DIPLOMAMUNKA
Az Internetes kaszinók matematikai és informatikai biztonsági vonatkozásai
Megyesi Gergely Témavezető: Kincses Zoltán Eötvös Loránd Tudományegyetem Programtervező matematikus, 2004
2
Tartalomjegyzék Tartalomjegyzék................................................................................................. 2 1. Bevezetés ........................................................................................................ 6 1.1. A témaválasztás indoklása...................................................................................6 1.2. Az internetes szerencsejáték globális helyzetéről ...............................................7 1.3. Felépítés és célok ismertetése.............................................................................7 1.4. Az online szerencsejátékról általában .................................................................8 1.5. Online szerencsejáték előnyei.............................................................................9 1.6. Információk az online játék felépítéséről............................................................9
1.6.1. Kezdeti lépések............................................................................................................................... 9 1.6.2. A játék megkezdése előtti közvetlen teendők............................................................................. 9
1.7. Valódi vagy játékpénz kérdése.......................................................................... 10 1.8. A szabályozás szerepe az online játékban......................................................... 10 1.9. Ki- és befizetési módszerek................................................................................11 1.10. Az állami szabályozás hiánya .......................................................................... 12
2. Az Interneten játszható játékok áttekintése ..................................................14 2.1. A játékok csoportosítása ................................................................................... 14
Számsorsjátékok......................................................................................................................................14
2.2. A kártyajátékok jellemzése ............................................................................... 15 2.3. A Blackjack történetéről.................................................................................... 15 2.4. A Blackjack szabályainak kivonatos leírása ..................................................... 16 2.5. A póker történetéről .......................................................................................... 18 2.6. A pókerjáték általános szabályai, a játék menete. ............................................ 19
2.6.1. A hagyományos pókerjáték gyengéi...........................................................................................22
2.7. A Texas Hold'em pókerváltozat szabályai, menete ......................................... 23
2.7.1. A Hold’em játék további tulajdonságai .....................................................................................24
3. Az online szerencsejáték informatikai biztonsági kérdéseinek a szerencsejáték-szervező szempontjából történő megközelítése...................... 25 3.1. Általános bevezetés a szerencsejáték informatikai vonatkozásaiba ................. 25 3.2. Háttér információk ........................................................................................... 25 3.3. Az online játékhely, mint támadási célpont...................................................... 26 3.4. A támadások csoportosítása különböző szempontok szerint........................... 27
3.4.1. A támadás forrása, külső és belső támadási felületek ..............................................................27 3.4.2. Ismert vagy ismeretlen módszerrel történő támadások kérdése ............................................28 3.4.3. Ellenőrizhető és nem ellenőrizhető tényezők az informatikai biztonságban .......................28 3.4.4. Megelőző és ellenlépéses stratégiák a baj elkerülésére.............................................................29 3.4.5. Termékek, irányelvek és eljárások a biztonság megteremtésében..........................................30
3.5. Kockázatkezelés az online játék világában....................................................... 30 3.6. Kaszinók elleni támadások céljai és résztvevői ................................................ 31
3.6.1. A működtető és partnerei által indított támadások..................................................................31 3.6.1.1. Az üzemeltető vagy annak alkalmazottai és a beszállítók által indított támadások elleni védelem eszközeiről ...............................................................................................................................32
3 3.6.2. Egyéni, a játékosok közül kikerülők vagy harmadik személy által végrehajtott támadások33 3.6.2.1. Méhcsípés-támadás ...................................................................................................................33 3.6.2.2. Egyszerű szolgáltatás hiánya támadás.....................................................................................34 3.6.2.3. Az elosztott szolgáltatás hiánya támadás................................................................................34 3.6.3. Az oldal megszemélyesítése ........................................................................................................37 3.6.4. Az oldal meghamisítása ..............................................................................................................38 3.6.5. Az információ ellopása ................................................................................................................38 3.6.6. Információ módosítása................................................................................................................39
3.7. A szerencsejáték-szervezők hitelkártyákkal kapcsolatos kockázatai ............... 40
3.7.1. Kereskedelmi kockázat................................................................................................................40 3.7.1.1. Hitelkártya-használat, mint MOTO tranzakció.....................................................................40 3.7.1.2. Visszatérítési problémák...........................................................................................................41 3.7.2. Hitelkártya adatok egyes kompromittált oldalakon .................................................................41
4. Egy online játékhely komponensei és azok biztonsági vonatkozásai ......... 42 4.1. A rendszerkomponensek................................................................................... 44
4.1.1. Tűzfalak .........................................................................................................................................44 4.1.1.1. Kapcsolat-orientált tűzfalak.....................................................................................................44 4.1.1.2. Alkalmazás-szintű tűzfalak.......................................................................................................44 4.1.2. A webszerver ................................................................................................................................45 4.1.3. Alkalmazási szerver......................................................................................................................45 4.1.4. A kifizetés-kezelő szerver............................................................................................................45 4.1.5. Jelentéskezelő szerver ..................................................................................................................45 4.1.6. Fő adatbázis ..................................................................................................................................45 4.1.7. Katasztrófa-visszaállító szerver ..................................................................................................46 4.1.8. Üzemeltetői központ ...................................................................................................................46 4.1.9. A közös LAN hálózat..................................................................................................................46 4.1.10. Az üzemeltetői LAN hálózat....................................................................................................46
4.2. Biztonsági zónák .............................................................................................. 47
4.2.1. A weboldal zóna...........................................................................................................................47 4.2.2. Alkalmazási zóna..........................................................................................................................47 4.2.3. Az adatbázis zóna.........................................................................................................................48 4.2.4. Üzemeltetői zóna..........................................................................................................................48 4.2.5. A vállalati zóna..............................................................................................................................48
5. Egy online játékhely biztonság-centrikus tervezésének lépései.................. 49 5.1. A szükséges erőforrásokkal kapcsolatos korai tervezési lépések...................... 49 5.2. Hálózati architektúra ........................................................................................ 49 5.3. A számítógépes rendszerek architektúrájáról általában ................................... 49 5.4. Input ellenőrzés ................................................................................................ 50 5.5. A játékosok és az operátorok kommunikációjának elkülönítése...................... 51 5.6. Különállóan kezelt naplózás ............................................................................. 51 5.7. Ellenőrző eszközök alkalmazása minden szinten. ........................................... 51 5.8. Nem technikai jellegű ellenőrzések.................................................................. 51 5.9. Megelőző intézkedések és eljárások................................................................. 51 5.10. Aktív ellenintézkedések és eljárások ............................................................... 52 5.11. Hibatűrés és/vagy hibamentesség kérdése .................................................... 52 5.12. Kockázatelemzés és kezelés az üzemeltetés során ......................................... 53
6. A biztonságcentrikus üzemeltetés eszközei................................................. 54 6.1. Titkosítás és autentikáció ................................................................................. 54 6.2. Smartcard technológiák .................................................................................... 54
4 6.3. Nyilvános kulcs infrastruktúra.......................................................................... 55 6.4. Ismerd meg az ügyfeleket – identitás ellenőrzés.............................................. 55 6.5. A rendelkezésre álló biztonsági eszközök aktív használata ............................. 55 6.6. A gyanús tevékenységek követése .................................................................... 55 6.7. Rendszeres karbantartás................................................................................... 56 6.8. Biztonsági kérdések és a játékos jogosultságai ................................................ 56
6.8.1. A használandó technológia nehezen meghatározható az adatvédelem esetében ................56
6.9. Az adatok megsemmisítése, ha valamely komponens kompromittálódásakor 57
7. Az online szerencsejáték matematikai és játékelméleti kockázatai az üzemeltető szempontjából ............................................................................... 58 7.1. Blackjack és kártyaszámolás............................................................................. 58 7.2. A detektálás nehézségei.................................................................................... 59 7.3. Az amatőr játékosok ismérvei........................................................................... 59 7.4. Az átlagos játékosokról ..................................................................................... 60 7.5. A kártyaszámolók.............................................................................................. 60
7.5.1. Számolás és a tízesek megosztása az egy paklis játékban ........................................................62
7.6. Következtetések és összefoglalás...................................................................... 63
8. Játékos kockázati tényezői az online szerencsejátékban............................. 65 8.1. A kockázatok áttekintés és csoportosítása........................................................ 65
8.1.1. A kaszinó szándékosan vagy szándékon kívüli kompromittálódásából fakadó kockázatok ...................................................................................................................................................................65 8.1.2. Informatikai jellegű kockázatok .................................................................................................65 8.1.3. A többi játékos tisztességtelen magatartásából adódó kockázatok........................................65 8.1.4. Társadalmi pénzügyi, adózási és jogi kockázatok ....................................................................65
8.2. A biztonsági kockázatok általános jellemzése.................................................. 65 8.3. A kaszinó szándékosan vagy szándékon kívül történő kompromittálódásából fakadó kockázatok................................................................................................... 66
8.3.1. Külső támadás a játékszerver ellen ............................................................................................66 8.3.1.1. Támadás a planetpoker játékhely ellen ...................................................................................66 8.3.1.2. A virtuális kártyakeverésről......................................................................................................67 8.3.1.3. Egy rossz keverési algoritmus..................................................................................................67 8.3.1.4. Egy off-by-one hiba..................................................................................................................68 8.3.1.5. A keverések rossz eloszlása......................................................................................................68 8.3.1.6. A véletlen-generátor teljes feltörése........................................................................................69 8.3.1.7. Az eset tanulságai ......................................................................................................................70 8.3.2. Elfogadott megoldások a véletlenszám-generálásban .............................................................70 8.3.3. Az e-tilt jelenség ...........................................................................................................................71 8.3.3.1. Játéktechnikai módszerek a véletlengenerálás feltételezett hibáinak felderítéséhez .........72 8.3.4. Forgalomnövelési célú befolyásolás...........................................................................................73 8.3.4. Fejlett mesterséges intelligenciával rendelkező gépi játékosok alkalmazása .........................74
8.4. Informatikai jellegű kockázatok ....................................................................... 74
8.4.1. Nem csak az online iparra jellemző, direkt hackeléses támadások ........................................74 8.4.1.1. IP hamisítás................................................................................................................................74 8.4.1.2. A routing feletti irányítás átvétele a forrás címnél ................................................................75 8.4.1.3. Kapcsolat eltérítés .....................................................................................................................75 8.4.1.4. DNS mérgezés...........................................................................................................................75 8.4.2. Néhány az online iparágban alkalmazott, nem direkt hackeléses támadási forma ..............75 8.4.2.1. Pingeléses adatszórás ................................................................................................................75 8.4.2.2. Könnycsepp támadás................................................................................................................75 8.4.3. A támadási fokozatok áttekintése a játékos szemszögéből.....................................................76
5 8.4.3.1. Hallgatózás.................................................................................................................................76 8.4.3.2. Adatmódosítás...........................................................................................................................76 8.4.3.3. Hamis kulcs................................................................................................................................76 8.4.3.4. Alkalmazói szinten végrehajtott támadás...............................................................................76 8.4.4. Kifejezetten az online szerencsejátékra jellemző támadási formák .......................................76 8.4.4.1. Logikai bombák, trójai falovak, hátsó kaput nyitó alkalmazások .......................................77 8.4.4.2. Indirekt felhasználónév/jelszó beírás.....................................................................................77 8.4.4.3. Memóriaterület-felülírás ...........................................................................................................77 8.4.5. Az internetes kapcsolatból adódó gondok, all-in és all-in visszaállítás .................................77 8.4.6. A játékhely szerverének meghibásodása, üzemzavara .............................................................79 8.4.7. Linux és Macintosh vonatkozások, letöltött kliens vagy JAVA.............................................79
8.5. A többi játékos tisztességtelen magatartásából adódó kockázatok ................. 79
8.5.1. Csalás a hagyományos kártyajátékokban...................................................................................79 8.5.1.1. Hamis keverési módszerek ......................................................................................................80 8.5.1.2. A kártyacsalás észleléséről........................................................................................................80 8.5.2. Az online csalásról általában .......................................................................................................81 8.5.3. Egyszerű példák elemi valószínűségekre a pókerben ..............................................................81
8.5.4. Csalási módszerek az online pókerben, az összejátszás................................ 82
8.5.5. Az összejátszás veszélyének elbagatellizálása a játékhelyek által ............................................83 8.5.6. Chip dumping ...............................................................................................................................85
8.6. Pénzügyi és jogi kockázatok ............................................................................ 85
8.6.1. Áttekintés a befizetés lehetséges módszereiről.........................................................................85 8.6.1.1. A klasszikus hitelkártyás befizetés...........................................................................................85 8.6.1.2. Előrefizetett kártyás és virtuális Internet kártyák..................................................................86 8.6.1.3. Western Union ..........................................................................................................................86 8.6.1.4. Egyéb módszerek......................................................................................................................86 8.6.1.5. Következtetések ........................................................................................................................86 8.6.2. A felhasználói megállapodás biztonsági kockázatelemzése ....................................................87 8.6.2.1. Regisztrációs adatok..................................................................................................................87 8.6.2.2. Korlátozott használat................................................................................................................87 8.6.2.3. A játékban való részvétel törvényi háttere .............................................................................87 8.6.2.4. Megosztott asztal és adatbázis platform.................................................................................88 8.6.2.5. Befizetés .....................................................................................................................................88 8.6.2.6. Kifizetések..................................................................................................................................88 8.6.2.7. Elektronikus Fizetési Szolgáltatók ..........................................................................................89 8.6.2.8. Biztonsági intézkedések, ellenőrzések és bejelentések .........................................................89 8.6.2.9. Harmadik személy kizárása ......................................................................................................89 8.6.2.10. Kártérítési felelősség...............................................................................................................89 8.6.2.11. Személyes adatokkal kapcsolatos elvek ................................................................................90 8.6.2.12. Tisztességtelen tevékenység kizárása ....................................................................................90 8.6.2.13. A vitás esetek rendezése.........................................................................................................90 8.6.2.14. Irányadó törvények .................................................................................................................90
9. Összefoglalás .................................................................................................91 10. Fogalomtár .................................................................................................. 92 11. Irodalomjegyzék és hivatkozások ............................................................... 93 Köszönetnyilvánítás.......................................................................................... 94
6
1. Bevezetés 1.1. A témaválasztás indoklása Az ember játékok iránti természetes érdeklődését az Interneten számos formában teljesítheti ki. E folyamat közben azonban a merőben új közeg révén számos - a hagyományos szerencsejátékban is jelen lévő - probléma felerősödhet, illetve teljesen új kihívásokkal is szembe kell néznünk. A hazánkban még csak gyerekcipőben járó terület pár éven belül várható robbanásszerű fejlődése szükségessé teszi, hogy ezeket a valós informatikai és társadalmi veszélyhelyzeteket számba vegyük, és javaslatot tegyünk a lehetséges megoldásokra. Mára a www.google.com keresőoldalba a Blackjack szót beírva kb. 7500000 találatot kapunk.1 Ha csak a magyar nyelvű oldalakat engedélyezzük, még mindig 9560 találat az eredmény. Tegyünk egy rövid összehasonlítást, és írjuk be a keresőbe a Hungary kulcsszót, amire hozzávetőlegesen 11200000 találat jelenik meg. Ha nem lennénk eléggé elképedve, írjuk most be a poker szót, ékezet nélkül! Az eredmény körülbelül 18500000 találat. Ha még mindig nem csodálkozunk eléggé, változtassuk meg a kulcsszót, legyen az most online poker! A visszakapott 3780000 találat is elég elgondolkodtató. Az anyagi vonatkozások tekintetében a pontos adatokra visszatérünk később, de hadd említsük meg, hogy a játék Egyesült Államokbeli elterjedtségét és elfogadottságát jól példázza, hogy ott gyakran rendeznek jótékonysági pókerbajnokságokat, híres résztvevőkkel, ahol a győztes a pénzdíját valamely nemes cél érdekében ajánlja fel. Az egyik leghíresebb pókerrendezvényt, a nyolchetes WSOP-t2csak a televízión keresztül átlagban mintegy 1250000 néző kísérte figyelemmel az Egyesült Államokban. Ebben az élő Internetes közvetítést figyelemmel kísérők száma - az online játékosok előszeretettel alkalmazzák ezt a módot - nincsen benne. Viszonyítási pontként elmondható, hogy ez a mennyiség a legnépszerűbb amerikai beszélgetős műsor átlagos nézőszámának majdnem eléri a tizedét. Az Európai Unión belül jelenleg az Egyesült Királyság vállal vezető szerepet az iparágban, értve ez alatt mind a játékosok, mind a szerencsejáték-szervezésben érdekeltek számát. Magyarországon napjainkban formálódik az a közösség, ami megalapozhatja a terület fejlődését. A fejlett matematikai és informatikai kultúra jó bázis lehet arra, hogy Kelet- és Közép-Európában hazánk vezető szerepet tölthessen be. Nem célunk annak vizsgálata, hogy ez kívánatos-e, vagy sem, mindenesetre jelentős gazdasági tényezőt jelenthetne. A nagyobb szerepvállalásnak napjainkban leginkább az Internet csekély elterjedtsége, illetőleg a törvényi szabályozás teljes hiánya szab határt. Mindenesetre 2004. márciusától a hazai tematikus sportcsatornán is lehet pókerközvetítéseket látni.
1 2
Az itt szereplő számok mindegyike 2004. februári adat. World Series of Poker - Póker Világsorozat
7 1.2. Az internetes szerencsejáték globális helyzetéről 1997-ben még csak mintegy ötven, zömében Karib-szigeteki oldal uralta a piacot, 100 millió dollár körüli bevételre szert téve. Négy évvel később már mintegy 1400 internetes egység kínálta szolgáltatásait, miközben a bevétel mintegy 3 milliárd dollárra nőtt. Ez az összeg 2004-re megduplázódott. A felügyeletben, licenszelésben részt vállaló, esetenként törvényi szabályozást is megalkotó országok száma mára a kezdeti néhányról ötvenre növekedett. Ehhez nagymértékben hozzájárult, hogy a szárazföldi3kaszinókkal ellentétben az Internetes kaszinók nagy része csak kismértékben, vagy egyáltalán nem kötelezett adófizetésre. Ha az a pénzmennyiség, ami az Internetes kaszinókban termelődik, a szárazföldi egységekben jelenne meg, akkor az hozzávetőlegesen 6.4 milliárd dollár4 plusz adóbevételt jelentene az annak helyet adó országok számára. Ezért felerősödött az internetes kaszinók legalizását támogató politikusok lobbi-tevékenysége, még az Egyesült Államok egyébként konzervatívabb államaiban is. Csak Antigua szigetén közel száz bejegyzett szerencsejáték-oldal működik, így az Internetes szerencsejáték egyik fővárosának tekinthetjük a szigetet. Az ország internetes kiépítettsége, technikai színvonala jobb, mint sok EU tagországé, és komoly lépéseket tettek az e-gazdaság egyéb szereplőinek odacsábítására is. Nagy vonzerőt jelenthet, hogy minden internetes kereskedelmi és szolgáltató tevékenységre érvényes a mindössze három százalékos nyereségadó, szemben például az Egyesült Királyságban szokásos 15 százalékkal. Az ottani hatóságok nagy erőket mozgatnak meg annak érdekében is, hogy a már egyszer a bizalommal visszaélő személyek, vállalkozások ne kezdhessenek más néven új kezdeményezésbe. Ennek során gyakran titkosszolgálati módszereket is bevetnek. A jövő számos kérdést rejt még magában az iparággal kapcsolatban. A megalapozott szerencsejáték-kultúrával és hagyománnyal rendelkező országok, mint például az Egyesült Királyság minden követ megmozgat, hogy valahogyan nagyobb részt szerezzen ebből a tortából, de lakosai egy részének konzervativizmusa várhatóan még jó ideig komoly akadályokat gördít a teljes legalizálás elé, és ez a kettősség várhatóan végigkíséri az online játék jövőjét is. 1.3. Felépítés és célok ismertetése A munka első részében igyekszünk képet adni arról, mi is az online szerencsejáték, illetve hogyan zajlik le maga a játékfolyamat. Áttekintjük, milyen kérdések merülhetnek fel egy a játékhoz most hozzákezdő próbálkozóban. Sorra vesszük a kínálkozó játéklehetőségeket, majd a dolgozat céljaihoz kiválasztott két játék történetével és szabályaival ismerkedünk meg. Az ezután következő fejezetekben az informatikai biztonsági kockázatokat az üzemeltető kaszinó szemszögéből vesszük górcső alá. Részletesen foglalkozunk a működtetés több aspektusával, megadjuk egy online üzemegység egy lehetséges fel3
Szárazföldi kaszinón a hagyományos, fizikailag is létező, államilag ellenőrzött egységeket értjük. 2004. március 31-i 205 forintos középárfolyammal számolva 1312 milliárd forintot kitevő összegről van szó.
4
8 építését, az egyes összetevők kockázati tényezőit külön is elemezve. Ezután az üzemeltető matematikai és játékelméleti kockázatait vizsgáljuk. Ezzel kapcsolatban a jelenlegi játéklehetőségekből a matematikailag is érdekes kártyajátékokra összpontosítva megadjuk a felmerülő problémák elméleti alapjait. Egyfelől megvizsgáljuk a bizonyos körülmények között fennálló valós nyerési esélyt az egyetlen emlékező5kártyajátékban, a Blackjack-ben, illetve elemezzük az ehhez kapcsolódó informatikai biztonsági problémákat a játékszervező és a játékos szempontjából is. Ezután a következő fejezetben áttérünk a játékokat igénybevevők kockázataira. Itt a kaszinók tisztességtelen magatartásával kapcsolatos problémákkal kezdünk, majd az informatikai jellegű biztonsági problémákkal foglalkozunk. A többi résztvevő megjelenése új veszélyhelyzeteket teremtet, így a többszereplős játékok közül a póker egy változatát megvizsgálva képet adunk az Internet által egyszerre kínált interaktivitás és névtelenség kettősségéből adódó kockázatokról, és azok optimalizálásának számításba jöhető módjairól. Ezután áttekintjük a hazai és a nemzetközi törvényi szabályozást, annak hiányosságait, és az abból fakadó jogi kockázatokat. Végül a diplomamunkában szereplő vizsgálatok eredményeképpen javaslatot teszünk egy Internetes Szerencsejáték Kódex megalkotására, amely részét képezheti egy a későbbiekben létrehozandó - jogi keretek között vagy önszabályozás formájában működő - tényleges rendelkezés-gyűjteménynek. 1.4. Az online szerencsejátékról általában Online szerencsejáték fogalmát a következő tevékenységek összességével lehet definiálni: Valamely hagyományos szerencsejátékra alapozva, kizárólag az Internet, mint kommunikációs eszköz segítségével történő olyan szerencsejáték-forma, amelynek során egyik lehetőségként a játékos és egy aktívan közreműködő szerencsejátéküzemeltető között zajlik le a szerencsejáték, vagy másik lehetőségként több játékos vetélkedik valamely módon egymás között lebonyolítva a szerencsejátékot, és ez esetben a szerencsejáték-szervező a technikai feltételeket biztosítja, és ezért valamilyen jutalékot számít fel. A továbbiakban az aktív Internetes szerencsejáték-szervezőt és üzemeltetőt kaszinónak nevezzük, így a kaszinó szó alatt mindig Internetes kaszinót értünk, azaz ha a hagyományos szerencsejáték-szervezőről kívánunk beszélni, a hagyományos kaszinó megnevezést használjuk. Ha a csupán jutalékért közreműködő, a szerencsejáték konkrét kimenetelében nem érdekelt, passzív Internetes vállalkozásokat szeretnénk megnevezni, akkor a játékhely kifejezést használjuk, amelyen az előbbiekkel összhangban kizárólag az Internetes játékhelyeket értjük. A folyamat során a játékos egy kliens-szerver alkalmazás keretében létesít kapcsolatot a játékhellyel. Ennek során lehetősége nyílik valamilyen készpénzt helyettesítő eszköz segítségével pénzügyi tranzakciókat végezni, a befizetett pénzzel a webes felületen szerencsejátékot játszani. A befizetett pénz egy az adott felhasználóhoz tartozó folyószámlára kerül a kaszinóban. Maga a játék általában az egérrel végzett cselekvések sorozata, a hagyományos játékszabályok diktálta koreográfiának megfelelően. Az esetleges nyereményhez szintén valamely készpénzt helyettesítő eszközzel 5
Az egymást követő kimenetelek nem függetlenek, eltérően például a kockadobástól.
9 lehet hozzájutni. Szinte az egész dolgozatban az online szerencsejáték buktatóit vizsgáljuk majd. Nem szabad tehát elhallgatnunk a létező előnyöket sem. 1.5. Online szerencsejáték előnyei Az online játék előnyei részben az Internet általános előnyeiből fakadnak. Nem kell kimozdulni a lakásból, kevesebb kompromisszumot szükséges kötni az Internet előnyeinek kihasználásával. Másrészt itthon a pókerezésre szinte az egyetlen lehetőség az Internet, és az egyéb szerencsejátékok is egyszerűbben elérhetőek az átlagember, és főképpen a vidékiek számára, mint a hagyományos formák. Ezen túl az online játék - mint az általában az Internetre jellemző - a pókerszobák hangulatát az otthon kényelmével együtt nyújtja. Nem kell szagolnunk a dohányfüstöt, ha nem vagyunk dohányosak, viszont fordított esetben nyugodtan rágyújthatunk játék közben, és ha valami bosszúság ér, nyugodtan káromkodhatunk. Könnyen ismerhetünk meg eltérő kultúrából származó embereket, kapcsolatokat építhetünk ki játék közben. 1.6. Információk az online játék felépítéséről Először egy általános képet adunk az online szerencsejáték menetéről. Bár a megfogalmazás időnként azt sugallhatja, mégsem szeretnénk senkit sem az online játékra bíztatni, pusztán arról van szó, hogy ahhoz, hogy azokat a kockázatokat megvizsgálhassuk, amivel egy potenciális játékos szembekerül, bele kell képzelni magunkat a helyébe. Nézzük, milyen kérdésekkel, problémákkal néz szembe egy új próbálkozó! Részletesebb információ a [3] címen található. 1.6.1. Kezdeti lépések
Most a pókerre vonatkozó információkat adjuk meg, a Blackjack esetében talán még egyszerűbb a helyzet. A játékhoz először egy kliensprogramot kell letölteni az adott szoba oldaláról. Ha ezt installáltuk, az ikonra kattintva máris a pókerszoba előterében találjuk magunkat. Ebből következik, hogy ezután a szoba webcímére már nem kell ellátogatni, a kliens automatikusan csatlakozik a megfelelő helyre. 1.6.2. A játék megkezdése előtti közvetlen teendők
Először ki kell választani a játék módját, ami legtöbbször játékpénz, igazi pénz, vagy bajnokság lehet. A választástól függően át kell esni valamilyen regisztráción, ami értelemszerűen az igazi pénz esetén a bonyolultabb. Ennek eredményeképpen hozzájutunk egy felhasználói név / jelszó párhoz, amivel a továbbiakban be lehet jelentkezni, és játszani lehet. Amennyiben a valódi pénzes játékot választjuk, akkor a felhasználói névhez egy számla is tartozik majd. Erre a számlára lehet befizetni valamilyen módszerrel pénzt, majd a játékokban ennek erejéig lehet részt venni. Az esetleges nyeremények is erre a számlára kerülnek jóváírásra, amihez jellemzően postán érkező banki csekkel lehet hozzájutni később. Ezt követően az asztal kiválasztása jöhet. A virtuális folyosón az onnan nyíló különböző játékszobákban található asztalokról láthatunk néhány információt, mint játékosok száma, az alaptét nagysága, az átlagos nyeremény egy leosztásra, stb. Innen sima dupla klikkel lehet a választott helyre eljutni, ha az asztal egyébként nincsen tele, mert akkor a várólistához lehet csak csatlakozni. Amikor egy hely felszabadul, és a
10 várólistán is sorra kerültünk, a program értesít. Ha meghatározott számú játékossal szeretnénk játszani, egy üres asztalt kell keresni, oda csatlakozni, és ekkor meg lehet adni, hogy hány társat szeretnénk. Mi magunk, ha tehetjük, ne üljünk ilyen magán asztalhoz. Nagyobb az esély a későbbiekben ismertetett összejátszásra ilyen körülmények között. Általában a különböző szobák különböző szoftvert használnak. Saját érdekük is, hogy legyen valami eltérés a többi szobáétól. Ezt azért fontos megjegyezni, mert a szobák általános felépítése egyébként nagyon hasonlít egymáshoz. Egyébként a szobák ezen a téren is igyekeznek kitenni magunkért. Virtuálisan játszhatunk űrhajón, vagy kalóztanyán is, ha éppen ahhoz van kedvünk. A kliensprogram és a szerver közötti kommunikáció a fejlesztők szerint a gyors válaszra van optimalizálva, így viszonylag gyengébb internetes kapcsolattal is lehet játszani.6 Ha pihenőt szeretnénk tartani, azt megtehetjük az asztal elhagyása nélkül is, a megfelelő gomb lenyomásával. 1.7. Valódi vagy játékpénz kérdése A legtöbb szoba kínál játékpénzes játékot, ahol ki lehet próbálni a kliens működését, és fogalmat lehet szerezni a játék menetéről. Az itteni játék azonban érthető okokból igencsak különbözik a valódi pénzre játszottól, hiszen nincs valódi tétje a játéknak. Ha úgy döntöttünk, tudásunkat valódi pénzben is szeretnénk kipróbálni, nagy körültekintéssel játékhelyet kell választanunk, illetve ellenőriznünk, a korábban gyakorlásra választott hely megfelelő lesz-e a pénzes játékhoz. 1.8. A szabályozás szerepe az online játékban A legkönnyebben úgy tudjuk elkerülni, hogy rosszul járjunk, ha jól bejáratott szobát vagy kaszinót választunk. Egy nagy presztízsű cégnél alapvetően nem kell tartanunk a hitelkártyával való visszaéléstől, vagy a nem tisztességes játéktól. Vannak különböző szervezetek is, amelyek végeznek bizonyos fajta auditálást. Fontos azonban megjegyezni, hogy ezek nem olyan jellegű felügyeleti szerepet töltenek be, mint hazánkban a Szerencsejáték Felügyelet, sokkal inkább egy önkéntes alapon történő önszabályozáshoz adnak ezek a szervezetek keretet, így inkább egy kereskedelmi kamarához hasonlónak kell őket elképzelni. Miért van mégis értelme figyelni arra, hogy a kaszinó, amiben játszani kívánunk, tagja-e valamelyik ilyen szervezetnek? Egyrészt a belépés és a tagság feltétele hozzávetőlegesen 25000 USD kaució megfizetése, ami nem túl magas összeg, de a semminél több. Másrészt az a tény, hogy valamely játékhely tag, garancia lehet arra, hogy az adott vállalkozás a tagság fennállásakor igen nagy valószínűséggel fizetőképes, azaz jó esélyünk van, hogy megkapjuk az esetleges nyereményt. Harmadrészt a bevizsgálás során meg kell felelni bizonyos feltételeknek, amelynek hiányában a licenszet megtagadják. Három komoly és jelen állás szerint működőképes rendszert birtokló szabályozóról lehet beszélni, eltérő feltételekkel. A különböző szabályozóknál érvényes pontos feltételekről a következőkben megjelölt címeken található infor6
Igazából a kapcsolatban a kliensek és a szerver között kommunikált adat mennyiségének minimalizálására törekszenek. A kapcsolat gyorsasága, megbízhatósága és biztonságossága sokszor egymásnak ellentmondó követelményeket jelent.
11 máció. Az első és legnagyobb szabályozóról és feltételeiről a: http://www.kahnawake.com/gamingcommission/
címen lehet olvasni. Ez az anyag a Kanada területén található Kahnawake Mohawk indián autonóm közösségen belül működő Kahnawake játékszövetség feltételeit tartalmazza. Első hallásra komolytalannak tűnhet egy ilyen szervezet, ennek ellenére az ÉszakAmerikában működő játékhelyek nagy része itt kerül licenszelésre. Ennek oka, hogy az ehhez hasonló indián autonóm közösségek területén a törvények engedélyezik a szerencsejáték minden formáját, másrészt az ott jelentkező társadalmi problémák megoldására is segítséget nyújt a folyamat, miután az ilyen közösségek területén belül alig kínálkozik munkalehetőség. A licenszelt oldalak száma és hagyományai alapján az itt regisztrált oldalak megbízhatónak tekinthetők a későbbiekben leírtak figyelembevételével. A másik sok, főleg kisebb oldalt szabályozó szervezet a: http://www.antiguagaming.gov.ag/
címen található meg, Barbados és Antigua szigeteki székhellyel. Elsősorban a hagyományos értelemben vett offshore cégek licenszeltetnek itt, kényelmi és gazdasági okokból. A harmadik megemlítendő szövetség az ausztrál www.tas.gov.au/tasmaniaonline
címen érhető el. Az előzőnél kevesebb oldalt licenszel, viszont azok komolyabbak, és itt az állami szerepvállalás is tetten érhető a felügyeletben. 1.9. Ki- és befizetési módszerek A szolgáltató kiválasztása után a megfelelő fizetési eszközről kell gondoskodni. A befizetésre alkalmas a dombornyomott VISA vagy Mastercard bankkártya, azonban gondosan kell eljárni a használatukkor, és csak megbízható helyen szabad alkalmazni azokat. Ha a fő hitelkártyánkat féltjük - ami néha nem alaptalan aggodalom célszerű egy másikat alkalmazni az Internetes fizetésre, azonban ennek is VISA-nak vagy Mastercard-nak kell lennie.7 Kézenfekvő azon a kártyán kisebb összeget és limitet alkalmazni, így a kockázat lényegesen kisebb. A legtöbb helyen az úgynevezett virtuális VISA kártyát is elfogadják, ami kizárólag Interneten való fizetésre alkalmas, és a kockázatot még tovább lehet vele mérsékelni. Fontos azonban tudni, hogy az ilyen kártyához nem tartozik PIN kód, de gyorsan le lehet tiltani, és a költségek is alacsonyak, az 500 Ft/év körüli díjat bőven megszolgálják. A kifizetésnél sok választásunk általában nincs. Az európai üzemeltetésű kaszinók8minden gond nélkül ráteszik a VISA kártyákra a nyereményt, de a Mastercard egyetlen országban sem engedélyezi ezt a visszatételt. Nem európai érdekeltségnél az egyik lehetőség a postán érkező banki csekk, ami körülbelül két-három hét alatt érkezik meg, és szinte minden bankban gond nélkül beváltható, de futárszolgálattal pár napon belül is megkapható, persze magasabb díj ellenében. A csekk kiküldése előtt előfordul, hogy a játékhely vagy kaszinó a biztonság kedvéért felhívja a játékost az általa megadott telefonszámon, 7
Ennek gyakorlati jelentősége annyi, hogy a Maestro illetve VISA Electron típusú kártyák – néhány kivételtől eltekintve - alkalmatlanok az Internetes fizetésre. 8 Például a www.ladbrokes.com oldalt említhetjük.
