Würfel, für die du uns nicht glauben musst

Der Teil, den auch ein guter Zufallsgenerator nicht löst

Unsere Würfel kommen aus dem kryptografischen Generator des Betriebssystems — derselben Quelle, die ein Bank-Login schützt, nicht der Abkürzung, die die meisten Spiele nehmen. Damit ist geklärt, wie zufällig die Zahlen sind. Über die Frage, die Spieler tatsächlich stellen, sagt es nichts.

Ein ehrlich gezogener und ein absichtlich gewählter Würfel sehen hinterher gleich aus. Beides ist nur eine Zahl in einem Protokoll.

Die nützliche Frage lautet also nicht "ist euer Generator gut?", sondern "kann ich es überprüfen?" Alles Weitere ist dafür da, diese Antwort zu einem Ja zu machen — ohne dass du uns ein einziges Wort glauben musst.

1. 1

   Versiegeln

   Vor dem ersten Wurf zieht der Server eine geheime 32-Byte-Zahl — den Server-Startwert — und veröffentlicht deren SHA-256-Fingerabdruck an beide Spieler. Der Fingerabdruck verrät nichts, aber der Startwert steht jetzt fest: jeder andere ergäbe einen anderen Fingerabdruck.

   commit0df0916cb0…2904e706
2. 2

   Mischen

   Deine App erzeugt einen eigenen Zufallswert und schickt ihn mit, wenn du dich an den Tisch setzt. Die Werte beider Spieler fließen in jeden Würfel. Wir können also nicht vorab nach einem Startwert suchen, dessen Würfe uns passen — im Moment der Festlegung wissen wir nicht, was du beitragen wirst.

   clientSeeda26460084a0ef89b:d4f28bac6efd1b6e
3. 3

   Ableiten

   Jeder Würfel wird aus einem HMAC-SHA256 der Startwerte und der Wurfnummer gelesen. Nichts wird gespeichert und nichts ausgewählt: dieselben drei Eingaben ergeben immer denselben Würfel, und keine andere Eingabe ergibt ihn.

   die(n) = (HMAC-SHA256(serverSeed, "clientSeed:n:round")[0] < 252) % 6 + 1
4. 4

   Öffnen

   Am Spielende veröffentlichen wir den Server-Startwert. Hashe ihn, vergleiche mit dem Fingerabdruck, den du vor dem ersten Wurf bekommen hast, und rechne dann jeden Würfel nach. Ein Server, der auch nur einen Wurf gewählt hätte, fällt bei einer dieser beiden Prüfungen durch.

   serverSeed5cde3365be…7b6b2bd5

Die Werte oben sind der echte Nachweis von Spiel #148, einem beendeten Spiel, das jeder nachschlagen kann. Trag die Nummer unten ein und sieh zu, wie sie aufgeht.

Warum keine Augenzahl auch nur minimal wahrscheinlicher ist

Ein Byte ist eine Zahl von 0 bis 255 — 256 Möglichkeiten. 256 ist kein Vielfaches von sechs; es ist 6 × 42, Rest 4. Nimmt man den Rest der Division durch sechs, bekommen vier Augenzahlen still 43 von 256 Chancen und die anderen zwei nur 42. Eine winzige Verzerrung — über eine Million Würfe ein echter Vorteil. Also werden diese vier Werte verworfen.

252 = 6 × 42. Jede Augenzahl bekommt exakt gleich viele Bytes, also ist jede exakt eine von sechs.

• TelegramWürfe im Bot-ChatWürfelst du mit Telegrams eigener Würfelanimation, kommt diese Zahl von Telegram und nicht von uns; kein Startwert von uns reproduziert sie. Der veröffentlichte Nachweis listet genau diese Positionen, und das Register zeigt dort das Telegram-Zeichen statt einer Augenzahl. Für ein vollständig prüfbares Spiel würfle in der App.
• ÜbungSpiele gegen den ComputerDas Offline-Übungsspiel würfelt auf deinem eigenen Gerät, ohne Startwert und ohne Nachweis. Es gibt keinen Gegner und keinen Einsatz, also nichts zu beweisen und nichts zu verlieren.

Alles andere — Online-1v1, Freundesräume und Turniere, kostenlos oder mit Einsatz — läuft über die oben beschriebene Kette.

const enc = new TextEncoder();
const hex = (b) => [...new Uint8Array(b)].map((x) => x.toString(16).padStart(2, '0')).join('');

// 1. the seed we revealed must hash to the commitment you were given first
const commitOk = hex(await crypto.subtle.digest('SHA-256', enc.encode(serverSeed))) === commit;

// 2. every die, re-derived from that seed
const key = await crypto.subtle.importKey(
  'raw', enc.encode(serverSeed), { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);

async function die(n) {
  for (let round = 0; round < 16; round++) {
    const mac = new Uint8Array(
      await crypto.subtle.sign('HMAC', key, enc.encode(`${clientSeed}:${n}:${round}`)));
    for (const b of mac) if (b < 252) return (b % 6) + 1;
  }
}

Jeder Nachweis ist öffentlich unter /fair/<id> — kein Schlüssel, kein Konto, keine Spielernamen, keine Beträge. Nur die Würfel.

Fragen, die wirklich gestellt werden