1 декабря 1969 года, Вашингтон, штаб-квартира Selective Service. Восемь вечера. В прямом эфире, на глазах у всей страны, конгрессмен Александр Пирни опускает руку в большую стеклянную банку и достаёт первую из 366 синих пластиковых капсул. Внутри — дата: 14 сентября. Этой дате присваивается призывной номер 1. Все мужчины 1944–1950 годов рождения, родившиеся 14 сентября, идут на войну первыми.
Прозрачнее не бывает: национальный телеэфир, конгрессмен лично тянет капсулы, 366 дней и 366 капсул на виду у миллионов. Если и существует образец честного публичного розыгрыша — вот он. Только он был нечестным. И в этом — вся статья.
Полюс честной ошибки
Через 87 минут банка пуста. Порядок вытянутых капсул определил, в какой очерёдности молодых американцев отправят во Вьетнам. А заряжали эту банку так.
Капсулы складывали в коробку по месяцам. Сначала январь — перемешали. Добавили февраль — перемешали первые два месяца. И так до декабря. В результате январские капсулы перемешали двенадцать раз, февральские — одиннадцать, а декабрьские — ровно один раз. Потом всё высыпали из обувной коробки в стеклянную банку — и этого финального встряхивания не хватило, чтобы сломать сезонную последовательность.
Капсулы поздних месяцев так и остались сверху. Их вытягивали первыми. В переводе на человеческие судьбы: дни рождения ноября и декабря (даты с 306-й по 366-ю) систематически получали низкие призывные номера — то есть призывались раньше.
Никто не жульничал. Не было злодея, подкупленного чиновника, поддельного билета. Была добросовестная процедура и плохо понятая физика перемешивания. И всё равно результат вышел смещённым.
Насколько — посчитали. В Монте-Карло-эксперименте из 100 000 смоделированных идеально случайных лотерей лишь около 1 177 — примерно 1,2% — дали отклонение от равномерности не меньше, чем настоящий тираж 1969 года. Иначе говоря: если бы капсулы были перемешаны как надо, такая кластеризация выпадала бы примерно раз из восьмидесяти.
4 января 1970 года New York Times вышла со статьёй под заголовком «Статистики утверждают: призывная лотерея не была случайной». Математики разобрали процедуру и показали перекос. И — ничего. Неравномерную лотерею оставили в силе. Результат уже разослали по призывным комиссиям. Доказать нечестность задним числом получилось. Изменить — нет.
Запомним эту деталь — она важнее, чем кажется. Нечестность здесь обнаружили после розыгрыша. Газетной статьёй. Через месяц. Когда менять было поздно.
Полюс злого умысла
Теперь другой край спектра.
Эдди Типтон был директором по информационной безопасности Multi-State Lottery Association — организации, чьи компьютеры разыгрывали джекпоты в десятках американских штатов. Человек, которому по должности доверяли охранять честность генератора случайных чисел. Он вписал в этот генератор закладку.
Как работала закладка Типтона.
Самоудаляющийся код срабатывал только в узких условиях: розыгрыш в среду или субботу, и только в один из трёх дней года — 147-й, 327-й или 363-й. Эти даты обычно приходились на праздники, когда Типтон бывал в отпуске и подальше от подозрений. Если условия совпадали, генератор уходил с настоящего источника энтропии на подменную ветку, и пул возможных выигрышных комбинаций сужался с миллионов до нескольких сотен — предсказуемого, заранее известного множества.
Дальше — дело техники. Родственники и знакомые покупали билеты на эти «удачные» комбинации и забирали джекпоты. Около 24 миллионов долларов, минимум пять штатов, почти десять лет необнаружения. Схему вскрыли случайно — из-за невостребованного джекпота в 16,5 миллиона в Айове, который пытались получить через траст с бенефициаром в офшорной корпорации в Белизе, за два часа до истечения срока. Слишком дурно пахло.
Два полюса. На одном — никто не хотел зла, и розыгрыш всё равно оказался кривым. На другом — злой умысел был вшит в самое сердце генератора, и его не замечали годами. Между ними помещается всё остальное.
Между полюсами
Подмена победителя — Сиань, Китай, 2004.
Настоящему обладателю выигрышного билета — фермеру Лю Ляну — объявили, что его билет поддельный. Приз ушёл сообщникам организаторов. Список участников и правила соответствия билета выигрышу были непубличны, поэтому подменить победителя оказалось делом одного заявления.
Подделка документов — Кувейт, 2021–2025.
Сеть, орудовавшая под надзором министерства торговли, фальсифицировала документы и перенаправляла призы «нужным» людям: 110 розыгрышей, машины, наличные — на сумму свыше 1,2 миллиона динаров. Семьдесят три обвиняемых.
Фиктивная случайность — «Большой брат», Великобритания, 2006.
