הגרלה שקופה עם הוכחה שכל אחד יכול לבדוק

איך זה עובד: מעטפה סגורה, בגרסה דיגיטלית

חשבו על מעטפה סגורה עם פתק שמונח על השולחן לפני ההגרלה. אי אפשר להחליף את הפתק בלי שכולם יראו. כאן המעטפה היא טביעת אצבע SHA-256: קוד קצר שנגזר מהמספר הסודי ומרשימת המשתתפים, ואין דרך מעשית למצוא מספר או רשימה אחרים שייתנו אותו קוד.

אחרי ההגרלה חושפים את המספר הסודי. כל אחד יכול לחשב את טביעת האצבע שלו, לראות שהיא זהה לזו שפורסמה, ולחשב את הזוכים מחדש.

מקור: NIST FIPS 180-4: Secure Hash Standard (SHA-256)

למה כדאי לערבב גם ערך ציבורי

מי שבוחר את המספר הסודי יכול, בתיאוריה, לנסות הרבה מספרים עד שייצא הזוכה שהוא רוצה, ורק אז לפרסם. כדי לסגור גם את הפרצה הזו מכריזים מראש על ערך ציבורי שעוד לא ידוע, למשל תוצאות הגרלת צ׳אנס מסוימת או מספר התגובות בסגירת ההרשמה, ומערבבים אותו בחישוב בזמן ההגרלה.

מכיוון שהמספר הסודי פורסם לפני שהערך הציבורי היה ידוע, אי אפשר היה לבחור אותו כך שיתאים לזוכה מסוים.

מה בודקים בדף האימות

• רשימת המשתתפים תואמת את טביעת האצבע שפורסמה, אז אף אחד לא נוסף ולא נמחק.
• המספר הסודי תואם את טביעת האצבע שלו, אז הוא לא הוחלף אחרי ההגרלה.
• חישוב מחדש של ההגרלה נותן בדיוק את אותם זוכים ואותם ממתינים, באותו סדר.

הנוסחה המלאה, למי שרוצה לבדוק לבד

טביעת הרשימה היא SHA-256 של השמות מחוברים בירידת שורה. המפתח הוא SHA-256 של השורה pur-draw-v1|seed|publicValue|listHash|winners|backups. מהמפתח נגזר רצף מספרים: SHA-256 של ״מפתח:0״, ״מפתח:1״ וכן הלאה, כל אחד נקרא כשמונה מספרים של 32 ביט. הזוכים הם הצעדים הראשונים של ערבוב פישר־ייטס, עם דחייה של ערכים שהיו יוצרים הטיה.

כל החישוב רץ בדפדפן, והקוד זהה בדף ההגרלה ובדף האימות.

מקורות: Durstenfeld, Algorithm 235: Random permutation (1964) · MDN: Crypto.getRandomValues()