[ОПРОС] Обфускация. За и против. Ваше мнение

[Williams]

Почитай статьи про то, как реализована защита в Skype, многое станет понятным

А можно сюда вкратце про защиту в Skype?

Отчего же нельзя...

Вот начало статьи:

Skype, созданный отцами-основателями скандально известной Kazaa и унаследовавший от своей прародительницы самые худшие ее черты, работает по принципу самоорганизующейся распределенной пиринговой сети (distributed self-organized peer-to-peer network, P2P). Skype – это черный ящик с многоуровневой системой шифрования напичканного антиотладочными приемами исполняемого файла, считывающий с компьютера конфиденциальную информацию и передающий ее в сеть по закрытому протоколу. Последний обходит брандмауэры и сурово маскирует свой трафик, препятствуя его блокированию

Дальше тут можно почитать


А вот это на закуску, (90% ориентированно на специалиста)

[iGrok]

Гы. А ты ломать пробовал?

Стоят из последних:
Photoshop CS3 RU и CS4, Illustrator CS4 это от Adobe
Из MS, VS2008 RU PRO, Office 2007 + Visio 2007

Все это замечательно ломается )))

Встречный вопрос: Сам ломал, или использовал готовые "таблетки"?

[alibek]

Все это замечательно ломается )))

Ты сам ломал? Или все-таки пользовался готовым патчем?
Кроме того, даже в XP достаточно надежная система. Нелицензионный Windows на предприятиях себя практически изжил. То есть защита выполняет свои функции.

[MIT]

Про Skype вот нашел статью интересную

[Williams]

Про Skype вот нашел статью интересную

А ты не обратил случайно внимания на то, что данная статья является рерайтом вышеуказанной?

[MIT]

Не поверишь - обратил, правда только после прочтения твоей начал читать свою, и она чуть по-подробнее будет.
Да, защита там зверская, конечно, самому такое не реализовать...

[MIT]

Так собственно как реализовать проверку целостности? Защита Skype - шифрование всего и своего кода в частности. С .Net такое не прокатит.

По поводу голосования: интересно, кто ответил "защищаю сам" и как он это делает?

[Watts[]n!]

Млин... Сначала проголосовал, а потом уже прочитал, что тут о dotNet толкуют.
В любом случае - Мне нечего защищать

[Alexanbar]

В любом случае, если нужно заработать денег, нужно искать заказчика. С защитой будет софт, или без неё, это второй вопрос. А от халявщиков защиты нет - они либо будут юзать на халяву, если нет защиты, либо не будут юзать вообще, если за деньги. Или кряки искать.

[MIT]

Предложу другой вариант: программа бесплатна, но уникальна, соответственно нехотелось бы распространения исходников. Путь ликвидации возможности реенжинеринга - обфускация.

[jangle]

Предложу другой вариант: программа бесплатна, но уникальна, соответственно нехотелось бы распространения исходников. Путь ликвидации возможности реенжинеринга - обфускация.

Если там уникальный алгоритм, например компрессии или шифрования и т.п. ничего не спасет. По косточкам разберут, украдут и выпустят свой продукт за нехилые бабки. Многие софтверные компании занимаются этим.

[MIT]

о косточкам разберут, украдут и выпустят свой продукт за нехилые бабки

...напишут кряк и...

Многие софтверные компании занимаются этим.

А откуда такие данные? Можно пример хоть один, а то даже интересно стало?..

[jangle]

А откуда такие данные? Можно пример хоть один, а то даже интересно стало?..

Кури RSDN, вот к примеру: http://www.rsdn.ru/forum/message/311657 ... px#3116577

[MIT]

Таки прискорбно. Хотя в некоторой мере это можно расценивань как некий процесс эволюции в паралельных отраслях. Если кто не согласен, пойдем в HolyWars`ы

[RayShade]

Хороший софт и так поломают Плохой защищать смысла не имеет.

[jangle]

ДАО ПРОГРАММИРОВАНИЯ

Как-то раз на большую компьютерную выставку пришёл человек. Заходя, он сказал охраннику у двери: “Я великий вор, прославившийся своими ограблениями. Будьте бдительны, на этой выставке я не останусь без добычи”.
Эта речь сильно обеспокоила охранника, так как внутри находилась компьютерная техника, которая стоила миллионы долларов — он следил за этим человеком очень внимательно. Но человек просто бродил от стенда к стенду, бормоча что-то про себя.
Когда человек выходил, охранник осмотрел его и обыскал его одежду, но ничего не нашёл.
На следующий день выставки человек пришёл опять и сказал охраннику: “Вчера я ушёл с большой добычей, но сегодня её будет ещё больше”. В конце дня охранник обыскал его ещё тщательней, но ничего не нашёл.
На последний день выставки охранник не мог больше сдержать своего любопытства. “Господин Вор”, — сказал он, — “я так озадачен, что не могу жить в согласии с самим собой. Пожалуйста, просветите меня. Что вы воруете?”
Человек улыбнулся. “Я ворую идеи”, — сказал он.

