Конференция VBStreets

**cashman** » 30.10.2005 (Вс) 22:33

Хочу использ. такое распространение программы, но не в ущерб защите...

Есть 2 версии программы:
1-Демоверсия:
---нет многих функций,
---она устанавливает все библиотеки и копирует все нужные файлы не только для Себя, но и для полной версии
---Генерит код на основе HDD (40 символов)
2-Полная версия (платная):
---всего один файл (...fullversion.exe), копируется в директорию с демо версией
---я каждый экземпляр Полной версии буду делать отдельно под УКАЗАННЫЙ в Заказе КОД, который сгенерировала ДемоВерсия (на основе HDD) и все экземпляры (ссылки на них) выкладываются на сайте с указанием ЭТОГО КОДА (по ним человек и находит свой экземпляр).
---при запуске на Компе пользователя Полная версия, используя тот же алгоритм, сравнивает Получившие Данные на основе HDD с КОДОМ (который был внесен только в ЭТОТ экземпляр полной версии).

Вопрос: насколько безопасно вот так выкладывать для Общего доступа файлы, который в своем имени УЖЕ содержат ТОТ САМЫЙ КОД.
Какие места защиты это делает слабыми?
P.S. Все скомпилировано в P-code.

**tyomitch** » 30.10.2005 (Вс) 22:47

Хакер:
1) скачивает две версии для разных "секретных кодов";
2) сравнивает их побайтно и так находит "секретный код";
3) смотрит в отладчике, когда будут обращения к этому "секретному коду", и с чем он сравнивается

**cashman** » 30.10.2005 (Вс) 22:59

т.е. мой вариант - полное барахло!!!...
а что если эти копии не выкладывать на сайте, а отправлять их по почте (весят несколько киллобайт).

Это эффективнее???, чем сделать Одну версию и затем после КОДА сгенерированного ей отправлять КОД для разблакирования ВСЕХ ОСТАЛЬНЫХ функций. Или нет?..

**tyomitch** » 30.10.2005 (Вс) 23:06

cashman писал(а):т.е. мой вариант - полное барахло!!!...
а что если эти копии не выкладывать на сайте, а отправлять их по почте (весят несколько киллобайт).

Гораздо лучше.

**cashman** » 30.10.2005 (Вс) 23:16

На проге 2 окна:
В 1-е пользователь вводит, допустим, 10 символов - абсолютно любые
затем он высылает эти 10симловов мне
я высылаю сгенерированный КОД, который он вводит во второе окно
После этого прога обретает все функции. Так?

Т.е. идет пересылка только 10-символов и КОДА??? а не файла Полной версии, так?...

**cashman** » 30.10.2005 (Вс) 23:19

2 FleX_2004
не понял, что значит легко?...
Задумка была такая, чтобы пользователь не качал одни и теже файлы дважды Демка несет все с собой, а Полная Версию - просто один файл (маленький).

**cashman** » 30.10.2005 (Вс) 23:30

Не работает С пересылкой КОДА или Полной версии??...

**cashman** » 30.10.2005 (Вс) 23:39

Я в шифровании - полный ноль!!...
Полгода назад мне посоветовали привязать в Железу (HDD), шею себе сверну разбираясь в WMI.
Теперь говорите - это отстой!..
Большая просьба, просто списком:
1-
2-
..10-шифруем таким-то алгоритмом...
..11-так делаем, что не отлавливали из памяти (я даже с трудо представить себе не могу, как это отлавливают из памяти)
..12-это проверка своего файла на размер, чтоб не появился лишний байт (об этом слышал, но реализации не разу не видел).

Извиняюсь, что задаю (в вашем понимании просто ТУПЕЙШИЕ вопросы), иначе не знаю как подступиться(((
P.S. что такое "аспак" (полагаю от ангийского), напиши полное наименование, чтоб искать в поисковиках

**cashman** » 30.10.2005 (Вс) 23:49

ASPack- написанно пакер, т.е. для создания дистрибутива? Если да, то я для этого избрал - InstallCreator.
Остальные вопросы остаются.

**cashman** » 30.10.2005 (Вс) 23:59

Нет, жевать не стоит, я не об этом....
Просто помоги с выбором вектора для работы:
1-Единая программа, полный набор функций Открывается после введения Кода
2-Мой вариант с высылкой отдельной Полной версии
Что из этого Хуже и почему?..
-----------------------------------------------
))... хороший список))...
ухожу еще на полгода для разборов))...

**Andrey Fedorov** » 31.10.2005 (Пн) 9:18

cashman писал(а):Нет, жевать не стоит, я не об этом....
Просто помоги с выбором вектора для работы:
1-Единая программа, полный набор функций Открывается после введения Кода
2-Мой вариант с высылкой отдельной Полной версии
Что из этого Хуже и почему?..

Оптимален вариант с отсылкой полной версии. Причем желательно не слишком маленького размера (можно несколько файлов). Ибо выложить ключик гораздо проще чем собственно программу...

**Antonariy** » 31.10.2005 (Пн) 10:07

Используй RSA для привязки к винту. При активации приложение отправляет серверу серийник винта, сервер генерит пару ключей, открытый и закрытый, закрытым шифрует серийник винта и отправляет обратно клиенту вместе с открытым ключем. Таким образом, для проверки клиента на легальность устаноки, ему только и требуется, что расшифровать с помощью открытого ключа однажды отданный сервером серийник и сравнить его с серийником винта.