12 hogy valóban kérte-e a kifizetést, ezért a regisztráció során érdemes – sőt többnyire kötelező - megadni a telefonszámot. Az is előfordulhat, hogy a hitelkártya elő- és hátlapjának bedigitalizált képét kérik el befizetés előtt, de ennek nem vagyunk kötelesek eleget tenni. A másik elterjedt lehetőség az elektronikus banki utalás9, amely gyors, viszont tíz és ötven dollár közötti költségét többnyire a játékosra terhelik. Több más módszer is elérhető ezeken túl, itt csak a legfontosabbakat említettük. Az egyes játékoldalakon általában megtalálható az összes ott alkalmazható kifizetési módszer leírása és feltételrendszere. Mindezeken túl biztonságos-e az Interneten játszani eddigi ismereteink szerint? Ezt a kérdést egészen precízen nem fogjuk tudni megválaszolni, a dolgozatban felvázoljuk az igen válasz mellett és ellen szóló érveket. A pénzünk kaszinó általi direkt ellopásától - értsd közvetlenül a hitelkártyáról lopástól - azonban a licenszelés figyelembevételével jelen állás szerint nem kell tartani. 1.10. Az állami szabályozás hiánya Felmerülhet a kérdés, hogy miért nem állami intézmények felügyelik az iparágat, mondjuk miért nem az amerikai kormány, hiszen messze a legtöbben az Egyesült Államokból játszanak. Nos azért, mert az Egyesült Államok területén nem megengedett az internetes kaszinók üzemeltetése az úgynevezett Internet Gaming Prohibition Act of 199710miatt. Felmerülhet az a kérdés is, hogy ez azt jelenti-e, hogy az online játék tulajdonképpen illegális? Nehezen megválaszolható kérdés ez ma. Az online szerencsejáték jogi szempontból igen nehezen sorolható bármely kategóriába is. Noha az IGPA tiltja az egységek USA-beli megnyitását, ez a játékosokat sohasem tartotta távol a részvételtől. Az 1961-es úgynevezett Wire Act11azzal a céllal készült, hogy mindenféle vezetéken történő sporttal kapcsolatos szerencsejátékot megtiltson. Az, hogy a WA vonatkozik-e az internetes kaszinójátékokra, nyitott kérdés, mindazonáltal meg kell jegyezni, hogy a sportfogadásra mindenképpen vonatkozik. Így az Egyesült Államokban járva elvileg tilos az online sportfogadások kötése. Mindazonáltal eddig senkit nem helyeztek vád alá online szerencsejátékban való részvétel miatt. Jelenleg a szenátus előtt van12az a javaslat, amely megszilárdítja az online játék illegális státusát. Azt feltételezve, hogy a szenátus meg fogja szavazni a javaslatot, egyesek szerint jogilag az következik, hogy a jelenlegi állapotban az online játék nem büntethető. Hazánkban az online szerencsejáték kérdésével az 1991. évi XXXIV. törvény a szerencsejáték szervezéséről, és annak 2001-es távközlési eszközökkel és rendszerekkel kapcsolatos kiegészítése, a 2001. évi LXXV. törvény 27. § foglalkozik. Ez a jogszabály elvben engedélyezi az Internetes szerencsejáték szervezését, azonban jelenlegi 9
Wire Transfer, vagy Bank Wire néven illetik. A továbbiakban IGPA, a szabályozás szövege megtalálható a http://commdocs.house.gov/committees/judiciary/hju57230.000/hju57230_0.htm címen. 11 A lényegesen rövidebb jogszabályra a továbbiakban WA jelöléssel hivatkozunk, szövege elolvasható a http://www4.law.cornell.edu/uscode/18/1084.html címen. 12 A kétszintű amerikai jogszabályalkotás rendszerében ez azt jelenti, hogy a kongresszuson már túljutott a javaslat. 10
13 formájában túl általános, semmilyen technikai jellegű utalást vagy megszorítást nem tartalmaz. A játékos szempontjából annyit lehet elmondani, hogy a játékban való részvétel lehetséges, miután explicit nincsen megtiltva. Azonban a Szerencsejáték Felügyelet írásbeli tájékoztatása szerint: „Az Interneten található külföldi honlapok ajánlatainak, játéklehetőségeinek (pl.: online kaszinó, online fogadó irodák) igénybevétele Magyarországon nem tiltott, de nem is ellenőrzött, ezért annak biztonsága nem magyarországi jogszabályon alapul.” A szokásos szerencsejátékkal kapcsolatos korlátozások – úgy, mint betöltött 18-ik életév - természetesen érvényesek, és az adókötelezettségnek is eleget kell tennie az esetleges jövedelem után.13 Az Európai Unióban az online szerencsejáték szervezésével és a játékokban való részvétellel kapcsolatban nincs egységes állásfoglalás. Általában minden ország megpróbálja védeni saját szerencsejáték-piacát a külföldi szervezőktől. Van olyan állam, ahol a szervezés is megengedett, míg máshol még a játékban való részvétel is tiltott, vagy legalábbis nagymértékben korlátozott. Példaként Ausztriában egyetlen játékszervezőnek van engedélye online szerencsejátékokra, és azt csak osztrák bankszámlával rendelkezők vehetik igénybe. A kialakult helyzet jellemzésére érdekességképpen megemlítjük, hogy egyrészt a játék a valóságban osztrák számlával rendelkező külföldiek számára is elérhető, másrészt elvben törvényileg az osztrák állampolgárok számára belföldről tilos külföldi szerencsejátékban részt venni.14 Egyáltalán miért tekinthetnék illegálisnak az online játékot? Sok kaszinót működtető cég és játékos teszi fel ezt a kérdést. A legtöbb játékos és üzemeltető azt szeretné, ha az iparág legális és adóköteles lenne, ami a körülmények tisztázódását nagyban segítené. Ezzel szemben bizonyos keresztény és családi értékeket szem elő tartó csoportok keményen küzdenek a játék illegalizálása mellett, miután az véleményük szerint rossz hatással van a társadalomra. Vannak olyan megközelítések is, hogy az offshore játékhelyek a pénz nagy forgási sebessége miatt kiválóan alkalmasak terrorista szervezetek támogatására, így nem lenne szerencsés legalizálni. Ezen túl a felszín alatt az is rejtőzhet, hogy egyszerűen a szárazföldi kaszinók aggódnak a szerencsejáték tortájában kiharcolt szeletük csökkenése miatt.
13
Az adózásra vonatkozóan a http://onlinepoker.hu/?in=showcikk.php&Id=2 címen lehet olvasni, azonban ez az állásfoglalás úgy tűnik, nem kizárólagosan mérvadó. Egy másik, szintén az APEH által kiadott állásfoglalás szerint az online nyeremény nem adóköteles. 14 A témáról részletesebben: www.win2day.at
14
2. Az Interneten játszható játékok áttekintése Mára szinte valamennyi hagyományos szerencsejáték-forma megtalálható az Interneten is. A legelterjedtebbek a következők, a kevésbé népszerűtől a népszerűbb felé haladva: 2.1. A játékok csoportosítása Számsorsjátékok A lottó és kenó jellegű játékokat a hagyományos verziót bonyolítók mára a legtöbb helyen az Interneten keresztül is elérhetővé tették. Tömeges elterjedtsége nem várható, az alkalmazott nagy haszonkulcs, így csekély nyerési esély miatt, noha kényelmi szempontból kedvezőbbek hagyományos formánál. Rulett Valószínűleg mindenki ismeri a rulettet. Talán a kerék pörgésének, talán a hangulatnak a hiánya okozza, de az Interneten nem túl népszerű, amihez az esetenként alacsony nyerési esély is hozzájárul. A további okok között említhető, hogy a rulett a többi játékhoz képest inkább Európában népszerű, az Egyesült Államokban kisebb arányban választják ezt a játékot a játékosok. Ennek következében az online kaszinó-üzemeltetők igyekeznek olyan rulett-változokat kínálni, amelyekben a nyerési esély jobb az átlagosnál. Így több helyen elérhető az az egy nullás változat, ahol az egyszeres esélyekre – ilyenek például a pirosra vagy feketére elhelyzett tétek - tett fogadásoknak a nulla kijövetele miatti elvesztése esetén a játékos csak a tétjének felét bukja el.15 Fogadások A fejlett fogadási kultúrával rendelkező, jellemzően angolszász országokban elterjedt. Lényege, hogy a meghirdetett fogadási eseményekből választva lehet azok bekövetkeztére bizonyos pénzösszeget feltenni. Kártyajátékok Kaszinó ellen játszott játékok Az Interneten magasan a legnépszerűbbek a kártyajátékok. Ennek fő oka az, hogy a kaszinók nyerési esélye a legtöbbször nem sokkal nagyobb, mint a játékosé, a legtöbbször fél és három százalék között mozog az előny. A sok lehetőség közül népszerűség tekintetében kiemelkedik a Baccarat16, és főleg a Blackjack. Több résztvevős kártyajátékok
15
Ilyen szabályok szerint játszva a bank előnye mindössze 1,35 százalékra csökken az egyszeres esélyekre tett fogadások esetén. 16 A Baccarat talán a legegyszerűbb kártyajáték, kilences néven magyar kártyával itthon is játsszák. Népszerűségének oka, hogy a játékosnak a játékban csak a tétre vonatkozóan van választási lehetősége. Bizonyos szabályok szerint kap lapot a bank és a játékos, és az nyer, akinek kártyái összege közelebb van kilenchez modulo(10), így nehéz benne hibázni.
15 A legjobban elterjedt a póker, amelynek számos változata van. Egy-egy nap százezres nagyságrendű számú játékos is választja a szórakozásnak - és a jobbak számára a pénzkeresetnek -ezt a formáját világszerte. 2.2. A kártyajátékok jellemzése Felmerülhet a kérdés, hogy mi az oka annak, hogy az Interneten főleg a kártyajátékok terjedtek el, míg a hagyományos közegben még népszerűbb a rulett, lottó, lóverseny és a többi hasonló játék. Az egyik tényező a sok közül az, hogy számos nehézség, ami a hagyományos kártyajátékokat nehezíti, mint például keveréshez szükséges idő, továbbá megfelelő hely és társaság, könnyen áthidalható a számítógéppel. Ezen túl a játék eredményét azonnal nyomon lehet követni az Internet segítségével. Egy másik, hogy ezekben a játékokban nagyobb szerepet kap az interaktivitás, így élvezetesebbek a résztvevő számára, amiben az is szerepet játszhat, hogy az Internet iránt fogékony – zömében fiatalokból és középkorúakból álló társadalmi réteg ezeket kedveli leginkább. További indok még, és fontos megjegyezni, hogy a legnépszerűbb kártyajátékok között van kettő, ami matematikai szempontból is érdekes, mégpedig a póker és a Blackjack. Ennek oka az, hogy ezek a játékok még messze nincsenek matematikai alapon feltérképezve, ugyanis hiányzik a megfelelő modell, és a jelenlegi számítási kapacitással nincs is rá még egy ideig remény, hogy komolyabb előrelépés történik. A Blackjack esetében ez a játék „emlékező” jellegéből adódik, ugyanis miután a leosztott lapokat nem helyezik azonnal vissza a csomagba, és nem kevernek újra, ezért a bekövetkezett események hatással vannak a következő kimenetelekre, azaz az egyes események – a rulettkerék pörgésével ellentétben – nem függetlenek. A póker esetében a hiányos információ és a megjósolhatatlan emberi viselkedés okozza a modellezés problémáit. Ezen érvek alapján a dolgozat céljainak teljesítéséhez ez a két játék lehet az online játszható szerencsejátékok közül a legmegfelelőbb eszköz. A következőkben áttekintjük a két játék történetéből és szabályaiból a számunkra elengedhetetlen fejezeteket. A póker esetében először az általános szabályokat tekintjük át, majd áttérünk a ma legnépszerűbb és matematikailag legérdekesebb Texas Hold’em változatra. 2.3. A Blackjack történetéről A Blackjack pontos születési helye elég homályos, de azt tartják, legvalószínűbben a francia "chemin de fer" vagy "French Ferme" nevű játékokból alakult ki. Mások azt állítják, hogy a Blackjack a XVIII. Század kezdetén működő francia kaszinókig eredeztethető vissza, ahol "vingt-et-un"-nak (hu-szon-egy) hívták. Az USA-ban az 1800-as évek eleje óta játsszák bizonyíthatóan. A játékot azért keresztelték el Blackjack-nek, mert ha akkoriban a játékos első két kártyája pikk ász és pikk jumbó volt, akkor extra nyereményt fizettek neki. Így miután a fontos pikk jumbó egyben fekete is volt (black), és jumbó is (jack), a Blackjack megszületett. A szerencsejáték legális volt 1850 és 1910 között a vadnyugaton, majd Nevada állam bűncselekménnyé nyilvánította. 1931-ben Nevada állam újra legalizálta a kaszi-
16 nóban történő szerencsejátékot, és a Blackjack az egyik legnépszerűbb játékká vált, amely ráadásul a legjobb esélyeket nyújtjotta a kaszinóban játszhatóak közül. A következő lépcsőfokként 1978-ban a New Jersey-beli Atlantic City-ben is engedélyezetté vált a szerencsejáték. Európában a huszadik század elejére került vissza a tengerentúlról a játék.
2.4. A Blackjack szabályainak kivonatos leírása A Blackjack-et kaszinókban általában hat pakli 52 lapból álló francia kártyával játsszák, de egytől nyolc csomagig terjedő változatok is léteznek. Egy pakliban a lapok négy különböző színűek lehetnek, melyek neve és jelölése: káró ♦, kőr ♥, pikk ♠ és treff ♣. Minden színből van Ász,2,3,4,5,6,7,8,9,10,jumbó,dáma,király. A jumbó, dáma és a király tízet, az ász egyet vagy tizenegyet ér, a többi lap annyit, amennyi rajta szerepel. A nála lévő ász aktuális értékét mindig a játékos határozhatja meg, természetesen a neki kedvezőbb módon. A hat csomag összekevert kártyát egy úgynevezett papucsba - más néven koporsóba - teszik bele. Ez egy jóindulattal papucs formájú nyeles műanyag vagy fából készült tároló rekesz. Az osztó ebből adja egyesével a kártyákat addig, míg a papucsból a kártyák mintegy kétharmada el nem fogy. Ekkor újra összekeverik a hat csomagot. Több személy is játszhatja a játékot, de minden játékos kizárólag a bank ellen játszik, az esetlegesen jelen lévő többi játékossal nincs kapcsolatban. Bizonyos szabályok szerint a játékos és a bank lapokat kap, és a cél az, hogy a leosztás végén a játékos lapjainak az előzőek szerint kiszámolt összértéke közelebb legyen 21-hez, mint a bank lapjainak összértéke, de a játékos lapjainak összértéke ne legyen 21-nél több. Ebben az esetben a játékos az adott leosztást megnyerte. A küzdelem a játékos által az osztás előtt az adott leosztásra meghatározott, kis zöld körbe helyezett tétért folyik. Ha a játékos veszít, a tétét elveszti, ha nyer, visszakapja a tétet és még egyszer annyit. A játék kezdetekor a játékos kap egy lapot felfelé fordítva, a bank egyet lefelé fordítva, majd a játékos még egyet felfelé fordítva, aztán a bank egyet felfelé fordítva. Ily módon a játékos a banknak az első kártyáját nem láthatja. Ezután a játékos kérhet lapot, vagy megállhat. A bank addig nem kap újabb lapot, míg a játékos meg nem állt, azaz abban a körben a játékát be nem fejezte. Ezt a játékos bármikor megteheti, azaz nem kér több lapot, összeredménye az addig kapott kártyák összege. Ha azonban újabb lapot kér, és lapjainak összege meghaladja a huszonegyet, a játékos vesztett, függetlenül a bank későbbi eredményétől, és ekkor a bank azonnal elnyeri a játékos tétjét. Miután a játékos megállt, a bank felfedi addig rejtett kártyáját. Ezután meghatározott szabályok szerint kell játszania. Ha lapjainak összértéke nincs még legalább 17, mindaddig újabb lapot kell kérnie, míg a legalább 17-et el nem éri. Ha viszont elért legalább 17-et, - tehát lapjainak összértéke 17,18,19,20 vagy 21 - meg kell állnia, függetlenül attól, hogy esetleg a játékos közelebb van a 21-hez, mint ő. Azaz ha a játé-
17 kosnak 18-a van, a bank két ötös után húzott egy hetest, meg kell állnia, és a játékos nyert. Ha e szabályok szerint játszva a bank túllépi a 21-et, - és a játékos még játékban van - akkor szintén a játékos nyert. A legtöbb helyen, ha a banknál van ász, és az ászt 11-nek számolva a bank már elérte a 17-et, meg kell állnia, és ezután már nem húzhat, és az ászt nem tekintheti egyes értékűnek. Mindaddig azonban, míg az ászt 11-nek számolva a bank nem éri el a legalább 17-et, ő is számolhatja egynek vagy 11-nek az ászát. A játékos ezzel szemben az ász értékét mindig megválaszthatja, azaz egy ászra és egy ötösre (16) egy hatost húzva nem 22-je, hanem 12-je van. Ha azonban nem hatost, hanem ötöst húz, nyilván 11-nek fogja tekinteni az ászt, és megáll 21-nél. Azonos összérték esetén a játékos visszakapja a tétjét. Ha a játékos első két lapja közül az egyik ász, a másik pedig tízes értékű, a tétjén felül annak egyszerese helyett másfélszeresét kapja vissza. A másfélszeres nyeremény kettőnél több lapból elért 21re nem jár, mint ahogy a megosztott tízessel vagy ásszal (lásd később) elért két lapból 21-re sem. Fontos azonban megjegyezni, hogy a két lapból elért 21 (Blackjack) csak abban az esetben nem nyer automatikusan, ha az osztónak is Blackjack-je van, vagy a játékos megosztás után kapott Blackjack-et és az osztónak bármilyen 21-e van. Ez esetben az eredmény döntetlen. Minden más lap ellen - még az osztó kettőnél több lapból álló 21-e ellen is - azonnal nyer a Blackjack. A bank szempontjából a matematikai előnyt egyrészt az jelenti, hogy azokban az esetekben, amikor a játékos túllépi a 21-et – befuccsol - ő automatikusan nyer, függetlenül attól, hogy esetleg később ő is befuccsolna. Másrészt - noha a banknak meghatározott szabály szerint kell játszania - amikor a játékos arról dönt, hogy húz, vagy megáll, még csak a bank egyik kártyáját ismeri, ezért nem jó stratégia szerint játszva matematikailag könnyen hozhat a játékos hibás döntést. A játékos a bank egyik és saját két lapját ismerve dönt tehát arról, hogy húz, vagy megáll. Mivel a legmagasabb értékű lap tízet ér, (ne feledjük, az ász egyet is érhet) ezért a játékosnak 12-nél kisebb összértékű lapoknál sohasem érdemes megállnia, hisz a húzással mindenképp javít a lapján, és semmiképpen sem fuccsol be. A bank látható kártyájától és a játékos első két lapjától függően megadható egy alapstratégia, amely megadja, mikor kell a legalább 12 összértékű kártyára húzni vagy megállni.17Ez nem veszi figyelembe a már kijátszott és a még a pakliban maradó lapokat, és a valószínűségek azok által generált változásait. Alapvetően elmondható azonban, hogy a 17-et elérő lapokra szinte mindig érdemes megállni. A dolgozatban viszont olyan számolási módszerekről és stratégiákról lesz szó az online játék biztonsági kockázataival kapcsolatban, amelyek elsősorban a már kijátszott és a még bent maradt alacsony és magas lapok arányára alapoznak. Röviden érdemes már most szólni arról, hogy miért előnyös a játékosnak az alacsony és a magas lapok számolása? Miután a bank csak legalább 17-nél állhat meg, - függetlenül attól, hogy a játékosnak esetleg csak 15-je van, a banknak pedig 16-ja ezért ha sok magas lap marad a csomagban, a bank nagyobb eséllyel lesz kénytelen befuccsolni, hisz a 12-16 közötti összértékű lapjaira is mindig kénytelen húzni, míg a játékos esetleg már megállt. Míg ha sok alacsony lap marad, a bank nagyobb eséllyel 17
Az alapstratégia táblázatai megtalálhatók a http://www.blackjackinfo.com/cgi-bin/bjbse.cgi címen
18 tud majd megállni, így a számára kötelező húzás többször jelent javítást, mint rontást. Ennyi bevezetés után is érezhető, hogy ez az eset jelentősen rosszabb a játékos számára. Egyéb szabályok is vannak még, amelyek közül csak a két legfontosabbat ismertetjük. Az első az úgynevezett megosztás18. Ha a játékosnak két azonos értékű kártyája van, (például két nyolcas, vagy egy tízes és egy dáma) dönthet úgy, hogy lapjait kettéosztja, és a két kártyával külön játékba kezd. Ekkor még egyszer be kell tennie a tétet. Ez két független partit jelent. Először az első kártyájára kap még lapot, és dönthet, hogy kér, vagy megáll, aztán a másodikkal játszhat ugyanígy. Így előfordulhat, hogy az egyik „kézzel” játszva nyer, a másikkal veszít. Vannak lappárok, amiket mindig érdemes megosztani (pl. két ász vagy két nyolcas), és vannak olyanok, amiket szinte sose (pl. két tízes értékű lapból húsz, amire a megállás a célszerű). A második szabály a duplázás. Miután a játékos megkapta első két lapját, dönthet úgy, hogy a parti tétjét megduplázza, viszont ez után kötelezően kap még egy és csak egy lapot, aztán meg kell állnia. Tipikusan érdemes duplázni, ha a banknak a látható lapja 2 és 6 közötti, míg a játékosnak 10-e vagy 11-e van, vagy esetleg a játékosnak egy ásza és egy hatosa, míg a banknak hatosa van. A dolgozatban ismertetett módszerek lényege a kedvező állás esetén megemelt tétben és az ilyenkor az alapstratégiához képest megváltoztatott taktikában rejlik, ami bizonyos esetekben a kaszinók álláspontja szerint kimeríti a csalás fogalmát. Egy konkrét leosztás végkimenetele megfigyelhető a következő ábrán:
1. ábra 2.5. A póker történetéről 18
Angol elnevezése split.
19 Szintén nincs megdönthetetlen bizonyíték arra vonatkozóan, hogy hol, hogyan, és mikor alakult ki a póker. A legvalószínűbb az, hogy több különböző játék összeolvadásával jött létre, és arról is megegyeznek a vélemények, hogy régi játék. Már az 1550-es években volt Olaszországban és Franciaországban egy játék, amelyben párokat, drilleket és flush-öket kellett gyűjteni. A XVIII. századra bevezetésre került egy a maihoz hasonló tétrendszer és a blöffölési elemek is megjelentek a játékban. A legtöbben ekkorra eredeztetik a játék elnevezését, a francia poque, illetve a német pochspiel változatokból kiindulva. Ennek a századnak a végére érkezett meg a tengeren át az USA-ba a játék, ahol az emelési szándékot a poque igével jelezték, ami aztán a kiejtés sajátságai folytán poqas-vá, majd végük poker-ré változott. Mások a már akkoriban is igen gyakori csalások miatt a poke szóban látják a megoldást, ami az amerikai szlengben pénzt is jelent, illetve van, aki a hókuszpókusz szót tekinti az eredetnek. 1829-ből származik az első írásos referencia, amikor is egy angol festő naplójában leírja, ahogy egy New Orleans-i gőzhajón egy a maihoz szinte teljesen hasonló játékot játszanak, bár más néven. 1832-ben kerülnek először rögzítésre a szabályok, majd negyven évvel később a póker visszatér Európába. 1909-ben születik meg az első törvényi szabályozás, aminek érdekessége, hogy a póker játékának lehetőségét állami regisztrációhoz köti. A múlt század elején a zárt lapos játékok voltak csak engedélyezettek az USA-ban, bár a nyílt lapos változatok egyébként is kevésbé terjedtek még ekkor el. Nagy Britanniában 1936 és 1962 között a játék be volt tiltva. A hatvanas évek végén kezdődött el a játék komolyabb matematikai elemzése, az első világbajnokságot pedig 1970-ben tartották Las Vegasban. Mára a póker - főleg az USA-ban - szigorúan szabályozott keretek között folyik, és kocsmák, mint helyszínek, átadták a helyüket a kaszinóknak, illetve az utóbbi tíz-tizenöt évben egyre inkább az online kártyaszobáknak. Sokak szerint a játék sporteseménnyé nőtte ki magát, miután rengeteg bajnokságot és versenyt rendeznek belőle. Noha olimpiai sportág valószínűleg sosem lesz, így is messze a legnépszerűbb kártyajáték a világon. 2.6. A pókerjáték általános szabályai, a játék menete. A játékot egy csomag joker nélküli francia kártyával játsszák, amelyet minden leosztás előtt megkevernek. Az osztás és a játékban való cselekvés végig az óra járásával megegyező irányban történik. Az osztó személye minden leosztás után változik, eggyel balra kerül át az osztás. A játék körökre oszlik, amelyben a változattól függően kapnak lapot vagy lapokat a játékosok, illetve lehetőségük van bizonyos cselekvésekre. A hagyományos pókerjátékban a folyamat az alaptét megadásával kezdődik, csak ezután kapnak a játékosok lapot, mégpedig mindenki ötöt. Ez az öt lap bizonyos kombinációkat alkothat, melyek erősorrendje különböző, és így a játék kimenetelét majd meghatározzák. A kombinációk a következők, a gyengébbtől az erősebb felé haladva a következő oldalon találhatók:
20
-
Egy pár – két azonos értékű lap:
-
Két pár – két különböző pár:
-
Drill – Három azonos értékű lap:
-
Sor – 5 egymást követő értékű, tetszőleges színű lap
-
Flush – 5 azonos színű, tetszőleges értékű lap
-
Full – egy pár és egy drill egy kézben
-
Póker – négy azonos értékű lap
-
Színsor – öt egymást követő értékű, azonos színű lap
-
Royal flush – 10, J, Q, K, A azonos színből
21 Az azonos besorolású kombinációk közül a nagyság dönt, azaz egy négyesekből álló pár jobb, mint egy hármasokból álló, illetve egy tízesekből és hatosokból álló két pár jobb, mint egy kilencesekből és nyolcasokból álló két pár. Általában is ez a magas lap szabály dönt a lapok között. Először a legmagasabb lap számít, aztán, ha az egyenlő, a következő, aztán a következő, és így tovább. A következő példáknál így rendre a felső kombináció erősebb az alsónál.
2. ábra
Visszatérve a játék menetéhez, ezután először az osztótól balra ülő személy választhat a következő lehetőségek közül. -
Passzol, azaz nem emeli a tétet, és az akció lehetőségét átadja a következőnek. Tétet tesz, azaz meghatározott korlátok közötti pénzmennyiséggel növeli a tétet.
Az utána következő, majd az utána következő, és így tovább a többi játékos lehetőségei a következők:
22 -
-
-
Passzol, amit csak akkor választhat, hogyha előtte – tőle jobbra - még senki sem emelt az adott körben, egyébként vagy megadja, vagy emeli a tétet, vagy kiszáll a játékból az adott leosztásban. Ha az utolsó ember is passzol, vagy csak megadja a tétet, az aktuális licitkör befejeződik. Megadja a tétet, azaz az addigi emelések – tőle jobbra – mindegyikét megadja, de ő nem emel azokon. Ha mindenki megadta az összes tőle jobbra történt emelést, az aktuális licitkör befejeződik. Emel, azaz az addigi tőle jobbra történt emeléseket mind megadja, és azokon is emel. Ha a tőle jobbra ülő játékosok nem emeltek, akkor ez ugyanaz, mint a tétet tesz pontnál leírt cselekvés. Emelni akkor lehet, amikor ránk kerül a sor az óra járása szerint. Ez lehet egyszer, amikor először ránk kerül a sor, majd még a változattól függően többször, amikor egy másik játékos emelt, és azt még meg kell adnunk. Bedobja, azaz a játékot befejezi abban a leosztásban. Alapszabály, hogy a játékos bármikor bedobhatja a lapját, de ilyenkor biztosan elveszíti a teljes összeget, amit addig a tétbe tett.
Az aktuális körnek akkor van vége, ha mindenki minden emelést megadott, és nincs, vagy nem lehet új emelés, vagy csak egy játékos maradt a partiban, aki az összes tétet megadta. Az első kör befejeztével azok, akik nem dobták be lapjaikat, a változattól függően közös lapokat kapnak, (például a hold'em-ben) vagy cserélnek (5 lapos cserés póker) új kártyát. Ezután következik a második kör. A második körben ugyanolyan a licitálás menete, mint az első. Tehát ugyanúgy passzolhatnak a játékosok addig, amíg valaki nem tesz tétet. Ha valaki tett már tétet, akkor az előzőek alapján már csak megadni, emelni, vagy bedobni lehet. A második kör után lehetséges még újabb lapok osztása vagy csere, majd újabb kör, megint újabb laposztás egészen az utolsó körig. Az utolsó körbeli licit végén történik meg a lapok bemutatása. A bent maradó játékosok megmutatják egymásnak lapjaikat, és az értékesebb kombináció nyeri a tétet. Ha egy kivételével mindenki bedobta a lapját, mielőtt az utolsó licitkör befejeződik, akkor az egyetlen bent maradt játékos nyeri a tétet. Ilyenkor a nyertes senkinek nem köteles megmutatni a lapját. A hagyományos pókerben az alaptét megadása után a lapok leosztása következik, ezután egy licitkör jön, majd minden játékos kicserélhet meglévő lapjaiból bármennyit oly módon, hogy kiválasztja a cserélendőket, és azok helyett kap véletlenszerű újakat. Ezután még egy licitkör következik, majd a bemutatás. 2.6.1. A hagyományos pókerjáték gyengéi
A játék története során problémák merültek fel a játékmenettel kapcsolatban, ami végül több új variáns kifejlődéséhez vezetett. A játék több okból is unalmassá válhat. Egyrészt nem lehet kikövetkeztetni mások lapjait, mivel azokról a játékban az egyetlen valós támpontot az adja, hogy a másik játékos hány lapot cserélt, esetleg még azt, hogy ahhoz milyen arcot vágott. A tétjei nagyságát általában nem tudjuk követ-
23 keztetésre felhasználni. A viszonylag nagy számú lapból adódóan sokat kell az osztással és a cserével bajlódni, a konkrét játékra kevesebb idő marad. A résztvevők létszáma korlátozva van, ugyanis egy csomaggal legfeljebb hat személy játszhat csak. Ritkán adódik úgy, hogy két jó lappal rendelkező játékos küzd egymással, például full egy flush ellen. Összesen két licitkör van, ami kevés manőverezésre nyújt lehetőséget. Így jutunk el a Texas Hold’em változathoz, amely az összes felmerülő problémára megoldást kínál. 2.7. A Texas Hold'em pókerváltozat szabályai, menete Texas Hold'em egy olyan pókerváltozat, amelyben két saját és öt közös lapból kell öt lapot kiválasztani, és az így kapott öt lap által meghatározott kombináció erősorrendje határozza meg a játék kimenetelét. A gyakorlatban ez azt jelenti, hogy a játékos választhatja az asztalon középen lévő öt közös kártyát (az asztalt játssza meg), vagy az öt közösből négyet, és egy sajátot, vagy pedig hármat és mindkét sajátot. A játék kezdetén az osztás előtt az osztótól balra következő két játékosnak kell vak alaptétet betennie, a közvetlenül balra ülőnek az alaptét felét, a mellette lévő játékosnak pedig a teljes alaptétet. Ezek teljes értékű tétek, azaz a játékba beszámítanak. Ezután a játék úgy folytatódik, hogy minden játékosnak két zárt lapot osztanak, amit csak ők láthatnak. Az első licitkört a vaklicitet tett játékosok balján ülő játékos kezdi meg, az osztótól hárommal balra, azzal a megszorítással, hogy az első körben passzolni a teljes alaptétet betevő játékos kivételével nem lehet. Így aki még nem tett be tétet, arról dönthet, hogy megadja az alaptétet, vagy megadja, és emel rajta. A kör végeztével az osztótól kettővel balra ülő játékos még emelhet, vagy passzolhat. Ezután az osztó három nyílt, mindenki számára látható kártyát helyez az asztalra, ami után újabb licitkör következik, amit az első az osztótól balra ülő, még játékban lévő játékos kezd. Ennek végeztével egy újabb nyílt lap elhelyezése jön, majd újabb licitkör következik, amit szintén az osztótól balra ülő, még bent maradt játékos kezd, aztán még egy lap, és még egy licit, aminek eredményeképpen az asztalon 5 közös nyílt lap lesz. Az utolsó licit lezárulta után következik a bemutatás, ahol az nyer, aki 2 zárt kártyájából, és az asztalon lévő közös kártyákból (összesen 7 lap), a legjobb 5 lapos kombinációt tudja összehozni. A következő ábra illusztrálja egy játék végkimenetelét, egyben megismerhetjük egy ilyen játék kezelőfelületét.
24
3. ábra
Mint látható, három játékos maradt játékban a bemutatásig, nevezzük őket értelemszerűen jobb felsőnek, felsőnek és bal felsőnek. A többiek korábban bedobták a lapjaikat. A lapok erőssége itt a következőképpen alakult, a gyengébbtől az erősebb felé haladva:19 -
A jobb felső játékos ász fullal rendelkezik, az ász drillje mellé kilences párja van. Ő a bent lévő lapok közül négyet használt fel, és a treff hármast treff kilencesével helyettesítette. A bal felső játékos is ász fullal rendelkezik, ahol az ő drillje is ász, viszont a párja király. Ő a bent lévő három ászt használta fel, ahhoz illesztve a két királyt. A győztes viszont a felső játékos, akinek ász pókere van, szintén a három ászt felhasználva.
