Sicherheitsfunktionen

"When the stakes are high, it pays to go to great lengths to ensure that software is implemented with proper considerations for security and safety". - Matt Schmid, Cigital, Inc.

Jegliche Kommunikation zwischen unserer Software auf dem Rechner des Benutzers und unseren Servern wird verschlüsselt. Es ist wichtig festzustellen, dass Verschlüsselung alleine genau genommen noch keine Datensicherheit gewährleistet. Zum Beispiel kann eine Pokersoftware, die alle verdeckten Karten an jeden Spieler übermittelt, niemals wirklich sicher sein, unabhängig von der Qualität der Verschlüsselung. Aus diesem Grund hat PokerStars sehr große Anstrengungen unternommen, um sichere Systeme und Verfahren zu entwickeln.

Sicherheitsmerkmale:

Beim Herunterladen der Software (Download):

Der erste Punkt, an dem Sicherheit ein wichtiger Faktor wird, ist das Herunterladen der Benutzersoftware von der PokerStars-Seite. Wir müssen sicherstellen, dass die Software unverändert heruntergeladen wird. Um dies sicherzustellen haben wir folgende Features in den Software-Download integriert:

Im Internet Explorer wird die heruntergeladene Software verifiziert durch den Browser und unser Thawte-Zertifikat in Verbindung mit unserem dazu passenden Schlüssel
In anderen Browsern verwenden wir einen 1024-bit RSA Schlüssel und unser Thawte Server-Zertifikat um die Datenverbindung (HTPPS) zwischen Server und Benutzer zu schützen.

Während des Spiels:

Wir haben eine Reihe von Funktionen in die Software integriert, um die Sicherheit der Spiele zu gewährleisten:

Unsere Software benutzt ein Zertifikat, welches durch unsere eigene "Certificate Authority (CA) " ausgestellt wurde, um die Serververbindung zu sichern
Unser CA-Zertifikat hat eine Länge von 1024 Bits
Unsere Software nutzt als Protokoll SSLv3, den Industriestandard. Es ist konfiguriert, RSA als Authentifizierungsmethode und für die Schlüsselgenerierung zu verwenden und Triple-DES (EDE3 im Outer-CBC Modus) für die Verschlüsselung. Zurzeit verwenden wir einen 512-bit RSA Schlüssel, welcher im Zusammenspiel mit [1] ausreicht, um kurz- und mittelfristige Geheimnisse (bis zu mehren Jahren) zu schützen. Unsere privaten Schlüssel werden alle drei Monate geändert, um ein höchstmögliches Maß an Sicherheit zu gewährleisten. Die Benutzung von Triple-DES EDE3 für die Sitzungsverschlüsselung macht das ganze sogar noch sicherer.
Keine privaten Daten wie z.B. verdeckte Karten werden jemals zu anderen Spielern übertragen

ABSPRACHEN

Absprachen sind eine Form des Betruges, bei der zwei oder mehr Spieler sich ihre verdeckten Karten gegenseitig mitteilen oder sonst wie eine betrügerische Gemeinschaft zum Schaden der anderen Spieler am Tisch bilden.

Auf der einen Seite ist es zwar beim Onlinepoker viel leichter für betrügerische Spieler Informationen auszutauschen, als in echten Pokerräumen, andererseits ist es sehr viel schwieriger, unentdeckt davonzukommen, weil alle Karten aller Spieler - auch automatisiert- nach dem Spiel nachvollzogen werden können.

Unabhängig davon, wie ausgefeilt der Betrugsversuch sein mag, so muss er doch immer eine Spielweise beinhalten, die in dieser Form ohne eine Absprache nicht vorgekommen wäre. Unsere Erkennungsmethoden decken alle ungewöhnlichen Spielweisen auf und geben eine Warnung an unser Sicherheitspersonal ab, welches den Vorgang dann persönlich untersucht. Natürlich untersuchen wir auch alle Meldungen von Spielern über ungewöhnliches Verhalten oder vermutete Absprachen.

Wir schließen das Konto eines jeden Spielers, der in irgendeiner Form an verbotenen Absprachen teilnimmt.

