自のアカウント ロックダウン メカニズムです。パスワード変更、2FA リセット、電子メール更新など、すべての機密アクションが事前に承認された IP 範囲に制限されます。

2. [設定] → [セキュリティ] → [グローバル設定ロック] から GSL にアクセスします。 CIDR 表記 (例: 2001:db8::/32) を使用して、最大 5 つの IPv4/IPv6 サブネットをホワイトリストに登録します。

3. 各ホワイトリスト エントリには、TOTP とハードウェア キー署名の両方による確認が必要です。例外は存在しません。Kraken サポートでもこれをオーバーライドできません。

4. GSL は、有効な 2FA コードが提供されている場合でも、ホワイトリストに登録されたネットワーク外の新しいデバイスのログインをブロックします。 GSL の変更後は 72 時間のクールダウンが適用されます。

5. 引き出しアドレスのホワイトリストは独立して動作しますが、GSL と統合されます。ホワイトリストに登録された IP から追加されたアドレスのみが承認済みリストのドロップダウンに表示されます。

よくある質問

Q1: 複数のハードウェア キーを同時に使用できますか?はい。 Kraken では、アカウントごとに最大 3 台の FIDO2 デバイスを登録できます。各キーは独立して機能し、1 つを取り消しても他のキーには影響しません。

Q2: YubiKey が物理的に損傷した場合はどうなりますか?すべてのハードウェア キーを無効にし、新しいハードウェア キーを再登録するには、印刷した 16 単語のリカバリ フレーズを使用する必要があります。 Kraken は、リモートでの非アクティブ化を許可する重要なメタデータを保存しません。

Q3: Kraken はハードウェア キーの代わりにパスキーをサポートしていますか?いいえ。2026 年 4 月の時点で、Kraken は FIDO2 WebAuthn 標準のみを実装しています。パスキー機能 (WebAuthn + 同期層) は、暗号化分離要件のため、サポートされていないままです。

Q4: GSL が有効になっている場合、ハードウェア キーなしで資金を引き出すことはできますか?いいえ。GSL がアクティブで、「引き出しにはハードウェア キーが必要」がオンになっている場合、TOTP とパスワードが正しい場合でも、WebAuthn アサーションはバイパスできません。