セキュリティポリシー

セキュリティは一番重要な部分です。Krakenでは堅牢なセキュリティシステムを構築しています。

当社のセキュリティポリシー

*本規約は英語を翻訳したものです。翻訳版と英語版に誤差がある場合は、英語版が優先するものとします

Krakenは、セキュリティに対して包括的に取り組んでいます。当社の専門家は、金銭または情報の盗難防止のための多数の高度な対策を構築しています。もちろん盗難が唯一の脅威ではありません。プロフェッショナルな取引所が十分な準備金、健全な銀行取引関係、および最高水準の法令順守によって金融安定を提供することも不可欠です。

当社のセキュリティポリシーの一部を下記に示します。このリストで網羅しているわけではなく、当社のセキュリティ対策は、当社が進んで公開する内容以上のものですのでご安心ください。

コインの格納

  • すべての新しい入金がコールドウォレット、つまり、いかなるオンラインシステムからも完全に分離されたウォレットに直接移動します。
  • コインの大部分が完全なエアギャップ分離によってコールドウォレットに格納されています。
  • 一部のコインが、ロック付きドライブを装備した保護付きマシン上のセミコールドウォレットに格納されます。
  • 運用のための流動性資産の維持に必要な量のコインのみがホット(オンライン)ウォレットに格納されます。
  • すべてのウォレットが暗号化されます。

ユーザーアカウントのセキュリティ

  • アカウントのログイン、入金と引き出し、発注、および、APIキーを使用して実行できる各アクションには、2段階認証が可能です。
  • ユーザー情報漏洩保護:ログインまたはパスワード回復試行によるアカウントの存在確認を含めて、いかなるアカウント情報も公開されません。
  • Eメール暗号化とEメール署名/検証にPGP/GPGを採用。
  • アカウント検証ドキュメントのアップロードには、セキュリティの非常に高い分離型システムを採用。
  • 有効にするとアカウントに進入した攻撃者によるユーザーアカウント情報の改竄を阻止するグローバル設定ロック機能。

システムセキュリティ

  • Krakenのサーバーは、最上位認証レベルのプロフェッショナルデータセンターの内部にあるロック付きプライベートケージの中のロック付きラックに設置されています。つまり、武装警備員、ビデオ監視、網膜スキャンによって護衛されています。
  • 可能な限り、データは必ず暗号化され、システムは冗長構成であり、互いに分離されています。
  • データは、リアルタイムで再現され、日単位でバックアップされます。
  • 当社では、現在、分散型サービス拒否攻撃を阻止するために他の対策ととともにCloudFlareを使用しています。
  • 当社のオフィスは、異なる目的には、それぞれ異なるネットワークと接続されています。お客様のアップロード済みアカウント検証ドキュメントにアクセスするために当社の代理人が使用するシステムは、それ以外のものに使用することは不可能です。サポートチケットは、完全に分離しているシステムである、などです。
  • 当社のスタッフは、徹底的に審査を受けていて、遠隔機密の情報には何回もサインオフが要求されます。

金融セキュリティ

  • 当社は、十分な準備金を維持しており、「取り付け騒ぎ」はありえません。
  • 顧客資金は、当社の運用アカウントから分離した銀行口座に保管されており、手数料は日単位で振り込まれます。
  • 当社のプラットフォーム上での証拠金の取引のためであっても、顧客資金を資金運用に借りることはできず、貸すこともできません。
  • 当社は、当社の銀行との間に揺るぎない関係を築いており、万一関係が終結しても、契約が万端に整っており、当社のアカウントを整然と縮小することが可能です。
  • 当社は、何らかの金融上の冗長性を構築するために複数の銀行取引関係を続行しており、したがって、万一上記の状況が発生しても日常業務は中断されません。
  • ビットコインの法的な扱いはまだ策定途上にありますが、Krakenは、非常に積極的かつ豊富な知識に基づいて取り組んでいます。
  • 当社の取り組みは、完全に現在の法律の範囲内で保守的に運用すること、および、発生前に変化を予測できるように規制の進展を絶えず監視することです。
  • 当社の法令順守対策は、5名から成る法律顧問のチームによって策定されています。顧問のうち1名は、常勤の相談役であり、規制の進展に関わらず当社の法的立場を絶えず評価することを担当しています。

お客様のセキュリティポリシー

お客様へのお願い

当社のセキュリティポリシーは、お客様の個人情報の保護、金銭面での安全保持に向けて非常に大きな役割を果たします。アカウントのセキュリティをさらに可能な限り高めるために、お客様自身が実施することを強くお勧めする事項が数項目あります。

