深圳彩票案的安全与技术反思

　　3305万元，无人兑奖，黑客入侵，警方介入……深圳福彩案更像是一波三折、充满戏剧性的电影。6月9日，双色球第09066期开奖，全国共开出一等奖9注，有5注都落在了深圳。然而面对这样一份大奖，兑奖人却迟迟没有出现。

　　7月8日，深圳警方发布消息，这则巨奖无人认领的事件是一起骗局：深圳电脑工程师程伟利用在福彩中心实施其他技术合作项目的机会，通过木马程序，对彩票数据进行了恶意篡改。

　　记者◎李翊   插图◎谢驭飞

　　作弊

　　6月12日，福彩双色球第09066期开奖3天后，程伟因为涉嫌篡改深圳福彩中心数据系统伪造中奖号码被罗湖区公安分局抓获。

　　这是一个有一定技术含量但手段并不高明的犯罪。据罗湖区公安分局桂园派出所对本刊记者介绍，程伟先是编写了一个可以自动运行的木马软件，然后利用所在公司与福彩中心合作的机会，进入福彩中心机房，植入木马程序。摇奖结果出来后，这个程序会自动将他所购买的彩票修改成一等奖的号码。

　　深圳警方确认程伟先持有一张彩票，据深圳市福利彩票中心的信息系统显示，这是一张机选5倍的单式票，投注额度仅为10元，由位于福田区益田路的投注站售出。但他所购得的这张彩票实际与最终中奖的号码并不一致，也就是说，他事先并不知道当期中奖号码，也没有能力控制远在北京的摇号系统。

　　程伟是在摇奖号码开出后，第一时间修改了深圳福彩数据库中的数据，最后在实际只中4注的基础上增加了5注，而这5注全部在深圳。由此分析，程伟最初设计的作案计划分为三步：一是在开奖前的销售时间内购买一张彩票；二是利用与深圳福彩合作的机会，生成了根本就不存在的5注一等奖，并将中奖彩票的编号以及投注地点等信息植入数据库内；三是程伟利用手中实际未中奖的彩票，修改成中奖的号码，实现兑奖。根据警方讲述，程伟只成功实施了前两步，修改彩票至开奖时尚未完成。

　　曾经研发过彩票系统技术的博士杨光(化名)告诉本刊记者，从程伟的所有行为看，他并不熟悉深圳福彩中心所有技术环节，自以为发现了可以被利用而不被发现的系统漏洞，是一个并不高明的“赌徒”。

　　根据深圳市福彩中心主任王简对本刊记者解释，每期双色球销售结束后，福彩中心会马上把电脑里销售系统备份在光盘和硬盘中，这是最原始的销售系统记录，并会把这份原始记录输入到北京的中彩中心。程伟破坏的是电脑里的销售系统，原始销售系统记录没有被破坏。

　　6月9日晚，当福彩中心值班人员收到中彩中心中奖号码传真后，就在电脑里进行数据检索，发现电脑检索出的中奖数据时有异常——电脑系统提示程序和格式异常，这是福彩中心电脑系统的一种设置。但当时值班人员以为是系统出现故障，并没想到会有人入侵销售系统。为不耽误中彩中心公布中奖号码，值班人员就把电脑里检索出的数据上报给中彩中心。

　　“数据上报后，值班工作人员又重新检索原始的数据文件，发现原始的数据文件没有中奖结果。值班工作人员又会同中彩中心核对中彩中心持有的深圳原始销售数据检索，结果仍一样。据此判断，福彩中心怀疑有人非法入侵深圳福彩中心销售系统，篡改该张彩票数据记录，人为制造一等奖。”

　　6月10日凌晨2时左右，福彩中心工作人员报案，警方立即成立专案组。起初，警方怀疑这是一起合谋或内外勾结案件，因为如果要篡改数据，必须进入福彩中心机房，而按照福彩中心的规定，外部人员未经允许不能进入机房。据此，警方认为，外部人员作案的可能性不大。随后，警方扩大调查范围，对进入福彩中心机房的每一个人仔细调查，程伟被锁定为本案唯一犯罪嫌疑人。