**alibek** » 31.10.2005 (Пн) 10:08

Или способ проще -- отследить, что делает программа, когда принимает валидный ключ, и написать патчер, который будет делать то же самое.

**tyomitch** » 31.10.2005 (Пн) 10:18

2All: в общем случае любая защита, где есть элемент "вычислить правильный ключ и сравнить с введённым", ломается изменением одного байта в программе.
Гораздо лучше подход "расшифровать введённым ключом важные данные". Тогда, по крайней мере, хакеру придётся разориться на одну легальную копию.

**alibek** » 31.10.2005 (Пн) 10:31

Еще лучше способ "Расшифровать полученный блок данных, запустить его, а он сделает все необходимые изменения"

**Andrey Fedorov** » 31.10.2005 (Пн) 10:49

В общем, все что привязывается к железу неудобно для пользователя (ибо требует повторного запроса ключа при смене железа). ну и надо учитывать что если эта программа действительно нужна многим - ее обязательно крякнут.

IMHO единственное препятствие - отсутствие на сайте полнофункциональной версии (пользователю она (или программка ее загружающая) отправляется лишь после оплаты). Причем эта полнофункциональная версия должна быть достаточно большой чтобы затруднить ее выкладывание на хакерских сайтах (где лежат в основном ключи или кейгены, т.е файлы небольшого размера).

Ключ, при этом никто не отменяет, но какой-либо привязки к железу лучше не делать - ибо юзеру это просто неудобно в работе.

По крайней мере на примере буржуинских программ, распространяемых подобным способом, это работает, причем даже очень неплохо - многие свежие версии хороших компонентов стало просто невозможно найти ни в интернете ни на развалах CD... :cry:

**alibek** » 31.10.2005 (Пн) 10:53

Andrey Fedorov, ну это как сказать

Выкладывают и большие файлы. Например, ISO-образ на 700 метров сейчас уже не редкость. И с распространением быстрого инета этот способ будет все бесполезнее.
А вот вести в БД учет каждой проданной копии гораздо эффективнее. Тот же X-Spider сделал так, что версию 7 и выше теоретически невозможно достать иначе, как купить официально.

**Andrey Fedorov** » 31.10.2005 (Пн) 11:19

alibek писал(а):Andrey Fedorov, ну это как сказать
Выкладывают и большие файлы. Например, ISO-образ на 700 метров сейчас уже не редкость. И с распространением быстрого инета этот способ будет все бесполезнее.

Да ладно выкладывают... Ну и толку - попробуй найти, к примеру, тот-же последний ActiveReports for NET v2... Если где и выложили то в поисковике он будет где-то в конце списка из нескольких тысяч страниц... То бишь дюже маленькая вероятность что сможешь его обнаружить. По крайней мере я не смог.

Дело тут, скорей всего, не в том быстрый интернет или нет, а в том что выложить на свой сайт чужой полноценный дистрибутив продута с серийником решится далеко не каждый, а на чужой (хакерский) он не пройдет по размерам. Как результат - на хакерских сайтах можно найти к тому-же свежему ActiveReports ключи, но самого-то дистрибутива, которому они предназначены, обнаружить не удается...
Вот и получается полный облом.

**Konst_One** » 31.10.2005 (Пн) 11:34

самый оптимальный способ наверное - это активация программы через веб-сайт, так как, код активации может получить только человек купивший лицензию на программу и этот код персональный и уникальный

**Konst_One** » 31.10.2005 (Пн) 11:38

правда и этот способ не лишен своих минусов, например, кардер покупает по чужой кредитке твою прогу, получает этот код, а затем делает через неделю-месяц отмену платежа. он получает полную версию и возможность раскрыть твой алгоритм защиты практически за бесплатно. а тебе добавляет лишний гемор с твоей системой приема платежей из-за fraud-платежа и оплаты процентов на возврат денег покупателю.

**Andrey Fedorov** » 31.10.2005 (Пн) 11:39

Konst_One писал(а):самый оптимальный способ наверное - это активация программы через веб-сайт, так как, код активации может получить только человек купивший лицензию на программу и этот код персональный и уникальный

1. Не везде интернет доступен, а во многих где доступен он еще и урезан всякими прокси/файрволами - не всякий пользователь сможет даже просто их настройки прописать...

2. И это тоже обходится на примере того-же Windows можно посмотреть. Хотя жизнь усложняет, не спорю.

**Konst_One** » 31.10.2005 (Пн) 11:42

да, нет в мире совершенства :cry:

**Andrey Fedorov** » 31.10.2005 (Пн) 11:49

Konst_One писал(а):правда и этот способ не лишен своих минусов, например, кардер покупает по чужой кредитке твою прогу, получает этот код, а затем делает через неделю-месяц отмену платежа. он получает полную версию и возможность раскрыть твой алгоритм защиты практически за бесплатно. а тебе добавляет лишний гемор с твоей системой приема платежей из-за fraud-платежа и оплаты процентов на возврат денег покупателю.

Насколько я понимаю проверка подобных ведется регистратором и всяческие подобные проценты - это его забота и риск. Ты, конечно, можешь упустить комерческую версию (разве что заблокируешь ее ключ для дальнейших апдейтов), но опять-же кардеру нужно ее куда-то выложить, а она большая -> проблема остается...

Конференция VBStreets

Хочу использ. такое распространение, но не в ущерб защите...

Хочу использ. такое распространение, но не в ущерб защите...

Кто сейчас на конференции