  • 長いパスワード、または、より複雑な長いパスフレーズを設定してください。
  • 少なくともログイン、引き出し、およびマスターキーには2段階認証を設定してください。2段階認証によって、他者がお客様のアカウントに侵入するのがはるかに困難になります。2段階認証の設定方法については下記で説明します。
  • ログインページ上のモンスターの絵に注意し、この絵に予想外の変化が生じている場合は、ログインする前に調査してください。モンスターの絵については、こちらのFAQセクションに説明があります。
  • Eメールアカウントに対してPGP/GPGを設定してください。これにより、当社から自動送信される自動メッセージをお客様が検証できるようなり、また、機密情報を通信する必要がある場合にお客様が暗号化コンテンツを送受信できるようになります。下記の設定方法を参照。
  • お客様の検証ドキュメントは、Eメールやサポートチケットではなく、当社が提供するフォームのみによって送信してください。
  • Krakenのアカウントに対応するEメールアカウントに2段階認証を設定してください。
  • いったんKrakenのアカウントセッティングを確定させたら、グローバル設定ロックを使用してください。特に休暇などお客様のアカウントに関連づけたEメールを一定期間確認できない場合にはご使用をお勧めします。

2段階認証

2段階認証は、通常のユーザー名とパスワードに加えて、第2のパスコードを要求することで、アカウントのセキュリティを大幅に増強します。ダイナミックパスコードを生成してセキュリティを最大化するために、Google認証システムまたはYubikeyを使用するとよいです。

2段階認証を設定する前に、ダイナミックパスコードを生成する方法に関して決定する必要があります。(静的パスコードオプションも利用できますが、お勧めしません。) 最も一般的な方法は、Google認証システムアプリケーションによる方法(Android、iOS、BlackBerryなど)、または、Yubikeyの専用装置による方法です。Google認証システムの場合、HOTPまたはTOTPを選択できますが、Yubikeyの場合はHOTPのみです(HOTPとTOTPの説明については下記参照)。しかし、もっと大きな違いは、Google認証システムはソフトウェアトークンですが、Yubikeyはハードウェアトークンです。つまり、ソフトウェアベースの攻撃に対して脆弱でないため、Yubikeyの方がセキュリティが少し高くなっています。

Krakenのアカウントに2段階認証を設定するには、2段階認証タブにアクセスします。「設定」をクリックし、目的の2段階認証オプションを選択します。HOTPは、「HMAC-based One Time Password(HMACベースのワンタイムパスワード)」の略で、動く要素は、OTPが生成されるたびにインクリメントする簡単なカウンターです。TOTPは、「Time-based One Time Password(時間ベースのワンタイムパスワード)」の略で、この場合、動く要素は時間の経過です(デバイスによって30秒ごとに新しいOTPが生成されます)。TOTPは、存続期間は短いですが、HOTPは、不確定時間だけ有効になります。TOTPは、保守の手間が少なくて済みますが、デバイスと当社サーバーの間で時間を同期させる必要があります。一方、HOTPは、保守に多くの手間を必要としますが、同期させる必要はありません。その結果、TOTPは、ワンタイムパスワードのソリューションにより高いセキュリティをもたらすと一般にみなされています。ただし、ほとんどのユーザーにとって、最初の段階で2段階認証を使用することによって得られる利点と比較して、この差はわずかです。詳細については次を参照してください。

「パスワード」オプションを選択すると、ダイナミックパスコードよりもセキュリティがはるかに低い静的パスコードが示されます。特別に選択する理由がない限りお勧めしません。

示される指示に従って設定プロセスを完了します。設定障害が発生するおそれがあるため、デフォルトオプションを一部でも変更する場合は注意してください(指示に示される警告を参照)。

マスターキーにも2段階認証を設定するとよいです。こうすることで、パスワードのリセットや2段階認証のバイパスコードのリクエストなどの重要な機能に対するセキュリティを増強できます。

PGP/GPG暗号化

PGP(プリティグッドプライバシー)は、GPLライセンスの代替GPG(GNUプライバシーガードまたはGnuPG)は、Eメールの暗号化/復号に関する基準です。PGP/GPGを設定することで次が可能になります。

  • Krakenからの自動メッセージを検証することができ、そのため、当社から来たものであり、送信の途中で改竄されなかったと確信できます。
  • 暗号化コンテンツを送受信し、サポートスタッフとの間で機密情報の通信を安全に行えます。

Eメールを暗号化するための一般的な方法として、EメールクライアントMozilla ThunderbirdとプラグインEnigmailを使用する方法があります。基本的な手順は次のとおりです。

  1. 次のサイトからクライアントThunderbirdをダウンロードし、インストールします。https://www.mozilla.org/en-US/thunderbird/
  2. GnuPGをインストールし、プラグインEnigmailをインストールします。http://www.enigmail.net/home/index.php

設定がすべて完了したら、パブリックキーを当社に提示し、当社の各キーをインポートします。当社には2個あります。1つは、自動Eメール(ここ)を検証するためのもので、1つは、Krakenのサポートスタッフとの間で暗号化コンテンツの通信を行うためのものです(もうすぐ実現します)。

MacOSをご使用の方へは、Apple Mail用の新しいGPGプラグインであるGPGMailをお勧めします。https://gpgtools.org/gpgmail/index.html

PGP/GPGの詳細については、次の各リンク先を参照してください。