크라켄 계정을 보호하는 방법: 완벽한 보안 가이드

2단계 인증 시행

1. Kraken은 사용자가 출금이나 API 키 관리와 같은 민감한 계정 기능에 액세스하기 전에 이중 인증(2FA)을 활성화하도록 요구합니다.

2. 인증 앱을 통한 시간 기반 일회성 비밀번호(TOTP)는 Kraken에서 가장 널리 채택되는 2FA 방법으로, SMS 기반 인증보다 강력한 보호 기능을 제공합니다.

3. 72시간 이내에 2FA를 다시 활성화하지 않고 비활성화한 사용자는 자동 세션 종료 및 자금 이동 기능이 일시적으로 제한됩니다.

4. Kraken의 백엔드는 TOTP 등록을 위한 장치 바인딩을 시행합니다. 각각의 새 장치는 이메일 확인 및 IP 주소 검증과 관련된 수동 승인 흐름을 거쳐야 합니다.

5. 10분 중 5번 이상 2FA 시도에 실패하면 15분 잠금 기간이 시작되고 등록된 복구 이메일로 자동 보안 경고가 전송됩니다.

API 키 권한 분할

1. 모든 Kraken API 키에는 생성 시 세분화된 권한이 할당됩니다. 기본 "전체 액세스" 권한은 존재하지 않습니다.

2. 출금 권한은 거래 및 조회 범위와 격리됩니다. 철회 기능을 활성화하려면 2FA 및 이메일 확인을 통한 명시적인 재인증이 필요합니다.

3. IP 화이트리스트로 생성된 키는 사전 승인된 IPv4 또는 IPv6 주소에서 발생하는 요청만 수락하며 Kraken은 감사 검토를 위해 화이트리스트에 없는 모든 연결 시도를 기록합니다.

4. Kraken은 연속 90일 동안 비활성화된 API 키를 자동으로 취소하며, 사용자는 예정된 비활성화 7일 전에 알림을 받습니다.

5. 각 API 키는 통화량, 엔드포인트 분포, 마지막으로 사용된 타임스탬프를 포함한 실시간 사용량 지표를 표시하며 보안 설정 대시보드에서 직접 확인할 수 있습니다.

출금 주소 화이트리스트

1. Kraken은 모든 암호화폐 인출 대상에 대해 주소 화이트리스트를 의무화하고 처음 사용하기 전에 이메일과 2FA를 통한 수동 확인을 요구합니다.

2. 새로 추가된 주소는 출금이 시작될 수 없는 48시간 보류 상태가 됩니다. 이 휴지 기간은 사용자 확인 단계에 관계없이 적용됩니다.

3. 알려진 믹서 서비스 또는 고위험 거래소 핫 지갑과 관련된 주소는 Kraken의 내부 위협 인텔리전스 계층에 의해 표시되고 화이트리스트에서 차단됩니다.

4. 사용자는 자산 유형별로 최대 25개의 화이트리스트 주소를 유지할 수 있으며 각 항목에는 블록체인 분석 도구에서 파생된 지리적 위치 메타데이터가 포함됩니다.

5. 화이트리스트에 없는 주소로 출금을 시도하면 즉시 거래가 거부되고 Kraken의 신뢰 및 안전 팀이 전체 계정 보안 검토를 시작합니다.

세션 관리 및 장치 인식

1. Kraken은 쿠키나 사용자 에이전트 문자열에만 의존하지 않고 캔버스 렌더링, WebGL 매개변수 및 TLS 스택 특성을 사용하여 영구 장치 지문 인식을 사용합니다.

2. 24시간 이내에 3개 이상의 고유 장치에서 동시 세션이 발생하면 "신뢰할 수 있음"으로 표시된 세션을 제외한 모든 활성 세션에 대해 필수 재인증이 필요합니다.

3. 세션 토큰은 30일 동안 활동이 없으면 만료되며 Kraken은 보안이 중요한 인터페이스에 대해 무기한 "이 장치 기억" 기능을 지원하지 않습니다.

4. 인식되지 않은 장치에서 로그인을 시도하면 계정에 연결된 이전에 확인된 모든 모바일 장치에 실시간 푸시 알림이 생성됩니다.

5. 사용자는 계정 보안 페이지에서 위치, 브라우저, OS 버전 및 대략적인 로그인 시간을 포함한 모든 활성 세션을 직접 보고 종료할 수 있습니다.

복구 문구 및 신원 확인 제어

1. 크라켄은 복구 문구를 저장하거나 처리하지 않습니다. 개인 키 관리는 완전히 플랫폼 외부에 있으며 Kraken의 운영 범위를 벗어납니다.

2. KYC 중에 제출된 신원 확인 문서는 AES-256-GCM을 사용하여 저장 시 암호화되며 활성 검토 주기 동안에만 해독되며 고객 지원 담당자는 액세스할 수 없습니다.

3. 법적 이름이나 거주지 주소 등 확인된 신원 정보를 변경하려면 새로 공증된 문서를 제출해야 하며 72시간의 처리 지연이 필요합니다.

4. 이메일 주소를 변경하면 새 주소가 전체 확인 및 2차 문제 해결을 완료할 때까지 모든 출금 기능이 14일 동안 보류됩니다.

5. Kraken의 지원팀은 어떤 상황에서도 비밀번호, 2FA 코드 또는 시드 문구 정보를 요청하지 않습니다. 심지어는 에스컬레이션된 계정 복구 절차 중에도 마찬가지입니다.

자주 묻는 질문

Q: 하드웨어 보안 모듈(HSM)을 사용하여 Kraken API 요청에 서명할 수 있습니까? 예. Kraken은 고급 API 설정 패널을 통해 구성할 때 FIPS 140-2 레벨 3 인증 HSM에서 생성된 ECDSA P-256 서명을 지원합니다.

Q: Kraken은 Face ID나 Touch ID와 같은 생체 인식 로그인 옵션을 제공합니까? 아니요. Kraken은 암호화 세션 무결성 검사를 우회할 수 있는 장치 수준 신뢰 모델에 대한 의존을 방지하기 위해 의도적으로 로그인 흐름에서 생체 인식 인증을 제외합니다.

Q: Tor 종료 노드에서 내 Kraken 계정에 액세스하면 어떻게 되나요? Tor, I2P 또는 알려진 익명 프록시 네트워크에서 발생하는 모든 요청은 HTTP 403으로 거부되고 법의학 분석을 위해 기록됩니다. 확인된 계정에도 예외는 허용되지 않습니다.

Q: Kraken의 보안 헤더는 OWASP 보안 헤더 프로젝트 표준을 준수합니까? 예. Kraken은 모든 웹 엔드포인트에 걸쳐 엄격한 CSP, HSTS, X-Content-Type-Options, Referrer-Policy 및 Feature-Policy 헤더를 구현하며, 독립적인 제3자 침투 테스터가 분기별로 감사합니다.