IDENTITY
Важные действия требуют свежего подтверждения. При подозрительной активности в сети доверие к сессии сокращается само. Ключи API несут только те права, что вы выдали, а вызывающего доказывает подпись, а не секрет.
Прежний стек входа работал на снятом с поддержки сервере с симметричной 2FA на HMAC. Новый контур — современный IdP на OIDC + PKCE, с защищёнными от фишинга Passkeys и периметром, который просит подтверждение ровно там, где это важно.
Старое · было
Стало · в разработке
Passkey привязывает вход к этому устройству и этому домену, так что поддельному сайту нечего перехватывать. TOTP остаётся доступен как базовый второй фактор.
01 · Passkeys (WebAuthn)
Passkey — это привязанная к устройству пара ключей, выданная для конкретного домена. Она не покидает устройство и не уходит на сервер, поэтому фишинговая страница не может её перехватить или повторить — общего секрета, который можно украсть, просто нет.
Механизм: пара ключей WebAuthn, привязанная к домену, без общего секрета.
02 · Базовый TOTP
Одноразовые коды по времени (TOTP) остаются доступны как базовый второй фактор для любого приложения-аутентификатора, так что надёжная 2FA не зависит от наличия устройства с поддержкой Passkey.
Механизм: второй фактор TOTP поверх современного потока OIDC + PKCE.
Доп. подтверждение — это периметр, а не постоянные напоминания. Действия на границе — вывод средств, изменение белого списка, выпуск ключа, смена 2FA — требуют свежего надёжного подтверждения. Обычная торговля внутри сессии не дёргает вас раз за разом.
За барьером · свежее подтверждение
Доп. подтверждение: свежее надёжное доказательство (RFC 9470).
Без барьера · остаётся плавным
Внутри сессии — без повторной 2FA.
Сессия — не пропуск с фиксированным сроком. Когда сигналы вокруг неё выглядят аномально, окно доверия сжимается, и повторный вход наступает раньше.
01 · Сигналы
Необычные сигналы — резкая смена IP, незнакомая сеть, неправдоподобная смена местоположения — считываются как риск. Чем рискованнее обстановка, тем короче сессии доверяют, прежде чем она попросит войти заново.
Механизм: оценка риска → сокращённое окно доверия сессии.
02 · Пример со сменой IP
Если активная сессия внезапно появляется из другой сети или страны, это считается аномалией: окно доверия укорачивается, и следующее важное действие запрашивает подтверждение раньше обычного.
Механизм: аномалия со сменой IP → ранний повторный вход.
Права ключей API ограничены: чтение, торговля и вывод — это отдельные разрешения. Запросы подписываются Ed25519, а не несут секрет в заголовке, и ключи с правом на вывод работают только с адресами из белого списка.
| Право | Что даёт | Аутентификация | Назначение |
|---|---|---|---|
| read | Чтение балансов, ордеров и данных рынка. Ничего, что двигает средства. | Подпись Ed25519 | — |
| trade | Выставлять и отменять ордера. Не может выводить или менять настройки. | Подпись Ed25519 | — |
| withdraw | Только запрос вывода — и только на адреса, добавленные вами в белый список. | Подпись Ed25519 | Только белый список |
К любому ключу можно привязать белый список IP. Запросы подписываются, так что утёкший ключ сам по себе не годится как токен доступа.
Как на самом деле ведут себя вход, сессии и ключи — то, что стоит понять до подключения приложения или вывода средств.
Passkey — это привязанная к устройству пара ключей, созданная для конкретного домена. Закрытая половина никогда не покидает устройство и работает только на настоящем сайте, так что поддельной фишинговой странице нечего перехватить и нечего повторить — нет ни общего секрета, ни кода, который можно украсть. Именно это защищает от фишинга там, где одноразовый код бессилен.
Нет. Доп. подтверждение работает по модели периметра, а не запрашивается на каждое действие. Обычная торговля внутри аутентифицированной сессии идёт без прерываний. Свежее подтверждение нужно только для действий на границе — выводов, изменения белого списка, выпуска ключей API или смены второго фактора.
Ничего, что двигает деньги. Ключ с правом чтения умеет только читать балансы, ордера и данные рынка — он не выставляет сделки, не меняет настройки и не выводит. Права разделены, поэтому утёкший ключ на чтение никогда не получает права на запись или вывод, а запросы подписываются, а не опираются на сам ключ как на секрет в заголовке.
Аномальные сигналы вокруг сессии — резкая смена IP или страны, незнакомая сеть, неправдоподобная смена контекста. Когда оценка риска растёт, окно доверия сессии сжимается, и следующее важное действие просит войти заново раньше обычного.
Вход и доступ определяют, кто может попросить сдвинуть деньги; хранение держит их под пороговой подписью, а прозрачность позволяет проверить записи по обе стороны.