Torrent Gear

Jonli o’yinlarda ma’lumotlarni shifrlash qanday ishlaydi

1) Shifrlash darajalari tasviri

Live-casinoda shifrlash bir vaqtning o’zida to’rtta qatlamda ishlaydi:

1. Kanallar: media server mijozi (WebRTC/DTLS-SRTP), CDN mijozi (TLS), provayder platformasi (TLS 1. 3/mTLS).

2. Kontent: videosegmentlar va manifestlarni himoya qilish (AES-128/SAMPLE-AES, CENC c FairPlay/Widevine/PlayReady).

3. Tranzaksiyalar: imzo va API shifrlash (JWT/JWS, HMAC-webhook’lar imzosi, antitrepey).

4. Saqlash: asosiy infratuzilma (KMS/HSM), «tinchlikda» shifrlash (TDE/field-level), PII tokenlash.

2) Transport kanallari: TLS 1. 3, mTLS и QUIC

HTTP (S) mijozlarning so’rovlari (lobi, hamyon, HLS/DASH manifestlari/segmentlari) TLS 1 bo’ylab boradi. 3 AEAD (AES-GCM yoki ChaCha20-Poly1305) va PFS (ECDHE) bilan.

S2S integratsiyasi (provayder/agregator platformasi) mTLS (sertifikatlar bo’yicha o’zaro autentifikatsiya), plyus IP-allowlist va certificate pinning tanqidiy mijozlarda himoya qilinadi.

HTTP/3 (QUIC) manifestlar va segmentlarning jitter/latentligini kamaytiradi; TLS versiyalarini nazorat qilish va eski shifrlarni «kesish» majburiydir.

Minimal amaliyot to’plami: TLS 1. 3 preferred, TLS 1. 2 faqat legasi uchun; OCSP-stapling, sertifikatlarning qisqa umri, avtomatik rotatsiya.

3) WebRTC va DTLS-SRTP: «jonli» video/audio shifrlash

DTLS-SRTP (yoki DTLS-kalit almashinuvi orqali SRTP) RTP-mediani shifrlaydi. Kalitlar har bir oqim uchun alohida DTLS qoʻl siqishdan chiqariladi (per-SSRC).

SRTP shifrlari: AES-CM-128 + HMAC-SHA1 (klassik) yoki SRTP-AES-GCM (kichik yukxatlar bilan autentifikatsiyalangan shifrlash).

PFS DTLS (ECDHE) efemer kalitlari orqali amalga oshiriladi. Uzoq davom etadigan kalitning buzilishi eski sessiyalarni ochib bermaydi.

Shaxsiy xonalar uchun WebRTC (masalan, SFrame) E2EE mumkin: kadr mijozga umumiy guruh kaliti bilan shifrlanadi, SFU faqat «shifr-matn» ni koʻradi. Narx: keymenejmentning murakkablashishi va server qoplamalari/freymlarining mumkin emasligi.

4) LL-HLS/DASH va DRM: segmentlar va manifestlarni himoya qilish

Kesh qilinadigan translyatsiyalar uchun (LL-HLS/DASH):

Segmentlar darajasida AES-128 (CBC) yoki SAMPLE-AES, kalitlar Key Server tomonidan beriladi.
CENC (Common Encryption) cbcs/ctr va DRM (FairPlay/Widevine/PlayReady) rejimlarida litsenziyalangan serverlar orqali.
Kalitlar rotatsiyasi:’#EXT -X-KEY ’/KID har N daqiqa/segmentda o’zgaradi; IV segmentga noyobdir.
Kalitlarga kirish tokenized URL (qisqa TTL, IP/Device ID/Audience bilan bogʻlangan) bilan himoyalangan.
LL-rejim uchun muhim: qisqa partial segment, prefetch litsenziyalar, «qo’lda ishlatiladigan» tahririyatlarni minimallashtirish (har bir xop = oqish/kechikish xavfi).

