Privacidade dos Dados do nosso Software de Poker

"Quando as apostas são altas, vale a pena o esforço para assegurar que o software está implementado com as considerações devidas de protecção e segurança". - Matt Schmid, Cigital, Inc.

Todas as comunicações entre o software do nosso cliente que corre nos computadores do cliente e os nossos servidores estão encriptadas. É importante notar que, estritamente falando, a encriptação em si não garante privacidade. Por exemplo, um site em que as cartas de bolso de todos os jogadores sejam transferidas para todos, não é seguro independentemente da encriptação. Por isso despendemos imenso esforço na concepção do nosso sistema e políticas de segurança.

Destaques de Segurança:

Transferência de Software:

O primeiro ponto em que a segurança se torna um factor importante é quando o software do cliente é transferido do site da PokerStars. Devemos assegurar que o software do cliente é transferido sem modificações. Para cumprir com este requisito, incorporamos as seguintes funções no processo de transferência:

Para o Internet Explorer a validade de transferência executável é verificada pelo browser, utilizando a nossa chave e certificado Thawte
Para outros browsers utilizamos a chave de 1024 bits RSA e um certificado de servidor Thawte para proteger a transferência do nosso servidor web & HTTPS

Segurança durante o jogo:

Possuímos inúmeras funções incorporadas de forma a assegurar a segurança do jogo em si.

O software do nosso cliente utiliza os certificados emitidos pela nossa Autoridade de Certificação (CA) para autenticar os nossos servidores
O nosso certificado CA da chave tem 1024 bits.
O software do nosso cliente utiliza o protocolo SSLv3 padrão industrial. Está configurado para utilizar RSA para autenticação e geração de chave e Triple-DES (EDE3, em modo CBC externo) para encriptação. Actualmente utilizamos a chave de 512 bits RSA, que de acordo com [1] é suficiente para segredos a curto médio prazo (até vários anos). À medida que actualizamos as nossas chaves privadas de servidor a cada três meses, asseguramos uma boa margem de segurança. O uso de Triple-DES EDE3 para sessão de encriptação é considerado ainda mais seguro
Os dados privados, como cartas de bolso, nunca são transferidos para outros jogadores

CONLUIO

O conluio é uma forma de burla em que dois ou mais jogadores assinalam o seu jogo ou formam outro tipo de burla entre parceiros em detrimento dos outros jogadores da mesma mesa.

Se por um lado é mais fácil passar informação entre jogadores em conluio no poker online do que num jogo não virtual, é mais difícil evitar uma eventual detecção dado as cartas de todos os jogadores poderem ser examinadas depois do jogo.

Independentemente da sofisticação do conluio, este deverá envolver o jogo de uma mão que não seria jogada dessa forma sem conluio. Os nossos métodos de detecção surpreendem padrões de jogo não usuais e avisam o pessoal de segurança, que procedem a uma investigação manual profunda. Também investigamos os relatórios de todos os jogadores sobre suspeitas de conluio.

Se se considerar que algum jogador participou de qualquer forma de conluio a sua conta poderá ser permanentemente encerrada.

BARALHAR

"Qualquer pessoa que considere métodos aritméticos de produção de dígitos aleatórios estará, obviamente, a prevaricar." - John von Neumann, 1951

Compreendemos que o uso de um algoritmo para baralhar justo e não previsível é crítico para o nosso software. De forma a assegurar esta situação e para evitar os principais problemas descritos em [2], utilizamos duas fontes independentes de dados verdadeiramente aleatórios:

informação do utilizador, incluindo um resumo dos movimentos do rato e cronometragem dos eventos, recolhida do software do cliente
hardware real de gerador de números aleatórios desenvolvido pela Intel [3], que utiliza ruído térmico como fonte de entropia

Cada uma dessas fontes por si só gera entropia suficiente para assegurar um baralhar justo e não previsível.

Destaques de Baralhar:

Um baralho de 52 cartas pode ser baralhado de 52! formas. 52! equivale a cerca de 2^225 (para ser preciso, 80,658,175,170,943,878,571,660,636,856,404,000,000,000,000,000 formas). Utilizamos bits aleatórios de 249 de ambas as fontes de entropia (informação do utilizador e ruído térmico) para obter uma distribuição estatística mais nivelada e não previsível.
Além disso, aplicamos regras conservadoras para reforçarmos o grau necessário de aleatoriedade; por exemplo, se a informação do utilizador não gerar a quantia necessária de entropia, não começamos a próxima mão até obtermos a quantia necessária de entropia do Intel RNG.
Utilizamos o algoritmo de hash criptográfico SHA-1 para misturar a entropia reunida de ambas as fontes, de forma a fornecer um nível extra de segurança
Também mantivemos um gerador pseudo aleatório de base SHA-1 para fornecer ainda mais segurança e protecção dos ataques de dados do utilizador
Para converter um stream de bits aleatório para números aleatórios numa faixa necessária sem influências, utilizamos um algoritmo simples e fiável. Por exemplo, se precisarmos de um número aleatório na faixa 0-25:
- pegamos em 5 bits aleatórios e convertemo-los para um número aleatório 0-31
- se este número for superior a 25 rejeitamos todos os 5 bits e repetimos o processo
Este método não é afectado por influências relacionadas com operação de coeficiente para geração de números aleatórios que não sejam 2n, n = 1,2,..
Para efectuar um baralhar actual, utilizamos outro algoritmo simples e fiável:
- primeiro tiramos uma carta aleatória do baralho original (1 de 52) e colocámo-la num novo baralho – agora o baralho original contém 51 cartas e o novo baralho contém 1 carta
- depois tiramos outra carta aleatória do baralho original (1 de 51) e colocamo-la no topo do novo baralho – agora o baralho original contém 50 cartas e o novo baralho contém 2 cartas
- repetimos o processo até todas as cartas terem passado do baralho original para o novo baralho
Este algoritmo não é alterado pela "Má Distribuição de Baralhos" descrita em [2]

O baralho da PokerStars é verificado pela Cigital e BMM International

A PokerStars submeteu a informação extensiva sobre o gerador de números aleatórios (RNG) da PokerStars a duas organizações independentes. Pedimos a estas duas fontes fiáveis para efectuarem um análise profunda da aleatoriedade da saída do RNG e a sua implementação no baralho de cartas na PokerStars.

Foi concedido amplo acesso a ambas as empresas independentes ao código de fonte e confirmada a aleatoriedade e segurança do nosso baralho. Visite Gerador de Números Aleatórios do Poker Online para mais detalhes.

Jogos Disponíveis Através do Software de Poker Seguro da PokerStars

Os seguintes jogos de poker e torneios de poker estão disponíveis através do software de poker seguro da PokerStars:

[1] B. Schneier. Applied Cryptography
[2] "How We Learned to Cheat at Online Poker: A Study in Software Security" - http://itmanagement.earthweb.com/entdev/article.php/616221
[3] "The Intel Random Number Generator" - http://www.cryptography.com/resources/whitepapers/IntelRNG.pdf