Победительница «случайного» отбора золотого билета, по свидетельствам, ещё до объявления заявляла в пабе, что идёт в дом. Регулятор начал проверку. Зрители видели шоу честного отбора — а процедура за кулисами честной не была.
Подмена результата задним числом — Филиппины, PCSO.
После розыгрыша на 249 миллионов песо в сеть утекла «вторая версия» результатов, где джекпот не выиграл никто. У оператора было два системных провайдера — и не было криптографического слепка, зафиксированного до тиража. Слово оператора против скриншота. Доказать нельзя ничего.
Разные страны, разные десятилетия, разные механизмы. Но дыра одна и та же.
Одна дыра под пятью углами
Сложите эти случаи рядом, и проступает общее. Все пять — не пять независимых уязвимостей. Это одна и та же дыра, просто повёрнутая разными гранями.
Розыгрыш, результат которого нельзя независимо пересчитать, держится на доверии к организатору. А доверие масштабируемо подделывается. Не важно, кривое у вас перемешивание капсул или подкупленный чиновник, поддельный билет или утёкшая вторая версия протокола, — пока единственный способ узнать результат состоит в том, чтобы поверить тому, кто его объявил, у этого человека есть и возможность, и стимул соврать. Или ошибиться, не соврав.
И обратите внимание на главную ловушку: публичность не спасает. Призывная лотерея 1969-го была максимально публичной — нацэфир, конгрессмен, стеклянная банка на виду у миллионов. И всё равно она была смещённой, и доказали это постфактум, газетной статьёй, когда поезд ушёл. Зрелище прозрачности — не то же самое, что проверяемость. Можно показать людям всё — и всё равно вручить им результат, который они обязаны принять на веру.
Что делает с этим UVS
UVS (Uncloned Verification Standard) исходит из простого тезиса: розыгрыш должен быть фактом, который кто угодно пересчитает у себя, а не обещанием, которое надо принять. Для этого результат превращается в воспроизводимую функцию трёх публичных входов.
Server seed с commit-reveal. Организатор фиксирует семя до розыгрыша, публикуя его хеш. Само семя раскрывается после. Это закрывает Филиппины: «второй версии» результата не может существовать, потому что слепок единственного семени опубликован заранее. Подменить результат задним числом нечем — он уже зацементирован хешем.
Публичная случайность из будущего. Конкретный будущий раунд drand — глобального распределённого маяка случайности. На момент commit этого раунда ещё не существует: его не может ни выбрать, ни узнать заранее ни организатор, ни кто-либо ещё. Это закрывает сразу оба полюса. Типтон не смог бы подменить энтропию — её источник вне его машины и вне его контроля. А Draft '69 был бы невозможен, потому что drand не перемешивают руками в обувной коробке: у него нет физического перекоса, ломать сезонную последовательность нечему.
Опубликованный ruleset. Список участников и структура призового фонда публикуются заранее. Победитель — чистая функция от (seed, drand, список). Это закрывает Сиань, Кувейт и «Большого брата»: перенаправить приз «своему» нельзя, потому что соответствие билет→участник зафиксировано до розыгрыша и пересчитывается кем угодно; анонимный победитель, вынырнувший из ниоткуда через белизский траст, структурно невозможен; «знать заранее» невозможно, потому что входа — будущего drand — ещё нет в природе.
Три входа, и набор векторов атаки схлопывается. Не потому, что мы построили организатора понадёжнее или аудитора посовестливее. А потому, что мы убрали само слово «доверять» из определения честного розыгрыша.
Почему это не блокчейн и не очередной аудит
UVS — протокол, а не библиотека, не фреймворк и не тяжёлая цепочка блоков. Он не требует, чтобы вы кому-то доверяли — ни оператору, ни сертифицирующей третьей стороне, ни консенсусу майнеров. Он требует ровно одного: чтобы три входа были публичны, а функция — детерминирована. Тогда проверка перестаёт быть актом веры и становится арифметикой. Любой участник берёт seed, берёт раунд drand, берёт список — и пересчитывает результат на своей машине. Сходится — честно. Не сходится — пойман.
Статистики в 1970-м сделали ровно это, только руками и через месяц: взяли результат, проверили на случайность, поймали перекос. UVS превращает их посмертный анализ в свойство, встроенное в сам розыгрыш. Не «доказать нечестность постфактум, когда поздно», а «честность как пересчитываемый факт в момент объявления».
Призывникам ноября и декабря 1969 года это не помогло бы вернуть проигранную лотерею — но помогло бы оспорить её до того, как капсулы разослали по комиссиям. А это и есть вся разница между обещанием и фактом.
UVS — открытый протокол проверяемой честности для игр, iGaming и розыгрышей. Документация, спецификация и живые демо: uncloned.work.