2.7.1. A Hold’em játék további tulajdonságai
A kevés leosztott lapból adódik, hogy a Hold’em-et sokan játszhatják. Elméletileg akár 23-an is részt vehetnek a partiban, de a megszokott maximális létszám tíz vagy tizenegy. Természetesen a játék menete erősen függ a résztvevők számától. A sok résztvevő nehezebb kiismerhetősége miatt a játék izgalmas. A játékosok lapjáról a viselkedésük alapján elég sok információt lehet kinyerni. Sokszor vannak változatos kombinációk, illetve gyakori a jó lapok egymás elleni csatája. A sok emelési lehetőség miatt a várható nyeremény és a nyerési esély aránya lehetőséget ad bizonyos hiányos információs stratégiák alkalmazására, ami jelenleg a mesterséges intelligencia egy kiemelt kutatási területe. 19
Itt egy igen kivételes leosztást láthatunk, amely jól illusztrálja a Hold’em játék azon tulajdonságát, hogy gyakrabban küzdenek egymás ellen jó lapokkal a játékosok. Ezzel kapcsolatban lásd még a 2.7.1 részt.
25
3. Az online szerencsejáték informatikai biztonsági kérdéseinek a szerencsejáték-szervező szempontjából történő megközelítése Ebben a fejezetben az informatikai biztonság kérdését magunkat a szerencsejáték-szervező szerepébe képzelve vizsgáljuk. Bizonyos esetekben ezek egybeesnek a játékban résztvevők kockázataival, ott egyben tárgyaljuk a két kérdést. 3.1. Általános bevezetés a szerencsejáték informatikai vonatkozásaiba Célunk a következő: -
-
Háttér információkat adni a fő biztonsági kérdésekről, amikkel szembe kell nézni, ha a magas színvonalú és hiteles online szerencsejáték megvalósításáról, ellenőrzéséről és szabályozásáról szeretnénk beszélni. Megmutatni, hogy mára létezik olyan magas szintű biztonsági technológia, amely megfelelően implementálva - elhanyagolható kivételektől eltekintve megüti a kívánt mércét. Körvonalazni azokat a kockázatkezelő stratégiákat, melyeket alkalmazva hatékonyan biztosíthatjuk a kívánt feltételeket az online játék világában. Ezen túl tömören tárgyaljuk a technológia és az adatkezelés közötti kapcsolatot. További célunk, hogy gyakorlati példákkal és módszerekkel is bemutassuk azokat a fő fejezeteket, amelyekkel ma a szabályozó testületek szembekerülnek, amikor megpróbálják definiálni és kikényszeríteni a ma elérhető legmagasabb biztonsági szintet. Ezt követően a ma elérhető megoldásokat követjük végig.
A kulcsmondat ebben a fejezetben legyen az, hogy a biztonság megteremtése mára a teljes szoftver-életcikluson végigkövetendő, az üzletmenetet jelentősen befolyásoló folyamatot jelent. Egy olyan e-kereskedelmi oldal létrehozása, amely az elindítás pillanatában biztonságos, még nem jelenti azt, hogy minden feladat végére értünk. Ugyanolyan fontos, hogy a biztonság fenntartható legyen. A folyamatos és aktív védelmi intézkedések hiányában a biztonsági szint elkerülhetetlenül romlásnak indul az idő múlásával, aminek okait szintén tárgyaljuk majd. 3.2. Háttér információk A szerzőnek ezzel az anyaggal nem titkolt célja, hogy olyan kérdéseket is felvessen, amit nem lehet egyértelműen megválaszolni. Az online szerencsejáték vonatkozásában a biztonság kérdése számos, egymást részben átfedő széles részterületre oszlik. Lényegében azonban ugyanazt jelenti a biztonság, mint máshol, azaz a biztonság az adataink és információink megvédése a nem engedélyezett eléréstől és módosítástól. Ennek alapján elmondhatjuk, hogy az online szerencsejátéknak nincs olyan részterülete, ami ne lenne szoros összefüggésben a biztonsággal. Az informatikai biztonság alapkérdéseihez kitűnő bevezetés a [2] Noha az információ elvesztésének vagy megváltozásának számos módja van,
26 ezen belül itt elsősorban azokról a vonatkozásokra fogunk koncentrálni, amelyek általában elfogadottan az informatikai biztonság témakörébe tartoznak. Az átfedő részeket, illetőleg azokat a problémákat, amelyek matematikai vagy játékelméleti okokból jelentkeznek, külön tárgyaljuk. Ezen belül újra hangsúlyozzuk, hogy az üzemeltető szempontjából jelentkező kockázatokról lesz szó. A tárgyalásban egy tipikus életciklus vonala mellett haladunk az anyaggal, a kezdeti tervezési lépésekkel kezdve, keresztül az implementáción és a működtetésen át, egészen a megszűnésig. Először megvizsgáljuk, hogy az online játék miért lehet vonzó célpont a rossz szándékú támadók számára, és leírunk néhány nézetet és dimenziót, amelyeknek a szemszögéből a biztonságot tárgyalni lehet. Megadjuk egy kaszinó általános felépítését és modelljét, majd bepillantást nyerhetünk néhány kérdésre, amelyeket figyelembe kell venni, amikor elkészítünk és implementálunk egy online játékhelyet, annak érdekében, hogy minimalizáljuk a lehetséges működési problémákat. A hitelkártyákkal kapcsolatos kérdések rövid leírásával is foglalkozunk, majd ezt az új és fejlődő technológiák kifejtésével fejezzük be. Ezután a fenntartható biztonság kérdésével foglalkozunk, majd a játékosok adatvédelmével zárul a fejezet. 3.3. Az online játékhely, mint támadási célpont Miért vonzó célpont az online szerencsejáték? A rossz szándékkal közelítők számára az alábbi okok teszik kiemelt célponttá az iparágat: -
A pénz nagy mennyiségbeli jelenléte az ágazatban.20 Egy eredetileg is rejtetten meglévő, későbbiekben véletlenül létrehozott, vagy szándékosan előidézett biztonsági hiányosságot közvetlen anyagi haszonszerzés céljára is fel lehet használni. Miután a vállalkozás legális21működése keretében fizet ki pénzt, a csalás felderítése bonyolult lehet. A játékhelyen vagy kaszinónál történő nagyszámú pénzügyi és egyéb tranzakció nehezíti a rossz szándékú tevékenységek kiszűrését. A kaszinó hitelkártya-számok valószínű forrása lehet, miután a hitelkártyás fizetés messze a legelterjedtebb az online játék világában. Személyes adatok valószínű forrása, amelyeket az identitás meghamisítására lehet használni. A rendszeren keresztülfutó nagy mennyiségű pénz alkalmat nyújthat a pénzmosásra. A társadalom nem tekinti az Internetet alapvetően álságosnak, rossznak, így az online játékot sem, míg a hagyományos iparágban érezhető ilyen társadalmi előítélet.
Az előbbiekben leírt, elsősorban anyagi természetű indokokon túl a hackereknek egyéni gondolkodásmódjuk és személyiségük miatt további okaik lehetnek arra, hogy éppen ezeket az oldalakat támadják: 20 21
Nagy személyes tekintélyhez jutnak, ha egy olyan nagynevű oldalt, amiről komoly biztonsági intézkedések sejthetőek, sikerül feltörni.
Az adatokra vonatkozóan lásd az 1.2 fejezetet. A játék legális volta egyáltalán nem lezárt fejezet, a kérdés több vonatkozásával is foglalkozunk még.
27 -
Az online szerencsejáték morális és szociális problémákat is felvet, így lehet, hogy a hacker személyes ellenérzéseket táplál a szerencsejáték iránt, esetleg bosszúból cselekszik. Az alkalmazottak vagy konkurensek ellenszenvvel viseltethetnek a szervezet iránt.
Ebből a megközelítésből kiindulva elmondható, hogy az online kaszinókban talán még szélesebb körű biztonsági intézkedésekre van szükség, mint egy bankban, vagy egy online banki szolgáltatás nyújtásakor. Az okok a következők: - A társadalom komolyabb ellenőrzést vár el egy olyan tevékenység esetén, amit valamilyen szempontból gyanúval vagy előítélettel szemlél, és az internetes szerencsejáték tipikusan ilyen. - A banktevékenységgel ellentétben a szerencsejáték lényege az, hogy valamihez semmiért is hozzájuthatunk. Így egy játékos számlájának hirtelen növekedése, vagy egy az eddigi befizetéseknél nagyobb összegű kifizetés nem feltétlenül gyanús. - A bankokat a társadalom általában biztonságosnak tekinti. 3.4. A támadások csoportosítása különböző szempontok szerint Sok szempontból lehet a támadásokat osztályozni. Ezek közül vizsgálunk meg néhány jól használható megközelítést. A támadások megnevezése során az [1] iránymutatását követtük. 3.4.1. A támadás forrása, külső és belső támadási felületek
A legtöbb biztonsági mérték és megközelítés a külső támadásra fókuszál. Az elemzések után elfogadott közelítésnek tekinthető, hogy a számítógéppel kapcsolatos csalásoknak 70 százalékában személyzethez, alvállalkozóhoz, vagy beszállítóhoz tartozó felbujtója van. Így értelemszerűen fontos, hogy a rendszer a belső támadások ellen védve legyen. Mindamellett a maradék 30 százalék még szignifikáns részt képvisel, így a külső védelmet sem lehet feláldozni pusztán azért, mert a belső törések gyakoribbak. A leggyakoribb, támadáshoz vezető belső gyengeségek a következők: -
-
A játékszervert ugyanazon a hálózati szegmensen elhelyezni, mint a nem játékkal kapcsolatosakat, vagy még nagyobb, ezzel kapcsolatos hibát elkövetni, amelyre az olvasó is könnyedén találhat példát, nem szeretnénk senkinek sem ötletet adni. Olyan hálózati menedzsment eszközök bevezetése és használata, amelyek használhatják, rosszabb esetben írhatják a játékkal, vagy a rendszerrel kapcsolatos kritikus erőforrásokat. Kényes adatok kódolatlan átvitele egy nem biztonságos hálózaton. Ahogy a későbbiekben szó lesz róla, ez sokszor elkerülhetetlen. Vírusvédelmi eszközök használatnak hiánya, vagy azok rossz beállítása. Nem megfelelően kezelt személyes ügyféladatok, vagy azokra vonatkozó gyenge irányelvek. Általános felhasználói azonosítók (pl. root) helytelen használata.
Elterjedt és gyakori külső támadáshoz vezető hiányosságok lehetnek az alább felsoroltak:
28 -
Gyenge vagy ismert hiányossággal bíró felhasználó-azonosítás. Nem megfelelően konfigurált – rendkívül kirívó esetben hiányzó - tűzfalak. A többszintű biztonsági rétegek implementációjának hiánya, aminek következtében egy támadás során a biztonsági rendszer egy külsőbb szintjének hibája esetén nem lehet időt nyerni a következő szint feltöréséig. A beszállítók által kiadott biztonsági javítások alkalmazásának elmulasztása, az ismert biztonsági hiányosságok fenntartása. Alkalmazások, amelyek olyan információt szivárogtatnak ki, amelyek egy támadás alapjául szolgálhatnak. Nem kellően titkosított alkalmazások. Nem kellően titkosított személyes adatok.
3.4.2. Ismert vagy ismeretlen módszerrel történő támadások kérdése
A számítógépes rendszerek bonyolultsága olyan jellegű, hogy a rendszer biztonságosságát sohasem lehet bizonyítani, csak azt lehet bizonyítani, ha egy rendszer nem biztonságos. Ezért biztonságosság megállapításának dimenzióit kéttényezős stratégiával célszerű vizsgálni, melyben az ismert és az ismeretlen támadás elleni védelem is szerepet kap. A szükséges előzetes lépések megtétele az ismert támadások ellen: -
A beszállítók biztonsági javításainak alkalmazása. Ne válasszunk, vagy fogadjunk el használatra olyan alkalmazásokat, amelyeknek ismert gyengeségei vannak. Ha mégis ilyen alkalmazást kell használni, tegyünk további lépéseket a kockázat kezelésére. Ha egy kijavítatlan hiba kerül egy használt alkalmazásban felfedezésre, készüljünk fel a fokozódó veszélyre.
A támadók elleni macska-egér harcban valósítsunk meg olyan reaktív stratégiákat, amelyek lehetővé teszik az új és ismeretlen támadások felderítését és a károk csökkentését: -
-
Használjunk hálózati behatolás-érzékelő szoftvereket, hogy meghatározzuk, hogy a biztonsági feltételeink és kritériumaink megsérültek-e. Használjuk az egyes host-okon is behatolás-érzékelést, hogy megmondhassuk, hogy a host támadás alatt van-e, vagy sem. Valószínű, hogy egy sikeres támadó gyorsan működésképtelenné teszi ezt a behatolásérzékelőt, így csak egy pár kezdeti figyelmeztető üzenetet kapunk attól. Elemezzük, és egymással összefüggésben is vizsgáljuk a különböző forrásokról érkező bejelentkezéseket. Készítsünk biztonsági másolatokat, és rendszeresen ellenőrizzük, hogy azok a másolatok alkalmasak-e a rendszer visszaállítására. Készítsünk előre rögzített cselekvési tervet és taktikát támadás esetére, mert a támadás bekövetkeztekor erre biztosan nem lesz idő. Végül a legfontosabb, legyünk éberek, és fogadjuk el, hogy nem tudjuk megszüntetni a veszélyt.
3.4.3. Ellenőrizhető biztonságban
és
nem
ellenőrizhető
tényezők
az
informatikai
29 Az online játékhoz szükséges infrastruktúra számos része biztosítható a támadás ellen, így: -
Biztonságos adattároló központ, ahol a host elhelyezésre kerül. A központi szerver. Az operátorok környezete A helyi hálózat és a magán hálózati kapcsolatok.
A hagyományos játéktól eltérően, ahol a rendszer szinte minden aspektusa ellenőrizhető, az online játékhoz kapcsolódó számos alrendszer ellenőrzése esik kívül a játékhelyet működtetők hatáskörén, így: -
A játékos számítógépe. Annak szoftverei, böngészők, operációs rendszerek, azok verziói, stb. Az operátor számítógépe, annak szoftverei. A banki infrastruktúra, annak tényezői. A játékhely és a bankrendszer közötti interfész és kapcsolati réteg. Maga az Internet.
Elfogadhatjuk definíciónak, hogy amit nem lehet ellenőrizni, azt nem lehet biztonságossá sem tenni. Így az ellenőrizhetetlen külső alrendszereket a legszigorúbb belső biztonsági szempontok között kell kezelni. A helyzetet tovább bonyolítja, hogy néhány interfész sem lesz biztonságos, miután előfordulhat, hogy néhány banki tranzakció minden biztonsági ellenőrzés nélkül, pusztán szövegként fut majd át bizonyos hálózatokon.22A rendszer megalkotásakor mindezekre figyelemmel kell lenni. Miután technikai jellegű megoldások nem léteznek, így nem technikai módszereket kell alkalmazni a rendszer monitorozására és védelmére. 3.4.4. Megelőző és ellenlépéses stratégiák a baj elkerülésére
A megfelelő biztonsági szint érdekében passzív és aktív védelmet is alkalmazni kell. Passzív védelmen általában a támadás megelőzése, elkerülése érdekében tett lépéseket értünk. Példaként egy gépkocsiban passzív biztonsági eszköz egy blokkolásgátló, ami a baleset megtörténtét hivatott megakadályozni. Hasonlóan a légzsák aktív biztonsági eszköz, ami akkor segít, ha az egyik baj már megtörtént, hogy egy második, még nagyobb bajt megakadályozzon. Passzív, megelőző stratégiák: 22
Erős hálózati architektúra használata a tervezés során. Ellenőrző eszközök minden biztonsági zóna minden egyes belépési pontjánál, beleértve a banki interfészeket, az operátorok felhasználói felületeit, és az ügyfelek interfészét. Erős titkosítási és azonosítási technológiák használata. Többszörös biztonsági zónák minden funkcionális egységhez, az egyes zónák között gateway-ekkel. A biztonsági zóna külső határán, a gyűrűn lévő gépekhez kapcsolódó magas szintű védelem. A biztonsággal kapcsolatos fórumok, listák nyomon követése, és az ott megjelenő hibák gyors javítása.
Nem elsősorban az Internetre kell itt gondolni, sokkal inkább egy banki adatbázis egy lekérdezésére.
30 -
Valós idejű, teljes körű naplózás. Rendszeres visszamentés és visszaállítási próbák.
Reaktív, ellenlépéses biztonsági módszerek -
A hálózati forgalom monitorozása, a jogosulatlan adatforgalom ellenőrzésére. A különálló részfeladattal ellátott számítógépes alrendszerek monitorozása az illegális tevékenység bizonyítására. A biztonsági naplók legalább naponkénti vizsgálata. A tranzakciós naplók karbantartása. A tranzakciók és egyenlegek összeegyeztetése Tranzakció hitelesítés.
3.4.5. Termékek, irányelvek és eljárások a biztonság megteremtésében
Az egyes fizikai vagy szoftver termékek önmagukban sosem garantálják a biztonságot, és ugyanez mondható el az alkalmazott biztonsági irányelvekről és eljárásokról is. A biztonsági irányelveknek, melyeket részben a szabályozások, részben az üzleti követelmények határoznak meg, specifikálniuk kell azt a biztonsági környezetet, amelyet meg szeretnénk alkotni. Miután ez egy speciális vállalkozás, a biztonsági irányelveknek is speciálisaknak kell lenniük. Az irányelvek meghatározása után kerülhet sor azon termékek megvásárlására, és olyan védelmi eljárások kifejlesztésére, amelyek kielégítik az eddigiekben meghatározott biztonsági követelményeket. A három komponenst szorosan össze kell egyeztetni és dolgozni ahhoz, hogy a megkívánt védelem hatékony és működő legyen. 3.5. Kockázatkezelés az online játék világában Minden emberi tevékenység hordoz magában kockázatokat, így a kockázatkezelést minden emberi interakció kapcsán el kell végezni oly módon, hogy a megelőzés költsége arányban álljon a kockázat bekövetkeztének valószínűségével. Eltekintve attól a később szóba kerülő kérdéstől, hogy az online kereskedelmi tevékenység kockázatosabb-e, mint a hagyományos, új módszerű kockázatkezelésre kell gondolnunk, amikor az online piacról van szó. Ugyanis a működtetők nem az egyedüli kockázathordozók ebben az iparágban, rajtuk kívül kockázati terhet viselnek még a: -
Szabályozók, akik a játék világával kapcsolatos állásfoglalásokat és globális elveket megalkotják. Beszállítók, amennyiben az általuk előállított alrendszert támadják meg. Megtörténhet ugyanis, hogy a beszállított komponens jó és biztonságos, a többi komponens hibája miatt mégis feltörésre kerül. Tesztlaboratóriumok és elemzők, akik az egyes szoftver-komponenseket, illetve magát a játékhelyet hitelesítik és minősítik. Ügyfelek, azaz a játékosok, akik a pénzüket kockáztatják.
Ennek alapján a kockázatkezeléssel kapcsolatos döntéseket nem lehet csak a működtető saját feladatának és döntésének tekinteni. A többi kockázatviselőt is be
31 kell vonni a folyamatba, és az abból következő döntésekbe. Bizonyos mértékben a játékosok is hoznak kockázatokkal kapcsolatos döntéseket, amikor úgy határoznak, online játékhoz kezdenek. Alapvetően szükséges, hogy ehhez rendelkezzenek információkkal és javaslatokkal, amiknek forrása lehet az üzemeltető, barátaik, a média, illetve a saját tapasztalataik. Ezen túl a játékosok a szabályozókban bíznak, tőlük várják annak biztosítását, hogy a védelem fennáll. Annak meghatározása, hogy mi tekinthető elfogadható kockázatnak, nem lehet pusztán a működtető tetszőleges elhatározása. A többi szereplő bevonása, véleményük, javaslataik feldolgozása nagymértékben növeli az elérhető biztonsági szintet. Néhány példa arra, mihez vezethet az ő kihagyásuk. Egy működtető eldöntheti, hogy a játékosok által hívható ügyfélszolgálat munkatársai hozzáférhessenek-e az online kaszinóhoz, ily módon megfigyelhetik, és első kézből tudomást szerezhetnek a játékosok problémáiról, azokat könnyen orvosolva. Másrészt viszont egy pár hónapi üzemeltetési tapasztalat után az egyik belső ember észreveheti, hogy a rendszer egy picikét másként viselkedik, amikor egy meghatározott esemény meg fog történni. Példaként említhetjük, hogy rájön, hogy mielőtt a jackpot23kiadásra kerül, a CPU használat 10 százalékal megnő. Ezután már csak el kell kezdenie játszania a megadott időben, amit megtehet, miután az elején ehhez adtunk neki jogot. Így tudását kihasználva nagy tisztességtelen előnyre tehet szert a többi játékossal szemben. Másik példaként a működtető úgy vélheti, hogy a hitelkártyákkal kapcsolatos veszélyek csekélyek, miután a maximálisan be- és kifizethető összegek határa alacsony. Így úgy döntenek, nem titkosítják a hitelkártyaszámokat. Nem sokkal később az oldalt feltörik. Noha a működtető nem tudhatja biztosan, hogy a hitelkártyák listáját ellopták-e vagy sem, a játékosait értesítenie kell, hogy hitelkártyájukat letiltathassák. A média figyelmét biztosan nem kerüli el majd egy ilyen esemény, így az üzemeltető úgy dönt, a betörés tényét nem teszi közzé. Az ez után bekövetkező visszaélések az összes online egység hírnevét rontják majd, nem csak azét, aki a hibát elkövette. Ennek következménye az, hogy a ma alkalmazott biztonsági szinten az internetes kaszinókat hitelkártya-szempontból igen kockázatosnak ítélik, és ez meg is látszik a szolgáltatók által alkalmazott díjakon. 3.6. Kaszinók elleni támadások céljai és résztvevői Alapvetően két forrásból lehet számítani támadásra: -
A működtető, és annak beszállítói. A látogatók, ügyfelek, és harmadik személy.
3.6.1. A működtető és partnerei által indított támadások
23
A jackpot általában valamilyen extra nyereményt vagy főnyereményt jelent, esetleg a kettő kombinációját. Pontosan szabályozott a kiadása, bizonyos esemény hatására lép életbe, például ha egy játékos a pókerben royal flush-t ér el.
32 Az általuk elkövetett támadások céljai a következők lehetnek: -
-
A játékok rendszerének módosítása abból a célból, hogy a játékosoknak visszajuttatott összeg az előírtnál vagy matematikailag várhatónál kevesebb legyen. Ez azt jelenti, hogy a játékért felelős szoftver-komponenst, vagy a véletlenszám-generátort hamisítják meg. Inkább a kaszinókra jellemző, a játékhelyeknek kevésbé állhat ez érdekében. Pénzösszegek átirányítása egy játékostól a kaszinó vagy egy másik játékos számlájára. Ennek a tevékenységnek a skálája az egyszerű lopástól a kvázi legális kölcsönzésig terjedhet. Meghamisítani az üzleti adatokat, hogy csökkentsék a fizetendő adót, vagy a felügyelő szervnek fizetendő jutalékot. Olyan banki vagy személyes információk kinyerése, melynek révén a játékosokról a játékhoz nem kapcsolódó adatokat lehet gyűjteni. Pénzmosásban való részvétel.
3.6.1.1. Az üzemeltető vagy annak alkalmazottai és a beszállítók által indított támadások elleni védelem eszközeiről
Ebben a részben elsősorban a működtetők és azok legfontosabb alkalmazottainak a becsületességi ellenőrzését tárgyaljuk. Ez a nem technikai jellegű ellenőrzés – a tettesek elleni hatékony szankciókkal kiegészítve – bizonyítottan működő biztonsági eszköz. A jó hírnevű szervezetek valószínűleg nem befolyásolják a saját játékkal kapcsolatos rendszereiket, mivel túl sokat vesztenének, ha azt felfedeznék.24 Más indítékok vannak, mint például a pénzmosás. Egy jól megtervezett és üzemeltetett kaszinó alapvetően nem jó eszköz a játékosoknak a pénzmosáshoz, minthogy minden tranzakció rögzített és lenyomozható. Azonban a működtetők részére potenciális lehetőség nyílik a pénzmosásra. A szabályozónak nagy figyelmet kell arra fordítania, hogy ezt megakadályozza, ami a következő módokon történhet: -
Erős feddhetetlenségi vizsgálatok Rendszeres jelentés a bevételekről és a nyereségről A nyereség átutalásához használható folyószámlák számára és típusára vonatkozó megszorítások. Az alkalmazottak technikai jellegű ellenőrzése.
Lényegesen nagyobb kockázat, ha egy alkalmazott, vagy alkalmazottak csoportja támadást kísérel meg a rendszer ellen. Ezen okból a szervezeten belülről a rendszerhez vezető, illetőleg harmadik személy részéről a rendszerhez vezető interfészeket titkosítani kell. A fentebb leírt bónusszal kapcsolatos, mindössze egy alkalmazottat igénylő csalás megelőzéséhez a rendszert úgy kell megtervezni, hogy alkalmazottak ne tudjanak semmilyen módon játékosként bejelentkezni a rendszerbe sem a munkahelyükről, sem máshonnan. Ügyelni kell arra, hogy a titkos információt más kommunikációs eszközzel se tudják kijuttatni. 24
A hangsúly a valószínűleg szón van.
33
Ezen túl az alkalmazottak minden cselekvését naplózni kell, minden egyes alkalmazottra vonatkozóan külön-külön és részletesen. Jobb esetben ez nem csak digitális formában történik meg, hanem papíron is marad nyoma. Ennek a következménye, hogy nem lehetnek a rendszerben többek által használható, általános felhasználói nevek, mint pl. root. Ahol ez nem lehetséges, ott további intézkedésként titokmegosztást kell alkalmazni a jelszó védelme érdekében. 3.6.2. Egyéni, a játékosok közül kikerülők vagy harmadik személy által végrehajtott támadások
A következőkben ismertetjük a legismertebb támadási formák között az online világra leginkább jellemzőket. Ne feledjük, ezt még mindig a szerencsejáték-szervező szempontjából tesszük. 3.6.2.1. Méhcsípés-támadás
Ez a típusú támadás talán a leggyakoribb – és talán a legveszélytelenebb - a kaszinók ellen. Igazából nem magát az informatikai rendszert támadják, hanem a kaszinó által alkotott szabályrendszer ellentmondásait, vagy hibáit igyekeznek kiaknázni. Jellemzően akkor fordul elő, amikor a játék során mód van rá, hogy szisztematikus módszerrel a befektetett pénz 100 százalékát, vagy közel annyit meg lehet őrizni. Ennek azért van jelentősége, mert a legtöbb oldal promóciós célból a befizetett pénz után ajánl valamilyen százalékos bónuszt25, ami lehet 10-től 100-ig szinte bármennyi százalék. Ahogy látni fogjuk, az olyan alapvetően tisztességes játékok, mint a Blackjack, lehetőséget kínálnak arra, hogy nagy valószínűséggel lehessen őrizni a befektetett összeget. Miután az ilyen bónuszoknak az a feltétele, hogy bizonyos számú leosztást lejátsszon a játékos, nem nehéz úgy megválasztani a tétet, hogy megfelelő ideig játszva a bónusz teljes egészében nyereségként jelenjen meg. Ezt nagyon sokan alkalmazzák, ezért egyre szigorúbb szabályokat határoznak meg a bónuszok igénybevételére. Másik taktikaként, ha azt észlelik, hogy valaki csak a bónusz kivételére hajt, egyszerűen nem küldik neki a pénzt, miután a játékos lehetőségei igen korlátozottak ilyenkor. El kell azonban mondani, hogy amennyiben a játékos korrekt módon veszi igénybe a bónuszt, esetleg többet fizet be, mint amennyi a bónusz kinyeréséhez szükséges, akkor nemigen akadékoskodnak. Nézzünk néhány példát erre, ismét a technikai részletek nélkül, mivel senkinek nem akarunk ötleteket adni. Az első ilyen Golden Palace elleni bónuszokra alapuló támadás. Az elkövető csoport úgy „hangszerelte” a támadást, hogy annak során teljes egészében betartotta a kaszinó által meghatározott feltételeket. Noha a felügyelő szerv megállapította, hogy a támadásnak az volt a célja, hogy egy tapasztalatlan kaszinó-működtetőtől előnyt csikarjanak ki, vitatható, hogy a kaszinót jogosan kényszeríthették-e a kifizetések jóváhagyására, dacára annak, hogy a támadók elvben a szabályok szellemében működtek.
25
Példaként 100 befizetett dollárhoz hozzátesz még 50-et, de összesen legalább 100 leosztást kell lejátszani, hogy kifizetést lehessen kérni.
34 Másik példakánt a Lasseters cégnél a pókert lehetett úgy játszani, hogy a befizetett összeg száz százalékánál többet is meg lehetett szerezni. A méhcsípéses támadások egy további formájára érdekes módon az esélyegyenlőséggel és adatvédelemmel foglalkozó egyesületek hívták fel a figyelmet. Többnyire az a probléma lényege, hogy az életkor illetve a lakóhely ellenőrzésre való hatáskör hiánya miatt bizonyos befizetéseket vissza lehet követelni, ha azt nem jogosult személy tette. Példaként előfordult, hogy valaki saját 18-ik életévét még nem betöltött, de bankkártya-használatra már jogosult gyermeke nevében kezdett különböző helyeken játszani. Ha nyert, eltette a pénzt, ha nem, visszakövetelte a befizetett összeget, mondván azt a gyereke nem jogszerűen használta. A legjobb védelem az ilyen jellegű támadásokra a friss hírek folyamatos gyűjtése a játékszakértőktől, fórumokról, és a szabályozók háttéranyagaiból. Az ilyen emberek ügyesek a szabályok hibáinak és réseinek megtalálásában, miután a legtöbbet már ismerik a hagyományos kaszinókból. 3.6.2.2. Egyszerű szolgáltatás hiánya támadás
Az egyszerű szolgáltatás hiánya támadás a játékosokat a kaszinó oldal elérésében akadályozza meg. Általános formái: -
Egyetlen forrásgépről indított támadás, amely a célszámítógép valamely gyengeségét aknázza ki, hogy az összeomoljon, például folyamatosan újrainduljon. Egyetlen forrásgép árasztja el a célgépet haszontalan forgalommal, így az nem tudja a hagyományos tevékenységeit végezni. Speciális internetes vonatkozás, hogy a játékszerveren olyan mennyiségű játékpénzben játszott játékot kezdeményeznek, hogy annak nem marad erőforrása a valós pénzben történő játék kiszolgálására.
A fentebb leírt egyszerűbb támadások ellen hatékony védelmi eljárásokat lehet alkalmazni, azonban vannak a szolgáltatás hiánya támadásnak alattomosabb formái is, ami ellen nagyon nehéz a védekezés. 3.6.2.3. Az elosztott szolgáltatás hiánya támadás
Az elosztott szolgáltatás hiánya támadás általában az alábbi jellemző felépítéssel bír: -
A támadó, vagy támadók egy csoportja először nagyszámú, az Internethez csatlakoztatott számítógépet kompromittál, jellemzően valamilyen backdoor alkalmazással. Ezután indul a valódi szimultán támadás, melynek során több, súlyosan kompromittált gépet indítanak támadásba egy másik számítógépes rendszer ellen.
A támadó számítógépek elleni válaszlépés ez esetben nem célszerű, ugyanis azoknak a gépeknek a tulajdonosai általában nem tudnak arról, hogy az ő rendszerük korrupt. Ezen túl a koordináló számítógép a legtöbbször láthatatlan a megtámadott számára. Még ha a koordinátort meg is lehet határozni, a legtöbbször az a helyzet, hogy az is egy ártatlan félhez tartozik.
35
Szerencsétlen módon a célhoz rendelkezésre álló változatos eszközök széleskörűen elterjedtek és cirkulálnak az Interneten, előre megírt programok formájában, és nem sok további képességet követelnek a támadótól. Jó példa erre, hogy 2001-ben egy sikeres és jól bemutatott elosztott szolgáltatás hiánya támadás történt egy Steve Gibson által működtetett oldal ellen. A jól ismert és tisztelt biztonsági szakértő által fent tartott www.grc.com oldal elleni akciót egy 13 éves fiú hajtotta végre, és arra lényegében nem volt hatásos védelem. A szabályozó szempontjából egy szolgáltatás hiánya támadás még elég jóindulatúnak számít, feltéve, ha az csak megbénít. A szabályozó szempontjából egy szolgáltatás hiánya támadás csak akkor komoly, ha a rendszer úgy hibásodik meg annak következtében, hogy fontos információ marad elrejtetlenül. Lássunk egy példát, amelynek máig nem tisztázottak a következményei: www.partypoker.com és az 2004. február 9-10 között a www.empirepoker.com26 oldalakon hálózati problémákat lehetett észlelni, ami ko-
molyan megbomlasztotta a játék rendjét. Ennek oka egy elosztott szolgáltatás hiánya támadás volt. Ahogy láttuk, az ilyen támadás jellemző módszere a hálózat fölösleges forgalommal való elárasztása, és így megbénítása. A megvalósítás úgy történik, hogy extrém mennyiségű kérést küldenek a hálózaton és az Interneten a szerverhez, amely módszer a megtámadott szerverek teljesítményének nyilvánvaló csökkenését eredményezi. Nem megfelelő biztonsági szint esetén ez adatvesztéshez is vezethet. Ebben az esetben - noha a támadás lelassította, illetve néhány esetben teljesen megbénította az oldalt – a működtető álláspontja szerint semmilyen hatást nem gyakorolt a játékok integritására és az adatbázisban tárolt adatokban sem tett kárt. Az ilyen támadást kemény munkával is nehéz elhárítani. Egy megfelelően kifinomult hálózati infrastruktúra a legtöbb ilyen támadásnak ellenáll ugyan, de egy összehangolt és nagy erejű akciót szinte lehetetlen kivédeni. Ennek legfőbb oka az, hogy egy ilyen támadás öngerjesztő folyamatot indít el. Az átlagos csatlakozni képtelen felhasználó újra és újra próbálkozik a belépéssel, ezzel szándékán kívül is hozzájárul a probléma növeléséhez. Normális esetben valaki bejelentkezik, aztán egy pár órán keresztül játszik. Ha azonban egy játékfüggő - mert nem szabad titkolni, hogy ilyenek is vannak - nem jut hozzá kedvenc játékához, mindent megmozgat a cél érdekében. A támadás jellegéből adódik, hogy ilyenkor a portál honlapja is megbénulhat, így azon nem lehet információt közvetíteni a játékosoknak, hogy átmenetileg ne próbálkozzanak a feljelentkezéssel. Hasonló a helyzet az e-mail-ek esetében, a támadást elszenvedő oldal csak mintegy két nap után volt képes e-mail-küldésre, amihez megint hozzájárult, hogy a bosszús felhasználók elárasztották az ügyfélszolgálatot levelekkel. Bár szerintem ezt inkább időhiány indokolhatta, a legfeljebb pár tízezres 27
26
Ezek az oldalak azonos Shared Table System-be tömörültek, aminek leírását lásd később ebben a fejezetben. 27 Ahogyan már volt szó róla, ez elsősorban akkor történhet meg, ha a webszerver azonos, vagy közeli szerveren van.
