Jeton sigurnosni protokoli obuhvaćaju tehnički sloj zaštite transakcija i korisničkih podataka, koji se često miješa s regulatornom zaštitom kao da su isto. Razlika je suštinska. FCA licenca štiti vas od financijskih rizika, kompanijskog ponašanja i strukturnih problema. Tehnički protokoli štite vas od hakera, phishing napada i pokušaja kompromitiranja računa. Ako vam netko ukrade lozinku, FCA vam neće pomoći vratiti novac koji je netko podigao u vaše ime — pomoći će vam dobro implementirana dvofaktorska autentifikacija koja je sprečila krađu u prvom redu.
U ovom tekstu prolazimo kroz svaki sloj zaštite koji Jeton primjenjuje, što stvarno znači u praksi, i koje postavke treba aktivirati svaki korisnik. Cilj nije pretvoriti vas u sigurnosnog stručnjaka — cilj je dati vam svjesnost o tome što sustav radi za vas, i što vi morate uraditi sami.
Enkripcija prometa: SSL i TLS slojevi
Sve komunikacije između vašeg uređaja i Jeton servera idu preko TLS 1.2 ili TLS 1.3 protokola, što je trenutni industrijski standard za enkripciju prometa. Vidite to u pregledniku kao zelenu lokot ikonu pored adrese, ili “https://” prefiks na URL-u. Razlika između TLS 1.2 i 1.3 je tehnička, ali korisniku znači da je 1.3 brži i otporniji na neke vrste napada koji su ranije bili teorijski mogući.
Što ova enkripcija radi konkretno: pretvara svaku poruku između vašeg uređaja i servera u nečitljiv niz znakova. Čak i ako napadač uspije presretnuti komunikaciju — na javnom Wi-Fi, recimo u kafiću ili zračnoj luci — vidi samo enkriptirani tekst koji bez ključa za dešifriranje ne predstavlja korisne podatke. Ključ se generira u realnom vremenu i postoji samo za trajanje sesije, što znači da kad zatvorite browser, ključ nestaje.
Praktična posljedica za korisnika: Jetonu možete pristupati i s nepouzdanog interneta bez direktnog rizika da netko vidi vašu lozinku ili stanje računa. Što je dalje rizik su druge stvari — keylogger na vašem uređaju, kompromitirana DNS rezolucija, lažna phishing stranica koja izgleda kao Jeton ali nije. Enkripcija prometa štiti samo “u tranzitu”, ne i prije ili poslije.
Dvofaktorska autentifikacija: što je i zašto je obavezna
Dvofaktorska autentifikacija — kratko 2FA — je sustav u kojem za prijavu trebate dvije neovisne stvari: nešto što znate (lozinka) i nešto što imate (telefon ili hardverski token). Ako napadač pribavi vašu lozinku, ali nema fizički pristup vašem telefonu, ne može se prijaviti.
Jeton podržava nekoliko 2FA metoda. Najjednostavnija je SMS kod koji stiže na vaš registrirani broj — tehnički slabija opcija jer SIM swap napadi ili prepoznavanje broja od strane operatera mogu dati napadaču pristup vašim porukama. Bolja je TOTP autentifikacija kroz aplikacije poput Google Authenticator, Microsoft Authenticator ili Authy. Te aplikacije generiraju šestero-znamenkasti kod koji se mijenja svakih 30 sekundi, neovisno o internet vezi.
Najbolja opcija je biometrijska autentifikacija u kombinaciji s aplikacijom — otisak prsta ili face ID na vašem telefonu otključava Jeton aplikaciju, koja zatim koristi internu kriptografsku potvrdu prema serveru. Ovo je najsigurnije jer kombinira ono što imate (telefon) s onim što jeste (biometrijski podatak).
Aktivacija 2FA u Jetonu radi se kroz Settings → Security → Two-Factor Authentication. Birate metodu, povezujete autentifikator aplikaciju ili potvrđujete biometriju, i pomoću rezervnog koda osigurate pristup u slučaju da izgubite primarni faktor. Rezervni kod čuvajte na sigurnom mjestu izvan telefona — na papiru u sefu, u password manageru, ili na drugom uređaju koji ne nosite svaki dan. Bez rezervnog koda i bez primarnog faktora vraćanje pristupa traje dane i zahtijeva opsežnu identifikaciju.
