Шнайер о безопасности

Кевин Поулсен написал интересную историю о двух людях, которые успешно воспользовались ошибкой в ​​популярном игровом автомате для видеопокера.

Комментарии

Смысл этой истории в том, что вам не разрешено побеждать в Ла-Вегасе.

Действительно интересно. Аресты и судебное преследование не так сильно беспокоят в общем плане, поскольку в конечном итоге никаких обвинений не было, и ребята могли уйти, но - как насчет денег? Если использование обнаруженной ими ошибки не было незаконным, безусловно, казино должны быть обязаны выплатить конфискованные выигрыши, вдвойне, если они оба все еще должны платить налоги с них.

Интересно, какие правовые вопросы возникают у производителей игровых автоматов? Если есть недостаток, несут ли они ответственность за убытки казино?

Большинство игровых автоматов для видеопокера соответствуют требованиям FIPS с любыми диагностическими интерфейсами, установленными за закрытыми корпусами и с датчиками запуска. Нет интерфейсов интрасети или глобальной сети, а домашние переменные и обновления прошивки выполняются через эти порты.

Помимо сбоев (электроды и соленоиды мотоциклов) и этих логических ошибок и бэкдоров (включая слабые места ГСЧ). С ними буквально невозможно идти на компромисс физически.

Легко обвинить жадность игрока в крахе схемы, но психологически происходит то, что по прошествии определенного времени простота эксплойта перестает ощущаться как жадность - это просто способ, которым все работает. Когда человек привыкает к легким деньгам, это уже не легкие деньги, а право.

« Суть этой истории в том, что вам не разрешают побеждать в Ла-Вегасе»

Это всегда было правдой. По закону азартные игры являются «развлечением», но даже выигравший (с фантастической вероятностью) может быть привлечен к уголовной ответственности или заблокирован. Так было всегда, и проигрыши в казино должны быть в долгу, поскольку «проигрыш в казино» - сам по себе - является незаконным. Это правда, что многие казино принимают убытки ради связи с общественностью и просто закрывают лицо, но они могутпривлечь к ответственности. Вот еще один пример обвинения в «причинении… крупного финансового ущерба».

Этот случай вызывает беспокойство только потому, что обвинение было за «нажатие определенных клавиш» для того, чтобы что-то в компьютере работало определенным (вероятно, непреднамеренным) образом. Это точно так же, как нажатие Ctrl-Alt-Ins (представьте, что вы пропустили клавишу Delete) и обнаружение, что это изменило Win8 на Server2012; он воспользовался ошибкой программного обеспечения.

К счастью, федеральное компьютерноепреследование потерпело крах, потому что судебное преследование по игровым уставам было бы бесполезным.

Эта история, как и Вегас, - еще одна удручающая история о двух людях, которые, как и многие другие, ужасно пристрастились к азартным играм. Если бы не эта навязчивая идея, они могли бы сохранить работу, как нормальные люди, и зарабатывать деньги - вместо того, чтобы терять тысячи - на стороне, время от времени играя на машинах и используя программный сбой. Это грустно.

Думайте об этом как о неявном лицензионном соглашении с конечным пользователем: «Вам не разрешен доступ к этой машине таким образом, чтобы в результате постоянно выигрывать».

Что в некотором роде хорошо и для широкой публики, связанной с азартными играми - если бы можно было выиграть с помощью навыков, стряхнуть рубины было бы еще проще.

Джону Кейну было разрешено оставить себе выигрыш в Неваде, но Андре Нестору не разрешили оставить себе выигрыш в Пенсильвании. Два разных государства, два разных свода законов. Деньги Нестора конфисковал окружной прокурор, поэтому я предположил, что Нестору придется подать в суд на государство.

Если бы эти двое парней не жадно пытались выжать из этого жука все, что могли, это могло бы продолжаться годами.