36 nagyságrendű e-mail nem. Vizsgáljuk át újra, hogy mi lehet a célja egy ilyen támadásnak? Kézenfekvő feltételezés, hogy a konkurenciának érdekében állhat a rivális megbénítása, annak a reményében, hogy annak felhasználói hozzá fognak átpártolni a leállás idején, és azok egy része a helyreállítás után sem fog visszatérni. Ez látszik a legvalószínűbb oknak. Nem árt tudni azonban, hogy az internetes pókerportálok bizonyos csoportokba, úgynevezett Shared Table System-be tömörülnek. Ez azt jelenti, hogy a különböző portálok által adott különböző kliensprogramokkal csatlakozó felhasználóknak van esélye arra, hogy egy másik portálhoz csatlakozó ellenféllel játsszon. Ebből egyiken sem vesznek észre semmit, és főleg akkor használják, amikor kevesen vannak az egyes játékhelyekhez csatlakozva. A legnagyobb létszámú ilyen tömörülést többek között pontosan a partypoker és az empirepoker alkotja, két másik kisebb szobával együtt, de van olyan kicsikből álló társulás, amelyet több mint húsz résztvevő alkot. Ennek szellemében a támadás a társuláson kívül állóktól várható feltételezhetően. Az is valószínű, hogy nem egy kisebb portálnak állhat érdekében egy nagyot támadni, hiszen érzékelhető forgalomnövekedésre egy átlag 500 felhasználós oldal nem számíthat, hanem inkább egy rossz szándékú nagy hal jöhet szóba egy másik nagy hal ellen. Az is fontos, hogy miután vannak olyan pókerszobák, amelyek csak ezzel foglalkoznak, és vannak olyanok, amelyek egy másfajta szerencsejátékkal is foglalkozó kaszinók részegységei, akkor - mivel a támadás a „tisztán” pókerszobákat érintette - ha a konkurens támadása feltételezés helytálló, akkor a támadás minden valószínűség szerint az internetes kaszinóiparból érkezett, és nem a pókerrel foglalkozóktól. Ez azért is valószínű, mert a kaszinók piaca sokkal kevésbé tiszta, mint a pókerszobáké, több a fantomcég, nagyobb a kínálat és a fluktuáció. A nem tisztességes eszközökkel operálóknak pedig az az érdekük, hogy minél nagyobb káosz legyen, hisz annál könnyebben tudnak a zavarosban halászni. Gondolhatnánk arra, hogy a pókerszoba idézi elő a támadást, vagy azt úgy állítja be, hogy külső behatolás történt, és noha valójában belső hiba vagy mulasztás történt, a kisebb presztízsveszteséggel járó magyarázatot teszik közre. Esetleg egy rosszul sikerült szervercsere vagy programfrissítés okán létrejött helyzetet igyekeznek menteni. Ami itt a lényeges, hogy miután a szobának alapvető érdeke, hogy a játék menjen a maga rendjén, csak ilyen „elhallgatós” okok jöhetnek szóba, közvetlen manipuláció kevésbé, főleg egy bejáratott és nagy presztízsű cégnél. Következő lehetőség egy nagy felkészültségű játékos önálló akciója, esetleg egy volt munkatárs vagy nagy vesztes bosszúja. Nem túl valószínű, és nem különösebben aggasztó eshetőség egy megfelelően konfigurált rendszer esetén, az erre a támadásra általában jellemző következtetéseket lehet levonni. Érdekes kérdéseket vet fel, ha az alábbi gondolatot tekintjük a támadás indítékának: Bármilyen kód vagy titkosítás feltöréséhez elengedhetetlen a megfelelő menynyiségű kódolt adat elfogása. Általánosságban elmondható, minél több kódolt szövegünk/adatunk van, annál könnyebb - persze lehet, hogy még mindig iszonyúan nehéz - a megfejtés. Szintén nagy segítség a kód megfejtéséhez, ha ugyanaz a kódolt adat
37 ismétlődik. Ha pedig azt is tudjuk, hogy várhatóan ugyanaz az üzenet ismétlődik, esetleg tudjuk a küldött adat bizonyos részét, a dolog még tovább egyszerűsödik. Másrészt, ha az adatforgalom lelassul, könnyebb kiszűrni az értékes információkat, mintha azok a normális ideig tartózkodnak a hálózat egyes pontjain, és ehhez jön még a várható ismétlődés is. Egy ilyen szituáció minden kódtörő álma. Ráadásul nem szükséges azonnal hozzálátnia rossz szándékú tevékenységéhez, bőven elég, ha a nagy mennyiségű adatot el tudja tárolni, aztán a megfelelő időben - esetleg egy újabb szolgáltatás hiánya támadással - a már megfejtett részeket ki tudja egészíteni. A következő megközelítés megdöbbentőnek és hihetetlennek tűnik, de Magyarországon élve, és ismerve a tőlünk keletebbre fekvő államokban uralkodó állapotokat, sajnos a valószínű okok között kell számon tartanunk. Történt, hogy 2003. harmadik és negyedik negyedévében számos online kaszinó operátorának kellett kényes döntést hoznia, miután orosz hacker-ek azzal a követeléssel álltak elő, hogy fizessenek nekik 50.000 dollárt, különben hamarosan osztott szolgáltatás hiánya támadás áldozataivá válhatnak. Az érintett operátorok többsége a hallgatást választotta, és miután nem akarták felfedni sebezhetőségüket, a számukat nehezen lehet megbecsülni, de valószínűleg jelentős volt az érintettek száma. A mostani esetben ezek szerint nem fizettek, ha elfogadjuk ezt a hipotézist. 3.6.3. Az oldal megszemélyesítése
A játékosok először úgy csatlakoznak egy oldalhoz, hogy beírják annak nevét a böngészőbe, például azt, hogy www.kaszino_nev.com. Ahogy ismert, ez a név IP címmé konvertálódik a DNS segítségével. Kézenfekvő támadási forma, hogy úgy hamisítják meg a DNS-t, hogy az adott név egy másik IP címhez tartozzon. Ezt követően nem jelent nagy nehézséget, hogy a kaszinót szerepét valamilyen hasonló kinézetű weboldallal eljátszva személyes adatokat, jelszavakat, hitelkártyaszámokat gyűjtsön a támadó. A szerzett információval a támadó aztán gyorsan belép a valódi kaszinóba. Erre a problémára nyilvánvaló megoldás, ha biztosítjuk, hogy a kaszinó oldal azonosítja magát azelőtt, mielőtt a felhasználó teszi azt meg. Ezt a legtöbb böngészőbe beépített SSL funkció biztosítja. A böngésző figyelmeztet, ha az oldal hiteles azonosítása meghiúsul. Sajnos azonban a felhasználónak van lehetősége arra, hogy ezeket a figyelmeztetéseket kikapcsolja, és miután a felhasználók többségét az ilyen üzenetek idegesítik, ezért ezt meg is teszik. Ha a támadónak sikerül a felhasználói név/jelszó párt megszereznie, fontos biztosítani, hogy pusztán ezzel ne tudjon pénzt ellopni az adott számláról. A pénz ellopásának lehetősége komoly akadálya az Internetes üzlet fejlődésének. A következő technikák segíthetnek a pénz lopásának elkerülésében még akkor is, ha a felhasználói fiókot feltörték: -
A nyeremény kifizetésére használt csekket csak a játékos nevére és címére lehet küldeni, nem lehet másik címet megadni, mint a tartózkodási hely. A játékos címét nem lehet addig megváltoztatni, amíg pénz van a számláján. A követendő módszer a teljes kifizetés, ezután a szükséges változtatások keresztülvitele, majd az esetleges újbóli befizetés. Csak a játékos nevén lévő folyószámlára lehet pénzt átutalni, ami a banki
38 utalásnál a számlaszám ismeretében ellenőrizhető. -
Olyan új virtuális fizetési rendszer használata, amelyben elkülönítik a pénzügyi tranzakciókat az oldalon lévő többitől.
Ennek a támadásnak egy kevésbé kifinomult formája az, amikor a támadó regisztrálja példaként a www.kazsino_nev.com címet, és a gépelési hibát vétőktől próbál az előzőekben leírt módon pénzt kiszedni. 3.6.4. Az oldal meghamisítása
Népszerű időtöltés a hacker-ek körében az oldalak meghamisítása, azaz az adott oldal helyettesítése egy másikkal.28 A webszervert tipikusan valamilyen régi, de már javított biztonsági hiányosság kihasználásával szokták meghamisítani, bár néha az újabban felfedezett hibákat is meglovagolják. A kaszinó felépítésétől függően egy ilyen támadás komolysága a presztízsveszteségtől (pl. amikor a webszerver az áldozati bárány szerepét játssza a kaszinón belül) jelentős biztonsági résig terjedhet. Példaként említhetjük azt a megtörtént esetet, amikor a webszervert futtató gépen volt az alkalmazói és adatbázis szerver is. Nem várható el a hálózattól, hogy védelmet nyújtson az ilyen támadások többségétől, miután a támadás olyan csatornáról érkezik, aminek a kaszinó működéséhez nyitva kell lennie. A következő stratégiák segíthetnek minimalizálni a valószínűségét és a következményeit egy ilyen támadásnak: -
-
Olyan rendszer tervezése, amely a webszervert mintegy áldozati bárányként tekinti. Így a webszerver egy a rendszer többi komponensétől elkülönített hálózati zónában helyezkedik el.29 Ennek következtében bármely a webszerverrel kapcsolatos probléma a rendszer többi része elleni támadás előhírnökeként tekinthető. Biztonsági minősítő eljárások, amelyek során biztosítják és ellenőrzik, hogy a beszállító valóban gyorsan kijavítja a keletkező új hiányosságokat. Hoszt behatolás jelző alkalmazás, amely mihamarabb riaszt illetéktelen behatolás esetén. Hálózati behatolás ellenőrző rendszer, amely feljegyzi, ha valamely már kijavított hibát kihasználó módszerrel kísérelnek meg behatolást. Ez szintén a készülő támadás előjele lehet.
3.6.5. Az információ ellopása
Mára ez az a legfontosabb biztonsági kockázat az internetes kereskedelmi iparban, és a két legnagyobb egyike az online szerencsejátékban. A támadásnak több formája van, két aktuális példa:
A www.attrition.org oldalon lehet ilyen történetekről dicsekvő hackerekkel találkozni. Magyar vonatkozásokról a http://core.koga.hu/defaced/ címen lehet olvasni. 29 Lásd még a 4.1 fejezetet. 28
39 -
Szellemi tulajdon ellopása30 Hitelkártyaszámok ellopása31
A védelmi stratégiát az kell, hogy meghatározza, hogy milyen információt és hogyan kell titokban tartani a rendszerben. A lehetséges stratégiák közül megemlítendőek: -
-
Az adatbázisok külön biztonsági zónában történő tárolása. A tárolt információ természetétől függően az üzemeltetőnek szüksége lehet akár az oldal teljes leállítására is, ha egy az adatbázist tároló zónával szomszédos zóna integritása kérdésessé válik. Az adatbázis zóna megtámadása utáni leállítás már valószínűleg megkésett védelmi reakció. Az értékes adatok titkosítása egyirányú függvénnyel mindenütt, ahol csak lehetséges. A nem megfelelően megválasztott kétirányú függvényes titkosítás csak időnyerésre alkalmas. Ahol lehetséges, távolítsuk el a szellemi tulajdont képező dolgokat, például a forráskódot az Internet környezetéből.
3.6.6. Információ módosítása
A legkomolyabb következményekkel rendelkező támadás mindig olyan, hogy az információkban történő módosítás eredményeképpen a megtámadott nem veszi észre a támadás bekövetkeztét, illetve csak azt követően veszi észre azt, hogy a támadásból a támadó már tőkét kovácsolt. A legnagyobb különbség az ilyen típusú sikeres támadás és a meghamisításos támadás között az időben történő észlelés kérdése. Ha a tulajdonos észleli a támadást, egy korábbi biztonsági mentés alapján esetleg sikeres lehet a helyreállítás. Lesznek ugyan költségek és presztízsveszteség, de van remény a helyreállításra. Ebből következik, hogy a védelmi stratégia ez ellen a támadás ellen az információk illetéktelen változtatásának észrevételét kell, hogy célozza, amelynek módszerei a következők lehetnek: 30
Hoszt behatolás észlelés Naplóállományok áttekintése a támadásból származó előny kiaknázásához szükséges idővel összemérhető gyakorisággal. Az egyes adatbázis állományokkal kapcsolatos jogok átgondolt kiadása. Adatbázis-szintű revízió alkalmazása minden alkalmazói szinttel kapcsolatban álló adatbázis-elem esetén. A biztonsági és vizsgálati naplóállományok azonnali átvitel egy másik rendszerre, hogy a támadó ne tudja eltüntetni támadásának nyomait.32 Tranzakció naplózás Rendszeres mentés és próba visszatöltés.
Lásd a MS elleni támadást pédául a http://news.com.com/2009-1001-247727.html?legacy=cnet címen. 31 Lásd a MyCasino oldal elleni támadást a következő két címen: http://www.casinowatch.info/clicknplaywarning.htm http://www.gamblingmagazine.com/articles/23/23-371.htm 32 Kézenfekvő megoldás lehet a naplóállományok azonnali és folyamatos papírra nyomtatása, amit igen nehéz kijátszani.
40
Nem meglepő módon az ilyen támadások többsége valószínűleg titokban marad, azonban szerencsére egy ilyen támadás sikerének az esélye kicsi egy jól felkészült kaszinó oldal ellen. 3.7. A szerencsejáték-szervezők hitelkártyákkal kapcsolatos kockázatai Ebben a részben néhány valódi és észlelt biztonsági kockázatot tárgyalunk az online játék világából. 3.7.1. Kereskedelmi kockázat
Az elektronikus kereskedelmet körülvevő negatív légkör ellenére a hitelkártyahasználat legalább akkora kockázat a kártyát elfogadó számára, mint annak, aki fizet vele. A szabályozáshoz tisztában kell lenni a működtetők hitelkártyákkal kapcsolatos kockázataival is, miután minden egyes hitelkártya-visszaélés rágalmaknak adhat táptalajt. 3.7.1.1. Hitelkártya-használat, mint MOTO tranzakció33
Jelenleg az internetes hitelkártya-tranzakciókat MOTO34 tranzakcióknak tekintik, miután nincs kézzel írott aláírás, amely megerősítené a tranzakciót. Az ilyen tranzakciókat a kártya tulajdonosa akár 180 nappal az esemény után is visszavonhatja, ami a kérdéses összeg visszafizetését is eredményezheti. A jelenséggel kapcsolatban az alábbi szabályozási anomáliák jelentek meg: -
A működtetőnek érvénytelenítenie kell-e a visszavont tranzakció felhasználásával befektetett tétekkel lejátszott leosztásokat? Ez két külön problémát jelent attól függően, hogy kaszinóról vagy játékhelyről van szó. Hogyan lehet az adóbevételeket nyilvántartani akkor, amikor egy jelentős tétet hat hónappal később vissza lehet vonni? Újra kell-e számolni az adót, ha a befizetést visszavonják?
Magyarországon az Internetes vásárlásra és kártyahasználatra egy viszonylag új és nagyjából elfogadható módszert alkalmaznak egyre több helyen. Lényege és előnye, hogy az Internetes tranzakció után a vásárló rövid szöveges üzenetet kap, amire válaszolva kell a tranzakciót megerősíteni, és az csak akkor lép életbe. Hátránya, hogy nem minden tranzakciótípus esetén alkalmazható, illetve az elfogadóhelyek sem mindenütt tolerálják ezt a módszert, ugyanis sokszor technikai vagy egyéb okok miatt nem tudnak annyit várni a tranzakció engedélyezésével vagy tiltásával, amíg az igénybevevő ahhoz ily módon hozzá nem járul.
33
A fejezetben szereplő állítások elsősorban az Egyesült Államokbeli állapotra és előírásokra alapulnak. Magyarországon nagy valószínűséggel semmilyen engedélyezett ilyen hitelkártya-tranzakciót nem térítenek vissza. Miután itthon inkább a játékos kockázatai iránt tapasztalható érdeklődés, ezek a tények mellékesnek tűnhetnek. Nem kizárt azonban, hogy már ma is vannak hazai érdekeltségek az online játékpiacban, így elkerülhetetlen hogy a témával foglalkozzunk. 34 Mail Order / Telephone Order, azaz levélben, vagy telefonon megrendelt hitelkártya-tranzakció.
41 3.7.1.2. Visszatérítési problémák
A kereskedelmi megállapodástól függően a hitelkártya-társaság itthon is kezdeményezheti a szerződés felbontását, ha a visszakövetelt tranzakciók aránya eléri, vagy meghaladja az 5 százalékot. 3.7.2. Hitelkártya adatok egyes kompromittált oldalakon
Talán a legjelentősebb kockázat ezzel kapcsolatban az a presztízs-veszteség, ami akkor léphet fel, amikor széles körben ismertté válik, hogy a hitelkártyaszámok egy listáját egy bizonyos oldalról szerezték. Ez nem jelenti azonban azt, hogy egy ilyen bekövetkezett támadást eltitkolása megengedhető lenne. Általában igaz, hogy az emberek gyanúval tekintenek az elektronikus kereskedelemre, és ez még inkább igaz az elektronikus szerencsejátékra. Minden buktatóval együtt a hitelkártyák a legkívánatosabb fizetési eszközök az elektronikus kereskedelem világában. Semmilyen más mechanizmus nem nyújtja az azonnaliság és globális lefedettségnek ezt a szintjét.
42
4. Egy online játékhely komponensei és azok biztonsági vonatkozásai A következő oldalon lévő diagramon láthatók a kulcsfontosságú funkcionális egységei egy kaszinó oldalnak. Egy konkrét implementációban néhány funkció szétbontásra, míg mások összevonásra kerülhetnek.
43
44
Vizsgáljuk meg informatikai biztonsági szempontból az egyes komponenseket! 4.1. A rendszerkomponensek Először a játékhoz fizikailag szükséges infrastruktúra elemeit tekintjük át. 4.1.1. Tűzfalak
A tűzfal elsődleges funkciója a tűzfal egyik oldaláról a másik oldalára létrehozott kapcsolatok valamilyen korlátozása. A tűzfal általában tartalmaz egy szabályrendszert, amely meghatározza, melyek az engedélyezhető kapcsolatok, és minden más jellegű kapcsolatra irányuló kérelmet visszautasít. Fel lehet úgy konfigurálni, hogy minden ilyen visszautasított kapcsolatot feljegyezzen. Ezeket az adatokat naponta át kell vizsgálni, így a megkísérelt vagy sikeres támadások erősségéről jó képet lehet kapni. Két fő széles osztálya van a tűzfalaknak: -
Kapcsolat-orientált tűzfalak Alkalmazás-szintű tűzfalak
Mindkettőnek vannak gyengéi és erősségei. Tekintsük át röviden ezeket! 4.1.1.1. Kapcsolat-orientált tűzfalak
Egy kapcsolat-orientált tűzfal a kommunikációt a kapcsolati szinten engedélyezi, vagy utasítja el. A legtöbb oldal engedélyezi a http kapcsolatot a játékos gépéről a webszerverre, ugyanakkor tiltja a telnet, vagy hasonló kapcsolatokat. A megközelítés erőssége, hogy a kapcsolat-orientált tűzfal lehet egy külön hálózati eszköz35, és így könnyen el lehet helyezni a hálózatban, miután a tűzfalat nem kell a játékszoftverhez testre szabni. Az elsődleges gyengeség, hogy nincs a forgalmazott adatokra vonatkozó ellenőrzés a kapcsolat létrehozása után. Úgy kell elképzelni az ilyen tűzfalat, mint egy telefonhívást. A kapcsolati kérelem ellenőrzött és naplózott, de nincs – vagy legalábbis a legtöbbször nincs – kontroll azt követően, hogy a kapcsolat létrejött. 4.1.1.2. Alkalmazás-szintű tűzfalak
Az alkalmazás-szintű tűzfal a kapcsolaton áthaladó adattartalom függvényében dönt az áthaladás engedélyezéséről, vagy megtagadásáról. Erőssége, hogy alapvetően magasabb szintű ellenőrzést lehet a kommunikáció felett szerezni vele. Vannak azonban gyengeségei is: -
35
Minden alkalmazás külön egyéni programozói munkát igényel, hogy a tűzfal felismerhesse, melyek érvényes üzenetek, és melyek nem engedélyezhetőek. Ez a folyamat lassú lehet, és figyelmetlenségből adódó biztonsági hibákhoz és résekhez vezethet.
A kapcsolatorientált tűzfalra inkább önálló hardveregységként, mint számítógépként célszerű gondolni.
45 -
Általában valamely szerveren fut, ami újabb biztonsági kérdéseket vet fel, ugyanis ezt a szervert is védeni kell a támadások ellen. Ha a támadónak sikerül a tűzfal szerverét befolyásolni, akkor magának a tűzfalnak a kikapcsolása már csak ujjgyakorlat.
Egy jól elkészített játékoldalban így a két tűzfal változatot kombinálva kell alkalmazni. 4.1.2. A webszerver
A webszerver a játékoldal főbejárata. Ellenőrzi a játékosok felé nyújtott grafikus tartalmat, közvetítő szerepet játszik a játékosok és az alkalmazási szerver között. 4.1.3. Alkalmazási szerver
Az alkalmazási szerver magáért a játékért a felelős. A véletlenszám-generátor általában az alkalmazási szerverben kerül elhelyezésre. A játékos saját számítógépéről érkező kérései, üzenetei a játékban (pl. tétek elhelyezése, húzás, kifizetés) átadásra kerülnek a webszervernek. A webszerver értelmezi a kérést, újracsomagolja,36 és továbbküldi az alkalmazási szervernek. Az alkalmazási szerver feldolgozza az akciót, együttműködik az adatbázis-szerverrel, majd válaszol a webszervernek. A webszerver ismét újracsomagol, majd visszaküldi a választ a játékos számítógépére. 4.1.4. A kifizetés-kezelő szerver
A kifizetés-kezelő szerver mozgatja a pénzt a játékos számlája és az általuk megjelölt cél vagy forrás, pl. hitelkártya, csekk, stb. között, illetve utasításokat ad a játékhely bankjának a csekkek játékosoknak történő kiküldésére. Az implementációtól függően ez a szerver a webszerverrel, az alkalmazási szerverrel, az adatbázisszerverrel, vagy ezek valamely kombinációjával kommunikálhat. 4.1.5. Jelentéskezelő szerver
Az adatbázisban tárolt adatok alapján jelentéseket generál az üzemeltetés és a felügyelet részére. 4.1.6. Fő adatbázis37
A fő adatbázis a kaszinóval kapcsolatos összes adatot kell, hogy tartalmazza, így: 36 37
A játékosok adatait. A játékosok játéktörténetét. A játékosok tranzakcióit és azok hitelesítésének bizonyítékait. A játékos egyenlegét. A játék beállításait. Pénzügyi adatok hitelességének bizonyítékait. Az eddigi játékok eredményeit.
Az adott hálózati rétegnek megfelelő technikai értelemben csomagolja újra. Szokás Master adatbázisnak is nevezni.
46 -
A működtető csapat adatait. A jackpot beállításait. A jackpottal kapcsolatos adatok hitelességének bizonyítékait.
4.1.7. Katasztrófa-visszaállító szerver
A katasztrófa-visszaállító adatbázis a fő adatbázis valós idejű másolata, ami alapján az összes bejegyzést és jelentést vissza lehet állítani, ha a fő adatbázisszerverrel végzetes baj történik. A szükséges biztonsági szint az, hogy a visszaállító adatbázis alapján minden, a katasztrófa megtörténte előtti tranzakciót vissza lehessen állítani. Ennek az adatbázisnak a fő adatbázistól eltérő fizikai helyszínen található gépen kell elhelyezkednie, hogy a fő adatbázist elpusztító esetleges fizikai behatás, természeti katasztrófa azt ne tudja megsemmisíteni. A fő szerver és a visszaállító szerver közötti kommunikáció erősen titkosított, és azonosított kell, hogy legyen. 4.1.8. Üzemeltetői központ
Az üzemeltetői központban kap helyet a rendszer működtetéséhez szükséges személyzet. így: -
A játékosok kéréseit, panaszait kiszolgáló személyzet. Az alkalmazást működtető személyzet. A játékot adminisztráló személyzet.
A központot őrzött épületben kell elhelyezni, ahol a belépés ellenőrizhető. A központ számítógépeit biztonságos hálózatba kell telepíteni, és a közös hálózattól tűzfallal kell elválasztani. Általában csak a működtető személyzet számára engedélyezett az épületbe való belépés, és ott a hálózatra való csatlakozás. Más személyek, mint például marketing és tervezési szakemberek a közös hálózatra csak máshonnan csatlakozhatnak, innen nem. 4.1.9. A közös LAN hálózat
A közös LAN és a kaszinó közötti kapcsolat ahhoz elengedhetetlen, hogy az üzemeltetők elérhessék a LAN-on tárolt erőforrásokat, továbbá a gazdasági, marketing osztályok is kapcsolatot teremthessenek az egyéb részlegekkel. 4.1.10. Az üzemeltetői LAN hálózat
Az üzemeltetői LAN hálózat a tűzfalak, szerverek, és más eszközök működtetésére szolgál. Szigorúan biztosított övezet, csak a közvetlen fenntartáshoz szükséges területekhez férhet hozzá, a hálózat egyéb részeihez nem. Minden rendszer-adminisztrációs funkciót az üzemeltetői LAN-on kell megvalósítani, és minden tűzfalat, szervert, és egyéb eszközt úgy kell konfigurálni, hogy csak az olyan rendszer-adminisztrációs utasításokat fogadjanak el, amelyek az üzemeltetői LAN-ról érkeznek. Ez az elrendezés azt eredményezi, hogy ezek a tevékenységek elkülönülnek a többitől, azaz a játékkal kapcsolatos események a fő LAN-on, az üzemeltetéssel kapcsolatosak pedig ezen a LAN-on futnak át.
47 Az üzemeltetői LAN alkalmazásában van kockázat is. Miután minden biztonsági eszköz ehhez van csatolva, lehetséges hátsó kaput nyithat a támadók részére. Extrém figyelem és elővigyázatosság szükséges tehát, amikor megtervezzük, implementáljuk és módosítjuk ezt a LAN-t, hogy megelőzzük a hátsó kapuk véletlen megnyitását. 4.2. Biztonsági zónák A korábbi diagramon biztonsági zónákat is meg lehetett figyelni. Egy játékhely általában többszintű biztonsági zónával rendelkezik, amelyeket külön tűzfal véd, kívülről befelé növekvő biztonsági erősséggel. Így ahhoz, hogy a legértékesebb adatokhoz hozzáférjen a támadó, több biztonsági zónát is át kell törnie, ami időt és lehetőséget ad a támadás észlelésére és az ellenlépésekre. A diagramban felvázolt biztonsági koncepció öt szintre oszlik, mint: -
Weboldal zóna Alkalmazási zóna Adatbázis zóna Üzemeltetői zóna Vállalati zóna
Vizsgáljuk meg az egyes zónák felépítését alaposabban! 4.2.1. A weboldal zóna
A weboldalhoz tartozik egy webszerver, amelyhez két oldalról kapcsolódik tűzfal. A külső tűzfal csak az Internet és a webszerver közötti forgalmat szűri, míg a belső a webszerver és az alkalmazási szerver közötti, illetve szükség szerint a webszerver és a kifizetéssel foglalkozó vagy a jelentésekért felelős szerver közötti forgalomra fókuszál. Egy behatolás-felderítő rendszer monitorozza a weboldal zónán belüli adatátvitelt, és jogosulatlan vagy váratlan forgalmazás esetén riadó eseményt vált ki. Valamilyen eszköz (például maga a webszerver) kompromittálódása esetén legalább is ki kell vizsgálni az esetet, különös tekintettel az operátor felelősségére. Egy ilyen esemény általában megkérdőjelezi az operátor alkalmasságát egy ilyen weboldal biztonságos üzemeltetésére, és a licenszelő szervezet is kivizsgálja a történteket. Mindezekkel együtt magának a rendszernek az integritása általában nem kerül veszélybe. 4.2.2. Alkalmazási zóna
Az alkalmazási zóna az alkalmazási szervert, a fizetési szervert, és a jelentésekért felelős szervert foglalja magában. A tűzfalaknak csak a webszerver és ezek között a szerverek közötti kommunikációt szabad engedélyeznie, és az ezekhez való hozzáférést külön azonosítani kell. Újabb behatolás ellenőrző eszközre van szükség, a weboldal zónánál leírthoz hasonló céllal. Az alkalmazási zónához tartozó eszköz kompromittálódása jelentősen nagyobb veszély, mint például a webszerveré. A támadó hozzáférhet a pénzügyi tranzakciókhoz, és befolyásolhatja a játékok eredményét.
48
4.2.3. Az adatbázis zóna
A zóna tartalmazza a fő és a visszaállító adatbázist, a működtetésekhez szükséges adatokat, így itt a legmagasabb szintű biztonság elengedhetetlen. A zóna bármilyen kompromittálódása az integritás teljes elvesztését jelenti. Egy külső támadónak az adatbázis zóna eléréséhez át kell jutnia az előző két zónán. Belső támadás esetén a következő pontban leírt üzemeltetői zónát kell áttörnie. Mindkét zónában behatolás-érzékelők jelezhetik, ha a támadás már elindult. A sikeres védekezés kulcsa az, hogy a működtető gyorsabban tegye meg az ellenlépéseket, mint ahogy a támadó áttöri az utolsó tűzfalat. 4.2.4. Üzemeltetői zóna
Ez a zóna tartalmazza a kaszinó mindennapi működéséhez szükséges személyzetet és azok számítógépeit. Minden ide tartozó munkatársat szigorúan ellenőrizni kell a felvétel előtt, és a licenszelés folyamán adataikat rögzíteni kell. Az adatbázis és az alkalmazói szervertől való tűzfalas védelem alapvetően szükséges, mint ahogy a közös zónától való elkülönítés is, hogy a napi műveleteket csak az üzemeltetői központból lehessen elvégezni. 4.2.5. A vállalati zóna
A diagramon látható vállalati zóna a teljesség kedvéért szerepel, és hogy hangsúlyozzuk a fizikai és logikai elkülönítést a működtetők és az egyéb személyzet között. Előfordulhat olyan megoldás is, hogy a kaszinónak semmi kapcsolata nincs a vállalati hálózattal. Ennek az elrendezés az a hátránya, hogy a nem közvetlenül a működtetéssel foglalkozók így nem férhetnek hozzá a pénzügyi, marketing és egyéb szempontból szükséges adatokhoz. Célszerű erre már a tervezés során gondolni.
49
5. Egy online játékhely biztonság-centrikus tervezésének lépései38 Egy biztonságos weboldal létrehozása és üzemeltetése nem könnyű feladat. Ahogy volt szó róla, a biztonság a projekt teljes életciklusán végigvonuló probléma. A biztonságos működéshez szorosan hozzátartozik a megbízható háttér-infrastruktúra, az adatkezelési és egyéb eljárások, sőt még a kulturált üzletpolitika is. 5.1. A szükséges erőforrásokkal kapcsolatos korai tervezési lépések A biztonságos rendszert nem lehet utólag valamilyen termék vagy eljárás beszerzésével megvásárolni. Csak abban az esetben lehet a rendszer biztonságos, ha a rendszertervezők és fejlesztők a biztonsági koncepciót alapvető követelménynek tekintik. Tapasztalt és elismert szakemberek segítségül hívása elengedhetetlen. Ezen túl nem haszontalan a más perspektívából szemlélődőek véleményét is kikérni a tervezéskor. 5.2. Hálózati architektúra Az üzemeltetői hálózat architektúrája kulcsszerepet játszik egy játékoldalnál, miután meghatározza, milyen információk milyen útvonalon futnak majd a rendszer komponensei között. A hálózati struktúra központi információ irányító szerepére alapozva fontos, hogy a hálózati eszközök konfigurációjának bármely változása esetén auditálási napló készüljön. Ideális esetben ez automatikusan végbemegy. A naplózási adatokat olyan módon kell rögzíteni, hogy egy a naplózás befolyására irányuló kísérlet akkor is nyilvánvalóan felismerhető legyen, ha esetleg az eszközök valamilyen okból nincsenek éppen a hálózatra kapcsolva, amikor a kísérlet megtörténik. A mechanizmus minden olyan esetben ellenőrizze az eszközök konfigurációját, amikor az eszköz újra a hálózathoz kapcsolódik, vagy más módon a beállítások változtatására került sor, hogy azok ismét megfelelnek-e a szabályozásban leírtaknak. A különálló hálózati monitorozás és üzemeltetői hálózat esetében szükséges az, hogy ezeket a funkciókat az éles üzem előtt teszteljük. Az elterjedt hálózati monitorozási és üzemeltetési protokollok általában nem alkalmasak erre a célra. Figyelmet kell fordítani arra, hogy az üzemeltetői hálózat ne adjon alternatív lehetőséget az elsődleges biztonsági zónák és intézkedések kikerülésére. 5.3. A számítógépes rendszerek architektúrájáról általában Ahogy korábban szó volt róla, egy internetes játékkörnyezet sok számítógépes alrendszerből áll, úgy, mint: 38
Webszerverek Banki szerverek
A biztonságos tervezés klasszikus elmélete a PreDeCo rendszer, amiről kitűnő ismertető található a http://www.biztostu.hu/oktatas/tervezesi_iranyelvek/PreDeCo_1_bevezeto.htm címen.
