PTR бьет тревогу: у Cake Poker Network проблемы с безопасностью

Эта статья служит сопроводительным материалом к советам по безопасности, которые PTR выпустил касательно слабой системы кодирования Cake Poker. Она призвана объяснить риски, которые могут ждать играющую в покер аудиторию.

PTR Security обнаружили серьезную уязвимость в системе кодирования, используемой Cake Network. Это позволяет третьим лицам в случае технической продвинутости украсть данные о скрытых картах оппонентов. Это означает, что игроки всей сети (особенно недостаточно защищенные) находятся в зоне повышенного риска.

Проблемы носят почти такой же характер, что и недавние уязвимости покерной сети Cereus, которые на данный момент решены. Однако есть некоторые существенные различия, которые будут обсуждаться в секции «замечания».

Мы верим, что уязвимости свойственны каждому руму сети Cake (хотя тестировались только  Cake poker и Doyle’s room)

Если вы собираетесь пропустить большую часть этой статьи, то хотя бы уделите внимание разделам «Уровень риска для игроков» и «Рекомендации игрокам». Эти секции нужно обязательно прочитать клиентам онлайн покер сети Cake.

Объяснения

Эта секция похожа на предыдущую резолюцию по безопасности для Cereus Poker Network, так что если вы уже знакомы с проблемами кодировки у Cereus, эту часть можно пропустить.

Когда вы авторизовываетесь в игровом клиенте на вашем ПК, он соединяется с сервером, которым владеет и управляет покерная сеть. Связь используется для передачи всех данных между ПК и сервером: передача имени и пароля, ставки и ваших скрытых карт.

Это похоже на беседу между компьютером и покерной сетью.

Во всех покерных сетях эти данные зашифрованы, чтобы предотвратить доступ к вашему аккаунту и персональным данным. Так что, если кто-то подслушивает эту «беседу», он не «услышит» того, что ему не положено.

Почти каждая покерная сеть использует протокол SSL, такой же каким пользуются банки и правительственные организации. Есть несколько способов доступа к этому протоколу, включая открытый источник OpenSSL. SSL — это стандарт для индустрии, хорошо зарекомендовавший себя для защиты данных.

Проблема в том, что Cake Poker не использует SSL для кодирования данных; они используют собственную систему кодирования на базе XOR. Эта система известна своей слабостью. Любому продвинутому хакеру не составит труда взломать данные сети и получить шифр.

Фактически система, которую использует Cake Network, не шифрует, а просто кодирует данные. Чтобы понять, как легко подобрать этот код, просто используйте ваш калькулятор Windows и установите его в научный режим. На самом деле всё, что нужно, чтобы раскодировать данные, это кнопка XOR.

Всё это означает, что если вы играете в открытой сети, взломанной открытой сети (которую просто взломать), или в физической сети, которая связана с опасным источником — злоумышленник может получить доступ к трафику и использовать его в своих целях.