보안
귀하의 데이터를 보호하는 방법
귀하의 교환 키와 계정 데이터는 민감합니다. 모호한 약속 없이 고객의 안전을 지키기 위해 우리가 하는 일은 바로 다음과 같습니다.
AES-256
휴식 중
TLS 1.3
운송 중
No Withdrawal
API 키 범위
HttpOnly
세션 쿠키
1. 미사용 암호화
데이터베이스 암호화
모든 계정 데이터, 신호 로그, 경고 구성 및 사용자 설정은 전체 디스크 암호화를 시행하는 인프라의 PostgreSQL에 저장됩니다. 데이터베이스 백업은 스토리지에 기록되기 전에 별도로 암호화됩니다.
API 키 암호화
Exchange API 키와 비밀은 일반 텍스트로 저장되지 않습니다. 각 키는 사용자별 파생 암호화 키를 사용하여 AES-256-GCM으로 암호화됩니다. 암호화 키 자체는 암호문과 함께 저장되지 않습니다.
복호화 범위
API 키 암호 해독은 격리된 거래 실행 프로세스 내에서만, 봇 주문을 제출해야 하는 경우에만, 사용 중인 특정 교환 키에 대해서만 발생합니다. 해독된 키는 요청 기간 동안에만 메모리에 보관됩니다.
2. 전송 중 암호화
TLS 1.3
귀하의 브라우저와 당사 서버 간의 모든 연결은 TLS 1.3을 사용합니다. 이전 TLS 버전(1.0, 1.1) 및 약한 암호화 제품군은 비활성화됩니다. HTTPS는 HSTS(HTTP Strict Transport Security) 헤더로 시행됩니다.
API 연결
교환 및 외부 데이터 공급자에 대한 모든 아웃바운드 연결은 지원되는 경우 인증서 고정과 함께 TLS를 사용합니다. 우리는 데이터 공급자에게 일반 텍스트 HTTP 요청을 하지 않습니다.
3. API 키 보안
출금 권한 없음
연결된 API 키에는 철회 권한이 포함되어서는 안 됩니다. 키 설정 중에 키에 출금 액세스 권한이 있는 것으로 나타나면 경고하고 거래 전용 범위로 키를 재생성하는 것이 좋습니다.
범위 격리
각 API 키 연결의 범위는 단일 교환 및 단일 사용자로 지정됩니다. 사용자나 봇 간에 키를 풀링하거나 공유하지 않습니다. 거래소 A의 키를 사용하여 거래소 B에 주문할 수 없습니다.
키 순환
언제든지 설정에서 교환으로 API 키를 취소하고 교체할 수 있습니다. 이전 키는 즉시 비활성으로 표시되며 새 주문에 사용할 수 없습니다.
4. 인증 및 세션
JWT 세션 쿠키
인증 토큰은 HttpOnly, Secure, SameSite=Strict 쿠키로 저장됩니다. 이는 JavaScript에 액세스할 수 없으며 XSS를 통해 도난당할 수 없습니다. 토큰은 비활성 상태로 24시간 후 또는 Remember me를 사용하면 30일 후에 만료됩니다.
OAuth 보안
OAuth 흐름(Google, GitHub)은 PKCE 및 상태 매개변수를 사용하여 CSRF 및 인증 코드 가로채기 공격을 방지합니다. 계정 생성에 필요한 최소한의 프로필 범위만 받습니다.
비밀번호 해싱
비밀번호는 저장 전에 작업 계수 12의 bcrypt를 사용하여 해시됩니다. 우리는 어떠한 경우에도 일반 텍스트 비밀번호를 저장하거나 전송하지 않습니다.
5. 인프라
네트워크 격리
데이터베이스 및 작업자 서비스는 공용 인터넷에 노출되지 않습니다. 모든 내부 서비스 통신은 개인 네트워크를 통해 이루어집니다. API 서버는 유일한 공용 진입점입니다.
종속성 보안
우리는 모든 배포에 대해 자동화된 종속성 취약점 스캔을 실행합니다. 종속성의 심각도 CVE는 공개 후 48시간 이내에 패치됩니다.
비밀 관리
프로덕션 비밀(데이터베이스 자격 증명, 암호화 키, API 공급자 토큰)은 비밀 관리자의 환경 변수를 통해 런타임에 주입됩니다. 비밀은 소스 제어에 커밋되지 않습니다.
6. 책임 있는 공개
취약점 보고
CryptoSignal Pro에서 보안 취약점을 발견한 경우 자세한 내용과 함께 security@cryptosignalpro.com으로 이메일을 보내주세요. 우리가 문제를 조사하고 패치할 기회를 가질 때까지 문제를 공개적으로 공개하지 마십시오.
포함할 내용
취약점에 대한 설명, 이를 재현하는 단계, 잠재적 영향 및 개념 증명 코드를 포함하십시오. 더 자세한 정보를 제공할수록 더 빠르게 평가하고 해결할 수 있습니다.
응답 타임라인
우리는 48시간 이내에 귀하의 신고를 확인하고, 영업일 기준 5일 이내에 초기 평가를 제공하며, 해결 진행 상황에 대해 계속 알려드릴 것입니다. 우리는 유효한 취약점을 보고한 연구원들에게 (허가를 받아) 공로를 인정합니다.
취약점을 발견하셨나요?
보안팀에 이메일을 보내세요. 48시간 이내에 응답해 드립니다.
일반적인 보안 질문이 있나요?
지원팀에 문의