50 -
Adatbázis szerverek A játék-alkalmazásokat futtató szerverek Tűzfalak Operátorok gépei, stb.
Ezeknek a rendszereknek a szoftver komponensei az alábbi három bő kategóriába sorolhatóak: -
Operációs rendszerek (AIX, Linux, Windows NT, stb.) Engedélyezett alkalmazások (webszerver, adatbázisszerver, tűzfal) Játékkal kapcsolatos alkalmazások (implementációfüggő)
Mindegyik részterületre vonatkozóan különálló biztonsági tervet kell készíteni a teljes rendszer biztonsága érdekében. Bármely réteg kompromittálódása felfedi a többi réteg által tárolt adatokat. Az egyes számítógépes rendszerek biztonsági kérdését tovább bonyolítja az engedélyezett alkalmazások és az operációs rendszerek egymáshoz való viszonya. A rendszer ilyen komponenseit általában dobozos alkalmazásoknak39nevezik. A játék üzemeltetőinek kevés befolyásuk van ezeknek az alkalmazásoknak a működésére és biztonságára, ha használják azokat, figyelemmel kell lenni esetleges gyengeségeikre. A nem kívánt mellékhatás ezekkel a szoftverekkel általában a hibáikat kihasználó vírus formájában érkezik. A számítógépes vírusok valószínűleg nem is létezhetnének ezen alkalmazások nélkül. A leghatékonyabb stratégia a dobozos termékek hiányosságainak kivédésére az éberség. Az operátornak tudomást kell szereznie a nyilvánosságra kerülő biztonsági hibákról, és el kell tudni döntenie, hogyan reagáljon azokra. Mielőtt a biztonsági javításokat alkalmaznánk, meg kell vizsgálni azok esetleges mellékhatásait egy tesztkörnyezetben. A szabályozóknak is ébereknek kell lenniük. Az elfogadott és jóváhagyott dobozos rendszereket folyamatosan elemezni kell, hogy jól vizsgáznak-e a megváltozott környezetben, nem jelentek-e meg elfogadhatatlan kockázati tényezők a termékkel kapcsolatban. 5.4. Input ellenőrzés Még az évtizedes tapasztalattal rendelkező programozókkal is előfordul, hogy elmulasztják ellenőrizni, hogy a begépelt adatok kompatíbilisak-e a program által vártakkal. Ha egy nem megfelelő input ellenőrzést végrehajtó alkalmazás összeomlik a rossz típusú adat hatására, az komoly következményekkel járhat. Ha maga az operációs rendszer vagy a játékszerver omlik össze, a támadó átveheti az ellenőrzést a gép felett. A legtöbb Windows NT és Unix elleni támadás ezt a módszert használta, sajnos a legtöbbször sikerrel.
39
Angolul a COTS rövidítéssel jelölik, amelynek pontos jelentése Commercial Off The Shelf, azaz kereskedelmi polcos alkalmazások, de magyarul a dobozos szoftverek elnevezés terjedt el.
51 5.5. A játékosok és az operátorok kommunikációjának elkülönítése Az ügyfélszolgálati munkatársak nagyobb fokú hozzáféréssel rendelkeznek a rendszerhez, mint az ügyfelek (játékosok). A rendszer védelme érdekében indokolt, hogy az operátorok forgalma más útvonalon haladjon a rendszerben, mint az ügyfeleké. Így maga a hálózat akadályozhatja meg, hogy egyrészt az ügyfelek éljenek az operátorok funkcióival, másrészt az operátorok ne viselkedhessenek ügyfelekként. Természetesen ez az ellenőrzési szint azon a tervezési elven alapul, hogy a tűzfalak és hasonló eszközök képesek megkülönböztetni az operátorok forgalmát az ügyfelekétől. 5.6. Különállóan kezelt naplózás A feladatok és kötelességek elkülönítésének érdekében a naplóállományokat külön személynek kell kezelnie, aki jó esetben egy nem az elektronikus kereskedelemmel foglalkozó részlegtől érkezik. Maguk a számítógépes rendszerek úgy vannak tervezve, hogy valós időben tudjanak a naplózáshoz adatokat produkálni a különálló naplórendszernek. Mivel ez az adat elveszik, ha a naplózó rendszer leszakad a hálózatról, akár támadás, akár egyéb ok következtében, ezért a rendszernek fel kell ismernie ezt a kommunikációs hibát, és fel kell jegyeznie a naplóba, hogy üzemzavar történt, hogy azt ki lehessen vizsgálni. 5.7. Ellenőrző eszközök alkalmazása minden szinten. Ahogy korábban volt szó róla, a biztonsági irányelvek és eljárások megfelelő háttér-technológia nélkül csak nagy szavak. Így ellenőrző eszközöket kell minden szinten rendszerbe állítani, ahol a biztonsági szint változik. A biztonsági eszköz kifinomultsága a növekvő kockázattal arányos kell, hogy legyen. 5.8. Nem technikai jellegű ellenőrzések Egy Internet alapú rendszer minden részét lehetetlen ellenőrizni. Jelentős rész marad teljesen az üzemeltető befolyásán kívül. Ezen túl gyakran harmadik személy részére is kell információt kiadni, ami gyakran szükségszerűen nem biztonságos. Ahol ez a probléma fennáll, az ellenőrzés és a nem technikai intézkedések egy kombinációját kell alkalmazni. Egy példa erre az internetes környezetben működő Unix rendszerek root vagy superuser jelszava. Ez a jelszó a Unix rendszer minden aspektusára kiterjedő hatáskört biztosít. Egy egyszerű nem technikai ellenőrzési megoldás lehet, ha ezt a jelszót titokmegosztással feldaraboljuk az érintettek között, így a hozzáférés csak a résztitkok összeegyeztetésével lehetséges.40 5.9. Megelőző intézkedések és eljárások A támadást megelőző eljárások és technikákra az eddigiek alapján a következő fő mechanizmusok a jellemzőek. 40
Jó módszer lehet például a vizuális titokmegosztás, vagy a Shamir-féle interpolációs titokmegosztás.
52
-
Tűzfalak. Fájl elérési ellenőrzési listák. Erős jelszóval kapcsolatos intézkedések. Elektronikus hitelesítési eljárások a biztosított zónák előtt. A biztonsági javítások életbe léptetésére vonatkozó akcióterv.
5.10. Aktív ellenintézkedések és eljárások Nem lehetséges előre megjósolni a lehetséges támadási formákat, így azok ellen nem lehet előre minden esetben védekezni sem. A gyakorlatban nincs is erre szükség, és nem is gazdaságos valamennyi ismert megelőzési technikát igénybe venni. Az emberi tevékenységben mindig lesz kockázat, a cél ennek a kockázatnak a kezelése. Másként szólva a cél azonosítani, értékelni, kezelni és kordában tartani a kockázatot egy elfogadható szinten. Az aktív eljárások és módszerek egyrészt a támadás azonosítására, és azokhoz kapcsolódó valamilyen automatikus cselekvésekre koncentrálnak, másrészt a további lépések az aktuális helyzetet elemezve, a védelmet ahhoz igazítva kezdhetőek el. Elemei: -
Az üzemzavarok kezelésének biztonsági irányelveinek, akciótervének rögzítése és leírása Hálózati és hoszt behatolás érzékelő rendszerek Alrendszerek automatikus ellenőrzése
5.11. Hibatűrés és/vagy hibamentesség kérdése Felmerülhet a kérdés, hogy rendszerünk biztonságának elemzésekor a hibatűrést vagy a hibamentességet tekintjük elsőbbségi szempontnak. Különösen érdekes és bonyolult kérdés ez egy olyan online kereskedelmi alkalmazás esetén, mint egy internetes kaszinó. A legtöbb rendszer-adminisztrátor a számítógépek hibatűrő konfigurálását preferálja, azaz a rendszer tovább tud működni, ha valamely biztonsági alrendszerrel probléma van. Egy példa erre az, hogy ha az NT biztonsági naplózását úgy állítják be, hogy a régi bejegyzéseket felülírja, ha a naplófájl betelt, ahelyett, hogy leállítaná a rendszert. Sajnálatos módon ez a megközelítés lehetővé teszi, hogy a támadó szalámitaktikával az egyes alrendszereket leszeletelje, majd az egész rendszer működése felett is átvegye az irányítást. A hibatűrő megközelítés általában nyilván kevésbé kívánatos, mint a hibamentesség. Azonban a hibamentes megközelítésnek is vannak hiányosságai, és néhány esetben nem alkalmazható, miután egy szolgáltatás hiánya támadásra sokkal érzékenyebb. A leginkább elterjedt nézet az, hogy konfiguráljuk a rendszert hibatűrő állapotba, majd ezután csak azokat a gépeket állítsuk hibamentes konfigurációba, amelyeket ezután már biztonságosnak ítélünk meg. Egy jobb megközelítés, ha minden gépet hibamentes állapotba konfigurálunk, majd újrakonfiguráljuk azokat a gépeket, amelyeket valamely kockázatelemzés alapján hibatűrésre alkalmasnak minősítünk. A két
53 módszer közül a szervezeti felépítés és egyéb tényezők alapján lehet választani, nincs általános érvényű, elfogadott és jó beállítás. 5.12. Kockázatelemzés és kezelés az üzemeltetés során A hagyományos kaszinók szabályozása lényegesen könnyebb, mint az online helyeké. A kockázatot kizáró paradigmák nem működnek – és nem is működhetnek – az internetes környezetben, amelynek okai a következők: -
-
-
-
A megjelenítő eszköz, azaz a játékos számítógépe kívül esik a működtető látókörén. Rengeteg különböző hardver-konfiguráció van, amihez számtalan szoftver, operációs rendszer, böngésző és egyéb alkalmazás társul. Lehetetlen elképzelni, még inkább tesztelni az összes szóba jöhető konfigurációt. Az üzemeltető bizonyos értelemben ki van szolgáltatva az általa használt operációs rendszer és engedélyezett alkalmazások készítőinek. A harmadik szereplős beszállítók kis valószínűséggel helyesbítik apróbb hibáikat. Sok – egyébként bevált – szoftver és komponens használhatatlan az online játék világában. Az internetes környezet állandóan változik. Ami ma megfelelő, holnapra nem biztos, hogy az lesz még. A ma és a holnap fogalmát sokkal szűkebb vonal választja el egymástól, és összemérhetetlenül kisebb ez az időkülönbség, mint a szoftver életciklusa. Minden bizonnyal komoly változtatásokra lesz szükség a működés során, sőt legvalószínűbben még a tervezés és a megvalósítás után, közvetlenül az üzembe helyezés előtt is. Az Internet globális és névtelen. Viszonylag könnyen lehet az identitást elrejteni vagy megváltoztatni. Ezért a szabályozók által előírt rendelkezések sokszor kikényszeríthetetlenek.
Egy lehetséges megközelítés valamely kockázatkezelési módszer elfogadása. A fenyegetéseket a bekövetkezésük valószínűségének valamilyen közelítésével súlyozzák. Az alacsony valószínűségű és/vagy veszélyességű eseményeket figyelmen kívül hagyják, a közepes és magas szintűek ellen lépéseket tesznek. Egy kockázati elemzés semmilyen fizikai vagy infrastrukturális beruházást nem igényel, mégis hozzájárul a nagyobb biztonsághoz.
54
6. A biztonságcentrikus üzemeltetés eszközei Ebben a részben bemutatunk néhány közismert biztonsági technológiát, amelyeket a rendszer biztonságának megerősítésére és a támadás sikere esélyének csökkentésére lehet használni, illetve olyan lehetséges módszereket, amelyek a jövőben növelhetik az online játék biztonságát. 6.1. Titkosítás és autentikáció Röviden szólva a titkosítás általában az információ elrejtésére szolgáló olyan eljárás, melynek eredményeképpen csak a dekódoló kulccsal rendelkezők képesek a titkosított adatokat visszanyerni. Két közismert válfaja: -
Szimmetrikus kulcsú kódolás, ahol a kódoló kulcs megegyezik a dekódolóval.41 Aszimmetrikus kulcsú kódolás, ahol a dekódoló kulcs különbözik a kódolótól.42
Terjedelmi okokból a módszerek leírását mellőzni kell, azok megtalálhatók a hivatkozott irodalomban. Az online játék világában a hitelesítés az az eljárás, amikor a játékos bizonyítja, hogy azonos a számlát megnyitó személlyel, és a játékhely bizonyítja, hogy az valóban az a kaszinó, és nem egy hamisító. Természetesen a hitelesítés nem biztosítja, hogy a játékos valóban helyes személyes adatokat ad meg, célja csupán az, hogy magát a személyt azonosítsa. A számításelmélet mai állása szerint egy erős aszimmetrikus kulcsú titkosítás megfelelő biztonsági szintet eredményez. Miután az online piac középpontja az USA, nem mehetünk el amellett, hogy az USA-ban öt állam kivételével export megszorítások voltak érvényben a titkosításokra vonatkozóan, de mára ez megszűnt, így nincs akadálya az erős szimmetrikus és aszimmetrikus kulcsok használatának, és az online szerencsejáték iparban elengedhetetlenül szükségesek is ezek. 6.2. Smartcard technológiák A smartcard technológiát régóta a hitelkártyák potenciális riválisaként tartják számon, különösen az alacsony összegű tranzakciók esetében. Az elterjedést akadályozza a smartcard technológia biztonságosságát vitató vélemények viszonylag nagy száma, az olvasó eszközök integrációjának hiánya, és a csekély társadalmi elfogadottság. Mindazonáltal a smartcard technológia valamilyen más eszközzel együtt alkalmazva a jövő útja lehet az elektronikus kereskedelemben. Amennyiben az Internetes szerencsejáték legalizálásában előrelépés történik, a smartcard technológia előtt is új utak nyílhatnak.
41
Példaként említhetjük az DES-t, az IDEA-t, vagy a Blowfish-t. A http://csrc.nist.com/publications/fips/fips46-3/fips46-3.pdf található meg a DES szabvány leírása. 42 Legismertebb ilyen rendszer az RSA, amelyről a www.rsasecurity.com oldalon lehet olvasni.
55 6.3. Nyilvános kulcs infrastruktúra43 A nyilvános kulcs infrastruktúra egy hierarchikus azonosítási sémát követ, amelynek problémái nincsenek még teljesen megoldva. Akadály a rendszerben a „tyúk vagy tojás” probléma. Senki nem fogad el egy digitális tanúsítványt, ha az nem olcsó és egyszerű, vagy könnyű feltörni. A kereskedők pedig nem alkalmaznak addig egy módszert a hitelesítésre, amíg az nem elég elterjedt ahhoz, hogy üzleti mércével mérve elegen igénybe vegyék. Az üzemeltetés során növelni vagy csökkenteni lehet a tervezők és az implementálók által létrehozott biztonsági szintet, az üzemeltetés mikéntjétől függően. 6.4. Ismerd meg az ügyfeleket – identitás ellenőrzés Milyen okai vannak annak, hogy az ügyfeleket a lehető legnagyobb körültekintéssel kell azonosítani? -
Szabályozói panasz, nem engedélyezett helyről vagy életkorral történő játékkor. Az illegális tranzakciók okozta ügyfélpanaszok számának csökkentése. Visszavont tranzakciók problémája Nem megengedett számla használat.
Az ügyfelek azonosítása során azonban figyelemmel kell lenni a törvényi előírásokra. A biztonságos ügyfél-azonosítás és az ügyfelek adatvédelme gyakran ellentmondó szempontok. 6.5. A rendelkezésre álló biztonsági eszközök aktív használata Sok olyan biztonsági funkciója van az egyes termékeknek és disztribúcióknak, amelyeket a tényleges üzemeltetők nem használnak ki. Klasszikus példa a tűzfalak és az operációs rendszerek naplóadatai. A legtöbb biztonsági termék jelentős mennyiségű naplóadatot generál. Be lehet a rendszert úgy konfigurálni, hogy ebből csak a jól használható és elfogadható időben feldolgozható adatok jelenjenek meg. A naplófájlok ellenőrzése csak abban az esetben éri el célját, ha az legalább napi rendszerességű. 6.6. A gyanús tevékenységek követése A biztonsági irányelvek meghatározzák, hogy kinek kell reagálnia egy biztonsági incidensre. Azonban a mindennapi működtetés kényszerének nyomása alatt ez a reakció gyakran alacsonyabb prioritást kap, mint kellene. Ha csak egy valaki sebezhető pontot fedez fel egy rendszerben, igen gyorsan más is rájön erre, és az információ villámgyorsan terjed az Interneten.
43
A témáról a http://www.schneier.com/paper-pki.html lehet bővebb elemzést olvasni.
56 A gyanús tevékenységek nagy részéről kiderül, hogy ártatlan események. Ám az azonnali válaszlépések megelőzhetik ezeknek a későbbi előfordulását, és segíthetnek a forró nyom kihűlése előtti helyreállításban. Az operátorok és ügyfelek gyanús tevékenységek nyomon követése szintén olyan az oldal biztonságát növelő hasznos intézkedés, amely nem igényel fizikai befektetést. Egy egyszerű, de hatékony módszer lehet, ha ellenőrző kérdéseket teszünk fel az érintetteknek a tevékenységükkel kapcsolatban. Példák: -
-
Az ügyfélszolgálati naplófájlban az szerepel, hogy az egyik operátorunk hajnali háromkor jelentkezett be a rendszerbe, holott nappali műszakban volt szolgálatban. Kérdezzük meg, hogy valóban belépett-e akkor! Mindkét lehetséges válasz fontos információval szolgálhat a biztonság növeléséhez, az incidens felderítéséhez! Észrevesszük, hogy az egyik ügyfél számlaforgalma eddig nem jellemző módon megnőtt, nagy lett rajta az aktivitás. Érdemes felhívni telefonon, hogy valóban ő végezte-e ezeket a tranzakciókat, és egyetért-e velük.
6.7. Rendszeres karbantartás Szinte naponta fedeznek fel új biztonsági hiányosságokat, amire az érintettek többé-kevésbé gyorsan reagálnak is. Ennek ellenére a legtöbb támadás még mindig hónapokkal azelőtt felderített és javított hibák kihasználásával történik. Noha a rendszeres karbantartás nem véd az új vagy az eddig nem kijavított fenyegetések ellen, a gyanútlan oldalak elleni támadások igen nagy százalékának kiszűrésére alkalmas. 6.8. Biztonsági kérdések és a játékos jogosultságai A biztonságos adatkezelés és titoktartás a kereskedelem minden ágában esszenciális kérdés, és különösen igaz ez az elektronikus kereskedelemre. 6.8.1. A használandó technológia nehezen meghatározható az adatvédelem esetében
A kötelezettségszerűen használt biztonsági technológiák egy része erősíti az adatkezeléssel kapcsolatos biztonságot is. Így ha: -
A személyes adatok kódolva kerülnek tárolásra A személyazonosság azonosítására használt adatok csak hasított módon tárolódnak. Csak a megfelelő jogosultságokkal rendelkezők tekinthetik meg, vagy módosíthatják az adatokat. Az egyes érintettek a róluk tárolt összes adathoz hozzáférhetnek. Az érintettek meghatározhatják, ki tekinthet be az adataikba.
akkor az alkalmazott technológia segíti a biztonságos adatkezelést. Vannak azonban a szükségszerűen alkalmazott biztonsági technológiának olyan hátulütői, amelyek gyengítik a tárolt személyes adatok védelmét. -
Az információkat néha ki kell adni olyan joghatóságoknak, illetve más ha-
57
-
táskörrel rendelkezőknek, ahol feltehetően alacsonyabb szintű adatbiztonsági irányelvek vannak érvényben. Ez egyébként Magyarországon hatványozottan igaz. Az állami szervek adatkezeléssel kapcsolatos felkészültsége, szabályozásai és odafigyelése legalább is kérdéses. Miután a biztonsági másolatokat hosszú időperiódusról kell elkészíteni, és azokat sokáig kell tárolni, elavult és használhatatlan információkra is kell számítani. A személyes adatok az üzemeltető tulajdonosi körének változása után is megőrződnek, és az új tulajdonos esetleg nem kezeli majd azokat olyan lelkiismeretesen, mint az előző. Miután az online piacra alapvetően az önszabályozás a jellemző, az üzemeltető teljes szabadságérzethez juthat az adatok felett. A vállalat visszautasíthatja a felhasználói vagy egyéb szerződés, ha a másik fél (az ügyfél) nem adja beleegyezését az adatkezeléshez.
Egy jelentős probléma az Internetes játékban, hogy a tárolt személyes adatokat a cég egyéb részlegei is szeretnék megismerni, abból hasznot húzni. Az alkalmazott technológia nem adhat választ olyan jellegű kérdésekre, mint hogy át lehet-e adni az adatokat mondjuk a marketingrészlegnek, ha azok így kikerülnek magának a szabályozott játékhelynek a hatásköréből. Azonban ha az adatkezelési irányelvek elkészültek és megfelelőek, már segíthet a technológia azok betartatásában. 6.9. Az adatok kompromittálódásakor
megsemmisítése,
ha
valamely
komponens
A személyes adatokkal való visszaélés gyakran akkor következik be, amikor egy rendszert, vagy annak egyik komponensét átalakítják, vagy megszüntetik. Egy viszonylag aktuális példa erre a szándékon kívüli adatátadásra a Sidney-i Olimpia befejeződése után történt meg. Az atlétikai események végeztével a helyszínen berendezett irodák berendezéseit eladták, azonban a fiókok és polcok tartalmát nem ürítették ki és semmisítették meg, így az érintettek személyes adatai a vevő birtokába kerültek. Nem csak akkor kell azonban erre gondolni, amikor egy alrendszer átalakul, vagy megszűnik. Függően attól, hová kerülnek az adatok az átalakítás vagy megszűnés után, az azokat esetleg könnyen helyre lehet állítani. Így a szabályozásban előírt utasításokra, így a régi lemezek, kinyomtatott anyagok, EEPROM-ok, flash eszközök megsemmitísére vagy az azokon lévő adatok végleges és visszavonhatatlan törlésére is ügyelni kell.
58
7. Az online szerencsejáték matematikai és játékelméleti kockázatai az üzemeltető szempontjából Az előző fejezetekben ismertetett technikai jellegű fenyegetéseken túl az üzemeltetőknek további problémákkal is szembe kell nézniük. A szerencsejáték intenzív tudományos kutatása folytán – illetve egyesek jó ötletei következtében – matematikailag megalapozott módszerek is születtek a nagyobb nyeremény érdekében. Már most rögzíteni kell valamit. A következőkben felvázolásra kerülő probléma minden aspektusa erősen vitatott. Lényegében arról van szó, hogy a leírt módszerek a játékszabályokkal nincsenek ellentmondásban, így elvileg lehetséges azokat a játék során alkalmazni. A kaszinó-üzemeltetők azonban azon az állásponton vannak, hogy ezek a játékelemek nem férnek bele a tisztességes játék fogalmába, így ha ilyet észlelnek, joguk van a játékot megtagadni. Azt hozzák fel érvként, hogy ilyen módszerrel játszva a játékos matematikai előnyt szerez a kaszinóval szemben, így az nem lehet tisztességes. A kérdés tárgyalásakor a Blackjack-re fókuszálunk, miután itt a mendemondákkal szemben bizonyított tényeket is lehet vizsgálni.44 7.1. Blackjack és kártyaszámolás A 2.5 részben leírt szokványos szabályokkal a játék igen tisztességesnek mondható, ugyanis a játékos nyerési esélye optimális játék mellett kb. 49,5 százalék, azaz a bank haszonkulcsa igen-igen alacsony.45 Szemben a hagyományos társas kártyajátékokkal elmondható, hogy itt a kaszinó szempontjából nem számít előnyös tulajdonságnak a fotografikus memória vagy a jó matematikai képesség. Le kell azonban szögezni mindjárt az elején, hogy a most ismertetendő módszerek technikailag nem illegálisak, azonban a kaszinónak, mint üzleti vállalkozásnak, joga van bárkitől megtagadni a játék lehetőségét, lényegében minden különösebb indoklás nélkül. Az internetes változat esetében azonban teljesen jogosan hivatkoznak az egyezség azon pontjára, hogy a számoló nem szórakozásból, hanem anyagi haszonszerzés céljából játszik, ami a belépéssel elfogadott feltételek szerint a játékból való kitiltást eredményezheti. A kérdés etikai vonatkozásaival jelen munka jellegétől fogva nem foglalkozunk.46 A hagyományos kaszinókban a vendégek szűrésére számtalan lehetőség áll rendelkezésre. Több amerikai játékkaszinóban arcfelismerő-rendszert működtetnek a bejáratnál, és több száz kamerával figyelik a játékosokat az asztaloknál. Az Internetes játékban ennél jóval korlátozottabbak a lehetőségek. Az online iparban a név vagy az IP cím alapján történő azonosítás szinte lehetetlen, de semmiképpen nem hatékony. Mindenki könnyen láthatja, hogy másik ip címmel rendelkező gépet nem nehéz találni, sőt, kis barkácsolással ugyanannak a gépnek is lehet másik ip címet adni. Kissé nehezebben kijátszható a bankszámlaszám alapján történő azonosítás, ez azonban 44
A mendemondákra és a helyzet fonákságára vonatkozó példánknak van egy magyar vonatkozása is. Egy magyar hölgy rejtélyes körülmények között nyert nagyobb összeget egy londoni kaszinóban ruletten. A teljes történet a következő címen olvasható: http://index.hu/politika/bulvar/robina_hood/?print 45 A félreértések elkerülése végett ez azt jelenti, hogy a játékos 100 befektetett egységből várhatóan 99 marad meg a játékosnak hosszú távon, azaz igen kicsi a várható veszteség. Összehasonlításképpen megemlítjük, hogy például a Magyarországon játszott kenó esetében minden 100 befektetett egységből várhatóan csak 25 marad meg hosszú távon. 46 Egy ilyen történetről lehet olvasni a http://people.inf.elte.hu/mg/hungarian.html címen.
59 komoly törvényességi aggályokat vet fel. A kaszinók felépítését vizsgálva láttuk ugyanis, hogy elvben ezeket az adatokat ugyanis a játék során nem használhatják, hiszen maga a játék illetve a ki -és befizetés egymástól el van választva, mindössze annyi a megkötés, hogy a játékosok csak saját maguknak fizethetnek be pénzt, saját tulajdonukban álló készpénz-helyettesítő eszközzel. Úgy tűnik hát, hogy nem marad más lehetőség, mint a játékost a játéka alapján megítélni, ezzel a veszélyeseket minél nagyobb számban kiszűrni, ugyanakkor minimálissá kell csökkenteni az alaptalanul zaklatott játékosok számát.47 Egy nagyobb Internetes egységben ezt a feladatot automatikusan, szoftverrel lehetséges csak elvégezni, majd azt követően veszi át az ember a cselekvés fonalát. Vizsgáljuk meg, hogy nagy vonalaiban hogyan működhet egy ilyen szoftver, miközben a számolók trükkjeivel is megismerkedhetünk, és látni fogjuk, miért előnyösek számukra ezek a fogások. 7.2. A detektálás nehézségei A kaszinó nem láthatja, mit cselekszik az, aki éppen az Internetes kapcsolat túloldalán a gép mögött ül. Lehetséges, hogy papír-ceruzát fogva pontosan lejegyzi a lapok sorrendjét. Ez nyilvánvalóan előnyös, hiszen elvben pontosan lehet számolni belőle a valószínűségek alakulását. 48 Ennek megakadályozására ezért kezdetben időkorlátozást vezettek be egy-egy lépés meghozatalára. Ezt gyorsan kis számítógépes programmal küszöbölték ki, amelybe csak be kellett ütni a kapott lapokat, és azonnal adta a javasolt lépést.49 Egy hagyományos kaszinóban a feltétlenül szükségesnél gyakoribb keveréssel, és/vagy hitelesített keverőgéppel nehezítik a számolók dolgát.50 Az Interneten ez ugyan technikailag lehetséges, de a játékosok azonnal a csalás vádjával illetnék a kaszinót, pontosan a távoli kapcsolat miatti bizonytalanság okán. A folyamatos keverés ugyanis megfosztaná őket attól az ellenőrzési lehetőségtől, hogy az utolsó keverés óta rendben jöttek-e a lapok, azaz például nem jött-e egy csomagból két pikk ász. Így semmilyen gyakorisági elemzést nem lehetne végezni a minden egyes új keveréskor jelentkező függetlenség miatt. Megint csak oda jutottunk, hogy a játék alapján kell valamit mondanunk a játékosról. Az alábbiakban egy nagyon leegyszerűsített vázlatot adunk. 7.3. Az amatőr játékosok ismérvei A szűrés a játékosok nagy száma miatt több lépésben történik. Alapvető kiindulási pont az alapstratégia,51és az attól való eltérések határozzák meg, hogy valakiről
47
Sokan - e sorok írója is közéjük tartozik - egyáltalán nincsenek meggyőződve arról, hogy a játékhelyek valóban nem használják a bankszámlaszámot azonosításra. A felhasználói szerződés egyik pontja szerint ugyanis bármilyen csalással kapcsolatos gyanú esetén ez megengedett nekik. 48 A gyakorlatban a valószínűségek meghatározása nem ilyen egyszerű, amivel kapcsolatban lásd a http://sziami.cs.bme.hu/~bodon/dip/diploma.ps címet. 49 Egy ilyen alkalmazás megírásához azonban jelentős matematikai- és programozói tudás kell. 50 A keverőgép lényege a következő: A kiment lapokat egy nyíláson át visszahelyezik a gépbe, amely úgy forgatja azokat vissza a csomagba valamely pozícióba, hogy a tisztességesség ne sérüljön, amelynek eredményeképpen a számolás lehetetlenné válik, ugyanis az egymást követő kimenetelek függetlenné válnak. A gépről például a http://www.borisbj21.com/Page28/page28-2.html címen lehet olvasni. 51 Az alapstratégia táblázatai megtalálhatók a http://www.blackjackinfo.com/cgi-bin/bjbse.cgi címen.
60 mennyire megalapozottan lehet azt állítani, hogy számol.52 Először is figyelni kell a téteket, vagyis a kezdeti tétet és az aktuális tétet mindenképpen. Ezután megpróbálják kiszűrni a játékosok azon53hozzávetőlegesen hatvan százalékát, akik teljesen amatőrök, és nem igényelnek további intézkedést. Ez átlag tíz leosztás alatt kiderül, ezután ezeknél az ügyfeleknél már csak szúrópróbaszerű ellenőrzéseket szükséges esetleg végrehajtani. Miről lehet az amatőröket felismerni? Matematikailag abszolút helytelen döntéseket hoznak, tíz leosztásból legalább átlag három-négy esetben. Tipikusan egy ilyen megoldás 17-nél magasabb értékű lapra húzni, vagy 16-ra húzni, ha a banknak a látható lapja hatos, illetőleg alapstratégiától való folyamatos, indokolhatatlan eltérés. Igazolható, hogy a bank számára matematikailag a legrosszabb kapható első lap az ötös és a hatos. Példaként az osztó ötös kezdőlapra pusztán annak a valószínűsége, hogy az osztó befuccsol, 42,89 százalék.54 Egy-egy ilyen lépéshez a hiba nagyságától függően valamilyen értékeket rendelnek, és ha ezek összege egy bizonyos korlát fölé megy, a játékos amatőrnek minősül. Ha egy korábban amatőrnek minősített játékos a későbbiekben sok matematikailag jó lépést tesz, átminősíthetik átlagossá. Az amatőrökre jellemző még a tétek teljesen következetlen, véletlenszerű variálása. Egy nagyobb nyeremény után gyakran kedvező állásban is csökkentik a tétet, míg veszteségkor próbálják visszanyerni a pénzt. 7.4. Az átlagos játékosokról Nézzük most az amatőrnél jobb színvonalú, átlagos játékost. Komolyabb rutinnal vagy némi matematikai ismeretekkel rendelkezik. Nemigen követ el nagy butaságot, de igen ritkán kockáztat nagyobb összegeket, és ritkán és nem túl hatásosan mer csak számolni. Az ide tartozók általában az alapstratégiát játsszák, több-kevesebb hibával. Egyszer-egyszer számolási elemeket is fel lehet játékukban fedezni. Az alapstratégiának megfelelő lépések nem jelentenek különösebb kockázatot. Tétjüket nemigen variálják, ugyanazzal az összeggel próbálnak játszani, és egy bizonyos nyeremény vagy veszteség elérésekor megállnak. Ezek a játékosok nem jelentenek veszélyt, noha komolyabb nyeremények is előfordulhatnak, az átlagos veszteségük mégis kiegyenlíti egymást. Mégis folyamatosan figyelni kell játékukat, mert sosem lehet tudni, a kedvező helyzetben nem válnak-e számolóvá. A stabilan átlagos játékosok mintegy harminc százalékos arányt képviselnek. 7.5. A kártyaszámolók A számolós játékot néhány könnyen és néhány igen nehezen felismerhető lépésről lehet azonosítani. Az eddig ismertettek után fennmaradó, hozzávetőlegesen tíz százalékot kitevő játékosokra kell a legkomolyabb ellenőrzéseket lefolytatni, közülük kerülnek ki az egy-két százalékot kitevő valódi számolók, a többiek az alkalmiak. Hogyan azonosítsuk a valódi számolókat? Könnyen felismerhető jel a tétek nagymértékű variálása, ami kísértetiesen egy52
Elvben egy ilyen eljárás során nem szabadna megkülönböztetni nyerő vagy vesztő játékosokat, noha nagy valószínűséggel inkább a nyerő játékosok számolhatnak, de a gyakorlatban nagyon is elképzelhető, hogy a kaszinók tesznek ilyen megkülönböztetést. 53 Egyesült Államokbeli adat. 54 Az osztó különböző kezdőlapokra várható eredményeire vonatkozó táblázatok megtalálhatók a http://www.blackjackinfo.com/bjtourn-dealercharts.php címen.