MISCHUNG DER KARTEN ("SHUFFLE")

"Anyone who considers arithmetic methods of producing random digits is, of course, in a state of sin." - John von Neumann, 1951

Wir verstehen, dass die Benutzung eines fairen und nicht-vorhersehbaren Algorithmus für das Mischen der Karten die wichtigste Voraussetzung für faire und korrekte Spiele ist. Um dies sicherzustellen und die unter [2] geschilderten Schwierigkeiten zu lösen, benutzen wir zwei unabhängige Quellen für wirkliche Zufallsdaten:

Benutzereingaben bestehend aus einer Zusammenfassung von Mausbewegungen und Ereigniszeiten, gesammelt in der Software
Echte hardwareseitige Zufallszahlengenerierung, entwickelt von Intel [3]

Jede dieser Quellen stellt schon für sich genommen genug Entropie bereit, um eine faire und nicht vorhersehbare Mischung der Karten sicherzustellen.

Merkmale der Kartenmischung:

. Ein Spiel aus 52 Karten kann auf 52! verschiedene Arten gemischt werden. 52! entspricht ungefähr 2^225 Arten (oder - um genau zu sein: 80.658.175.170.943.878.571.660.636.856.404.000.000.000.000.000.000.000.000. 000.000.000.000 Arten). Wir benutzen 249 zufällige Bits aus beiden Entropiequellen, um eine gleichmäßige und nicht vorhersehbare statistische Verteilung zu erreichen
Zusätzlich wenden wir herkömmliche Methoden an, um einen ausreichenden Grad an Zufälligkeit herzustellen. Wenn zum Beispiel durch die Benutzereingaben nicht genügend entropische Daten generiert werden, wird die nächste Hand nicht begonnen, bevor ausreichend etropische Daten aus der anderen Quelle (Intel RNG) verfügbar sind.
Wir verwenden den SHA-1 "cryptographic hash" Algorithmus-um die Daten aus beiden Quellen zu vermischen und so eine zusätzliche Ebene an Sicherheit zu gewinnen.
Wir führen auch einen auf SHA-1-basierenden Pseudo-Zufallszahlengenerator, um noch mehr Sicherheit und Schutz vor Datenangriffen von Benutzern zu gewinnen.
Um einen Strom aus Zufallsbits zu Zufallszahlen im benötigten Bereich ohne Abweichungen zu konvertieren, benutzen wir einen einfachen und verlässlichen Algorithmus. Wenn wir z.B. eine Zufallszahl im Bereich von 0-25 benötigen:
- Nehmen wir 5 zufällige Bits und konvertieren Sie zu einer Zufallszahl zwischen 0 und 31
- Ist diese Zahl größer als 25, starten wir den Prozess einfach neu unter Verwendung von neuen 5 zufälligen Bits.
Diese Methode ist nicht betroffen von Abweichungen im Zusammenhang mit Teilungsresten bei der Generierung von Zufallszahlen-die nicht im Bereich von 2n, n = 1,2,. liegen
Um die Mischung dann tatsächlich durchzuführen, verwenden wir einen anderen einfachen und verlässlichen Algorithmus:
- Zunächst ziehen wir eine Karte aus dem ursprünglichen Spiel (1 aus 52) und platzieren diese in einem neuen Spiel - jetzt beinhaltet das ursprüngliche Spiel 51 Karten und das neue 1 Karte
- Dann ziehen wir eine weitere Karte aus dem ursprünglichen Spiel (1 aus 51) und platzieren sie im neuen Spiel - jetzt enthält das ursprüngliche Spiel 50 Karten und das neue 2 Karten
- Wir setzen diesen Prozess so lange fort bis alle Karten aus dem ursprünglichen Spiel in das neue Spiel überführt wurden
Dieser Algorithmus ist nicht von dem Problem der "schlechten Verteilung beim Mischen" ("Bad Distribution Of Shuffles" wie unter [2] beschrieben, betroffen.

Das Mischen bei PokerStars wurde verifiziert von Cigital und BMM International

Im Mai 2003 hat PokerStars ausführliche Informationen über die Zufallszahlengenerierung (RNG) an zwei unabhängige Organisationen übermittelt. Wir haben diese beiden vertrauenswürdigen Unternehmen gebeten, eine intensive Analyse über die Zufälligkeit der Ergebnisse des PokerStars-RNG und seine Umsetzung für das Mischen von Karten durchzuführen.

Beide unabhängigen Unternehmen haben vollen Einblick in den Quellcode erhalten und die Zufälligkeit und Sicherheit der Kartenmischung bestätigt. Besuchen Sie auch Online Poker Random Number Generator für weitere Details.

B. Schneier. Applied Cryptography
"How We Learned to Cheat at Online Poker: A Study in Software Security" - http://itmanagement.earthweb.com/entdev/article.php/616221
"The Intel Random Number Generator" - http://www.cryptography.com/resources/whitepapers/IntelRNG.pdf