Der Würfel
Alle fünf Spiele hier hängen an denselben zwei Würfeln. Diese Seite zeigt, woher ihre Zahlen kommen, warum niemand sie aussuchen kann — wir am allerwenigsten — und wie du das selbst nachrechnest.
Warum es diese Seite gibt
31–45 % aller Beschwerden in den Rezensionen großer Backgammon-Apps drehen sich um die Würfel — mehr als um jedes andere Thema.
Der Verdacht ist keine Randmeinung. Er steht in jeder Sprache dieser Seite in den Rezensionen: Die Würfel seien gezinkt, der Gegner bekomme genau den Wurf, den er braucht, nach einem Kauf verliere man die nächste Partie. Wer online spielt, hat diesen Satz schon gedacht — und meistens gab es niemanden, der ihn ernst genommen hat.
Die übliche Antwort ist ein Zertifikat: Ein Prüfhaus bestätigt, dass der Zufallsgenerator in Ordnung ist. Das heißt „glaub dem Prüfer“ — an der Stelle, an der du gerade niemandem glauben willst. Hier steht deshalb kein Siegel, sondern eine Rechnung, die du selbst nachvollziehen kannst, für jede einzelne beendete Partie.
Warum kein Wurf nachträglich gewählt wird
Jede Partie legt ihre Würfe fest, bevor sie fallen. Der Server veröffentlicht zu Beginn eine Prüfsumme und erst am Ende die Zahl, aus der alle Würfe berechnet wurden — passt das eine nicht zum anderen, ist es beweisbar.
-
Vor der Partie: der versiegelte Umschlag
Der Server zieht einen Startwert von 32 zufälligen Bytes und veröffentlicht nur dessen Fingerabdruck — eine Prüfsumme, aus der sich der Startwert nicht zurückrechnen lässt. Ab diesem Moment ist er festgelegt; austauschen kann ihn niemand mehr, ohne dass der Fingerabdruck nicht mehr passt.
-
Beide Spieler legen etwas dazu
Jeder von euch bringt eine eigene Kennung ein, und sie geht in jeden Wurf ein. Das ist der Schritt, den reine Prüfsummen-Versprechen weglassen — und ohne ihn wäre alles Übrige Theater: Ein Server, der auch eure Werte wählt, kann so lange Startwerte durchprobieren, bis ihm die Würfe gefallen, und erst dann den Fingerabdruck veröffentlichen.
-
Ein Anker von außen
Dazu kommt eine Zahl aus drand, einem öffentlichen Zufallsstrahl, den mehrere unabhängige Betreiber gemeinsam erzeugen. Benannt wird eine Runde, die es im Moment der Versiegelung noch gar nicht gab. Damit ist die letzte Lücke geschlossen: Selbst wenn Server und beide Spieler unter einer Decke steckten, könnten sie die Würfe nicht vorher aussuchen.
-
Die Partie läuft
Jeder Wurf wird aus diesen Teilen berechnet, nach der laufenden Nummer des Wurfs. Nichts wird in dem Augenblick entschieden, in dem du auf den Becher drückst — es stand schon fest, bevor die Partie begann.
-
Nach der Partie: der Umschlag wird geöffnet
Der Server veröffentlicht den Startwert. Jetzt lässt sich beides prüfen: Passt er zu dem Fingerabdruck von vorher, und ergeben sich daraus genau die Würfe, die gefallen sind? Stimmt eines von beidem nicht, ist das kein Verdacht mehr, sondern ein Beweis — und zwar einer, den jeder führen kann, ohne uns zu fragen.
1 Fingerabdruck 2·3 Gebunden an 5 Startwert
Die Rechnung, offen hingelegt
Hier ist sie ganz. Es gibt keinen zweiten, geheimen Teil — was hier steht, ist alles, was ein Wurf braucht.
Jeder Wurf ist HMAC-SHA256(Startwert, Bindung ‖ Nummer). Bytes ab 252 werden verworfen, damit alle sechs Augenzahlen gleich wahrscheinlich bleiben; jedes übrige Byte wird modulo sechs genommen, plus eins.
Der Startwert ist der Schlüssel, die Bindung die Nachricht: Matchnummer, Partienummer, die Kennungen beider Spieler und der Anker — jedes Stück mit seiner Länge davor. Die Längen sind kein Zierrat. Ohne sie ergäben die Kennungen „ab“ und „c“ dieselbe Nachricht wie „a“ und „bc“, und ein Spieler könnte zwei verschiedene Paare auf denselben Würfelstrom abbilden.