61 beesik a számukra kedvezőbb szituációval, illetve a nyerés valószínűségének arányával. Egyelőre rögzítsük a hat paklis változatot, az egy paklisról majd később lesz szó, és mindig tételezzük fel, hogy a játék elején vagyunk, és a játékos alaptéttel kezd játszani. A számtalan számolási stratégia közül most csak a legegyszerűbbet ismertetjük röviden. 55Ebben alacsony lapnak számítanak a 2,3,4,5,6 értékű lapok, magasnak a 10,J,D,K,A lapok, míg a 7,8,9 értékű lapok a magas-alacsony arányba nem számítanak bele. Ha egy magas lap jön, a nulláról induló összegből egyet levonunk, ha alacsony, egyet hozzáadunk, ily módon egy úgynevezett számlálót kapva. Tegyük fel, hogy a játék során az előbbi kategorizálás szerint öttel több alacsony lapot játszottak ki, mint magasat, azaz az előző jelöléssel élve a számláló +5. Ez a gyakorlatban azt jelenti, hogy a bank matematikai előnye éppen elveszett. Ezt egy számoló három-ötszörös téttel honorálja Ez azért árulkodó, mert a normál játékosra nem jellemzőek az ilyen jellegű változtatások, ők ugyanis általában duplázzák, vagy kerekítik a tétjeiket. Tegyük fel, hogy a továbbiakban ez az arány tízre nő, azaz tízzel több magas lap maradt bent. Ez más körülményeket jelent, ha sok lap maradt bent a csomagban, mint ha már csak kevés. Egy ilyen érték a játék elején kisebb, de már szignifikáns, míg a pakli vége felé igen nagy játékos esélyt jelent. Egy ilyen esetben egy számoló legalább tíz-húszszorosára emeli a tétjét. Az értékek úgy vannak megállapítva, hogy két ilyen lépés elég legyen ahhoz, hogy a játékost számolónak minősítsék, ezáltal játéka véget érjen. Ez a legveszélyesebb eset a kaszinók számára, a többi számolós lépés ehhez képest csak manőverezésnek tűnik, noha nagy tét esetén azok is igen fontossá válnak. Mik ezek a manőverek? Legkevésbé veszélyes és legkisebb haszonnal kecsegtető trükkök az alapstratégiához képesti változtatások azokban az esetekben, amikor a húzás és a megállás nyújtotta nyerési esély szinte azonos. Az alapstratégiában hard 12-re56kettes, vagy hármas bank lap esetén a valószínűségek alapján húzni kell, mivel a bank kettes illetve hármas kezdőlappal kb. 35, illetve 37, míg a játékos hard 12-re csak 30 százalékos eséllyel (kb. 13-ból 4 esetben) fuccsol be. Ha azonban mindössze hárommal több alacsony lap ment ki, mint magas, a valószínűség megfordul, és a megállás nyújtja a kedvezőbb esélyeket. A jelenség egyébként a játékfa gyors elágazásából adódik. Már az egy paklis Blackjack-nek egy játékos egy leosztására vonatkozó játékfája is egy 10-es fa,57ami legfeljebb tíz mély, átlagmélysége háromhoz közeli.58 Az adott játékos végeredményre vonatkozó (például arra, hogy a játékosnak 18-a lesz) valószínűségek a játékfa igen távoli leveleiből adódnak össze, amit nagyban befolyásol az egy-egy lap kimenetele által okozott valószínűség-változás. Példaként egy hetes kimenetele egyrészt csökkenti a további hetesek kijövetelének valószínűségét, másrészt miután egy lap kiment, a fa többi ágában is megváltoznak a valószínűségek, mert noha a kedvező esetek száma változatlan maradt, a kedvezőtlen esetek száma csökkent, feltéve, hogy nem a hetes kijövetele a kedvező eset. A modellezésben ezért általában tapasztalati becsléseket alkalmaznak, vagy végtelen paklival közelítenek. 55
A rendszer neve Thorp-féle hi/lo. Azokat a kezeket, amelyekben nincsen ász, a hard jelzővel illetjük, míg az ászt tartalmazó kezek jelzője soft. 57 Miután tíz különböző értékű lap van. 58 Optimális stratégia mellett. 56
62
Ha a kiemelten figyelt játékos mindkét esetben számára kedvezően dönt, a tétvariáláshoz képest mintegy egyharmadnyi negatív súlyozást kap. Az előzőekben leírt helyzetnek mintegy „duálisa” a hard 12 a bank hatosa ellen, azaz valahány lapból ász nélküli 12, és a bank nyílt lapja hatos. Az alapstratégia ilyenkor megállást ír elő, ugyanakkor egy legalább -5-ös számlálónál (öttel több kijátszott MAGAS lap, mint alacsony) ismét csak megfordul a két lépés által indukált nyerési valószínűség, és a húzás nyújtja a jobb esélyeket. Ezeket a lépéseket azért sem szabad túl szigorúan megítélni, mert az amatőr játékosok által elkövetett gyakori hibák között is előfordulhatnak. A következő lépcsőt a duplázási lehetőségek különleges használata jelenti. Az alapstratégia érthető módon nem javasolja a duplázást a kicsivel 50 százalék alatti nyerési esélyes helyzetekben, például 10-re a bank tízese ellen vagy 11-re a bank ásza ellen. Ha azonban tudjuk, hogy akár csak eggyel több magas lap maradt bent, mint alacsony, a duplázás máris előnyössé válik. A duplázás jellegéből adódóan - a játékos már csak egy lapot kap - nagyon érzékeny a számlálóra. Ha sok kis lap maradt bent, a megduplázott tízre vagy tizenegyre nagyobb eséllyel jön kis lap. Ez egyrészt azért rossz a játékosnak, mert a saját lapja nem lesz elég nagy, másrészt a bank is kevesebbszer fuccsol be. Így ebben a játékban ha valaki jó érzékkel - és persze szerencsével vagy a megfelelő számlálóérték birtokában - duplázik, szinte biztos, hogy középtávon (50-100 leosztás) nem fog veszíteni. Ez a lépés így elég veszélyes, ami a súlyozásban is megjelenik. Végül az utolsó alaplépés, amire figyelni kell, a megosztás trükkös alkalmazása. Könnyen látható, hogy a két nyolcast mindig érdemes megosztani, hisz a 16 a lehető legrosszabb lap a játékos számára - egyrészt ha a bank meg tud állni, nyer- másrészt könnyű vele befuccsolni. Viszont magában egy-egy nyolcas nem olyan rossz lap, így jelentősen javítottunk a helyzeten. Ezért a gyakorlott játékos mindig megosztja a nyolcasait. Nehezebb észrevenni, hogy ha van két tízes értékű lap, adódhat olyan szituáció, amikor nem a megállás hozza a legjobb eredményt (noha magában a 20 igen jó lap), hanem a megosztás. Ha a bank ötöst mutat, és a számláló legalább 5, eléggé megnőnek a nyerési esélyek ahhoz, hogy érdemes legyen megosztani a húszat a két tízesre. 7.5.1. Számolás és a tízesek megosztása az egy paklis játékban
A számolás különösen hatékony stratégia az egy paklis játékban a csomag vége felé. Tegyük fel, hogy már csak 15 lap maradt a bank nem látott kártyájával együtt, és a számláló ekkor +5.59 Az előzőekben ismertetett számolási módszernek a jellegéből adódóan csak annyit tudunk, hogy öttel több legalább tízes értékű lap maradt, mint legfeljebb hatos.60 Mit jelenthet ez a bent maradt kártyák darabszámára vonatkozóan? A következő táblázatban látható öt lehetőség elvben egyformán 0,2 eséllyel állhat elő, ahol az egyes sorokban az adott oszlopban szereplő értékű bent maradt kártyák számát tüntetjük fel:
59
A példa kicsit sarkított, de lehetséges esetet mutat. Vannak kifinomultabb számolási stratégiák, amelyek pontosabb képet adnak a bent maradt lapok értékéről. Miután az online játékban akár a kiment lapok konkrét értékének feljegyzésére is lehetőség van, ami jóval hatékonyabb módszer, így a többi számolási módszer ismertetésétől terjedelmi okok miatt el kell tekintenünk.
60
63 2,3,4,5,6
7,8,9
T,A
0 1 2 3 4 5
10 8 6 4 2 0
5 6 7 8 9 10
Ahogy említettük, nálunk két tízes értékű lap van, míg a banknál ötös. Anélkül, hogy a pontos számításba belemennénk, csak azt jelezzük jellemző példaként, ami a táblázatból is könnyen látható, hogy ha megosztjuk a húszat, pusztán annak az esélye, hogy valamelyik tízesünkre tízest vagy ászt kapunk, azaz 20-ra, vagy 21-re végzünk, legalább 1/3. Ez pedig még messze nem jelenti az összes lehetőséget a nyerésre, ugyanis ilyenkor annak az esélye, hogy a bank befuccsol, a sok bent maradt nagy lap miatt igen nagy. Terjedelmi okok miatt csak a legalapvetőbb számolási trükköket ismertettük, hogy érzékeltessük a számítógépes modellezés és ellenőrzés lehetőségeit, illetve nehézségeit. Az egy paklis játéknál különösen veszélyes a helyzet, hiszen a kimenő lapok nagyon gyorsan jelentkeznek a valószínűségek változásában. Ezért az egy paklis játékban sosem játszanak le többet a lapok kétharmadánál, de tétemeléskor még annyit sem, lehet, hogy már a fele előtt azonnal kevernek. Az ilyen játékban gyakran már három-négy, tetszőleges súlyú számolásra utaló jelnél azonnal cselekedni kell. Itt gyakran az ászokat külön is számolják, ami további manőverezésre ad módot. Látható tehát, milyen összetett, számítógéppel nehezen követhető jelenséget kell itt felismerni. Megfelelő súlyozással és algoritmussal azonban elérhető, hogy a számoló ne tudja ál-lépésekkel megzavarni a szoftvert, így az jelezni tud a kétséges esetekben, és ha szükséges, a teremfelügyelő át tudja venni a megfigyelést. 7.6. Következtetések és összefoglalás A harmadik fejezettől kezdődően a hatodik fejezettel bezáróan áttekintettük a legtöbb olyan informatikai biztonsági problémát, amely egy játékhely üzemeltetésének teljes életciklusa során jelentkezhet. Megvizsgáltuk, hogy az online kaszinók miért a támadók kiemelt célpontjai, és több nézetből elemeztük a védelmi stratégiákat. Arra a következtetésre jutottunk, hogy a biztonság kulcskérdés kell, hogy legyen egy internetes játékhely esetében, az azzal kapcsolatos döntésekbe minden résztvevőt be kell vonni, majd azokat kockázatelemzés után kell meghozni. Röviden összefoglaltuk a hitelkártyákkal kapcsolatos problémákat, majd új utakat kerestünk az online fizetési módok között. A biztonság fenntartásáról, a karbantartás szükségességéről is összegyűjtöttük az érveket, majd az adatkezeléssel kapcsolatos anomáliákról is értekeztünk. Végük megvizsgáltunk egy létező matematikai jellegű kockázatot a Blackjack játékkal kapcsolatban. Zárásként elmondható, hogy egy biztonságos, megbízható online egység létrehozása és üzemeltetése még a jelenlegi bizonytalan körülmények között sem végrehajthatatlan hőstett, hanem egy tagadhatatlanul összetett, de kellő odafigyeléssel
64 megvalósítható feladat.
65
8. Játékos kockázati tényezői az online szerencsejátékban Alapvetően elmondható, hogy a kaszinóknál megemlített kockázatok a játékos kockázatává is válhatnak abban az esetben, ha a kaszinót ért támadás során a játékos adatai is kompromittálódnak. Ezen túl a játékosnak a kaszinóénál lényegesen több forrásból érkező veszélyre kell felkészülnie. Ismét hangsúlyozzuk, hogy szükséges, hogy a téma tárgyalásakor a játékos szemszögébe képzeljük magunkat, így a továbbiakban a szóhasználat erre utal. 8.1. A kockázatok áttekintés és csoportosítása A játékos biztonsági kockázatainak vizsgálatát a következő csoportosítás alapján végezzük: 8.1.1. A kaszinó szándékosan vagy szándékon kívüli kompromittálódásából fakadó kockázatok
Fennáll az esély, hogy a kaszinó a játékaiban valamely tisztességtelen eszközt alkalmaz. Nem adja meg a meghirdetett nyerési esélyt, meghamisítja a véletlenszámgenerálást, vagy egyéb a játék lényegét befolyásoló csalással él. Ezen túl a személyes adatai védelmével kapcsolatban is lehetnek aggályai. Mindezek a problémák a kaszinó tudta és beleegyezése nélkül is előállhatnak, ha valaki például betör a rendszerbe. Ez a két veszély a játékos számára az ő pénze szempontjából egyenértékű. 8.1.2. Informatikai jellegű kockázatok
Az Internet, mint átviteli közeg, számos kockázatot rejt magában. Ezek között vannak olyanok, amelyek technikai jellegűek ugyan, bizonyos körülmények fennállása esetén mégis anyagi veszteséghez vezethetnek. Ezen túl itt tárgyaljuk azokat a fenyegetéseket, amik a kaszinóval való kommunikáció során jelentkeznek, és nem a kaszinó, hanem az Internet jelenik meg veszélyforrásként. 8.1.3. A többi játékos tisztességtelen magatartásából adódó kockázatok
Az interaktív játékokban arra is fel kell készülni, hogy a többi játékos él meg nem engedett eszközökkel, esetleg a kaszinó tudtával, rosszabb esetben biztatásával. A Hold’em póker játékot megvizsgálva tekintjük át a terület problémáit. 8.1.4. Társadalmi pénzügyi, adózási és jogi kockázatok
A kaszinóval létesített kereskedelmi kapcsolat számos jogi buktatót rejt magában. Kevés a törvényi védelem, nehéz az igazságot bizonyítani, az egyetlen járható út az elővigyázatosság. A téma tárgyalásakor egy felhasználói szerződést veszünk górcső alá, elemezzük annak buktatóit. 8.2. A biztonsági kockázatok általános jellemzése Az online otthoni játéknál felsorolt előnyöknek meg kell fizetni az árát, hiszen tagadhatatlanul vannak valós kockázatai az online szerencsejátéknak. Az online kaszinó lehet fantomcég, akinek esze ágában sincs visszafizetni a betett összeget. A szervert feltörhették rossz szándékú emberek, akik a hitelkártyaszámra, vagy a játékban szerezhető előnyre vadásznak. Miután a kaszinók többsége nem nyomköveti a –
66 nagyon ritkán előforduló, kirívó esetektől eltekintve - titkosított adatforgalmat a játékos és a szerver között, a rossz szándékú behatoló elvileg vizsgálhatja a hálózati forgalmat, egy klasszikus man-in-the-middle támadással kikémlelheti lapjainkat.61 Ezek a módszerek nyilván ismerősek az informatikai biztonsággal foglalkozók számára. Részletesen megnézzük majd az egyes lehetőségekben rejlő veszélyt. Az összejátszás62egy kifejezetten a pókernél jelentkező probléma, mivel itt a játékosok egymás ellen küzdenek, és nem a kaszinó ellen. Azt nevezzük összejátszásnak, amikor kettő vagy több egy asztalnál ülő játékos csapatként dolgozik. Égető probléma, és valós kockázat, hogy a pókerszoba vagy a kaszinó mögött álló szoftvernek is lehetnek hiányosságai. Ezek pedig nagyobbak is lehetnek, mint elsőre gondolnánk. Az online szerencsejáték kvázi-legális státusa ellenére sok kockázatot rejt magában. Biztonságosan tárolják-e a személyes adatainkat? És a hitelkártyaszámunkat? Mi történik, ha az oldalt feltörik? Találkozhatunk-e összejátszó csalókkal? A játékok tisztességesen vannak-e implementálva? Fel lehet-e törni a szoftvert? Ezekre a kérdésekre keressük a választ a dolgozatnak ebben a részében, az előzőekben megadott csoportosítás szerint. 8.3. A kaszinó szándékosan vagy kompromittálódásából fakadó kockázatok
szándékon
kívül
történő
A játékos számára nincs lényegi különbség a között, hogy az őt ért kár a kaszinó tevőleges hozzájárulásával, vagy a nélkül történt-e. Az ő szempontjából a kaszinó felelőssége az, hogy számára a tisztességes játékfeltételeket biztosítsa. Láttuk a korábbiakban, hogy jelenleg messze járunk a teljes biztonságtól. Célunk az, hogy a veszélyhelyzetek ismertetésével, a megtörtént támadások elemzésével a jövőben jobban fel lehessen készülni a fellépő kockázatokra. 8.3.1. Külső támadás a játékszerver ellen
A szoftver az egyes klienseknek mindig csak a számukra nyilvános adatokat küldi el, ezért a szoftver kijátszása alapvetően csak a következőképpen képzelhető el: -
Vagy magát a szervert kell feltörni, vagy abba beépülni. Közvetlenül az osztáskor kell elcsípni a mások lapjait, de ekkor ezt minden kliensre el kell végezni, aki részt vesz a leosztásban.
Reális veszély, hogy a kaszinó oldalán működő játékszerver valamilyen okból kompromittálódik. Vizsgáljunk meg egy ilyen esetet! 8.3.1.1. Támadás a planetpoker játékhely ellen
A történet azzal kezdődött, hogy a www.planetpoker.com kártyaszoba közzétette honlapján a keverési algoritmusát, azzal a céllal, hogy a játék biztonságát és tisztességességét demonstrálja. Biztonsági szakértők egy csoportja az algoritmust 61
Fontos megjegyezni, hogy a kliensprogram futtatójának (azaz a játékosnak) van lehetősége nyomkövetésre. 62 A fogalom ismert angol elnevezése collusion.
67 elemezve arra a következtetésre jutott, hogy ha egy ilyen algoritmust közszemlére tesznek valahol, akkor az valami komoly problémára utal. A következőkben meglátjuk, hogyan igazolódott be a sejtésük. 8.3.1.2. A virtuális kártyakeverésről
Az egyik szoftveres lyuk, amivel foglalkozni fogunk a virtuális kártyakeverés. Mit jelent az, hogy egy virtuális kártyakeverés pártatlan? Lényegében azt, hogy minden lehetséges kombinációja a kártyáknak egyenlő valószínűséggel jelenik meg kimenetelként. Az 52 kártya egy ilyen lehetséges sorba rendezését nevezzük egy lehetséges keverésnek. Egy valódi csomagnak 52! - hozzávetőlegesen 2226 - lehetséges különböző keverése van. Amikor a számítógéppel keverünk, valójában ezek közül a keverések közül választunk ki egyet. Sarkítva a helyzetet, ehhez a kiválasztáshoz vannak olyan algoritmusaink, amelyek nem olyan rosszak, és vannak olyanok, amelyek kifejezetten rosszak. 8.3.1.3. Egy rossz keverési algoritmus
Ahogy látni fogjuk, az ASF software63által készített algoritmus, amelyet a kérdéses esetben használtak, sok hiányosságot tartalmaz. procedure TDeck.Shuffle; var ctr: Byte; tmp: Byte; random_number: Byte; begin { A tömb feltöltése különböző lapokkal } for ctr := 1 to 52 do Card[ctr] := ctr; { Új mag generálása a rendszeridő alapján } randomize; { A kártyák véletlenszerű átrendezése } for ctr := 1 to 52 do begin random_number := random(51)+1; tmp := card[random_number]; card[random_number] := card[ctr]; card[ctr] := tmp; end; CurrentCard := 1; JustShuffled := True; end;
A fent látható keverési algoritmus közlésével éppen az ellenkező célt érte el, mint tervezték, azaz a rendszer tisztességessége helyett éppen annak hibáira hívta fel a figyelmet. 63
A cég azóta már megszűnt.
68
Az algoritmus egy 52 hosszú tömböt tölt fel inicializáláskor számokkal, melyek a kártyalapokat reprezentálják. Aztán a Randomize() függvénnyel inicializálja az álvéletlenszám-generátort a rendszerórához igazítva. Maga a keverés a tömb minden elemének egy véletlenszerűen választott, másik pozícióban lévő elemével való felcserélésével valósul meg. A felcserélendő pozíciót az álvéletlen-generátor által visszaadott érték határozza meg. 8.3.1.4. Egy off-by-one hiba64
Egy tapasztalt programozó azonnal felfedezhet egy off-by-one hibát a kérdéses algoritmusban. A szokványos Pascal függvényektől eltérően a Random(n) függvény egy 0 és n-1 közötti értéket ad vissza, és nem egy 1 és n közöttit. A következő sor határozza meg, melyik lesz a felcserélendő elem: random_number := random(51)+1;
Az előzőek alapján így a random_number csak 1 és 51 közötti értékeket vehet fel. Így az algoritmus soha nem választja cserére az 52-ik elemet. Amikor a ctr változó az 52-höz ér, azt felcseréli valamelyik értékkel, kivéve önmagát. Ez azt jelenti, hogy a keverési algoritmus soha nem hagyja helyben az utolsó elemet. Ez egy nyilvánvaló, de könnyen javítható megsértése a tisztességességnek.65 8.3.1.5. A keverések rossz eloszlása
Ha az előző hibát nem is vesszük figyelembe, az algoritmus akkor sem produkál egyenletes eloszlást, azaz bizonyos keverések gyakrabban fordulnak elő, mint mások. A pontos leírást mellőznünk kell, de ennek az okát megadjuk a későbbiekben. A fenti algoritmus lelke a következő: ciklus (i=1-től n-ig) Cseréljük az i-ik lapot egy 1 és n közötti véletlen pozícióban lévővel
Ennek nyilván nn lehetséges kimenetele van, ami több mint a kívánt n!, így némely keverés nyilván nagyobb eséllyel jön ki, mint a többi. Ezt az olvasó könnyen ellenőrizheti n=3 esetén, ahol a kettes nagyobb valószínűséggel - 1/3 helyett 1/2 eséllyel - lesz a tömb első eleme, mint a többi. Ha n-t növeljük, ez a korai pozíciók64
Az off-by-one kifejezésen egy olyan hibát értünk, amikor például egy ciklust nulla helyett egytől indítunk, vagy n helyett n-1-ig futtatjuk csak le, vagy egy tömb szomszédos elemére hivatkozunk a megfelelő helyett. Nem azonos az indexelési hibával, magyarul talán indirekt indexelési hibának lehetne nevezni. 65 Mekkora hiba ez? A lehetséges keverések száma 52! -ról 51*51! -ra csökken, ami most nem olyan jelentős különbség. Ha azonban ez a hiba ismétlődik, a helyzet komollyá válhat, lásd az Enigma feltöréséről szóló számtalan leírás közül a http://ece.gmu.edu/courses/ECE543/viewgraphs_F03/EUROCRYPT_2003.pdf címen található bevezető anyagot. A hasonlóság ott van, hogy az Enigmánál öt keverőtárcsából kellett a kódoláshoz naponta hármat kiválasztani, és azokat a megfelelő pozíciókba helyezni. A parancsnokok által biztonsági kiadott azon utasítás, miszerint egyetlen tárcsa sem maradhat másnap az előző napi helyén, a felére csökkentette a lehetséges kombinációk számát. Ez, és a többi ehhez hasonló gyengeség nélkül valószínűleg nem lehetett volna feltörni a kódot
69 ban jelentkező befolyás tovább növekszik. Tapasztalt pókerjátékosok, de még akár laikusok is könnyedén ki tudják aknázni ezt a hibát. Nézzünk egy másik megoldást! ciklus (i=1-től n-ig) cseréljük az i-ik lapot egy az i és az n közötti véletlen pozícióban lévővel
Ez egy sokkal jobb algoritmus, melynek kulcsa az, hogy a lehetséges cserepozíciók távolsága csökken, ahogy a ciklusszámláló halad előre. Ez az algoritmus az összes lehetséges keverést előállítja, és mindegyiket csak egyszer és egyenlő eséllyel, így tisztességes. Az előzőekben említett hibákból egy trükkös és okos pókerjátékos tud előnyt kovácsolni, de magának a rendszernek a feltöréséhez még nem elegendőek. A következőkben ismertetett harmadik hiba azonban elég ahhoz, hogy a rendszer teljesen összeomoljon. Tegyük fel, hogy egy 1 és 52 közötti véletlen számot szeretnénk generálni, ahol minden szám egyenlő eséllyel fordul elő. Ideális esetben egy 0 és 1 közötti egyenletes eloszlású valós számot szeretnénk, amiből valahogyan megkapjuk a kívánt számot. A pszeudovéletlen-generátorok általában egy 0 és N közötti egész számot generálnak, és azt az N számmal elosztva egy 0 és 1 közötti értéket adnak vissza. A lehetséges különböző véletlen értékek száma nyilván felülről becsülhető a N számmal. A szokásos 32 bites maggal így 232, azaz körülbelül 4 milliárd különböző véletlen számot kaphatunk. Ha a magot ismerjük, akkor az álvéletlen-generátor működése determinisztikussá válik számunkra, azaz pontosan tudjuk reprodukálni, milyen értékek fognak következni. Miután az inicializálás a rendszeridő alapján történik, már csak az hiányzik a teljes töréshez, hogy mikor történik az inicializálás. 8.3.1.6. A véletlen-generátor teljes feltörése
Ahogy már láttuk, az ASF által használt algoritmus - miután az eljárás újra inicializál minden egyes híváskor - legfeljebb 232, azaz körülbelül 4.000.000.000 különböző keverést eredményezhet, ami nagyságrendekkel kisebb, mint az 52!, amiről már említettük, hogy hozzávetőlegesen 2226. A helyzetet tovább rontja, hogy a Randomize() függvény az éjfél óta eltelt milliszekundumok alapján határozza meg a magot, amiből naponta mindössze 86.400.000 van, így a lehetséges keverések száma 86.400.000-ra csökkent, ami szintén nagyságrendekkel kisebb a 232-nél. De még mindig nincs vége. Ezen túl a szerver rendszerórájához szinkronizálva a lehetséges kombinációk száma 200.000 keverés körülire csökken66, amit már PC-n valós időben ki lehet próbálni és ellenőrizni. Egy ilyen program megírásával a törés megtörtént. 66
A 200000 különböző keverés 200000 különböző milliszekundumban képzett magból volt lehetséges. Miután 200 szekundum három perc húsz másodperc, így egy ekkora intervallumba kell beleesnie a szerver rendszerideje, és a támadó által feltételezett rendszermag képzésének ideje közötti különbségnek.
70
A programnak a játékban való használata a következő lehet: A saját két és a közösben már bent lévő három lap alapján ellenőrizhető, hogy melyek a lehetséges keverések közül azok, amelyek tökéletesen illeszkednek erre a kezdő öt lapra – mint mintára - a megfelelő pozíciókban.67 Ezután mind a következő lapok, mind a többi játékosnál lévő kártyák könnyedén generálhatóak az adott keverésben, és a játék többé már nem játék, hanem másoktól való determinisztikus pénzelvétel. Amikor megvan az öt lap, a program elkezdheti generálni a rendszeridő alapján adódó keveréseket, majd ebből kiválasztotta a megfelelőt. Minél pontosabban sikerült a magot megtippelni, annál kevesebb lehetséges keverést kellett megvizsgálni. A végső tőrdöfést ezek után az jelenti, hogy ha egyszer sikerült mindössze egyetlen helyes magot meghatározni, már könnyű a támadó gépet szinkronizálni a szerverrel,68és az összes ezután következő mag is adódik,69azaz az összes ez után következő kimenetelt is ismeri a támadó. Hogy meddig alkalmazták, és alkalmazták-e egyáltalán módszerüket a tesztelésen túl a kivitelezők, az valószínűleg már örökre homály marad. 8.3.1.7. Az eset tanulságai70
Miután az összes 52! lehetséges keverésre akkor sem lenne szükség, ha a földön mindenki állandóan online pókerezne, ezért ennek előállítása nem is cél, mindössze az egyenletes eloszlás és a függetlenség a kritérium. Jó véletlenszám-generátor használata esetén a példánál szereplő javított algoritmus helyes lehet. Ezután már csak a jó véletlenszám-generálás a feladat, ami ahogy látni fogjuk, nem könnyű feladat. Egyelőre csak röviden szólva, a fő kritérium az, hogy a generálás alapját képező kulcsot ne lehessen emberi időben reprodukálni, még akkor sem, ha egy keresés során csak a lehetséges kulcsok felét is kell csak várhatóan átnézni. Ez sokkal erősebb kritérium, mint hogy ne lehessen valós időhöz mérhető időben feltörni. Az, hogy az említett rendszert valós időben lehetett törni, csak az alkalmazott technika gyengeségét minősíti. A mai állapot szerint alapkövetelménynek a tisztességes71algoritmust, és egy legalább 128 bites véletlenszám-generátort elfogadhatónak lehet tekinteni, amennyiben a véletlenszám-generátor többlépcsős. Egy 64 bites DES kulccsal megegyező biztonsági szintű véletlengenerálás ma már semmiképpen sem tekinthető elegendőnek. 8.3.2. Elfogadott megoldások a véletlenszám-generálásban
Nézzünk egy ma alkalmazott véletlenszám-generátort példaként, amely jelen állás szerint elfogadhatónak tűnik.72 67
A támadó nem mindig az első pozícióban ült az osztóhoz képest, így meg kellett adni, hányadik lapok a miénk az osztásból, és hányan játszanak összesen, majd ennek megfelelően kellett a mintát illeszteni. 68 Mindössze azt kell megnézni, mennyi volt akkor a saját rendszeridő, amikor a szervergépen az előbbiekben meghatározott mag generálódott. 69 Feltéve, hogy a szervergépen nem állítják át a rendszeridőt később. 70 A teljes történetet a [4] címen lehet elolvasni. 71 Minden keverést egyenlő eséllyel előállító, és megjósolhatatlan. 72 A példa elvileg a www.paradisepoker.com oldalhoz kapcsolódó játékhelyen kerül alkalmazásra.
71 Itt 2016 bites magot használnak, ami elvben már bőven elég ahhoz, hogy mind az 52! keverés előálljon. Mennyire erős egy 2016 bites mag, illetve annak képzésében mennyi véletlen lehet? Tételezzük fel, hogy 120 másodpercenként zajlik le egy leosztás, és azt szeretnénk, hogy legalább 2000 új bit módosuljon egy leosztás befejeztével a magban. Ehhez másodpercenként legalább kb. 17 új teljesen véletlen bit kell, ami a mag entrópiájához hozzáadódik. A modell szempontjából most nincs jelentősége, hogy egyszerre hány leosztás van folyamatban. A véletlen biteknek két fő forrása van. Először is az RNG73a szerveren mintát vesz a CPU időbélyegző alsó bitjeiből a futó program bizonyos rendszertelen részeihez érkezve, illetve amikor a kliensektől adat érkezik, és ez alapján módosítja a magot. Másrészt és főleg a kliensprogramok elküldik a saját 32 bites entrópiaszeletüket minden a szerverrel való kommunikációs alkalommal. Ez az érték a billentyű és az egér eseményeiből, és a saját CPU idejük alsó bitjeiből adódik. A kettő együtt elvben szintén elegendő a másodpercenkénti 17 új bithez, ugyanis a tapasztalatok alapján másodpercenként 7000 véletlennek tekinthető bit érkezik ily módon. Az új bitek nem a megelőző bitek helyére kerülnek be, hanem valamely XOR művelet eredményeképpen adódnak. Miután egy leosztás lejátszása nagy valószínűséggel több időt vesz igénybe, mint 2000 véletlen új bit bejövetele, ezért a következő leosztás elvben egyáltalán nem függ az előzőtől. Maga a véletlenszám-generálás a Berkeley Pseudo Random Number Generator74eljáráson alapszik, mindössze a mag mentését és visszaállításának lehetőségét hagyták el belőle. Néhány felmerülő probléma felvetése következik, azok elemzése és leírása nélkül. Sokak szerint az egérmozgás nem véletlen, különösen nem, ha egy alkalmazásban gombokra kattintgatunk vele. A CPU időbélyegnek néhányak szerint célszerűbb valamely vegyes szeletét venni, és nem az alsót vagy a felsőt. Ezen túl a XOR két bináris szó Hamming-távolságát is jelenti, amit óvatosan szabad csak alkalmazni. Mindezekkel együtt a szerző véleménye szerint ez a generálás elfogadható kockázati szintet nyújt. A következő probléma szintén összefüggésben lehet a játékhely esetleges tisztességtelen magatartásával. 8.3.3. Az e-tilt jelenség
A tilt angol szó jelentését még a hagyományos játékban is nehéz megmagyarázni, magyarul talán a megrendül szó áll az itteni szövegkörnyezetben hozzá a legközelebb. Egy összetett játékhelyzetről van szó. Az alaphelyzet az, hogy a „megrendült” játékos valamiért néhányszor sorozatban veszít. Lehet, hogy saját hiba is közrejátszik ebben, de a legtöbbször akkor használják, amikor valaki jó játékkal, kecsegtető lapokkal, nagy matematikai nyerési eséllyel veszít bosszantó módon, sorozatban egymás 73
Véletlenszám-generátor. Az algoritmust sokan és sok évig tesztelték, jelen állás szerint jól alkalmazható, leírása megtalálható a http://www.generation5.org/content/2001/ga01.asp címen 74
72 után. A megrendült játékos ilyenkor többnyire bosszús lesz, szeretné visszanyerni pénzét, feladja az addigi stratégiáját, és a legtöbbször még többet kockáztat, az esetek többségében még nagyobb kárt okozva magának. Az e-tilt fogalma ezt viszi át az elektronikus játékra, némi jelentéstöbbletet hozzáadva. Az e-tilt alatt játszó játékos elkezd gondolkozni azon, miért is következtek be azok az események, amelyek számára kedvezőtlenek voltak. Ha a sorozatos balszerencséhez némi matematikai tudás is párosul, a játékos esetenként le tudja ellenőrizni, pusztán a balszerencse áldozata lett-e, vagy valami másé. A tapasztalatok szerint a legtöbb online játékosban felmerül a gyanú, hogy a játékhely véletlengenerálása nem tisztességes. Többnyire arra szoktak panaszkodni, hogy egy adott játékhelyen, amikor legelőször játszanak, jobban megy a játék, aztán később – főleg ha már kifizetést is kértek – elkezd romlani a lapjárás. Összefoglalva arra gyanakszanak, hogy a program a kezdő játékosok megnyerése érdekében a javukra csal. Másik esetben az a gyanú merül fel, hogy a program gyakrabban oszt több embernek is egyszerre jó lapot, mint az a valószínűségek alapján indokolt lenne. Ebben az lehet a játékhely érdeke, hogy ha nagyobb a tétmozgás, az ő jutaléka is több. Bizonyítani mindkét esetben nehéz, de nem lehetetlen. 8.3.3.1. Játéktechnikai módszerek a véletlengenerálás feltételezett hibáinak felderítéséhez
A legtöbb gyanú azzal kapcsolatban merül fel, hogy a szoba az újonnan belépő játékosoknak valamilyen módon jobb lapokat oszt, mint a régebbi játékosoknak, hogy az újak később is visszatérjenek, de más az osztással kapcsolatos gondról is lehet hallani. Szinte bizonyos, hogy vannak csalások az internetes játékban, de nehezen hihető, hogy pontosan a nagyobb pókerszobák tennék azt. Ellene szól a bizalom és a presztízs elvesztésétől való félelem, ami fontosabb, mint az esetleges esély, hogy a legtöbb játékos nem veszi a fáradságot a lapok hosszú távú statisztikai elemzésére, illetve ahhoz eszközökkel sem rendelkezik. Mit lehet tenni, ha továbbra is bizalmatlanok vagyunk, és szeretnénk a szoba tisztességességét ellenőrizni? A különböző kezdőlapokra tapasztalati alapon lehet várható nyerési esélyt hozzárendelni, mind a várható nyeremény, mind a megnyert leosztások számára vonatkozóan. Példaképpen egy ász párral tízből körülbelül három leosztást nyerünk meg, míg a várható nyereményre vonatkozóan egy befektetett egységre hozzávetőlegesen 2.71 egységet hoz. Természetesen a játék felépítéséből adódóan egy-egy játékciklus nem elég hosszú a következtetések levonásához, de miután a különböző játékalkalmak egymástól függetlennek tekinthetőek erre az eseményre vonatkozóan, ezért ezt a statisztikát göngyölíthetjük. Azaz ha az ász párra a nyerés tapasztalati valószínűsége 0.3, és tíz független alkalommal nem nyerünk az ász párunkkal, annak bizony 0.710 lesz mindössze az esélye, ami kevesebb, mint három százalék. Ha tovább megyünk, és tizenöt alkalmat nézünk, a balszerencse-sorozat valószínűsége már csak fél ezrelék, ami bőséges okot ad, hogy elgondolkozzunk. Ha még ezen túl mások is panaszkodnak hasonló jelenségre, biztosak lehetünk abban, hogy a szóban forgó szobával valami nincs rendben. A bizonyítás nehézsége abban rejlik, hogy egyrészt ez a kérdéses valószínűség még mindig nem nulla, másrészt, ahogy már volt szó róla, nyerési esélyünk és várható nyereményünk tapasztalati.
