Torrent Gear

Cum funcționează criptarea datelor în jocurile live

1) Imaginea nivelurilor de criptare

În cazinourile live, criptarea funcționează pe patru straturi în același timp:

1. Canale: client ↔ server media (WebRTC/DTLS-SRTP), client ↔ CDN (TLS), platformă ↔ furnizor (TLS 1. 3/mTLS).

2. Conținut: protecția segmentelor video și a manifestelor (AES-128/SAMPLE-AES, CENC cu FairPlay/Widevine/PlayReady).

3. Tranzacții: semnătură API și criptare (JWT/JWS, semnături HMAC ale cârligelor web, anti-replici).

4. Stocare: infrastructură cheie (KMS/HSM), criptare „la repaus” (TDE/field-level), tokenizare PII.

2) Canale de transport: TLS 1. 3, mTLS и QUIC

Solicitările HTTP (S) ale clienților (lobi, portofel, manifeste/segmente HLS/DASH) trec prin TLS 1. 3 cu cifruri AEAD (AES-GCM sau ChaCha20-Poly1305) și PFS (ECDHE).

integrările S2S (platformă ↔ furnizor/agregator) sunt protejate prin mTLS (autentificare reciprocă prin certificate), plus lista de permise IP și fixarea certificatului pe clienții critici.

HTTP/3 (QUIC) reduce jitter-ul/latența manifestului și livrarea segmentului; Sunt necesare controlul versiunii TLS și „decuparea” calculatoarelor vechi cifrate.

Set minim de practici: TLS 1. 3 preferat, TLS 1. 2 numai pentru legasi; OCSP-capsare, durată scurtă de viață a certificatului, rotație automată.

3) WebRTC și DTLS-SRTP: criptare video/audio live

DTLS-SRTP (sau SRTP prin schimb de chei DTLS) criptează suporturile RTP. Cheile sunt derivate din strângerea de mână DTLS, per-SSRC.

Cifruri SRTP: AES-CM-128 + HMAC-SHA1 (clasic) sau SRTP-AES-GCM (criptare autentificată cu mai puțin deasupra capului).

SFP se realizează prin intermediul cheilor efemere DTLS (ECDHE). Compromiterea unei chei de lungă durată nu dezvăluie sesiuni vechi.

E2EE peste WebRTC (de exemplu, SFrame) este posibil pentru camere private: cadrul este criptat pe client cu o cheie de grup comun, SFU vede doar "text cifru. "Pret: complicarea keymanagement și imposibilitatea de suprapuneri server/cravate-in-uri.

4) LL-HLS/DASH și DRM: segment și protecție manifestă

Pentru traducerile în cache (LL-HLS/DASH), se aplică următoarele:

AES-128 (CBC) sau SAMPLE-AES la nivelul segmentului, cheile sunt emise de serverul cheie.
CENC (Common Encryption) cu moduri cbcs/ctr și DRM (FairPlay/Widevine/PlayReady) prin servere licențiate.
Rotație cheie: '# EXT-X-KEY '/KID se schimbă la fiecare N minute/segmente; IV este unic pe segment.
Accesul la cheie este protejat prin URL tokenizat (scurt TTL, pachet cu IP/Device ID/Audience).
Pentru modul LL, este important: un segment parțial scurt, licențe prefetch, minimizarea redirecționărilor „manuale” (fiecare hop = risc de scurgere/întârziere).

5) Tranzacții și evenimente: semnătură, anti-reluare, idempotență

5. 1. JWT/JWS pentru apeluri client și server

Jetoane de joc și sesiune-JWT sunt semnate de JWS (ES256/RS256), cu timbre:

'iss, aud, sub, iat, nbf, exp (≤ 15 мин), jti, kid'.
aud este rigid fixat (căruia îi este destinat jetonul), 'nbf/exp' - ferestre scurte, 'jti' - anti-reluare.

5. 2. Semnătura hook-ului furnizorului (HMAC)

Furnizorul trimite evenimente rotunde/de plată pe platformă cu un antet, de exemplu:

"Semnătura X: t = 169...; v1 = hex (hmac_sha256 (secret, t + "

Platformă:

verifică timpul delta '	acum - t	≤ 300 ', validează HMAC, elimină repetarea prin' event _ id' (idempotență).

5. 3. Tranzacții cu numerar

'debit/credit/rollback' - idempotent pe 'transaction _ id', semnat și legat de' round _ id'.

Toate răspunsurile conțin semnătura serverului și suma de control (de exemplu, normalizat JSON SHA-256).

6) PII și portofel: criptare în repaus și minimizarea datelor

Tokenizarea 'player _ id' și separarea identificatorilor financiari de PII.

Criptare la nivel de câmp pentru câmpurile sensibile (nume complet, telefon, e-mail): AES-GCM cu criptare în plic (cheia de date este criptată prin cheie principală de la KMS/HSM).

TDE/disk-criptare la nivelul bazei de date și instantaneu; copiile de rezervă sunt, de asemenea, criptate.

Politici de stocare: termeni minimi, auto-anonimizare, chei individuale pe regiuni (respectarea regulilor locale).

Jurnalele și reluările de runde - în stocarea WORM (fără posibilitatea de a schimba), cheile de acces numai pentru un rol limitat.