Warum vier von 256 Werten weggeworfen werden
256 lässt sich nicht durch sechs teilen. Wer einfach modulo sechs rechnet, bekommt die Augen 1 bis 4 in 43 von 256 Fällen und die 5 und die 6 nur in 42 — ein Überschuss von rund zweieinhalb Prozent, der über hunderttausend Würfe leicht nachzuweisen ist. Genau das wäre der Skandal, den diese Seite verhindern soll. Deshalb werden die vier obersten Bytewerte verworfen und neu gezogen, und alle sechs Augenzahlen bleiben gleich wahrscheinlich.
benutzt, gleichmäßig auf sechs Augenzahlen verteilt verworfen, es wird neu gezogen
Drei Wege, es selbst nachzurechnen
Alles, was zur Prüfung nötig ist, steht öffentlich — und keiner der drei Wege führt über uns.
-
Im Browser nachgerechnet
Jede beendete Partie hat unter „Würfel prüfen“ ihre eigene Seite: Fingerabdruck, Bindung, Startwert und alle Würfe. Dein Gerät rechnet dort mit der Krypto-Funktion deines Browsers nach — das Urteil stammt danach von deinem Gerät, nicht von unserem.
-
nard.gg — Würfel prüfen
Diese Datei rechnet die Würfel einer Partie aus den veröffentlichten Werten nach. Sie enthält nichts von uns außer der Rechnung selbst — kein Nachladen, keine Verbindung, keine Zählung.
Prüfprogramm herunterladen — eine einzige Datei, ohne Netz, ohne uns. Speichern und jederzeit gegen jeden veröffentlichten Datensatz laufen lassen.
-
Von Hand oder mit eigenem Werkzeug
Die Formel oben ist die vollständige Spezifikation, und HMAC-SHA256 gibt es in jeder Programmiersprache. Wer mag, schreibt sich den Prüfer in zwanzig Zeilen selbst und braucht von uns nur die veröffentlichten Zahlen. Genau dafür stehen sie da.
Was wir nicht versprechen
Von der Versiegelung an kennt der Server die Würfe der laufenden Partie im Voraus. Abstellen ließe sich das nur, wenn beide Seiten vor jedem einzelnen Wurf etwas festlegten und danach aufdeckten — das kostet eine Runde pro Zug und lädt dazu ein, das Aufdecken einfach zu verweigern. Wir tun es nicht. Und wir schreiben es hierhin, statt es zu verschweigen.
Dafür gilt: Für jede Partie wird ein eigener Startwert gezogen, unabhängig von allen anderen — aus einem folgt nichts über den nächsten. Und der Beweis liegt für jede beendete Partie offen, nicht auf Anfrage, sondern von selbst.
Die sechsunddreißig Würfe
Und warum fühlt es sich trotzdem so an, als wären die Würfel gegen dich? Weil Zufall in kleinen Mengen ungleichmäßig aussieht. Zwei Würfel fallen auf sechsunddreißig Arten, und wer eine bestimmte davon braucht, wartet oft lange darauf. Die beiden Tafeln hier zeigen das — die erste, wie viele Würfe eine Weite überhaupt erreichen, die zweite, wie ungleich echter Zufall in kleiner Zahl aussieht.
Zwei Würfel fallen auf sechsunddreißig gleich wahrscheinliche Arten. Wähle eine Weite, und die Tafel zeigt, welche davon einen Stein so weit bringen — auf freiem Weg, ohne Sperren dazwischen.
Nichts gewählt — die Tafel zeigt alle sechsunddreißig Würfe.
21 verschiedene Würfe, 6 davon Pasch. Gezählt wird trotzdem in Sechsunddreißigsteln: jeder Pasch fällt einmal, jeder andere Wurf zweimal.
Selbst würfeln
Diese Tafel würfelt in deinem Browser, mit dessen eigenem Zufall. Nach sechsunddreißig Würfen bleibt die Hälfte der Felder leer — das ist keine Störung, sondern wie Zufall aussieht.
Würfe insgesamt 0
Pasch
Zeigen beide Würfel dieselbe Zahl, wird sie viermal gezogen statt zweimal. Ein Pasch fällt in sechs von sechsunddreißig Würfen — also in jedem sechsten Zug.
Deshalb reicht ein Pasch weiter als jeder andere Wurf: 6–6 trägt vierundzwanzig Felder.
Der erste Wurf
Zu Beginn würfelt jeder einen Würfel; der höhere beginnt und spielt genau diese beiden Zahlen. Bei Gleichstand wird neu gewürfelt. Der erste Zug einer Partie ist deshalb nie ein Pasch — es bleiben 30 der sechsunddreißig Würfe.