73
Mielőtt továbblépnénk, nézzünk még egy másik példát! Az előbb szerepelt ász párral történő nyerés esélyéről az volt a megállapítás, hogy az ilyen szempont alapján történő elemzés támadható és bizonytalan, mivel tapasztalati alapon működik. Lássunk egy matematikailag is bizonyítottat. Vegyük a következő helyzetet: Két azonos színű lapunk van kézben, és a flopban van még két olyan színű. Annak az esélye, hogy a következő két lap legalább egyike is olyan színű lesz - meglesz a flush - körülbelül 34,96 százalék.75Ha a hosszú távú ellenőrzés során a flush mindössze 34 százalékban, vagy esetleg 36 százalékban is bejön, azt betudhatjuk a szerencse forgandóságának. A 37 százalékot nagy szerencsének. Ha azonban az arány 30 vagy éppen 40 százalék, akkor azt komolyabban meg kell vizsgálni. Ez egy elég jól használható mérce, ha megfelelő mennyiségű adat áll rendelkezésre.76 Amikor a játékhellyel kapcsolatos gyanakvásról van szó, még valami társul a dologhoz, ami nincs meg a hagyományos játékban. Elektronikus változatban az átlagos játékos felelősségérzete csökken egy-egy döntés meghozatalakor. Ez abból adódik, hogy könnyebb döntés pusztán egy gombot megnyomni, hogy tartsuk a tétet, mint a valós játékban felvenni a zsetont vagy a pénzt, kiszámolni, és betolni. Ily módon egyrészt az e-tilt nagyobb veszéllyel jár az online játékban. Másrészt a többi játékos is valószínűleg felelőtlenebb, így a gyengébb lapjaikat nem dobják el, ami gyakran eredményezheti, hogy jobb lapokkal is gyakrabban vesztünk, mint az matematikailag várható lenne.77 Érdekes, hogy azok szerint, akik hagyományos és online játékban is nagy tapasztalatot szereztek már78, az online játékban gyakoribb a tilt, mint a hagyományosban. Ennek nem feltétlenül a csalás lehet az oka. Noha a használt véletlenszám-generátorok jelen tudásunk szerint elég kifinomultak, matematikailag lehetséges, hogy ezekben a véletlen-generátorokban mégis maradt még valamilyen eddig felderítetlen korreláció. 8.3.4. Forgalomnövelési célú befolyásolás79
A kaszinókat gyakran az a vád is éri, hogy szándékosan több játékosnak is jó lapokat osztanak, ami azt eredményezi, hogy a pot nagysága, így a jutalékuk is nagyobb lesz. Abszolút értelemben ez elég jól ellenőrizhető gyakoriság elemzéssel, azonban az egymáshoz képest relatív jó lapokat már nehezebb megítélni. Más kérdés, hogy általában van a tíz emberből egy-kettőnél abszolút értelemben is jó lap, ami még így is gyakrabban fog nyerni. Szinte lehetetlen bizonyítani, pontosan az egzakt modell hiánya miatt, ezért elképzelhető, hogy létezik ilyen jelensége.
75
Egészen pontosan (1-((38/47)*(37/46)) a kérdéses valószínűség. A játékhelyek időnként tesznek közzé kimutatásokat a lapjaikról, illetve esetenként egy adott év összes leosztását is nyilvánossá teszik. Erre példa a https://www.pokerroom.com/main/page/games/cardStats címen található. 77 Azonban ez nem jelenti azt, hogy az előzőekben leírt módszer ne lenne hasznos. 78 Százezres nagyságrendű leosztásra kell gondolni 79 Gyakran pot feltornászás néven ismertetik a módszert. 76
74 Megint elismételjük azonban azt a lehetséges érvet, hogy a nagyobb játékhelyeknél a jutalék talán elég nagy ahhoz, hogy ilyesmivel ne variáljanak. Példaként az ebből származó napi bevétel a legnagyobb partypoker.com esetében 1.000.0001.500.000 USA dollárra tehető, miután a napi átlagos pénzforgalom hozzávetőlegesen 40.000.000-60.000.000 USD, a jutalék pedig ennek 3-5 százaléka.80 8.3.4. Fejlett alkalmazása81
mesterséges
intelligenciával
rendelkező
gépi
játékosok
Sokan tartanak attól, hogy a játékszoba gondosan megírt gépi játékosokat alkalmaz. Ezen mendemondák alapja legfőképpen a tudományos-fantasztikus filmek hatása. Gondoljunk bele egy pár lehetséges problémába ezzel kapcsolatban! A számításba jöhető lépések száma ebben a játékban korlátozott, minden pillanatban csak arról dönthetünk, hogy bedobjuk, tartjuk, emelünk, vagy visszaemelünk, így könnyen azt gondolhatnánk, hogy ilyen programot írni nem nehéz. Azonban arról dönteni, hogy a négy lépés közül melyiket alkalmazzuk, igen bonyolult. A gyakorlatban könnyen lehetséges egy átlagos emberi játékos szintjén álló szoftvert írni, talán még annál egy kicsit jobbat is. Olyan programot, amelyik tíz véletlenszerűen kiválasztott játékos közül a legjobb vagy a második legjobb szintet éri el független megfigyelők véleménye alapján, szinte lehetetlen megalkotni. A gond elsősorban abból adódik, hogy az emberi blöffölés nem valószínűségen, hanem megérzésen alapul, amit nagyon nehéz számítógéppel modellezni. Ha pedig valaki meg tud írni egy ilyen szinten játszó programot, akkor már sokkal egyszerűbb és hatásosabb, ha saját maga játszik.82 8.4. Informatikai jellegű kockázatok Az alábbiakban összefoglalást adunk a téma szempontjából jelentőséggel bíró informatikai biztonsági támadásokról, ezúttal a játékos kockázatait szem előtt tartva, majd megvizsgáljuk ezek viszonyát az online szerencsejátékkal. 8.4.1. Nem csak az online iparra jellemző, direkt hackeléses támadások
A fenti kifejezésen a nem automatikus, azaz backdoor vagy trójai program által okozott támadásokat, hanem csak a kifejezetten az ember által a biztonsági réseket kihasználó rossz szándékú behatolásokat értjük a továbbiakban. Bár ezek általában közismert támadási formák, online játékot játszóaknak fokozottabban kell ügyelniük az ilyesmire. Az ebben a fejezetben leírtaknál a támadók célja a felhasználó számítógépének kompromittálása 8.4.1.1. IP hamisítás
A támadó meghamisítja a saját IP címét, így a fogadó azt hiheti, azt más címről küldték, mint valójában. Ennek a támadásnak sokféle formája és eredménye lehet. A támadást tetszőleges című gép ellen lehet irányítani, még akár a saját gép ellen is. Ez 80
A játékhelyek forgalmáról és a játékosok számáról jó közelítő becsléseket lehet a www.pokerpulse.com címen kapni. 81 Angolul – és egyre inkább a magyar nyelvben is – a bot szót használják a fogalomra. 82 Mindezzel együtt az érdeklődő egy igen fejlett mesterséges intelligenciával rendelkező alkalmazással találkozhat a http://www.poki-poker.com/ címen, ahol mind a shareware, mind a fizetős verzió elérhető.
75 azt okozhatja, hogy a számítógép azt hiszi, önmagával kommunikál. Ez egyes Windows operációs rendszerű gépek összeomlását vagy zárolását okozhatja. Más esetben a már ismertetett kaszinó meghamisítása támadáshoz jutunk. 8.4.1.2. A routing feletti irányítás átvétele a forrás címnél
A hackerek egy közeli, kapcsolódó hálózatba törnek be, ahonnan el lehet érni a másik, biztonságosabb hálózatot, így törik fel a célszámítógépet. 8.4.1.3. Kapcsolat eltérítés
A támadó egy nyitott vagy félbehagyott kapcsolatot keres a célszámítógépen. Amikor az azonosítás megtörtént, a célszámítógép fölött átveszik az irányítást, vagy megkezdik az IP hamisításhoz szükséges lépéseket. Ezt legegyszerűbben valamely titokmegosztási eljárással lehet megakadályozni, úgy, hogy a kapcsolat során periodikusan ellenőrizzük a titkot. 8.4.1.4. DNS mérgezés
A DNS információt hamisítják meg ebben a támadásban. Csak bizonyos feltételek teljesülése esetén jelent valós veszélyt. A támadó meghamisított DNS adatokat küld, ami a forgalom átirányításához vezethet. Ez azért lehetséges, mert a name server-ek nem ellenőrzik, honnan jött egy bizonyos DNS válasz. Amikor egy DNS kérést elküldenek, a támadó hamis információt tartalmazó választ küld, amit a fogadó DNS szerver eltehet a cache-be. Ezzel a felhasználókat egy általuk keresett szerverről egy másikra lehet irányítani. A mi esetünkben akkor lehet hatásos, ha ezt a kliensprogram kommunikációjával is szinkronba lehet hozni. 8.4.2. Néhány az online iparágban alkalmazott, nem direkt hackeléses támadási forma
Az online játék során nem csak a gépre való betörés jelent veszélyt. A kapcsolat elvesztése gyakran komoly veszteséggel járhat, különösen egy olyan leosztásban, amikor ígéretes lappal rendelkezik a játékos. Ez szükségessé teszi, hogy a következő támadási formákkal is foglalkozzunk, ugyanis ezek előfordultak már az online játék világában. 8.4.2.1. Pingeléses adatszórás
A szolgáltatás hiánya támadás előkészületeként vagy részeként egy ping-et küldenek83egy olyan broadcast hálózati címre, ahol több host is van. A csomag source adress-ét meghamisítják úgy, mintha az a megtámadott gép IP címe lenne. Az alhálózaton lévő összes számítógép a megtámadott gépre fog válaszolni a ping-re. A megtámadott gépet ezek a ping válaszok lelassítják, vagy teljesen meg is bénítják. A megtámadott gép bármi lehet. Egy lehetséges védekezési mód a broadcast címre érkező bejövő adatok tiltása. 8.4.2.2. Könnycsepp támadás 83
Érdekes a ping szó eredete is, amely a hadiiparhoz kapcsolódik. A tengeralattjárók szonárja (víz alatti rádióféleség) egy jelet bocsát ki több irányba a víz alatt. Amikor a megfelelő frekvencián kibocsátott jel egy másik szilárd testhez ér, majd arról visszaverődik, jellegzetes ping hang hallható a kibocsátónál. A fogalom aztán áthelyeződött a számítástechnikába is.
76
Először egy normális csomagot küldenek. A második csomagot úgy küldik, hogy annak fregmentációs eltolása az első szegmens belsejébe mutat. Ha ez a második töredék elég kicsi ahhoz, hogy még az első töredék határát se érje el az illesztés után, akkor az a célgépen mindenféle váratlan hibát okoz, mint buffer túlcsordulás, és így akár a rendszer összeomlása. 8.4.3. A támadási fokozatok áttekintése a játékos szemszögéből84
Amikor a játékos egy kockázattal néz szembe, általában nincs tisztában azzal, az adott támadás mekkora veszéllyel járhat számára. Ezért szükséges a támadásokat veszélyességi szempontból is kategorizálni. 8.4.3.1. Hallgatózás
A hálózati kommunikáción keresztülhaladó adatok egy része titkosítatlan szöveg, így a támadó, aki valahogyan az adatok útvonalába tud állni, figyelheti, vagy olvashatja azt, ezt hallgatózásnak nevezzük. Ez a legnagyobb probléma, ami a rendszeradminisztrátorok és a játékosok előtt áll, ezért van szükség titkosításra. 8.4.3.2. Adatmódosítás
Ha már látjuk az adatokat, a következő lépés a módosítás lehet, ami történhet a küldő és a fogadó tudta nélkül. Tegyük fel, hogy egy hitelkártyás tranzakciót végzünk. Még mindig kisebb veszély, ha valaki lehallgatja a kártyaszámot, mint ha a tranzakcióban kijavítja a 40 dollárt mondjuk 40.000 dollárra. 8.4.3.3. Hamis kulcs
Nyilván azért használunk titkosítást, hogy bízzunk benne. Noha egy kulcs megfejtése nehéz és erőforrás-igényes feladat, nem lehetetlen. Talán fölösleges is felsorolni, mi mindent lehet tenni egy elfogott és meghamisított kulcs birtokában. 8.4.3.4. Alkalmazói szinten végrehajtott támadás
Nem feltétlenül a célszámítógépet, hanem valamely azon futó szerveralkalmazást támad. A körülmények alakulása folytán alkalmas lehet a célszámítógép támadására, megbénítására is. Tipikusan ez a helyzet az online játékhelyeknél. Az egy személy által alakított több játékos problémát visszavezethetjük a blackjack-nél látottakra. Könnyen lehet a közeli barátunk, feleségünk hitelkártyáját, számláját, identitását használni, persze a beleegyezéssel. Akár egy szobában lévő gépek esetén is lehet különböző ip címeket generálni. Noha az online játékhely nem fogja minden alkalommal a végletekig leellenőrizni az adatok hitelességét, jó ha tudjuk, hogy egy ilyen lépés extrém esetben akár az addig nyeremény elvesztéséhez is vezethet. 8.4.4. Kifejezetten az online szerencsejátékra jellemző támadási formák
A következőkben áttekintjük, melyek azok a támadási módszerek, amelyek kifejezetten az online játékosokat veszik cél alá, és jelenleg a legnagyobb veszélyt jelen84
Az áttekintés során a kevésbé veszélyes felől a nagyon veszélyes felé haladunk.
77 tik a felhasználók számára. 8.4.4.1. Logikai bombák, trójai falovak, hátsó kaput nyitó alkalmazások
A hátsókapus, vagy trójai falós támadások nagyobb veszélyt jelentenek egy Interneten játszó számára, mint egy átlagos felhasználónak. Ez abból adódik, hogy noha nincsenek - vagy legalábbis nagy számban nincsenek - kifejezetten ilyen felhasználókra szakosodott backdoor alkalmazások, az Interneten játszóknak vannak olyan tulajdonságaik, amik az átlagos felhasználónak nincsenek. Ilyen például az, hogy sokkal gyakrabban adják meg a hitelkártyájuk számát, mint mások. A tűzfalak és spyware/adware programok a legtöbb esetben elegendő védelmet nyújtanak, de soha nem lehetünk eléggé óvatosak ezen a téren. A további elővigyázatosságnak a következő formái - noha nem segítenek, amikor teljesen átvették gépünk felett az uralmat - segíthetnek növelni a biztonságot: 8.4.4.2. Indirekt felhasználónév/jelszó beírás
Nagy hiányossága a letölthető kliensprogramoknak, hogy felajánlják a jelszó elmentése funkciót. Ezt nagyon súlyos hibának tartom, a programok fejlesztőinek érezniük kellett volna, hogy itt nem szabad áldozni a kényelem oltárán a biztonság ellenében. Alapvetőnek tekintjük tehát ezután, hogy ezt a funkciót nem használjuk. Marad akkor is a keyloggerektől való félelem. A keyloggerek olyan ártalmas programok, amelyek megjegyzik a billentyűleütések sorrendjét, és azt elküldik írójuknak. Ezek ellen kielégítő megoldás lehet, ha a felhasználói nevünket és/vagy jelszavukat indirekt módon eltároljuk egy szövegfile-ban. Például ha a jelszavunk nyirfa, akkor egy txt file-ban többek között eltároljuk a Elment a Gyuszi parkettát festeni anyuhoz. sort, ahol most a példa kedvéért félkövérrel jelöltük a jelszó betűit. Ezt a sort kijelöljük, másoljuk, majd beillesztjük a megfelelő helyre, ahol aztán a fölösleges karaktereket kitöröljük. A jelszóra kíváncsi egyénnek sokkal nagyobb erőfeszítést kell tennie, ha meg akarja azt ezekből a műveletekből tudni, mint ha csak egyszerűen beírnánk azt. A hitelkártyaszám megadására hasonlóan kreálhatunk módszert. 8.4.4.3. Memóriaterület-felülírás
A memóriát is vizsgáló kémprogramok ellen azt javasolják, hogy mielőtt belépünk, és /vagy miután beléptünk, próbálkozzunk rossz belépési kísérletekkel is helytelen felhasználói név és jelszó párral. Van esélyünk arra, hogy a jelszavunkat tároló memóriaterület felülíródik. 8.4.5. Az internetes kapcsolatból adódó gondok, all-in és all-in visszaállítás
Általában ha a játékos bármilyen okból elveszíti a kapcsolatát a szerverrel, akkor az aktuális leosztás folytatódik, de előtte az érintettnek többnyire van 20-30 másodperce arra, hogy kísérletet tegyen a kapcsolat helyreállítására, ami még modemes kapcsolat esetén is a legtöbbször elegendő. Különben – ha az auto post blind85opció be van kapcsolva - az alaptétjei továbbra is befizetésre kerülnek, így a játékos alapvető 85
Az auto post blind opció azt jelenti, hogy a szabályoknál a 2.7 pontban leírt vak tétek automatikusan befizetésre kerülnek.
78 érdeke, hogy mihamarabb újra kapcsolódjon. A játékosnak vállalnia kell az Internet-kapcsolat bizonytalanságából adódó kockázatokat. A pókerszoba általában – és joggal - semmilyen felelősséget nem vállal ezzel kapcsolatban. Ha a játékos első alkalommal elveszíti a kapcsolatát, és nem tud reagálni az említett várakozási idő letelte előtt, akkor all-in helyzetbe kerül. Mi az all-in helyzet? A játékost úgy kezelik, mintha elfogyott volna a pénze abban a pillanatban, amikor a kapcsolata megszakadt. Ha egy játékosnak egy leosztás során elfogy a pénze, nem kell, hogy automatikusan kiszálljon a játékból, hanem az addig betett összegével játszik tovább. Ez azt jelenti, hogy ha övé a legjobb lap, akkor a többi játékostól legfeljebb fejenként ugyanannyit követelhet, mint amennyi az ő betett pénze, a maradékon a többi játékos osztozik, a további kezek erősorrendjében. Másként fogalmazva az addig betett téteket akkor és csak akkor kapja meg, ha a legjobb kéz az övé a bemutatáskor. Következő alkalommal, amikor kapcsolata megszakad, úgy tekintik, mintha bedobta volna lapjait, hacsak nem kért közben all-in visszaállítást, azaz nem jelezte, hogy hálózati okokból történt az előző alkalommal késedelme. Ezt játék közben is meg lehet tenni, a jelzés vételéről a játékos visszajelzést kap, bár ha az előzőekben megadott idő alatt nem tudott csatlakozni, előfordulhat, hogy all-in visszaállítást sem tudott kérni. Természetesen a pókerszoba fenntartja a jogot, hogy megalapozott gyanú esetén az all-in visszaállítást megtagadja. Szintén vannak arra a technikai eszközei, hogy ha valaki nem a fenti célból próbálja ezt a lehetőséget megragadni - azaz nincsenek a kapcsolattal problémái, hanem csak úgy tesz, mintha lennének - akkor ezt a szolgáltatást megvonják. Mi oka lehet a játékosnak, hogy így tegyen? Például az, hogy a bent lévő tét már így is elég nagy, és a kezdetben jó esélyei valamiért megváltoznak, ezért nem szeretne újabb tétet kockáztatni, viszont a már bent lévő pénzéért esetleg szeretne nyerni.86 Ezen túl ilyen visszaállítást 24 órás intervallumon belül kétszer lehet csak alapesetben kérni. Ha valakinek komoly gondjai vannak a kapcsolatával - tipikusan ez a helyzet, ha analóg vonalon modemmel internetezik -, akkor az ügyfélszolgálat adhat további technikai segítséget. Mindazonáltal senkinek sem ajánlott modemes kapcsolattal online szerencsejátékhoz fogni. Noha a kommunikált adat mennyisége kicsi, a stabilitás igen fontos, így legalább egy stabil ISDN szintű kapcsolat kell, de az ADSL kiemelten ajánlott.87 Összefoglalva az eddigieket, az all-in visszaállítás fő célja a hálózati kapcsolat bizonytalanságából adódó kockázatok kezelése, egyben az eszközzel való visszaélések 86
Egy ilyen eset lehet, amikor a játékosnak két azonos színű, kis értékű lapja van, és az első három felfordított lap is olyan színű. Ezután egy negyedik lap is érkezik, ami szintén ugyanolyan színű. Ez az ő esélyeit rontja, hiszen egy a többi játékos valamelyikénél lévő ugyanolyan színű magas lap is legyőzi a lapját, ugyanakkor elképzelhető, hogy így is nyer. 87 Érdekességképpen megemlítjük, hogy az amerikaiak többsége DSL-el - ez az ADSL szimmetrikus változata - játszik
79 kiszűrése. 8.4.6. A játékhely szerverének meghibásodása, üzemzavara
Ezt a problémát a játékhely tisztességes magatartásával foglalkozó kategóriába tartozónak is lehet tekinteni, amennyiben a meghibásodás vagy üzemzavar szándékos. Mi történik akkor, ha a szerver hibájából történik fennakadás a játékban, vagy egy játékot, esetleg bajnokságot teljesen félbe kell szakítani? A valódi pénzes játékokban az egyes leosztások naplózási részletessége általában azt teszi lehetővé, hogy minden játékos annyi pénzzel folytassa a játékot a megszakítás, vagy üzemzavar után, amennyi azelőtt a leosztás előtt volt neki, amikor a játék megszakadt. Ez a nagy tétes asztaloknál komoly anyagi jelentőséggel bírhat, ha valaki igen kedvező állásban volt az üzemzavar bekövetkeztének pillanatában, de úgy gondolom, az egyes leosztások előtti egyenlegek elmentése a létező legmagasabb biztonsági szint, és elfogadható megoldás. Egyasztalos bajnokságoknál88a megszakadás pillanatában már kiesett játékosok nem kapnak a nevezési díjból vissza semmit. A bent maradó játékosok egyenlő arányban osztoznak a befizetett nevezési díjakon, az aktuális állástól függetlenül. A többasztalos bajnokságoknál sem kapnak semmit a már kiesett versenyzők. A bent lévő versenyzők visszakapják a nevezési díjat, és a díjként felajánlott összeg ötven százalékát szétosztják közöttük a zsetonok mennyiségének arányában. 8.4.7. Linux és Macintosh vonatkozások, letöltött kliens vagy JAVA
Az eddigiekből nem derült ki, de az online kliensek mind Windows alatt működnek. Van ugyan néhány JAVA alapú alkalmazás, amiket lehet Linux és Mac alól is használni, de nem ez a jellemző. Van lehetőség Linux alól Windows emulátorral is játszani, de mivel ebben az alkalmazásban alapvető a stabilitás, nem ajánlott ezt tenni. Macintosh alól egyelőre csak a JAVA alapú játék marad. Fontos megjegyezni, hogy az online szerencsejáték kliensek általában nem működnek tűzfal vagy proxy mögül. 8.5. A többi játékos tisztességtelen magatartásából adódó kockázatok A harmadik szereplős informatikai támadások jellemzőit megvizsgáltuk. Most azokat a harmadik szereplős támadási formákat elemezzük, amelyekben játékostársaink jelentik számunkra a veszélyt. Elsőként összehasonlításképpen kitekintünk a hagyományos kártyacsalások felé. 8.5.1. Csalás a hagyományos kártyajátékokban
Ahhoz, hogy az online csalás felderítéséről érdemben beszélni tudjuk, szükséges és tanulságos foglalkozni azzal is, hogy hogyan szúrhatjuk ki a hagyományos kártyacsalókat. Sok esetben szemléletes lesz az analógia. Előrebocsátjuk, hogy az igazán „mechanikus” csalókat - aki hosszas gyakorlás88
Egyasztalos bajnokságnál addig játszanak a résztvevők, amíg egy kivételével mindenkinek el nem fogy a pénze. Többasztalos bajnokságnál ugyanez továbbjutásos rendszerben zajlik.
80 sal gépiesen automatikusra fejleszti ki technikáját – úgy az online, mint a hagyományos játékban szinte lehetetlen az egyszerű szemlélőnek lelepleznie, sőt, még egy gyakorlott szemnek is nagy kihívás észrevenni az apró jeleket.89 Sokan próbálkoznak a csomag valamilyen preparálásával, amit a keverés látványos és trükkös megvalósításával igyekeznek elleplezni. Ez egy idő- és gyakorlásigényes feladat, aminek betanulására nem minden csaló veszi a fáradtságot, ezért figyelhetünk bizonyos gyakori apró jelekre, amik felfedhetik a csalást. 8.5.1.1. Hamis keverési módszerek
-
-
-
-
Kitartás - Hagyományos módszer, amelyben egy vagy több lapot a többi játékos számára láthatatlan helyen rejtenek el, pl. ingujjban vagy kézelőben. A lapot egy korábbi leosztás során rejtik oda, gyakran úgy, hogy a kezükben tartott két lap közül csak az egyiket dobják színével lefordítva az asztalra, a másikat megtartják. Ez nyilván egy extra lapot jelent nekik a későbbiek folyamán, ami azért fontos ebben a játékban, mert a saját két lapot a játékosok nem kötelesek az asztal felett tartani. Kamu keverés - Ha valaki tudja, milyen lap van a csomag alján vagy tetején, akkor nem túl nehéz úgy megkeverni a paklit, hogy azok a lapok a keverés során a helyükön maradjanak. Ezt emeléssel a legtöbbször ki lehet küszöbölni, de az osztó még ekkor is nagyjából tudhatja, merre vannak azok a lapok a paklin belül, illetve tudja, hogy az emelés előtti alsó kártya a korábbi felső kártya felett van a megemelt csomagban. Ezért használják az "eldobott" lapokat, az úgynevezett "burn card"-ot. Ez azt jelenti, hogy a flop és az utána következő lapok osztásakor az éppen a csomagban legfelső lapot eldobják, és az utána következőt osztják le. Ez arra is megfelelő megoldás lehet, ha egyes lapok valamely módon preparáltak. Pörgetős keverés - Itt is az a módszer, hogy az alsó és a felső lapok a keverés során helyükön maradnak, illetve néhány igazán ügyes osztó meg tudja ilyen módon úgy keverni a kártyákat, hogy a kettéosztott részpaklikból felváltva fésülődjenek össze a lapok. Hamis osztás - Nem a legfelül lévő lapot osztja az osztó, azaz valószínűleg vagy az alsó lapot, vagy a felülről a másodikat fogjuk kapni. Ha szokatlan oldalazó mozdulatot látunk az osztáskor, erre gyanakodjunk.
8.5.1.2. A kártyacsalás észleléséről
Néhány általános elv következik, amelyekhez hasonlóakat az online játékban is célszerű követni. -
89
Váljon szokásunkká, hogy ugyanúgy figyeljük az osztót, mint ahogy a többi játékost figyeljük akkor, amikor megnézik a lapjaikat. Inkább a kezekre figyeljünk, mint a kártyákra. Ez az online játékban azt jelentheti, hogy a reakcióidőre figyelünk. Ha valaki amúgy is tud kártyatrükköket, nagyobb az esélye, hogy az osztáskor is kísértésbe esik. Online vonatkozásban egy profi játékos tud élni inkább a csalás nyújtotta előnyökkel. Ha valakinek rendszeresen akkor van jó lapja, amikor ő oszt, szólaljon meg
Arról, hogy milyen szintre viszik ezek a csalók a technikai kivitelezést, jó képet lehet kapni a www.shademovie.com címen a Tricks&Shades menüpont alatt.
81 a fülünkben a riasztócsengő, és ne tudjuk be a dolgot a puszta szerencsének. 8.5.2. Az online csalásról általában90
Nem, továbra sem arról lesz szó, hogyan csaljunk. Sokkal inkább arról, hogy vegyük észre a csalást, mégpedig az online csalást. Alapvetően elmondhatjuk, hogy jelenlegi tudásunk szerint az online pókerszobák szinte minden szempontból biztonságosabb helyek a játékra, mintha akármilyen társasággal pusztán leülnénk kártyázni egy szobában. Ennek egyik oka, hogy a potenciális csalók száma és lehetőségei sokkal kisebbek, mint a hagyományos játékban. Az osztó egy program, amiről feltételezhetjük, hogy nem csal.91 Ha a hipotézist a továbbiakban nem vonjuk kétségbe, akkor az illegális kártyakeveréstől nem kell tartanunk, mivel nincsenek valódi kártyalapok, amivel trükközni lehetne. A kaszinó tisztességtelen magatartásából adódó kockázatokat megvizsgáltuk, A rendelkezésre álló információk szerint utoljára 1999-ben történt magában az online játékban direkt hackelés, ahol egészen pontosan az alkalmazott véletlenszámgenerátort sikerült megfejteni. A részben ennek hatására bevezetett SSLv3/Tlsv1 titkosítás és a többszintű véletlenszám-generálás jelentősen javított a biztonsági szinten. Ezen túl a hagyományos kaszinókban alkalmazott felügyeleti technikák is használatban maradtak. Ennek alapján elmondható, hogy magával a játékkal kapcsolatban inkább a többi játékos magatartása jelenti a veszélyforrást. Ahhoz, hogy az alkalmazott módszerekről értekezni tudjunk, nézzünk néhány elemi valószínűségi példát a játékkal kapcsolatban. 8.5.3. Egyszerű példák elemi valószínűségekre a pókerben
Ahhoz, hogy az egyes játékhelyzetekben a csalás gyanúja felmerülhessen, illetve azt megalapozzuk, szükség van arra, hogy bizonyos események valószínűségét meghatározzuk. Az esetek többségében az alábbi két sémához hasonló eljárást lehet alkalmazni. 1. példa: Mi az esélye, hogy kézbe két ászt kapok? Tekintsük úgy a dolgot, mintha először kapnánk egy lapot, aztán pedig még egyet. Mi az esélye, hogy az első lap ugyanolyan értékű lesz, mint a második? Három olyan értékű kártya maradt, mint amilyet már kaptunk, míg összesen 51 lap maradt még a csomagban, így az esély nyilván 3/51. Ha azt szeretnénk, hogy ez a pár speciálisan ász legyen, az előbbi törtet el kell osztanunk 13-al (vagyis 4/52-el), ami után az eredmény 3/663, ami kicsit kevesebb, mint fél százalék. Azaz hozzávetőlegesen 17 partiból egyszer kapunk párt kézbe, továbbá körülbelül 222 partiból egyszer lesz két ászunk az osztás után. 2. példa: Mi az esélye, hogy az első három közös lapban is lesz ász, ha nálunk van az előbb említett ász pár? 90 91
„Bízz mindenkiben, de emeld el a kártyákat” (Finley Peter Dunne) Az eddigiekben kielemeztük, mennyire fogadhatjuk el ezt az állítást igaznak.
