Jak poslat na server hodnotu bez možnosti podvrhu?

Reaguji na joa:
Viz Bezpečné odesílaní dat.

Podle mě nejlepší způsob popsal Chamurappi v tom odkazovaném vlákně hned v příspěvku #2. Bude ale dost záležet na typu hry. Pokud by se soutěžilo třeba v tom, kolikrát je člověk schopný kliknout myší za 10 sekund (něco takového jsem viděl jako aplikaci na FB), tak je postup hry docela jednoduché zfalšovat (prostě se vymyslí falešné časy kliknutí). Pokud by se ale jednalo o závodní hru (auta), tak se dají ukládat stisky kláves a z nich na serveru se znalostí trasy znovu spočítat, jak jel hráč rychle, kde boural atd. a z toho i celkový čas. Takovou věc už je ale velmi těžké podvrhnout...

Každopádně jakýmkoliv šifrováním nebo hashováním výsledků ale třeba i komprimováním JS kódu se podvržení výsledku dá pěkně znepříjemnit.

Reaguji na joa:
„s použitím nějakých šifrovacích algoritmů s privátním a veřejným klíčem by to nešlo?“
Jakýkoliv algoritmus na straně klienta může poměrně snadno využít i útočník. Problém není v nešifrování komunikace, ale v tom, jakým způsobem jsou získávána zdrojová data. Někde v JS si řekneš „tak teď máš 47 bodů“ — a útočníkovi stačí napadnout tohle místo, změnit rozhodovací proces, který ke 47 bodům vedl, a zbývající činnost ponechat — pak je jedno, jak složitě to zabalíš a obhashuješ.

Jediné řešení je neúnosně zkomplikovat zdrojová data, tedy ponechat je v té nejsurovější podobě (zapsat celý herní postup) a zjistit jejich správný význam až na straně serveru. Pak má útočník při podvrhávání prakticky jedinou možnost — vyrobit si přímo umělou inteligenci, která odehraje danou hru celou za něj. Je-li hra příliš triviální, nemá cenu posílat někam výsledek a sestavovat žebříčky. Je-li složitější, pak si útočník, který opravdu dokáže napsat AI, zaslouží být první :-)

joe:
Jak psal Chamurappi, šifrování na straně klienta nepomůže, prostě se hodnota podvrhne před tím šifrováním.

Ale mezi posíláním jen počtu bodů a posíláním celého postupu hrou (viz [#5]) existuje celá škála různě složitých „kompromisních“ řešení.

Když dám příklad, v nějakých situacích (třeba u hry rozdělené na úrovně to může být při přechodu mezi úrovněmi) by se na server odeslalo průběžné skóre a některé statistiky. Server pak může odchytit věci jako nereálně rychlý průchod úrovní, nereálné změny statistik a podobně.

Z toho by šlo nakombinovat řešení s vhodným poměrem náročnosti toho bezpečnostního mechanismu a odolnosti proti podvádění (100% odolnost proti podvodu zajistit nejde, ale postačí taková, že to podvádění nebude zajímavé).