Почему мы не можем подкрутить кости

NeuroGammon реализует схему commit-reveal на HMAC-SHA256 — ту же, что используют честные крипто-казино. Сервер математически связан обещанием до первого броска, поэтому не может реагировать на позицию игрока. Эту страницу стоит прочитать один раз — и любые подозрения «кости подкручивают» снимаются проверкой в браузере.

01Аналогия с конвертом

Представь, что перед игрой судья кладёт в конверт лист с 60 числами от 1 до 6. Заклеивает его, ставит свою печать и показывает тебе фото печати. Конверт лежит на столе. Каждый раз, когда нужен бросок, судья достаёт следующее число из конверта. После партии конверт раскрывают — ты видишь все 60 чисел и проверяешь, что печать была твоя.

Если печать совпадает — судья не мог подменить конверт посреди партии. Значит, числа были выбраны до того, как кто-то начал двигать шашки.

В цифровом мире «конверт» — это случайный server_seed (32 байта), «печать» — это SHA-256 хэш от него (математическая функция, для которой невозможно найти другой вход, дающий тот же выход). Хэш ты видишь до 1-го броска. Сам seed — только после конца партии.

02Что происходит технически

1. Старт партии. Сервер генерит случайные 32 байта — server_seed — через системный криптографический источник (secrets.token_bytes, тот же, что используют SSL-библиотеки). Считает SHA-256(server_seed) и отдаёт тебе только хэш. Сам seed остаётся в БД, скрытый.
2. Твоя соль. Браузер генерит client_seed — 16 случайных байт через crypto.getRandomValues. Этот seed знаешь только ты, но он отправляется серверу вместе со стартом партии. Без твоего seed детерминированный поток восстановить невозможно.
3. Каждый бросок. Алгоритм один и тот же:
   msg = utf8(client_seed + ":" + counter) digest = HMAC-SHA256(server_seed, msg) d1, d2 = (byte % 6) + 1 для первых двух байт digest со значением < 252 counter += 1 HMAC — «доказуемо честная» функция: даже зная digest, нельзя восстановить ни ключ, ни сообщение. И наоборот — изменив seed на 1 бит, получишь совершенно другие броски для всех counter.
4. Окончание партии. Сервер раскрывает server_seed в открытом виде. Кнопка «✓ Проверить» в твоём браузере делает три вещи:
   • Считает SHA-256(server_seed) и сравнивает с хэшем, который ты видел в начале — должны совпасть до символа.
   • Запускает алгоритм броска для counter = 0, 1, 2 … и выводит все полученные пары костей. Они должны совпадать с тем, что выпадало в партии.
   • Если хоть один бит разошёлся — это либо баг (маловероятно), либо доказанный фрод. В любом случае ты узнаешь.

03Почему это математически невозможно подделать

Допустим, сервер хочет «подкрутить» бросок №14, чтобы AI получил нужный дубль. Для этого ему пришлось бы найти другой server_seed S′ такой, что:

• SHA-256(S′) == SHA-256(S) — иначе хэш не совпадёт при проверке.
• HMAC(S′, "client_seed:14") даёт нужный дубль.

Найти такое S′ — это нарушить SHA-256 на коллизии, что считается нерешённой задачей с 2002 года. У злоумышленника с гипер-вычислительными ресурсами на это уйдёт ~ 2¹²⁸ операций — больше, чем атомов в наблюдаемой Вселенной. На рабочем сервере за время одной партии — невозможно.

04Как проверить вручную

Если веришь больше своему коду, чем нашей кнопке «Проверить» — открой DevTools console (F12) на странице любой партии и скопируй:

Это тот же алгоритм, что использует наш сервер в longgammon/game.py. Если хэш совпал и броски совпадают с теми, что ты видел в партии — всё честно.

05Внешние ресурсы

На случай, если хочешь убедиться, что схема — стандартная индустриальная, а не наша выдумка:

06Что мы НЕ делаем (и не сможем)

• Не анализируем твою позицию перед броском — серверная функция бросков не получает доску на вход.
• Не «выравниваем сессии» — нет логики типа «ты в плюсе, дадим похуже».
• Не меняем seed между партиями для AI и для тебя — кости общие.
• Не делаем stake-aware tilt — фритол, лоустэйк или хайстэйк (когда мы их добавим) используют ровно тот же алгоритм.