ISO 27001 i sustav upravljanja sigurnošću informacija
ISO 27001 je međunarodni standard za sustave upravljanja sigurnošću informacija. Kompanija koja posjeduje certifikat ima dokumentirane procese za upravljanje rizicima, kontrolu pristupa, treniranje zaposlenika, reagiranje na incidente i kontinuirano poboljšanje. Certifikacija nije jednokratna — provodi se godišnja revizija, i svake tri godine kompletna ponovna certifikacija.
Praktično za korisnika ovaj certifikat znači da Jeton ne radi sigurnost ad hoc, nego po sistematičnom okviru. Svaki zaposlenik koji dolazi u kontakt s korisničkim podacima ima ograničeni pristup samo onome što mu je potrebno za posao. Svaka promjena u sustavu prolazi kroz dokumentiranu procjenu rizika. Svaki incident, čak i mali, dokumentira se i analizira radi sprečavanja ponavljanja.
Ovo nije besplatna ili jeftina obveza za kompaniju — godišnji troškovi održavanja ISO 27001 certifikata kreću se u stotinama tisuća eura za kompaniju veličine Jetona, što je znak ozbiljnosti pristupa. Zanimljiv je također dodatni operativni pokazatelj — nakon integracije s vanjskim KYC partnerom Sumsubom, Jeton je ostvario porast stope prolaza verifikacije za 30 posto, što je tehnička potvrda da kvalitetni sigurnosni i identifikacijski procesi rade ruku pod ruku, ne međusobno suprotno. Brži i sigurniji nisu antonimi kad je dobro projektirano. Treba dodati i sloj koji nije čisto tehnički, ali je važan: kontekst zašto je ovo važno za hrvatske igrače. Dr. Ante Bagarić, pročelnik Zavoda za liječenje ovisnosti Klinike za psihijatriju Vrapče, nedavno je upozorio da su u početku to bili ovisnici koji su imali gubitke od tisuću do 10 tisuća eura, a danas su to katastrofalne priče u kojima ljudi gube kuće i nalaze se u milijunskim dugovima. Sigurnosni protokoli ne sprečavaju ovisnost — to je domena drugih alata — ali sprečavaju da na vrhu ovisnosti netko vam ukrade pristup računu i napravi situaciju još gorom.
Osobne postavke koje korisnik treba aktivirati
Tehnologija koju Jeton implementira je samo polovica jednadžbe. Druga polovica su postavke koje korisnik mora svjesno aktivirati. Prva je 2FA — ako još niste postavili, danas je dan. Druga je promjena lozinke svakih šest do dvanaest mjeseci, posebno ako koristite istu lozinku negdje drugdje. Treća je aktivacija obavijesti o svakoj transakciji preko 50 ili 100 eura — tako odmah primjećujete neuobičajenu aktivnost.
Četvrta postavka je ograničavanje aktivnih sesija. Jeton vam u Settings → Devices pokazuje s kojih uređaja ste prijavljeni. Ako vidite nepoznat uređaj ili browser, odmah prekinite tu sesiju i promijenite lozinku. Peta je definiranje primarne i sekundarne email adrese — sekundarna se koristi za reset lozinke ako primarna postane nedostupna.
Šesta postavka, posebno za korisnike koji rade veće transakcije, su lokacijska ograničenja. Možete definirati popis zemalja iz kojih sustav dopušta prijavu. Ako se kladite uglavnom iz Hrvatske i povremeno putujete u susjedne zemlje, definirajte taj okvir, i sustav će automatski blokirati pokušaje prijave iz drugih lokacija. Vezano uz tehničku stranu nadzora prometa nakon prijave i kako se sumnjive aktivnosti detektiraju i prijavljuju regulatorima — to je posebna tema o kojoj sam pisao u tekstu o AML pravilima i Jeton transakcijama, jer sigurnosna i AML strana funkcioniraju kao komplementarni slojevi iste obrane.