　　有限的资料表明，程伟今年31岁，软件工程师，河北省邢台市人，系深圳博众信息技术有限公司的软件工程师。博众是一家专业从事彩票行业IT技术研发、应用及运营服务的公司，除了为浙江、黑龙江、深圳三地的福利彩票服务，其系统在亚洲、非洲、南美和东欧也有应用。

　　博众的前身是2000年1月成立的哈尔滨市吾仁电脑工程公司，承担黑龙江省福彩中心信息技术支持和系统开发任务。2002年3月，深圳市博众信息技术有限公司正式成立，并收购吾仁的全部产权。2006年3月，深圳博众被众彩科技耗资5588万元收购了51%的股权，成为这家香港上市公司旗下的一员。

　　博众的网站信息表明与深圳福彩的合作始于7年前，这个网站还展示了一些相关业绩，自从与深圳福彩合作以来，投注机的数量从2002年的185台，增长到2007年的1032台，年销售额也从2002年的1.6亿元，达到2007年的12.2亿元。

　　对于这种系统的升级改造，博众也有详细介绍：“彩票全热线系统是指在电脑彩票的销售过程中，投注终端机与数据中心始终处于联网状态，当彩民投注时，每张彩票的投注数据通过通讯线路实时地传送到数据中心的主机设备商，由数据中心确认有效并存储成功后再反馈到投注终端机，然后打印出彩票的电脑彩票交易系统。而彩票准热线系统是指在电脑彩票的销售过程中，投注机与数据中心每天定时联网，当彩民投注时，每张彩票的投注数据先存在投注终端机上，然后每天按时上传给数据中心的电脑彩票交易系统。”显然，从安全性来说，全热线销售系统更高。

　　王简告诉本刊记者，案发前深圳福彩中心想上一个数字终端项目，博众是项目合作方，而程伟作为博众公司软件开发人员，在这个项目中负责数字终端的一些调试及软件的研发。

　　公证

　　“从技术的角度看，这个案子说明深圳福彩中心还是拥有相当完善的系统完整性保护和审计手段。”广州一位业内从事网络安全的软件工程师告诉本刊记者，“彩票系统实际就是一个数据库，里面有全部的销售数据，可以在最短时间内搜索出各等级奖项各中了多少注。之所以要分步式，一是便于分账，因为各省份是独立销售的，中央与地方网络连接处会有接口。不过，前端数据库只是简单数据提交，数据是不能攻击数据库的，所以通过数据交换攻击核心数据库的可能性为零。第二是各地出于安全考虑，会备份销售数据，并设置不可重复的校验码。比如每买一注彩票，相当于在数据库中占用了一个位置，会有一个校验码，开奖后，当有人利用‘后门’修改了自己的数据，校验码就会发生改变。彩票中心技术人员发现校验码不对，能迅速锁定被修改的那一注号码。这也是深圳福彩中心能迅速发现漏洞的原因。”

　　这位工程师说，系统有很多代码，程序是人写的，总会存在漏洞，也就是所谓的“后门”。一个系统漏洞从发现到被消灭可能经过几种途径：一是最正常情况下被工作人员发现，向领导汇报，商量如何解决。二是漏洞存在，但没人发现，因为不会影响系统，也没人修改。三是有人发现了漏洞，没有上报，而是琢磨着怎么利用这个漏洞。“但系统是完整的，一旦有人利用漏洞牟利，系统就会不平衡。从不平衡的地方顺藤摸瓜，就能找出问题。”

　　王简告诉本刊记者：“这个技术系统本身是安全的，主要存在什么问题呢？我们对上级监管部门和主管部门规范性制度的落实有疏忽。比方说，这个犯罪嫌疑人原则上是不能接触我们系统的，如要进行服务和合作，也要有登记，有人监督甚至监控。此外，按规定，电脑出现异常，值班人员应该停止上报并进行故障检查，直到故障排除，但值班人员没有这样做，违反了操作规定。”

