Πώς ασφαλίζεις τον λογαριασμό σου στο exchange;

Οι περισσότερες ρυθμίσεις ασφάλειας ενός λογαριασμού γίνονται μία φορά. Μετά δουλεύουν χωρίς να τις σκέφτεσαι. Παρακάτω υπάρχει μια λίστα 6 βημάτων για το exchange, δηλαδή την πλατφόρμα όπου αγοράζεις και πουλάς κρύπτο. Βασιζόμαστε σε οδηγίες των αμερικανικών οργανισμών CISA και NIST, που τις αποδίδουμε με δικά μας λόγια. Δεν είναι ελληνικός κανονισμός και δεν αντικαθιστούν τις οδηγίες της πλατφόρμας σου.

Τι κωδικό βάζω και πώς τον θυμάμαι;

Δεν τον θυμάσαι. Τον θυμάται το password manager, δηλαδή ένα πρόγραμμα που, κατά την CISA, δημιουργεί, αποθηκεύει και συμπληρώνει όλους τους κωδικούς σου. Εσύ θυμάσαι έναν μόνο: τον κωδικό του ίδιου του προγράμματος.

Η CISA δίνει τρεις βασικές οδηγίες. Έναν διαφορετικό δυνατό κωδικό για κάθε λογαριασμό. Τυχαία σειρά από πεζά, κεφαλαία, αριθμούς και σύμβολα. Για τον κεντρικό κωδικό, μια φράση από 4 ως 7 άσχετες λέξεις, με ελάχιστο μήκος 16 χαρακτήρων.

Το NIST συμφωνεί με την ίδια λογική. Λέει ότι οι υπηρεσίες πρέπει να επιτρέπουν password managers και αυτόματη συμπλήρωση, και ότι δεν πρέπει να απαιτούν περιοδική αλλαγή κωδικού. Τον αλλάζεις όταν υπάρχει ένδειξη παραβίασης, όχι από συνήθεια.

Υποθετικό παράδειγμα: η Μαρία έχει τον ίδιο κωδικό στο email και στο exchange. Ένα άσχετο site που χρησιμοποιούσε διαρρέει τα στοιχεία της. Ανοίγουν και τα δύο. Με password manager θα είχε διαφορετικό κωδικό παντού, και η διαρροή θα έμενε σε ένα σημείο.

Authenticator, SMS ή κλειδί ασφαλείας;

Το 2FA (ή MFA) είναι δεύτερο βήμα επαλήθευσης μετά τον κωδικό. Η CISA το περιγράφει ως πολλαπλά επίπεδα προστασίας για τους λογαριασμούς σου και τα δεδομένα τους. Οι τρεις βασικές μέθοδοι διαφέρουν αρκετά.

Μέθοδος	Πώς δουλεύει	Τι να προσέχεις
SMS	Παίρνεις κωδικό με μήνυμα στο κινητό	Εξαρτάται από τον αριθμό σου, άρα και από το SIM swap (βλ. παρακάτω). Ο κωδικός μπορεί να υποκλαπεί με phishing.
Authenticator (εφαρμογή)	Η εφαρμογή βγάζει κωδικό που αλλάζει συνεχώς	Δεν περνά από το τηλεφωνικό δίκτυο. Ο κωδικός όμως μπορεί να υποκλαπεί αν τον πληκτρολογήσεις σε ψεύτικη σελίδα. Αν χαθεί το κινητό, χρειάζεσαι κωδικούς ανάκτησης.
Κλειδί ασφαλείας (FIDO/WebAuthn, passkey)	Μια φυσική συσκευή ή ενσωματωμένο κλειδί επιβεβαιώνει ότι είσαι εσύ στη σωστή σελίδα	Πρέπει να το υποστηρίζει η πλατφόρμα. Χρειάζεσαι εφεδρικό κλειδί ή τρόπο ανάκτησης.

Η CISA γράφει ότι το phishing-resistant MFA (δηλαδή επαλήθευση που δεν ξεγελιέται εύκολα από ψεύτικες σελίδες) είναι ο στόχος που πρέπει να έχουν οι οργανισμοί, αλλά ότι οποιοδήποτε MFA είναι καλύτερο από κανένα. Σύμφωνα με την ίδια, η μόνη ευρέως διαθέσιμη επαλήθευση με αυτή την ιδιότητα είναι η FIDO/WebAuthn.