Что касается последствий того, что произошло, я предполагаю, что лицензия на программное обеспечение от Game King - это стандарт, «никаких обязательств». «Наше программное обеспечение было написано обезумевшими обезьянами-эпилептиками, принявшими наркотики, и НЕ имеет НИКАКИХ ГАРАНТИЙ или гарантий пригодности для каких-либо целей». Таким образом, Game King не несет ответственности за потерю дохода казино.

Я полагаю, что что-то подобное также может быть эквивалентно проблеме дизайна в игровом автомате или автомате для пачинко, где определенный шаблон вибрации заставит автомат сигнализировать о джекпоте. Если кто-то обнаружит этот образец вибрации и воспользуется им, он ворует?

Казино не любят проигрывать, и они выбрасывают людей, которые «выигрывают слишком много». Я читал о группах подсчета карт, и они должны были быть осторожными, чтобы не навредить безопасности казино.

В этой истории рассказывается об одном из фаворитов Брюса - социальной инженерии. Такой низкотехнологичный, но такой эффективный.

Из обвинительного заключения Пенсильвании:

«Нестор, который выдавал себя за« хайроллера », часто бывал в казино и представлял себя законным игроком, завоевывая доверие сотрудников казино, давая большие чаевые и вежливо относясь к персоналу. Он часто рассказывал истории о своих успешных выигрышах в Лас-Вегасе и не раз называл себя «профессиональным игроком». Казино сочло Нестора хайроллером на основании его обмана, значительного количества сыгранных ставок и заявленных джекпотов.

Уловка Нестора потребовала участия других заговорщиков. Главным участником группы был Керри Лаверде. Лаверде, который считается давним товарищем Нестора, является бывшим офицером полиции округа Свиссвейл в графстве Аллегейни. Лаверде выдавал себя за охранника, казалось бы, богатого Нестора, и носил полицейский значок, когда был одет в штатское ».

Помогает наличие наивных сотрудников.

«Вскоре после прибытия Нестор поинтересовался функцией« Double Up »игрового автомата у техника по слотам Дэниела Джозефа Даунинга, сотрудника ипподрома Meadows и казино. В частности, Нестор попросил Даунинга активировать функцию «Double Up», поскольку в то время она была деактивирована. Даунинг

указал Нестору, что он проверит настройки машины, чтобы определить, сможет ли он активировать эту функцию. Нестор сказал Даунингу, что он часто заставлял техников по игровым автоматам менять эту опцию на игровых автоматах в Лас-Вегасе, штат Невада. Затем Даунинг получил доступ к программированию игрового автомата через видео-меню, расположенное на мониторе устройства. Получив доступ к меню программирования устройства, Даунинг не смог найти рассматриваемую функцию «Double Up». Затем Нестор предложил показать Даунингу расположение функции в меню программирования машины. Даунинг отказал Нестору в прямом контакте с машиной, но позволил Нестору вести его через экраны меню. Затем Даунинг обнаружил соответствующее меню для конкретной игры, которое включало функцию «Удвоить», и активировал ее по запросу Нестора ».

«Салливан говорит, что« Медоуз »« вылечили »и вернули все почти 480 000 долларов, которые, по его словам, Нестор получил от автоматов казино. В 2011 году с Нестора было снято более 600 местных обвинений ».

Таким образом, плата управления играми в Неваде имеет исходный код для каждой игры, когда-либо одобренной для использования в этом штате. Конечно, очень хорошая идея. Конечно, никому и в голову не пришло требовать, чтобы источник банковских банкоматов и машин для голосования хранился в архивах государственных органов ...

Скажите - мне интересно, есть ли у АНБ удобное хранилище этого материала.

Я занимался терминалом видео лотереи (игровые автоматы, управляемые государством, а не частными лицами) более 5 лет, закончившийся около 12 лет назад.

У нас была ситуация, очень похожая на описанную в этой статье (вы могли неожиданным образом увеличить ставку в то время, когда это увеличило бы вашу среднюю выплату выше 100%). Основное различие между нашей ситуацией и ситуацией, описанной в статье, заключалось в том, что мы обнаружили дефект внутри (после того, как он уже был выпущен в полевых условиях), и у нас не было доказательств того, что кто-то воспользовался этим, прежде чем мы закрыли игру. пока это не было исправлено.