7) Managementul cheilor: KMS/HSM, rotație și acces

KMS/HSM stochează cheile principale; serviciile de aplicații primesc chei de date cu TTL limitat.

Rotație:

Certificate TLS - automat, 30-90 de zile.
Taste DRM/taste de conținut - pe fereastră flux/timp.
Secretele API - la fiecare 60-90 de zile, handicap imediat în incidente.
Politici de acces: principiul celor mai mici privilegii, obligativitatea conturilor/rolurilor de serviciu, solicitările de audit către KMS.

8) Anti-amenințări: ce criptare se închide și ce nu se va închide

Se închide:

Interceptarea (MITM) și spoofing canal.
Replay evenimente și jetoane (cu corectă „exp/jti/timestamp”).
Furt de segmente/chei cu CDN fără jetoane/DRM.

Nu se închide complet:

Compromiterea dispozitivului client (malware, extensii).
Screen restart/camera - rezolvate prin filigrane, reguli comportamentale și măsuri legale.
Riscurile insider - minimizate prin segregarea accesului, auditul KMS și logarea WORM.

9) Exemple practice

9. 1. Politica TLS

Permis: TLS 1. 3 (TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256).

Legal: TLS 1. 2 cu ECDHE + AES-GCM/CHACHA20 (fără CBC, fără RSA-cheie-exces).

SSL/TLS ≤ 1 nu este permis. 1, RC4, 3DES, AES-CBC, compresie TLS.

9. 2. Specificaţie pentru semnătura evenimentului Mini

http
POST/joc/evenimente
Semnătura X: t = 173...; v1 = 15c2... af
Tip de conținut: aplicație/json

{
"event_id":"ev-7f3," "tip ":" rotund. rezultat", "round_id":"r-2025-10-18-12:30:15Z-001," "sarcină utilă ": {"ruletă ": {"număr": 17," culoare":" negru"}, "seq ": 12070
}

Server: verifică fereastra de timp, HMAC, seq, idempotency by 'event _ id'.

9. 3. Server cheie DRM

'POST/drm/licence' с device-nonce, 'kid', 'session _ id', токеном с' aud = drm'.

Returnează cheia de conținut criptată asociată cu dispozitivul și sesiunea.

10) Observabilitate criptă și incidente

Alerte: creștere în erorile de strângere de mână TLS, creștere a 'invalid _ signature', 'reluare _ detectat', cereri către KMS, cota de JWT-uri nevalide, desene OCSP.

Tablouri de bord: trafic TLS versiune, distribuție cifru-suită, TURN-releu (WebRTC) cota, latență pentru emiterea de licențe DRM, timp de rotație certificat.

Runbook: revocarea rapidă a certificatului, reemiterea certului client pentru mTLS, înlocuirea de urgență a secretelor HMAC, invaliditatea tuturor jetoanelor de scurtă durată („exp ≤ 5 min”), transferul la un punct final DRM de rezervă.

11) Compatibilitate și performanță

Echilibru de securitate ↔ latență: cifre AEAD cu accelerare hardware (AES-NI/ARMv8 Crypto), strângeri de mână scurte TLS 1. 3, sesiune cache/0-RTT (atent cu cererile repetate!).

Rețele mobile: ChaCha20-Poly1305 preferate pe dispozitive fără AES-NI.

WebRTC: Alegerea SRTP-AES-GCM reduce controalele aeriene comparativ cu AES-CM + HMAC.

12) Liste de verificare a producției

Canale

TLS 1. 3 peste tot, TLS 1. 2 numai pentru legasi; OCSP-capsare, HSTS.
mTLS pentru S2S; IP-allowlist; pinning în clienții critici.
QUIC/HTTP3 activat pentru manifeste/segmente.

Conținut

LL-HLS/DASH cu rotație cheie; DRM pentru conținut premium.
Adrese URL tokenizate (TTL ≤ 2-5 min), care se leagă de aud/IP/Dispozitiv.
Server-cheie secret cu rată-limită și audit.

Tranzacții

JWT c' aud/exp/nbf/jti ', JWK cu' kid 'și rotație.
Semnătură Webhook (HMAC), fereastră anti-reluare ≤ 5 min.
IDempotency 'debit/credit/rollback'.

Depozitare

KMS/HSM, envelope-criptare, chei separate pe regiuni.
Criptare la nivel de câmp pentru PII, TDE pentru DB/copii de rezervă.
Jurnalele WORM și rolurile puternice de acces.

Operațiuni

Alerte de TLS/DRM/JWT/KMS; tablouri de bord cifru-suită/versiune.
Proceduri de urgență/rotație secretă.
Pentests și cripto-review înainte de lansare.

Criptarea în jocurile live nu este un semn de verificare TLS, ci un sistem consistent: DTLS-SRTP/WebRTC pentru video live, TLS 1. 3/mTLS pentru API și livrare, DRM/CENC pentru segmente, JWT/HMAC pentru tranzacții, și KMS/HSM cu rotație cheie și SFP. Când fiecare strat este făcut corect și monitorizat în timp real, cazinoul primește un contur rezistent la atac, iar jucătorul primește viteza și onestitatea formatului live fără compromisuri de securitate.