Права: торгівля — так, виведення — ніколи
API-ключі бірж несуть гранулярні права, і автоматичній торгівлі потрібні лише: читання даних акаунта, виставлення та скасування ордерів. Право на виведення не потрібне ніколи — сервіс, що його просить, побудований або недбало, або зловмисно, і в обох випадках правильна відповідь — піти.
Ключ «лише торгівля» обмежує найгірший сценарій: навіть витеклий публічно, він не дозволить вивести кошти з біржі. Залишкове зловживання (маніпулятивна торгівля проти вашого рахунку) реальне, але значно менше — і наступний розділ закриває більшу його частину.
Дозволи API-ключа
Налаштуйте на біржі перед підключенням
-
Читання ринкових данихУвімк
-
Розміщення ордерів / ТоргівляУвімк
-
Виведення коштівНіколи не вмикайтеВимк
IP-білий список: найсильніший замок, який усі пропускають
Кожна велика біржа дозволяє прив'язати API-ключ до конкретних IP-адрес: запити з будь-яких інших відхиляються ще до перевірки підпису. Витеклий ключ із білого списку майже марний — атакувальнику знадобився б ще й контроль над сервером за вашим IP.
Підступ: білому списку потрібна СТАБІЛЬНА адреса, яку сервіси на спільній інфраструктурі чесно запропонувати не можуть. Arbitron видає кожному користувачу виділений сервер із власним статичним IP саме для цього — ключі прив'язані до однієї машини, на якій працює лише ваша торгівля. Який би сервіс ви не обрали, запитайте, з якої адреси йдуть його запити й чи належить вона тільки вам.
Зберігання: питання, на які зобов'язаний відповісти будь-який сервіс
Зламана у 2022 році велика бот-платформа злила ~100 000 API-ключів і спустошила акаунти приблизно на 20 М$ — цей сценарій не гіпотетичний. Перш ніж підключати ключі будь-куди, отримайте відповіді на три питання: як ключі шифруються в спокої, чи існує один майстер-ключ, що розшифровує всіх користувачів одразу, і чи потрапляють ключі в логи або бекапи відкритим текстом.
Відповіді Arbitron, які можна перевірити на нашій сторінці безпеки: шифрування AES-256-GCM, індивідуальний ключ шифрування даних на кожного користувача під захистом AWS KMS (майстер-пароля, що відкриває всіх, не існує), розшифрування лише в момент використання й ніколи — у логах чи аналітиці. Будь-який серйозний сервіс має публікувати еквіваленти.
Гігієна ключів: дешеві звички, що закривають решту
Створюйте ОКРЕМИЙ ключ під кожен сервіс — один ключ на кілька інструментів означає, що злам будь-якого з них спалює всі. Підписуйте ключі за назвою сервісу на біржі, щоб відкликання було одним кліком, і видаляйте ключі покинутих сервісів того ж дня, коли припиняєте ними користуватись.
Нарешті, захистіть акаунт-власник ключів: двофакторна автентифікація і на біржі, І на торговому сервісі — захоплення будь-якого з них обходить усі інші засоби контролю. П'ять хвилин налаштування закривають саме ті шляхи атаки, які трапляються на практиці.