@Anura - Хотя я могу вспомнить времена, когда наша компания, очевидно, платила за неточные выплаты, я не был достаточно вовлечен в эти обсуждения, чтобы понять, были ли это юридические требования, договорные требования или просто удовлетворение наших клиентов (общие выплаты, которые мне были известны) составили менее 0,1% нашего дохода от этих контрактов в наш худший год).

В отрасли, в которой я работал (VLT), все машины были в одной или нескольких локальных сетях - это было для финансовой отчетности, прогрессивных джекпотов и для проверки того, что выполняемый код совпадает с архивным кодом. В некоторых случаях он был подключен к более крупной сети.

Безопасность этих машин была довольно хорошей, но я умеренно уверен, что когда я работал на этих машинах, я мог бы взломать наши собственные машины с помощью достаточно большого заговора (1 техник, 1 аудитор, 1 оператор, я и несколько посторонние бы сработали). Уйти с достаточным количеством денег, чтобы окупить его, потребовало бы больших усилий; Я не уверен, что это было возможно с финансовой точки зрения.

Кроме того, хотя я не исследовал это, наши машины (как и большинство) были внутренними сетями компьютеров, часто принадлежащих различным компаниям с разным уровнем (не) безопасности - некоторые из интерфейсов были известны как уязвимые (я надеюсь, что они были устранены к настоящему времени), а другие, возможно, были уязвимы. Я думаю, что с немного меньшим заговором (и большим усилием с моей стороны) мы могли бы атаковать некоторые интерфейсы достаточно, чтобы повлиять на шансы в нашу пользу.

Наконец, некоторые внешние интерфейсы были широко открыты для некоторых векторов атак. Опять же, я надеюсь, что эти проблемы были решены.

У меня нет оснований полагать, что любой другой инсайдер с сопоставимым доступом не смог бы сделать то же самое с машинами своей компании - а в некоторых случаях и с машинами своего конкурента.

Просто пара второстепенных гнид на выбор:

«Game King» - это название платформы. Производитель - IGT, скоро будет GTech. Вроде как разница между Monopoly и Parker Brothers / Hasbro.

Совет по контролю за азартными играми штата Невада имеет полный исходный код всех игр, представленных на утверждение, а не только одобренных, поскольку некоторые из представленных материалов не получают одобрения.

Правила Невады также требуют, чтобы для электронных игровых автоматов процесс выбора, используемый для определения победителя, «… не должен приводить к обнаруживаемым образцам игровых элементов или обнаруживаемой зависимости от любого результата предыдущей игры, суммы ставки или стиля или метода игры. . » (Правило 14.040.2 (c)).

Я считаю (но ни в коем случае не юридическим заключением), что IGT может нести ответственность за несоблюдение указанного постановления и частично Совет по контролю за игрой за одобрение несоответствующей игры для использования публикой, если кто-то действительно хотел вопрос об этом.

Интересно, что ошибка эффективно увеличивает их преимущество по Келли (она не превращает проигрыши в выигрыши, а позволяет вам нацеливать свой банкролл на выигрыши)

Мистер Шнайдер, не могли бы вы удалить мою первую запись в блоге, так как в ней отсутствует слово «знаю»? Во вторую запись я исправил слово «знаю». Ошибка произошла неосознанно. Я не хочу, чтобы публика думала, что у меня плохая грамматика или я беспечен. Спасибо.

Оставить комментарий Отменить ответ

Фотография Брюса Шнайера на боковой панели, сделанная Джо Макиннисом.

О Брюсе Шнайере

Я технолог, отвечающий за общественные интересы, работаю на стыке безопасности, технологий и людей. Я пишу о проблемах безопасности в своем блоге с 2004 года и в своем ежемесячном информационном бюллетене с 1998 года. Я научный сотрудник и преподаватель Гарвардской школы Кеннеди, член правления EFF и руководитель службы безопасности в Inrupt, Inc. Этот личный веб-сайт не выражает мнения ни одной из этих организаций.