82
Most fordítva egyszerűbb gondolkodnunk. Mi az esélye, hogy nem jön ki ász az első három lapban? Miután 50 számunkra ismeretlen kártya maradt92, és ebből 48 nem ász, ezért első lapra 48/50 eséllyel nem kapunk ászt, másodikra hasonlóan 47/49 valószínűséggel, míg harmadikra 46/48 nem lesz a felcsapott lap ász. Ezeket összeszorozva a ((48/50)*(47/49)*(46/48)) törtet kapjuk, melynek értéke hozzávetőlegesen 0.882. A keresett valószínűséghez ezt egyből kell, hogy kivonjuk, ami után 0.118 jön ki eredményül. Ez tehát annak az esélye, hogy egy vagy két ász lesz a flopban. Bár a formula nem zárja ki, három ász nyilván nem lehet a flop-ban, hisz már nálunk van kettő, és összesen négy van. Hasonlóan tovább számolva adódik, hogy kb. 19 százalék eséllyel lesz az öt nyílt lap között legalább egy ász. 8.5.4. Csalási módszerek az online pókerben, az összejátszás Volt szó a 8.3 részben a kaszinó feltételezett keverési csalásairól, és arra a következtetésre jutottunk, hogy sok nehézséggel járna a megvalósítás, így valószínűleg az ilyen eset igen ritka. Ezzel szemben a leggyakoribb csalási forma az összejátszás, amikor kettő vagy több játékos valamilyen módon tájékoztatja egymást a kezükben tartott lapjaikról. Ez a nem online játéknál nehezebben keresztülvihető, az online játéknál azonban a legnagyobb valós veszélyforrás. Mindenki könnyen el tud képzelni számtalan alkalmas módszert erre. Sajnos az internetes játékhelyek - egyéb hiányosságaikhoz hasonlóan - hajlamosak ezt a létező biztonsági lyukat elbagatellizálni. Azonban mikor erre gondolunk, mindig legyen eszünkben, hogy végső soron a pókerszobának is az az érdeke, hogy a játékosai elégedettek legyenek. Ezért komoly lépéseket tesznek annak érdekében, hogy az ilyen eseteket ki tudják szűrni. Más kérdés, hogy ezek milyen hatékonyak. A következő fejezetekben részletesen lesz szó erről, most csak az alapvető lehetőségeket említjük. Természetesen adódik az ip cím alapú ellenőrzés. Ezzel a magányos csalók lehetőségeit korlátozzák. Semmi akadálya azonban egymástól távol levő emberek összejátszásának. Az ilyen folyamat során azonban adódnak könnyen és nehezebben észlelhető jelek. Legalább két dolognak kell fennállnia ahhoz, hogy ez működjön. Egyrészt a résztvevőknek tudniuk kell, hogy használják ki ezt az előnyt, amihez komoly matematikai ismeretek is kellenek. Másrészt a játékosoknak jól kell együttműködnie, amihez gyakorlás szükséges. Viszont ezt a gyakorlást is csak játékkal lehet megszerezni, így könnyen előfordulhat, hogy mire kellő tudást összeszednek, már nem tudják azt kamatoztatni, hiszen régen észrevették őket. Ezzel szemben, ha két játékos ismeri egymás lapjait, és a játékstratégiát ehhez igazítja, komoly előnyre tehet szert. Egyrészt nyilvánvalóan plusz információik vannak a többi játékoshoz képest. Több esélyük van bizonyos helyzetekben a játékban maradásra. Ha sikerül nyerniük, többet nyerhetnek, és mindezt általában kisebb kockázattal. Ugyanakkor ha veszítenek, mindketten veszítenek, illetőleg minimális esély van a dektektálásukra. Ezen túl a gyengébb lappal rendelkező játékos könnyebben megnézheti az első három lapot, ha társának jó lapja van. Az online pókerszobák nem csak az összejátszás magáért beszélő jeleit figyelik, 92
A másoknál lévő lapokat tekinthetjük ismeretlennek
83 hanem arra is ügyelnek, ha két játékos rendszeresen egy asztalnál játszik. Ezért elsősorban a „fogd a pénzt és fuss” taktikát alkalmazzák az online csalók. Az összejátszó játékosok kiválasztanak egy nagy tétes asztalt, játszanak, majd gyorsan elhagyják a helyszínt. Ha ilyesmire gyanakszunk, itt van néhány jel, amire érdemes figyelni. 1. Azok a játékos-csoportok, akik megpróbálják „gőzölős vasalóval” kiszorítani a többieket a partiból. Ez azt jelenti, hogy folyamatosan egymásra emelnek, így a nem együttműködő játékosoknak többszörös tétet kell megadniuk ahelyett, hogy csak egyszer kellene azt tartaniuk. 2. Akik soha nem cselekszenek gyorsan a flop előtt. Ez arra utalhat, hogy pontosan ezt az időt használják ki arra, hogy kommunikáljanak. 3. A játékosok olyan csoportja, akik úgy tornásszák fel az egekbe a téteket, hogy a "közéjük szorult" játékosokra emelnek rá. Ezzel maximalizálják a harmadik személytől kinyerhető téteket. A vészcsengő azonnal szólaljon meg a fülünkben, ha azt tapasztaljuk, hogy a gyanúsak egyike mindenkire ráemelt egy igazán gyenge lappal, aztán később bedobja a lapját akkor, amikor már csak egy egység tétet kellene megadnia az előző tíz után, és meglenne az esélye egy igazán nagy nyeremény elnyerésére. Rendes játékos nemigen játszik így. Megvan a blöffnek is a megfelelő ideje, és néha arra is elérkezik az idő, hogy bedobjuk a lapunkat. Noha néha nagy különbségek lehetnek a kérdés megítélésben, az ilyen horribilisnek tűnő cselekvések felfedezésekor szóljunk a teremfelügyelőnek, hogy potenciális csalót találtunk. Vagy ha úgy ítéljük meg, hogy mi vagyunk az okosabbak, maradjunk csendben és szedjük el a pénzét. Még ha igazoltnak véljük is feltevésünket, senkit se gyanúsítsunk meg csalással a chat-en keresztül, főleg ha amerikaiakkal játszunk. Noha ahogy szó volt róla, a jelenlegi helyzetben nem valószínű, hogy Nyugat-Szamoára kellene utaznunk egy becsületsértési per erejéig, az ördög sohasem alszik. Szóljunk a teremfelügyelőnek, vagy egyszerűen álljunk tovább. Van még asztal bőven, ne játsszunk Robin Hood-ot. Az online csalásnak néhol aktív csalás elnevezéssel egy külön vállfaját is megkülönböztetik. Véleményem szerint ezt a tétigazításon alapuló módszert a sima össszejátszáshoz lehet sorolni, ezért ott tárgyaljuk. Nem foglalkozunk a legalább négy játékosos összejátszással sem, az már nyilvánvaló csalás, még egy tízfős asztalnál is, ezért könnyű kiszűrni. 8.5.5. Az összejátszás veszélyének elbagatellizálása a játékhelyek által
Hogy néha milyen „érveléseket” lehet hallani egy-egy pókerszoba „szakértőitől”, arra álljon itt néhány általuk az összejátszásra felhozott példa. A „szakértő” arra hivatkozik, hogy nehéz a csalókat kiszűrni, mert bemutatás előtt eldobják a lapjaikat, amiről volt szó, hogy nyilvánvaló jel az összejátszásra, illetve azt mondja, hogy akkor is bedobják, amikor egy csapattársuknak jobb keze van. Konkrét példaként a kaszinó felügyeletének szerinte fel kellene figyelni az alábbi riasztó esetre:
84
1. összejátszó játékos lapjai:
2. összejátszó játékos lapjai:
A közös három lap (flop): 4. ábra
Ekkor a „szakértő” szerint, ha az első csaló játékos emel, és a második csaló játékos bedobja, ez egy riasztó jel. Na most pontosan ez az a helyzet, amikor egy összejátszó nem fogja bedobni a lapját. Egyrészt a még bent lévő két ász bármelyike fullt eredményez neki, amely esélyt nem szabad eldobni, ha az 1. játékosnak amúgy is jó lapja van. Másrészt ez segít álcázni az összejátszást, ugyanis ha erre a lapra megy végig, és még néha emel is, a legtöbb játékos jogosnak fogja azt tartani. Ezen túl a bejövő ász esetén a másik játékosnak is megvan a kisebb fullja, amivel veszíteni szintén egy igen életszagú szituáció, így megint csak előnyös, és a pénz úgyis kettőjük között marad. Van még egy harmadik lehetőség is. Ha véletlenül a következő két lap ász és dáma lenne, akkor a 2. játékos ász fullal fog veszíteni, ami jogosulttá teszi az úgynevezett bad beat bonus-ra, aminek összege általában kb. 5.000 dollár. Végül, mivel az esetek 99,5 százalékában úgy is kettőjük közül valamelyiken fognak nyerni, miért ne használnák ki a lehetőséget, hogy a tétet az egekbe emeljék ketten a későbbiekben ismertetett módszerrel? Másik ilyen szakértői példa:
1. összejátszó játékos lapjai:
2. összejátszó játékos lapjai: 5. ábra
1. játékos emel a flop előtt, és a „szakértő” szerint ha a 2. játékos bedobja, az szintén egy intő jel. Az előző példával analóg módon a 2. játékos nem fogja bedobni a lapját, hiszen ha a flop-ban nem lesz ász, viszont lesz király, akkor megint csak ket-
85 tőjük között marad a nyeremény. Másrészt azt, hogy a második játékos bedobja, akkor azt csak a játékhely szervere láthatja, mert nem fogja megmutatni, mit dobott el. Ezzel a nyilatkozattal semmiképpen nem növelte a biztonságot és rokonszenvet az illető. 8.5.6. Chip dumping
Ez a bajnokságok folyamán alkalmazott csalási módszer, amit szintén nem egyszerű jól kihasználni. A bajnokságra két egymással kapcsolatban lévő játékos nevez, azonos nevezési díjjal. A bajnokságok lebonyolítása során mindketten kapnak a díj fejében valamennyi - rendszerint a nevezési díjnál nagyobb összegű - zsetont. Ha a bajnokság során szándékosan vagy szándékon kívül egy asztalhoz kerülnek, akkor az egyik játékos rendszerszerűen törekszik arra, hogy a zsetonját a másikhoz átjátssza. Ez a hagyományos játékban nem lenne célszerű, azonban mivel a bajnokságban meghatározott összegünk van annak végéig, ha valaki kétszer annyival indul, vagy annyit szerez, az itt komoly előny. Miután annak esélye, hogy két ilyen játékos egy asztalhoz kerül, annál nagyobb, minél kevesebb a résztvevő, ezért ez nyilván a nagy tétes bajnokságokban lehet reális veszély, ahol kevesebben indulnak. Fontos tudni, hogy ez nyilvánvaló és elítélt csalás, sokkal jobban szűrik, mint az összejátszás más formáit. 8.6. Pénzügyi és jogi kockázatok Megvizsgáljuk, pénzügyi szempontból milyen veszélyek leselkedhetnek a játékosokra, illetve milyen lehetőségei vannak pénzügyei kezelésére, majd az ezekhez szorosan kapcsolódó felhasznái szerződés kritikus pontjait vesszük górcső alá. 8.6.1. Áttekintés a befizetés lehetséges módszereiről
Ahhoz, hogy egyáltalán játszani kezdhessünk egy online egységben, pénzt kell elhelyezni az ott nyitott számlánkon. Magyarországról elég korlátozottak a lehetőségek, így csak az itthon is használható módszereket nézzük meg alaposabban. 8.6.1.1. A klasszikus hitelkártyás befizetés
A legkézenfekvőbb megoldás a klasszikus dombornyomott VISA vagy Mastercard hitelkártyáról történő befizetés, amely kártya lehet debit alapú, vagy klasszikus hitelkártya. Mindamellett a jelenlegi biztonsági szinten egy nagy napi limitű, nagy fedezetű klasszikus hitelkártyával történő fizetés kockázata nem elhanyagolható. Semmiképpen sem ajánlott tehát véleményem szerint a fő bankkártyát használni Internetes tranzakciókra. A technikai módszerek tekintetében 2002-re a vezető hitelkártya-társaságok felhagytak a kifejezetten online szerencsejátékhoz használt tranzakciók engedélyezésével. Ezt azért tették, hogy a játékhelyek ne tudjanak díjat szedni a 7995-ös tranzakciókód után, ami eredetileg az internetes játékra volt fenntartva, így biztosítva azt az általuk preferált állapotot, hogy a vásárlás, szolgáltatás jellegű műveletek az igénybevevő számára díjmentesek legyenek. Ennek kikerülésére a terhelések ma úgy történnek, hogy a játékhelyek felhívják a hitelkártyacégek ingyen hívható számát, és telefonon kérnek engedélyszámot, ami a dombornyomott kártyákra külföldön elfogadott, itthon azonban alig ismert módszer. A másik lehetőség az átirányított szervizkód használata (pl. az internetes vásárláséra), de a VISA és a Mastercard ezt a trükköt
86 hamar észlelte és kiküszöbölte. 8.6.1.2. Előrefizetett kártyás és virtuális Internet kártyák
Az előrefizetett kártyák egy feltöltött telefonkártyához hasonlítanak, amelyről az előre feltöltött összeg erejéig fizethetünk. Előnye, hogy csak a kártya ára erejéig tart a kockázat, így szinte rizikó nélkül használható, hátránya, hogy kevés helyen fogadják el, és általában csak kis összegű tranzakciókra elégséges, illetőleg a tranzakciók száma a kártya névértékétől függően korlátozva lehet. A virtuális Internet kártya általában valamely folyószámlához kapcsolódik, de annak fedezetéhez a kártyáról csak korlátozottan lehet hozzáférni. A kártyát kizárólag internetes használatra tervezték, így sem ATM-ben, sem üzletekben nem lehet használni, miután nincs rajta sem csip, sem mágnescsík. Előnye, hogy a főkártyától függetlenül lehet a limitet beállítani rajta, ezért egy nagy fedezetű folyószámlához is kapcsolható. A legtöbb helyen elfogadják, a fizetés gyors és problémamentes. A hátránya, hogy nem tartozik hozzá PIN kód, csupán a kártya hátán található nyomtatott CVV293 kódszám, ezért ha elveszítjük, más is gond nélkül használhatja, ám ha a letiltás gyors, és a limit kicsi, a kockázat is kisebb. 8.6.1.3. Western Union
A Western Union-on keresztül történő ki- és befizetés tradicionálisan biztonságos, gyors, és adatvédelmi szempontból is több, mint kielégítő. Használatához Western Union számlanyitás kell, ezután a játékhelytől függően vagy közvetlenül az Interneten tudjuk azt használni, vagy el kell sétálni a legközelebbi Western Union egységbe, ami már itthon is egyre több helyen elérhető, főleg Budapesten. További előny, hogy általában tudjuk pénzátutalásra használni bárhol, bárkinek, akinek tudjuk a WU azonosítóját, és bárkitől, aki tudja a mienket. A nagy hátrány, hogy a biztonságot meg kell fizetni, horribilis, 10-20 százalékos tranzakciós díjak vannak, adódóan abból, hogy elsősorban távoli utalásra (például Európából Afrikába) tervezték, azaz főleg olyan helyekre, ahol nincs más lehetőség a pénzutalásra, így hajlandóak és kénytelenek ezt a díjat megfizetni. 8.6.1.4. Egyéb módszerek
Amerikai és kanadai állampolgárok számára használható még többek között a Neteller és a Firepay szolgáltatás, ehhez azonban Social Security Number (ottani TAJ kártyaszám) kell, amit itthon nemigen áll rendelkezésre. Érdekességképpen ezen túl létezik egy a magyar ATM-en keresztül történő telefonkártya-feltöltéshez hasonló módszer is a fizetésre. 8.6.1.5. Következtetések
Többféle módot láthattunk tehát, melyiket válasszuk, melyik a legbiztonságosabb? Nem lehet egyértelmű választ adni, de talán a virtuális Internet kártya a legkevésbé kockázatos. Jó azonban tudni néhány dolgot. Nem igaz az a feltételezés, hogy az a hely, ahol egyszer fizettünk, nem tud a számlánkról a továbbiakban pénzt levenni. Minden információ birtokában van, ami ehhez szükséges, kivéve az aktuális engedélyszámot. Más kérdés, hogy egy komoly cég nem fogja maga alatt vágni a fát, de 93
Card Verification Number, azaz kártyaellenőrző kód.
87 azért biztos, ami biztos, használjunk elkülönített kártyát az internetes fizetésre. Nem beszéltünk még a pszichológiai vonatkozásról. Ha limites elkülönített kártyával fizetünk, pontosabban nyomon lehet követni az online játékkal kapcsolatos bevételeket és kiadásokat, így tiszta képet lehet nyerni a játékról. Végül, ha valaki már veszített, és lemerítette a napi limitét, talán jobban is jár, ha nem játszik tovább. A számlanyitáson alapuló fizetési módszereket a Western Union kivételével nem ajánlott semmilyen célra sem használni Európában. Sok esetben a szerződési feltételekben az amerikai törvényeket is sértő pontok vannak, és a többi pont is szokatlan lehet az amerikai polgári jogrendszerben járatlanok számára, továbbá súlyos adatvédelmi hiányosságok fordulnak elő. A leghangosabb visszhangot és felháborodást a még ma is működő PayPal szolgáltató váltotta ki, a háttérről a www.paypalsucks.com oldalon lehet olvasni. 8.6.2. A felhasználói megállapodás biztonsági kockázatelemzése
A következőkben a felhasználói szerződés érdekesebb pontjaival foglalkozunk. Az első bekezdésben az eredeti szöveg, a másodikban az elemzés olvasható, de az eredeti szöveg sok helyütt önmagáért beszél. 8.6.2.1. Regisztrációs adatok
A játékhoz először egy felhasználói nevet és jelszót kell választani, melynek során a felhasználónak meg kell adnia vezeték- és keresztnevét, címét, e-mail címét és telefonszámát. A felhasználó egyetért azzal, hogy csak a valós adatait adhatja meg az eljárás során. Ez a pont adatvédelmi szempontból aggályos, miután a játékban ezen adatok megadása nélkül nem lehet részt venni. 8.6.2.2. Korlátozott használat
A játékok kizárólag a szórakozás célját szolgálják. A játékos egyetért azzal, hogy a regisztrált adatait titokban tartja, és senki számára nem teszi hozzáférhetővé. A játékban való részvétellel tényként fogadja el, hogy a játékokat nem találja sértőnek, kifogásolhatónak, tisztességtelennek vagy illetlennek. A játékban való részvétel az ön saját választása, megfontolt döntése és kockázata. Az üzemeltető kizár minden olyan kockázatot, amiért nem ő felelős. Ez egy tipikus gumiszabály. Csupán ezzel az egy ponttal visszaélhet egy olyan játékhely, amelyiknek nem tisztességesek a céljai. 8.6.2.3. A játékban való részvétel törvényi háttere
A játékokban csak a csatlakozási helyen érvényes törvényeknek megfelelve szabad részt venni. Az ön felelőssége meggyőződni arról, hogy az adott helyen van-e törvényes joga a játékban részt venni. Mindazonáltal az igazi pénzhez való játékhoz minden esetben a betöltött 18-ik életév szükséges, még ha a helyi törvények ennél kevesebbet is írnak elő. Azok számára, akik a törvényes korhatár alatt vannak, illetőleg akiknek tartózkodási helyéről a csatlakozás nem megengedett, a vállalat játékpénzben való játéklehetőséget biztosít, amennyiben a felhasználó vállalja, hogy nem
88 játszik valódi pénzben. Ritka kivétel, amikor a szerződés egy kikötése hasznos és követendő. 8.6.2.4. Megosztott asztal és adatbázis platform
A vállalat fent tartja a jogot, hogy használjon és futtasson egy olyan szerver és adatbázis alkalmazásokat, amelyek lehetővé teszik, hogy e pókerszoba játékosai más ehhez az elosztott platformhoz tartozó szobák játékosaival egy asztalhoz vagy bajnokságba kerüljenek elhelyezésre, tekintet nélkül arra, hogy eredetileg melyik szobában jelentkeztek be. Ebben az esetben a felhasználó elfogadja, hogy a platformhoz tartozó helyek bármelyikénél történt korábbi szabálysértés esetén a vállalat a játékostól a játéklehetőséget megtagadja, vagy azt korlátozza. Egyúttal játéktörténetét, személyes adatait, befizetési limitét és történetét saját hatáskörében a vállalat a platformhoz tartozókkal a visszaélések elkerülése érdekében megoszthatja. Adatvédelmi szempontból aggályos ez is. A fő probléma, hogy ha egy játékhely szabálysértést gyanít, azonnal letiltja a játékost, és annak gyakran nincs is lehetősége tisztázni magát. 8.6.2.5. Befizetés
Az igazi pénzben történő játékhoz a befizetések résznél rögzített módon és feltételekkel lehet a játékos számlájára pénzt elhelyezni, mely feltételeket a vállalat bármikor megváltoztathatja, így a befizetés mindig az éppen aktuális szabályozás szerint kerül jóváírásra. A játékos által tehető legkisebb és legnagyobb befizetés, és annak lehetséges módjának meghatározása a vállalat hatáskörébe tartozik. Minden beés kifizetett összeg USD-ben kerül rögzítésre és nyilvántartásra. Könnyen lehet, hogy a játékos olyan helyzetbe kerül, hogy a játékhely által meghatározott befizetési módszer elérhetetlenné válik a számára. Sajnos ilyenkor nincs sok esély a helyzet javítására. 8.6.2.6. Kifizetések
Az ön számlaegyenlege mindenkor az az összeg, amit az ön eddigi összesített befizetéseiből kapunk, abból levonva vagy ahhoz hozzáadva az ön veszteségét vagy nyereményét, és levonva a korábban teljesített kifizetéseket illetve a visszatartott vagy zárolt öszeget. Ön jogosult bármikor kifizetést kérni a számláján lévő összeg erejéig, függetlenül attól, Ön játszott-e a vállalatunknál, vagy sem. Az egyes tranzakciók limitjei illetve feltételei a vállalat hatáskörébe tartoznak, és azt a vállalat szabadon megváltoztathatja. A vállalat a kifizetést megtagadhatja, vagy késleltetheti, ha azt a törvény kötelezővé teszi, a hatóságok értesítése mellett. A játékos tartózkodási helyén esetlegesen érvényes adók és járulékok megfizetése a játékos feladata. A kifizetések történhetnek csekken, átutalással vagy hitelkártyán, illetve további a vállalat által saját hatáskörben felajánlott módon. A kifizetések a lehető leggyorsabban történnek meg, a szükséges biztonsági ellenőrzésekkel együtt. A kockázat abban rejlik, hogy hiába fizet elvben a kaszinó konkrétan, ha azt a jogos feltételt köti ki, hogy csak egy dolláronként hajlandó utalni az összeget.
89 8.6.2.7. Elektronikus Fizetési Szolgáltatók
Ahogy fentebb látható, a valódi pénzben történő játékhoz elektronikus pénzügyi tranzakciókra van szükség. A vállalat fent tartja a jogot, hogy e tevékenységeire alvállalkozókat vegyen igénybe, és a tranzakciókkal kapcsolatos adatokat ezen alvállalkozóknak, mint harmadik személynek kiadja. Ön visszavonhatatlanul felhatalmazza a vállalatunkat, hogy utasítsa e szolgáltatókat a kiés befizetések teljesítésére, és egyetért, hogy ezen utasítások az ön érdekében történtek. Jelenleg az ezECash.com végzi ezeket a feladatokat. Abban az esetben, ha e feltételek, és az alvállalkozó szabályzata között ellentmondás van, ez a dokumentum az irányadó. Ezzel lényegében azt fogadjuk el, hogy bizonyos adataink teljesen kikerülnek az ellenőrzésünk alól. 8.6.2.8. Biztonsági intézkedések, ellenőrzések és bejelentések
A legmagasabb szintű biztonság fenntartása érdekében a vállalat fenntartja a jogot, hogy bármikor ellenőrizze a személyazonosságát, pénzügyi tranzakcióit és egyéb dokumentumait, amihez ebben a megállapodásban hozzájárulását adja. E biztonsági intézkedések előmozdítása érdekében a használó hozzájárul ahhoz, hogy bemutat minden olyan dokumentumot vagy adatot, amelyet ehhez a vállalat szükségesnek tart. Ha e kéréseknek nem tesz eleget, a vállalat a számláját zárolhatja. Az ezekhez szükséges nyilatkozatokat elektronikus vagy postai levélben kell megküldeni, illetőleg telefonon kell válaszolni a feltett kérdésekre. A hangsúly azon van, hogy minden olyan dokumentumot be kell mutatni, amit a vállalat szükségesnek tart, és ez biztosan nem az lesz, amit mi tartanánk szükségesnek. 8.6.2.9. Harmadik személy kizárása
Ön egyetért, hogy felhasználói fiókját és jelszavát titokban tartja, és ha szándékosan vagy szándékán kívül, direkt vagy indirekt valaki hozzájut a felhasználói nevéhez és jelszavához, az esetlegesen általa indított játékok érvényesek lesznek, és az esetleges veszteséget nem térítjük vissza, függetlenül attól, hogy az illető birtokolta-e a hozzájárulását, vagy sem. A vállalat nem kötelezett a felhasználónév vagy jelszó karbantartására, ha Ön azt elfelejtené vagy valamely, a vállalaton kívül álló okból nem tudna bejelentkezni. Azaz ha a támadó megszerezte a felhasználói fiókunkat, kellemetlen helyzetbe kerülünk. 8.6.2.10. Kártérítési felelősség
Ön egyetért, hogy a cég minden alkalmazottját ártalmatlannak és veszélytelennek tartja saját magára nézve, továbbá Ön kártérítési felelősséget vállal velük szemben minden olyan költségért, kiadásért, felelősségért és kárért, amelyek az Ön belépésével, szoftverhasználatával és részvételével összefüggésben keletkeznek a játékban. 8.6.2.11. Személyes adatokkal kapcsolatos elvek
90
A vállalat elkötelezett az ön személyes adatainak legmagasabb szintű védelme mellett. Ön adatainak átadásával hozzájárul az adatok tárolásához, átadásához, feldolgozásához az ön által végzett tranzakciók teljesítése céljából, illetőleg a cég belső adminisztrációján történő statisztikai feldolgozáshoz és elemzéshez. Ezen túl az ön jobb kiszolgálása érdekében a vállalat egyéb módokon is gyűjthet Önről információkat, így cookie-kat használhat, és értesítheti önt mindazon változásokról, amit a vállalat ön számára érdekesnek tarthat. Adatait felhasználhatja a vállalat, a többi játékos és a törvények érdekének védelmében. Miután az informatikai üzleti technológia gyorsan és folyamatosan változik, a vállalat a személyes adatok folyamatos, hibamentes, biztonságos tárolását nem tudja garantálni, és a vállalat nem felelős ezen adatok baleseti jellegű, szándékos károkozás vagy bűncselekmény következtében keletkezett károsodása vagy felhasználása esetén. Az esetleges nyeremények, és kifizetések elfogadásával ön hozzájárul az ön nevének és/vagy arcképének hirdetési célra történő további térítés nélküli felhasználásához, kivéve, ahol ezt a törvény tiltja. 8.6.2.12. Tisztességtelen tevékenység kizárása
Ha a vállalat úgy találja, hogy ön csalt, vagy megpróbálta becsapni a játékot vagy a vállalatot, függetlenül attól, hogy az a játékkal összefüggésben történt-e, vagy sem, vagy valótlan vagy nem igazolt állításokat terjeszt a vállalatról, a vállalat fenntartja a jogot, hogy az ön tevékenységének leírását, az ön személyazonosságát, email címét nyilvánosságra hozza, egyben ezen adatokat az ön bankjának, hitelkártyacégének és a többi szerencsejátékhelynek átadja. 8.6.2.13. A vitás esetek rendezése
Ön elfogadja, hogy a játékok kimenetelét a véletlenszám-generátor határozza meg. A kliensprogramon és a szerverprogramon látható végeredmények közötti ellentmondásos esetekben a szerverprogramon lévő lesz a hivatalos és döntő eredmény. Megérti, és egyetért, hogy a játékban felmerülő vitás esetek eldöntésére a vállalat a jogosult. 8.6.2.14. Irányadó törvények
Az ebben a megállapodásban nem szabályozott vagy vitás kérdésekben a Brit Virgin Szigetek törvényei az irányadóak. Erre a megállapodásra nem vonatkoznak az Egyesült Nemzetek és az ISG előírásai, azok alkalmazásai kifejezetten ki vannak zárva. Ha ennek a megállapodásnak bármely része alkalmazhatatlan vagy kikényszeríthetetlen, az nem befolyásolja a megállapodás további részeinek érvényességét, azaz a megállapodás többi része továbbra is érvényben marad.
91
9. Összefoglalás A dolgozatban az Internetes szerencsejáték biztonsági kérdéseinek tudományos áttekintését tűztük ki célul. A téma tárgyalását nehezítette, hogy szinte semmilyen munka nem készült még magyar nyelven a témában, és az angol nyelvű irodalom is elég szerteágazó. Maga a téma sok embernek idegennek tűnhet, a félreértések, előítéletek eloszlatása a fő szempontok egyike volt. A terület rendkívül szerteágazó, nehezen kategorizálható részekre oszlik, amelyet igyekeztünk a struktúrába foglalni. Terjedelmi okok miatt nem lehet az összes kapcsolódó témát e keretek között megtárgyalni, de az aktuális kérdésekre igyekeztünk a jelen állás szerint adható legjobb választ adni. A szerző az anyaggal kapcsolatos bármely észrevételt szívesen fogad az
[email protected] címen.
92
10. Fogalomtár Bemutatás A pókerjáték utolsó fázisa, az egyes játékosok megmutatják egymásnak lapjaikat, meghatározásra kerül a győztes. Bónusz Valamilyen a játékkal kapcsolatos extra juttatás, és nem nyeremény, noha itthon a Jackpot szinonimájaként használják. Például bónusz az, ha valaki befizet 100 dollárt játszani, és kap ajándék 50-et. Duplázik A Blackjack játék során úgy dönt a játékos, hogy megduplázza a leosztás tétjét, viszont utána már csak egyetlen lapot kap. Flop A Hold’em játékban az első három közös lap az asztalon. Jackpot Extra nyeremény, általában valamely játékkal kapcsolatos esemény bekövetkeztéhez kötik. Játékhely Olyan Internetes portál, amelyen keresztül a játékosok egy virtuális szobában egymással játszani tudnak, melynek fejében a szoba jutalékot számít fel. Tágabb értelemben az egész online vállalkozásra is használjuk. Kéz Egy adott leosztásban egy játékos összes saját lapja. Kompromittálódik Ha a rendszer, vagy annak bármely részterületének egységessége, a tárolt adatok konzisztenciája, a biztonság elvárható szintje támadás vagy üzemzavar következtében legalább is kérdésessé válik, így a továbbiakban a biztonságos működés nem garantált, akkor azt mondjuk, hogy a rendszer kompromittálódott. Ennek az állapotnak valamely adott alrendszer megszűnése vagy cseréje is okául szolgálhat. Leosztás Egy független játék. Megoszt Blackjack-ben két azonos értékű kártyájával két új, független játékhoz kezd. Pot Pókerben az addig betett, már vissza nem vonható közös tétek összessége. Elterjedt magyar megfelelője nincs, jelentésében a kasszához hasonló. River A Hold’em játékban az ötödik közös lap. Turn A Hold’em játékban a negyedik közös lap.
93
11. Irodalomjegyzék és hivatkozások [1] http://www.fogalomtar.hu Az informatikai biztonsággal kapcsolatos egységes magyar szóés fogalomhasználatról szóló munka. [2] http://www.biztostu.hu Kriptográfiai alapokkal, és informatikai biztonsági kérdésekkel vonatkozó gyűjtemény. [3] http://forum.index.hu/forum.cgi?a=t&t=9035593&w=4400 Az online szerencsejátékkal kapcsolatos, magas szakmai színvonalú fórum. [4] http://itmanagement.earthweb.com/entdev/article.php/11070_616221_1 A planetpoker szoba feltörésének körülményeiről szóló információk forrása. [5] http://commdocs.house.gov Az Egyesült Államokban hatályos jogszabályok lelőhelye. [6] http://onlinepoker.hu Minden, ami az online póker minden hazai vonatkozásával szóba kerülhet. [7] http://www.blackjackinfo.com A Blackjack játék stratégiájával kapcsolatos információk, szimulációk, adatok. [8] http://www.empirepoker.com A vizsgált felhasználói szerződés innen származik. [9] http://www.bmm.com Online kaszinók és játékhelyek integritását vizsgáló szervezet. [10] http://www.kahnawake.com/gamingcommission/ A Kahnawake játékszövetség feltételei. [11] http://www.antiguagaming.gov.ag/ Az Antigua játékszövetség oldala. [12] http://www.tas.gov.au/tasmaniaonline A Tazmán játékszövetség információi. [13] http://www.wired.com A kártyaszámolásról szóló történet forrása. [14] 1991. évi XXXIV. törvény a szerencsejáték szervezéséről, és annak 2001-es távközlési eszközök és rendszerekkel kapcsolatos kiegészítése, a 2001. évi LXXV. törvény 27. §. [15] Thorp, Edward: Beat the dealer, Vintage Books, 1966 ISBN 0394703103. A kártyaszámolás használatával a bankénál nagyobb nyerési esély elérése először ebben a könyvben került leírásra és bizonyításra.
94
Köszönetnyilvánítás Szeretném megköszönni a diplomamunka megírásához, a sajtó- és egyéb hibák felderítéséhez és kiküszöböléséhez, a szakmai színvonal növeléséhez nyújtott felbecsülhetetlenül értékes támogatást minden érintettnek. Külön szeretném kiemelni a következők segítségét: A nem hétköznapi témaválasztástól kezdve, a kidolgozás nehézségein át, a végső forma elnyeréséig támogatott, konstruktív és megnyugtató szakmai hátteret biztosított témavezetőm, Kincses Zoltán. A szerencsejátékok hagyományos és online változataiban egyformán jól tájékozott szakember szemével vizsgálta át az írást, hasznos tanácsokat adott, és értékes jogi- és egyéb háttéranyaggal segítette a munkámat Gáspár Tibor. A kártyajátékok matematikai vizsgálatának, és az Internetes kaszinók elemzésének összekapcsolásához Bodon Ferenc diplomamunkája adta a motivációt, akinek példaértékű munkája sokszor segítségemre volt. A formázási és felépítésbeli kérdésekben nyújtott segítséget Vágó Csaba.