5) Tranzaksiyalar va hodisalar: imzo, antitrepey, idempotentlik

5. 1. Mijoz va server qoʻngʻiroqlari uchun JWT/JWS

O’yin tokenlari va session-JWT JWS (ES256/RS256) tomonidan quyidagi tamg’alar bilan imzolanadi:

`iss, aud, sub, iat, nbf, exp (≤ 15 мин), jti, kid`.
aud qattiq o’rnatilgan (kimga mo’ljallangan token),’nbf/exp’- qisqa oynalar,’jti’- anti-reple.

5. 2. Provayder webhook’larining imzosi (HMAC)

Provayder platformaga raund/toʻlov hodisalarini yuboradi, masalan:

`X-Signature: t=169...; v1=hex(hmac_sha256(secret, t + "." + body))`

Platforma:

vaqt deltasini tekshiradi ’	now - t	≤ 300 s’, HMACni validatsiya qiladi, takrorlashni’event _ id’(idempotentlik) bo’yicha ajratadi.

5. 3. Pul operatsiyalari

’debit/credit/rollback’ - idempotent’transaction _ id’, imzolangan va’round _ id’ga bog’langan.

Barcha javoblar serverning imzosi va nazorat summasini o’z ichiga oladi (masalan, normallashtirilgan JSON bo’yicha SHA-256).

6) PII va hamyon: tinchlikda shifrlash va ma’lumotlarni minimallashtirish

’player _ id’ tokenlashtirish va moliyaviy identifikatorlarni PIIdan ajratish.

Sezgir maydonlar uchun Field-level encryption (F.I.O., telefon, e-mail): envelope encryption bilan AES-GCM (data-key KMS/HSM dan master-key bilan shifrlanadi).

DB va snapshotlar darajasida TDE/disk-encryption; zaxira nusxalari ham shifrlanadi.

Saqlash siyosati: minimal muddatlar, avto-anonimlashtirish, mintaqalar bo’yicha alohida kalitlar (mahalliy qoidalarga rioya qilish).

Raundlarning loglari va repleylari - WORM omborida (o’zgartirish mumkin emas), kirish kalitlari faqat cheklangan rolda.

7) Kalitlarni boshqarish: KMS/HSM, rotatsiya va kirish

KMS/HSM asosiy kalitlarni saqlaydi; amaliy xizmatlar cheklangan TTL bilan data-keys oladi.

Rotatsiya:

TLS-sertifikatlar - avtomatik ravishda, 30-90 kun.
DRM kalitlari/kontent kalitlari - oqimga/vaqtinchalik oynaga.
API sirlari - har 60-90 kunda, hodisalarda zudlik bilan nogironlik.
Foydalanish siyosati: eng kam imtiyozlar prinsipi, servis hisoblariga/rollariga bog’lash, KMSga so’rovlar auditi.

8) Anti-tahdid: shifrlash nimani yopadi va nimani yopmaydi

Yopish:

Kanaldagi maʼlumotlarni ushlash va almashtirish.
Hodisalar va tokenlar nusxasi (toʻgʻri’exp/jti/timestamp’).
CDN’dan tokensiz/DRMsiz segmentlarni/kalitlarni oʻgʻirlash.

Toʻliq yopilmaydi:

Mijoz qurilmasini buzish (malware, kengaytirish).
Ekranni/kamerani cheklash - suv belgilari, xulq-atvor qoidalari va yuridik choralar bilan hal etiladi.
Insayder xavflari - kirishni segregatsiya qilish, KMS auditi va WORM-logirovkalash orqali minimallashtiriladi.

9) Amaliy misollar

9. 1. TLS siyosati

Ruxsat berilgan: TLS 1. 3 (TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256).

Legasi uchun maqbul: TLS 1. 2 c ECDHE + AES-GCM/CHACHA20 (CBCsiz, RSA-key-ekscheynjsiz).

Taqiqlangan: SSL/TLS ≤ 1. 1, RC4, 3DES, AES-CBC, TLS kompresssiyasi.