　　杨光博士认为，在程序设计上，彩票技术管理员拥有的资源提供了作弊的可能性，他说：“例如，终端打印机作弊要有原始纸质票据，知道票据上验证码的算法。这样，摇奖结束后，只要更改票据上的时间，修改验证码，重新打印出当期中奖号即可。”也就是说，如果修改数据库的行为没有被发现，如果程伟拥有相关设备资源使用权，他完全可以伪造出一张与数据库系统相对应的合法中奖彩票。

　　但这并不表示，福彩中心的技术安全无法保障，因为“信息安全手段是能从源头上规避风险的，比如利用数字签名技术引入第三方监督的信息安全手段，可以对系统进行有效的监督管理，做到过程的公开性和可验证性。数据库做完后，经过第三方监督和变换，相当于对一张用过的票据盖章。盖过章，别人就无法对已经完成开奖准备的数据库进行篡改和避免大概率猜中中奖号码。整个过程，应该引入一个脱离相关利益双方的技术监督公证。”杨光说。

　　“一套安全稳定的技术系统需要保证其全部数据及细节的安全。但是目前，我国在公信力推行中积极努力做到的仅仅是让另外一个公证机构对摇奖的过程加以公证，而对于最为核心的内容，比如技术系统、摇奖设备、投注设备等安全性却一直缺乏国家统一标准和第三方专业机构的检测及认证，因此，一旦有问题发生，各级彩票中心自身就无法证明其数据不被修改的安全性。而且，我国各级彩票中心的做法目前也存在差异，从统一管理的角度看还需要加强。”杨光和王薛红不约而同地提及这样一个话题。

　　监管

　　因为此案引发的还有对整个彩票行业的猜疑。根据深圳福彩中心的解释可以得知，现在的开奖程序是这样的：(预留45分钟)各地汇总数据(备份)上传——国家福彩中心汇总(备份)——摇奖——中奖号码传真各地福彩中心——各地福彩中心生成中奖检索结果、再次上报——国家福彩中心发布开奖公告。

　　而规定的双色球销售、开奖、兑奖程序是：第一步：通过全国各福彩投注站网点电脑进行销售，销售号码、注数、期号、投注金额等数据即时通过网络同步传送至市、省福彩中心机房汇总。第二步：开奖前45分钟截止销售，现在各地基本是开奖当晚20时整截止销售，然后先是省福彩中心进行汇总，然后刻录光盘，并将汇总后的数据向国家福彩中心通过网络发送。第三步：国家福彩在开奖前，机房抓紧时间汇总各省(直辖市、自治区、单列市)开奖数据。由于怕有时网络塞车，所以从停售到开奖要预留45分钟时间汇总销售数据。第四步：开奖前开奖现场准备，与国家福彩中心汇总全国数据基本同步进行。第五步：在两名公证处公证员现场监督下，在两名中国教育电视台主持人主持下，摇奖，开出中奖号码。第六步：封存摇奖机，计奖工作同步进行。国家福彩中心通过机房汇总的销售数据进行电脑检索，搜索一至六等奖各中了多少注。

　　两者比较后，这个认定漏洞十分明显：北京的中国福彩中心有备份的光盘数据，程伟无法修改传给北京的光盘数据，所以虽然深圳上报的中奖人数从0变成了5，导致全国一等奖中奖数据从4变成9，但是北京不可能宣布中奖数据为9——除非北京每次都不检索中奖人数。

　　另外，北京大学中国公益事业彩票研究所执行所长王薛红表示，无论是中央还是地方的开奖节目，根据国家广电总局规定都必需要“延时直播”。中国教育电视台福彩项目组负责人的解释是，福彩节目延时播出是电视台处理公众参与节目一种常用的技术手段。不过，这中间到底有多少秒的延迟没有统计。

　　但是，在高科技越来越发达的今天，公证人员只能对可见的程序进行公证，对不可见的技术细节的公证是缺失的。

　　王薛红举了个例子，怎么认定摇奖机的随机性？“房间的湿度、温度，甚至轻微的电压变化，摇奖球出现0.03毫克的差距，包括摇奖机使用一段时间后的耗损等等因素都会改变摇奖机的随机性，出现不随机。在国外，针对摇奖机有7项标准认定，但在我国，既没有国家标准也没有行业标准。”

