#

фундаментальный принцип:
-

Установил библиотеку pycryptodome

если что то не работает:
- читаем документацию
- дальше ищем каналы обратной связи (и они есть - https://github.com/Legrandin/pycryptodome/issues)
- получить помощь на сторонних ресурсах (как тут) это вопрос везения. возможно очень большого. это зависит от популярности библиотеки

вам надо сгенерировать и ключ шифрования, и число, число зашифровать и сообщить игрокам ДО ставок.
зашифровать криптостойким шифром.. при чем не обязательно криптостойкости на миллионы лет брутфорса, можно ограничить игрока минутой на ставку (или меньше).. в тупом варианте пойдет даже RAR архив с жутким паролем.
после ставок - раздаете пароль и выигрыш

ps rar не плох, по тому что является готовым решением (в архив можно досыпать сопроводительного текста, который тоже меняется довольно рандомно)..
так же можно использовать любой архиватор, с более менее надежной парольной защитой, или широко известные пакеты шифрования. но это уже явно сложнее для игроков (а вам вряд ли надо нагружать их мозги)

в противном случае - свое решение, в части шифрования, вам придется сделать опенсорцным и опубликовать. иначе ни кто доверять не будет.. но и это будет нагрузка для мозга игроков..

pps .. суть то та же - сначала сдай карту, но пока не сделана ставка - не даешь ее перевернуть, но и игрок уже держит руку на карте, знает что подменить ее уже невозможно

Идеально было бы при установки сервиса в IIS установщик запросит (выдаст, сгенерит? ) новый сертификат (если такого еще не установлено в IIS), который будет trusted для остальных машин в локальной сети без копирования это сертификата на все машины.

супер простого решения не существует

другой вопрос, что тиражирование сертификата можно скриптовать. хотя в домене это все было бы проще и безопаснее.

можно поднять автономный сертификат-сервер. но его открытый ключ, все равно надо внести в число доверенный удостоверяющих цетров, на каждом клиентском компе. те же я.. шары в профиль - скрипты. и опять проще и надежнее в домене

ps

Если это так, то:
- должен ли этот сервер иметь свой собственный сертификат для подписи тех, что он выдает другим серверам?

да. и пусть не будет сюрпризом - так же ка IIS, он сам себе самоподпиську генерирует. если конечно вы не закупите подпись для него у MS, VeriSign, etc..

принцип то один - если цепочка удостоверителей не доходит до списка корневых доверенных центров (которые в современных ОСях являются частью дистрибута, и обновляются с прочими патчами системы)* - то все остальное самоподписка

* - или те самые добавления ручками. от которых вы хотите сбежать