Από αυτά βγαίνει μια λογική σειρά προτίμησης: κλειδί FIDO, μετά authenticator, μετά SMS, και τελευταίο το τίποτα. Δεν είναι επίσημη κατάταξη της CISA, είναι δική μας ανάγνωση των παραπάνω. Αν το SMS είναι η μόνη επιλογή, ενεργοποίησέ το. Είναι καλύτερο από την απουσία 2FA.

Τι είναι το SIM swap και πώς με αφορά;

Είναι η μεταφορά του αριθμού σου σε άλλη κάρτα SIM που ελέγχει κάποιος άλλος. Τότε τα SMS σου φτάνουν σε εκείνον, μαζί με τους κωδικούς του exchange.

Το NIST το αντιμετωπίζει ως ένδειξη κινδύνου. Στις οδηγίες του αναφέρει ότι οι υπηρεσίες που χρησιμοποιούν το τηλεφωνικό δίκτυο καλό είναι να λαμβάνουν υπόψη ως ενδείξεις κινδύνου αλλαγές όπως νέα συσκευή, νέα SIM ή μεταφορά αριθμού, και ότι η χρήση του δικτύου για επαλήθευση είναι «restricted» (περιορισμένη). Γι’ αυτό προτείνουμε authenticator ή κλειδί αντί για SMS.

Τι είναι η λίστα επιτρεπόμενων διευθύνσεων ανάληψης;

Είναι μια λίστα με διευθύνσεις πορτοφολιού όπου επιτρέπεται να στείλεις κρύπτο από το exchange. Δεν έχουμε επίσημη πηγή για τη λειτουργία της, οπότε το λέμε ως γενική πρακτική, αν η πλατφόρμα σου την προσφέρει. Οι λεπτομέρειες διαφέρουν από εταιρεία σε εταιρεία.

Υποθετικό παράδειγμα: ο Νίκος βάζει στη λίστα δύο δικές του διευθύνσεις. Αν κάποιος μπει στον λογαριασμό του, δεν μπορεί να στείλει κρύπτο σε νέα διεύθυνση χωρίς πρόσθετο βήμα ή αναμονή, ανάλογα με τους κανόνες της πλατφόρμας. Ψάξε στις ρυθμίσεις ασφάλειας τι ακριβώς ισχύει για σένα.

Η λίστα «μία φορά και τελειώσαμε»

1. Μοναδικός μακρύς κωδικός από password manager. Ποτέ ο ίδιος κωδικός σε δύο υπηρεσίες.
2. 2FA με authenticator ή κλειδί ασφαλείας αντί για SMS, όπου το προσφέρει η πλατφόρμα.
3. Κωδικοί ανάκτησης εκτός σύνδεσης. Γράψε τους σε χαρτί ή αποθήκευσέ τους σε ασφαλές μέρος, όχι στο κινητό που έχει τον authenticator.
4. Λίστα επιτρεπόμενων διευθύνσεων ανάληψης, αν υπάρχει.
5. Ξεχωριστό email μόνο για το exchange, με δικό του 2FA. Όποιος ελέγχει το email σου μπορεί συχνά να ξεκινήσει ανάκτηση λογαριασμού.
6. Έλεγχος ενεργών συνδέσεων και API κλειδιών. Τα API κλειδιά είναι κωδικοί που δίνουν σε εφαρμογές πρόσβαση στον λογαριασμό. Διέγραψε όσα δεν χρησιμοποιείς.

Προσοχή: οι κωδικοί ανάκτησης λογαριασμού είναι άλλο πράγμα από τη φράση ανάκτησης του πορτοφολιού. Για τη δεύτερη έχουμε ξεχωριστό οδηγό: seed phrase, πώς τη φυλάς.

Τι σημαίνει αυτό για σένα;

• Κάνε τη ρύθμιση τώρα που το σκέφτεσαι. Λίγος χρόνος στις ρυθμίσεις αρκεί για τα βήματα 1 ως 3.
• Θυμήσου ότι το 2FA δεν σε σώζει από το phishing αν δώσεις τον κωδικό σε ψεύτικη σελίδα. Για τα σημάδια αναγνώρισης δες το ψεύτικο μήνυμα ή υποστήριξη.
• Μην αφήνεις στο exchange περισσότερα απ’ όσα χρειάζεσαι. Το hot ή cold πορτοφόλι εξηγεί τι ταιριάζει πού.
• Έλεγχε κατά καιρούς τις συνδέσεις. Αν δεις ύποπτη σύνδεση ή αλλαγή που δεν έκανες, άλλαξε κωδικό και κλείσε τις ενεργές συνδέσεις από την επίσημη εφαρμογή.