Tietoturva

Selvät rajat kirjallisesti.

Maksujärjestelmän tietoturva on pitkälti sitä, että kerrotaan täsmällisesti, mitä järjestelmä tekee ja mitä ei — ja valvotaan sitä koodissa. Tällä sivulla kuvataan rajat, joiden varaan FeitPay on rakennettu.

Säilytysmalli

Oikeat maksut ovat säilyttäviä: asiakkaat maksavat alustan lompakoihin FeitPayn Bitcart-tilin kautta, ja kunkin kauppiaan saldo pidetään vain lisäyksiä sallivassa kirjanpidossa.
Oikeat maksut otetaan käyttöön, kun tili on vahvistettu ja hyväksytty; sitä ennen tilille ei säilytetä varoja.
Nostot menevät vain sallittujen listalle etukäteen lisättyihin osoitteisiin harkinta-ajan jälkeen. Oletuksena toinen tiimin jäsen hyväksyy jokaisen noston, FeitPayn ylläpitäjä tarkastaa sen aina, ja Bitcart lähettää sen alustan kuumista lompakoista.
FeitPayn tietokannoissa, lokeissa, esimerkkiaineistoissa, kuvakaappauksissa tai CI:ssä ei ole yksityisiä avaimia eikä palautuslauseita. Alustan lompakoiden avaimet pysyvät alustan Bitcart-tilillä, joka allekirjoittaa nostot.
Laajennettuja julkisia avaimia ja lompakkokuvaajia ei koskaan palauteta julkisen rajapinnan kautta.

Avaimet ja salaisuudet

API-avaimet näytetään kerran, tallennetaan HMAC-tiivisteinä palvelimen salaisella pepper-arvolla, rajataan ympäristökohtaisesti, ja ne voi mitätöidä.
Webhookien allekirjoitussalaisuudet ja MFA-siemenet salataan levossa (AES-GCM), eikä niitä koskaan kirjoiteta lokeihin.
Authorization-otsakkeet, salaisuudet ja täydelliset henkilötiedot on rajattu lokituksen ulkopuolelle jo suunnittelussa.

Asiakasorganisaatioiden eristys

Asiakasorganisaatio selvitetään aina tunnistetusta toimijasta, ei koskaan pyynnön rungosta.
Monikerroksinen suojaus: organisaatiokohtaiset kyselyt, tietokantarajoitteet ja rivitason suojauskäytännöt.
Organisaatioiden välisen pääsyn testit kattavat jokaisen kauppiasobjektin.

Webhookien toimitus

HMAC-SHA256-allekirjoitukset aikaleiman ja raakarungon yli, rajatulla toistoikkunalla.
SSRF-suojaus yhteyden muodostushetkellä: DNS- ja IP-tarkistukset, ei yksityisiä, link-local- tai metatieto-osoitealueita, ei uudelleenohjauksia.
Rajatut aikakatkaisut ja sisältöjen koot; jokainen yritys kirjataan lokiin ilman salaisuuksia.

Ylläpitäjien pääsy

Ylläpitäjät käyttävät erillistä identiteettijärjestelmää, jossa monivaiheinen tunnistautuminen on pakollinen.
Vaikutuksiltaan suuret toimet, kuten KYB-päätökset, manuaaliset ratkaisut, ominaisuusliput ja live-tila, vaativat toisen ylläpitäjän hyväksynnän (neljän silmän periaate) ja jättävät muuttumattoman auditointijäljen.
Yksikään ylläpitäjä ei voi merkitä ulkoista maksua vahvistetuksi ilman dokumentoitua näyttöä ja kaksoishyväksyntää.

Käyttöönottoehdot

Varojen siirrot tuotannossa ja oikeat verkot ovat oletuksena pois päältä.
Niiden käyttöönotto edellyttää, että kaksi ylläpitäjää hyväksyy jokaisen käyttöönottoehdon: riippumaton tietoturvatarkastus, uhkamallin hyväksyntä, häiriötilanteiden toimintaohjeet, katastrofista palautumisen harjoitukset ja oikeudellinen hyväksyntä.
Koska live-tila on säilyttävä, yksi oikeudellisista ehdoista edellyttää toimilupaa asiakkaiden kryptovarojen säilyttämiseen ja siirtämiseen jokaisessa käyttöönottomaassa ja jokaiselle oikeushenkilölle tai oikeudellisen neuvonantajan kirjallista lausuntoa siitä, ettei lupaa tarvita.
Lohkoketjussa käytettävät älysopimukset, jos niitä on, vaativat erillisen auditoinnin ennen mainnet-käyttöä.

Rehellisyys

Mitä emme väitä.

Ilmoittaminen

Löysitkö jotain? Kerro meille.

Ilmoita haavoittuvuuksista yhteydenottolomakkeella aiheella ”Tietoturvailmoitus”. Kuvaa vaikutus; vastaamme suojatulla kanavalla ennen kuin jaat hyökkäyksen yksityiskohtia. Älä testaa muiden kauppiaiden tiedoilla.

Ilmoita ongelmasta Järjestelmän tila