9. 2. Voqealar imzosining mini-spetsifikatsiyasi

http
POST /game/events
X-Signature: t=173...; v1=15c2...af
Content-Type: application/json

{
"event_id":"ev-7f3",  "type":"round. result",  "round_id":"r-2025-10-18-12:30:15Z-001",  "payload":{"roulette":{"number":17,"color":"black"}},  "seq":12070
}

Server: vaqt oynasi, HMAC, seq, idempotentlikni’event _ id’bilan tekshiradi.

9. 3. DRM kalitli server

`POST /drm/license` с device-nonce, `kid`, `session_id`, токеном с `aud=drm`.

Uskuna va sessiya bilan bogʻliq boʻlgan shifrlangan kontent kalitini qaytaradi.

10) Kripto kuzatilishi va hodisalar

Alertlar: TLS-qo’l siqish xatolarining ko’payishi,’invalid _ signature’,’replay _ detected’, KMS so’rovlarining o’sishi, nolalid JWT ulushi, OCSP cho’kishi.

Dashbordlar: trafik TLS versiyasi, cipher-suite distributsiyasi, TURN-relay (WebRTC) ulushi, DRM-litsenziyalarni berish latency, sertifikatlarni rotatsiya qilish vaqti.

Runbook: sertifikatni tezda chaqirib olish, mTLS uchun client-cert qayta chiqarish, HMAC-sirlarni avariya holatida almashtirish, barcha qisqa umr ko’ruvchi tokenlarni nogironlashtirish (’exp ≤ 5 min’), zaxira DRM-endpointga o’tkazish.

11) Muvofiqlik va unumdorlik

«Xavfsiz kechikish» balansi: apparat tezlashuviga ega AEAD-shifrlar (AES-NI/ARMv8 Crypto), TLS 1 qisqa qo’l siqishlari. 3, sessiya keshi/0-RTT (takroriy soʻrovlarga ehtiyot boʻling!).

Mobil tarmoqlar: AES-NIsiz qurilmalarda ChaCha20-Poly1305 afzalroqdir.

WebRTC: SRTP-AES-GCMni tanlash AES-CM + HMACga nisbatan yuk tekshiruvlarini kamaytiradi.

12) Prodakshenning chek-varaqlari

Kanallar

TLS 1. 3 hamma joyda, TLS 1. 2 faqat legasi uchun; OCSP-stapling, HSTS.
S2S uchun mTLS; IP-allowlist; tanqidiy mijozlarda pinning.
QUIC/HTTP3 manifestlar/segmentlar uchun yoqilgan.

Tarkib

LL-HLS/DASH kalit rotatsiyasi bilan; Premium kontent uchun DRM.
Tokenized URLs (TTL ≤ 2-5 daqiqa), aud/IP/Device bilan bog’lanish.
Rate-limit va auditga ega sekyur key-server.

Tranzaksiyalar

JWT c’aud/exp/nbf/jti’, JWK c’kid’va rotatsiya.
Webhook’lar imzosi (HMAC), anti-replay oynasi ≤ 5 daqiqa.
Idempotentlik’debit/credit/rollback’.

Saqlash

KMS/HSM, envelope-encryption, mintaqalar boʻyicha alohida kalitlar.
PII uchun Field-level encryption, BD/backaplar uchun TDE.
WORM jurnallari va qattiq kirish rollari.

Operatsiyalar

TLS/DRM/JWT/KMS bo’yicha alertlar; cipher-suite/versiya dashbordlari.
Kalitlar/sirlarni shoshilinch almashtirish tartib-taomillari.
Pentestlar va kripto-review chiqarilishidan oldin.

Live-o’yinlardagi shifrlash TLSning bitta «tugmasi» emas, balki DTLS-SRTP/WebRTC bilan kelishilgan TLS 1. API va yetkazib berish uchun 3/mTLS, segmentlar uchun DRM/CENC, tranzaksiyalar uchun JWT/HMAC va kalitlar rotatsiyasi va PFS bilan KMS/HSM. Har bir qatlam to’g’ri bajarilganda va real vaqtda kuzatilganda, kazino hujumga chidamli konturga ega bo’ladi, o’yinchi esa xavfsizlik bo’yicha murosasiz jonli formatning tezligi va halolligiga ega bo’ladi.