　　王薛红博士是我国第一位毕业于美国内华达大学(雷诺)商学院博彩管理专业，并回国专门从事博彩问题研究的专家。她曾实习工作于美国Nugget赌场，英国国家彩票委员会，参与筹建了我国第一家专业博彩研究机构，2002年在北京大学成立了中国公益彩票事业研究所。从2001年到2005年，她组织北大彩研所的数学专家进行摇奖机随机性标准的研发工作，研究制定出9项检测标准，其安全性远远高于欧洲和美国的7项标准。“摇奖机的形式有很多种，但原理是一样的。所谓的9项标准就是用9种不同的方法来检测摇奖器的随机性。2005年，北大彩研所用这套标准对美国、英国、日本、中国香港和内地的摇奖机进行过检测。但是，结果被封存，标准也没有被使用。“我国政府有关部门对9项摇奖机检测标准的推行和使用所做出的答复是国家法律未赋予此项权力，所以还不能推行。”

　　如果比较赌场、赛马和彩票，他们的赔率是不同的。“对于彩民而言，彩票的中奖概率是极低的。比如，福彩双色球的中头奖概率是一千七百多万分之一，体彩超级大乐透是两千一百多万分之一。我国政府合法发行福利和体育彩票，目的是为了筹集公益金，所以发行机构一直鼓励的是多人少买。”

　　王薛红告诉本刊记者，这个行业有几个关键环节：一、产品设计，因为游戏规则由庄家定，所以产品设计肯定是要保证庄家只赚不赔。二、销售过程，主要指系统安全。三、技术系统即摇奖机，摇奖机出结果决定胜负。“这三个环节都可能存在风险，产品设计不够科学，系统不安全，摇奖机不随机，这三个环节都是庄家不能完全操控的，那么庄家为了保证只赚不赔，只能从一个角度去做，那就是最后的检索——销售截止后到开奖前有45分钟的时间。而此时摇奖机如果不随机，那么结果会怎样？”“天天都坐在火山口上”是彩票中心的人对王薛红常说的一句话。

　　国际博彩业领域的第一起高科技犯罪在本世纪初发生在英国。作弊工具是在市场上出现不久的带摄像头的手机。“一个赌客拿着手机摄像头对着轮盘赌的转盘，楼上房间里的同伙用摄像机中录取的转盘数据用计算机进行分析，然后下注。那起案件后，有些赌场不再允许赌客带手机进入，有的赌场虽然允许带手机，但是不能放在赌桌附近。”王薛红说，人类社会中，利用技术的发展和进步所带来的高科技犯罪会永远存在。但这并不表示彩票机构就不安全。有问题可以改进，彩票机构需要做的，就是证明你是安全，公正，透明。

　　2009年7月1日，在中国彩票行业发展了22年、已累计达5000亿元规模之后，首部《彩票管理条例》正式实施。王薛红参与了条例的专家修订工作。她认为条例的出台和实施可以推动我国彩票业的四个现代化：“一是确保彩票业发展的法治化、规范化。二是推动民主化进程。比如条例规定新的彩种在批准之前有听证会制度，彩民、社会公众都可以参与。彩票的一些必要数据和信息，社会公众有知情权，有公告制度，信息公开制度。三是推动行业发展的科学化。条例确保财政会同民政和体育总局依据国家标准化法，即必需由专家负责起草和修订国家或者行业的标准。四是确保我国彩票业发展的市场化，这也是实现彩票公信力的一种最有力的保障。”

　　条例实施以来，我国法律确定的彩票发行体制是“财政部监督管理我国的彩票市场，而民政和体育两个行政部门管理两大彩票发行机构，这其中监管与管理的责权利即分工合作问题如何解决是条例实施细则中必需要加以明确的，否则今后扯皮不清，或互相踢球的事儿十有八九容易产生，不利于我国彩票市场的健康发展。“彩票制作成本很低，不像一般商品，一般而言有一个质量标准，彩票出售的应该说是一种信用。只有合理的监管模式才能达到使公众信服的信用水平。”

　　王薛红告诉本刊记者，在条例实施后，她会继续努力推动国家或行业各项技术标准的出台和应用，从而依法推动我国彩票业的科学化发展和彩票公信力的建设。■