http://taopooh.narod.ru/5/dao_prog.html

[MIT]

Интересное мыслеизложение...

jangle А твоя подпись из той же оперы? (ничего личного)

[Williams]

А твоя подпись из той же оперы? (ничего личного)

ОПЕРУ, а также другие браузеры, обсуждают в другой теме

[773FF]

Обфускация. За и против. Ваше мнение
Пока не написал ничего такого, что стоило бы защищать. Исходные коды скрываю, чтобы не позориться. Но читал в "Visual Basic 2005. Рецепты программирования" (авторы: Тип Патрик, Кларк Крейг) про Dotfuscator Community Edition, который поставляется вместе с Visual Studio 2005 (в Visual Studio 2008 Dotfuscator обнаружился в меню "Сервис").
"Dotfuscator Community Edition выполняет основные функции защиты кода. Если Вы хотите что-то более серьёзное, вам придётся заплатить за расширенную версию программы". Мне кажется, что написано довольно внятно...

[MIT]

ОПЕРУ, а также другие браузеры, обсуждают в другой теме

Я про подпись

[Williams]

ОПЕРУ, а также другие браузеры, обсуждают в другой теме

Я про подпись

Теперь придется явно указывать в скобках, что речь идет о шутке

[MIT]

Нет, не придется: я, типа, все понял и, типа, отшутился, даже смайлик поставил.

[jangle]

Интересное мыслеизложение...

jangle А твоя подпись из той же оперы? (ничего личного)

Естественно да!

[Amed]

Если есть хороший обфускатор, применение которого просто и быстро - то почему бы не испортить воришкам крови? Пусть потратят свой труд хотя бы на расшифровку и разбирательства. Глядишь, где-нибудь и ошибутся при разборе. Вдобавок, повышаются шансы на то, что неопытный вор устанет и бросит разбираться в ворохе кода.

Лично я берегусь от воспроизведения своего написанного инструментария, не передавая и не показывая его никаким третьим лицам.
В этом случае моё интеллектуальное имущество защищено практически стопроцентно, а риск только в моих собственных неосторожных действиях.

[Alexanbar]

Насколько я понимаю проблему, обфускатор всего лишь переименовывает переменные. В любом случае имеется возможность восстановить исходный код на ЯП высокого уровня. Это на порядок упрощает задачу взломщика. Раньше ему приходилось довольствоваться ассемблером.

[iGrok]

Насколько я понимаю проблему, обфускатор всего лишь переименовывает переменные. В любом случае имеется возможность восстановить исходный код на ЯП высокого уровня. Это на порядок упрощает задачу взломщика. Раньше ему приходилось довольствоваться ассемблером.

Смотря какой обфускатор, смотря для какого языка.
Обфускаторы для скриптовых языков занимаются совсем другими вещами. Для примера можешь взглянуть на "внешний вид" jQuery. Написано на JS, так что вроде бы весь код должен быть легко понятен.. Должен быть.
Обфускаторы для кода могут менять порядок операторов (не влияющий на результат), добавлять "соль", и т.п. Там реально есть, чем помешать взломщику. )

З.Ы. Помешать = увеличить время, необходимое для разбора кода.

[Alexanbar]

Наверное, мы говорим немного о разных вещах.
Некоторые склонны оценивать качество работы обфускатора по тому, насколько код, который можно получить после обработки обфускатором (и, видимо,) последующей декомпиляции, отличается от оригинала. Так разве это главное?
Мы получаем работоспособный код на ЯП высокого уровня, и его можно проанализировать и изменить. Для взломщика этот код и будет отправной точкой.
К тому же данный код с точки зрения результатов будет эквивалентен оригиналу.

[MIT]

Для системы, по большому счету, код до и после обфускации можно считать одинаковым (ну или эквивалентным), в то время как для взломщика код после обфускации представляет собой малочитаемый и, соответсвенно, плохопонятный листинг, который либо в принципе не переводится в ЯП, либо после перевода не компилируется. Также, некоторые обфускаторы делают код недекомпилируемым, т.е. встраивая в него ложный il команды, не имеющие смысла. Также в платных обфускаторых используется технология обфускации графа потока управления. Привожу текст из справки обфускатора

Наиболее сложной в плане реализации, но наиболее устойчивой к попыткам взлома (в частности преобразование ассемблерного кода (IL) в код языков высокого уровня) является обфускация графа потока управления. При обфускации данного типа используются следующие методы:

• Обфускация условных переходов
  Данный метод заключается во внедрении в тело алгоритма различных ложных условий и рассеивании проверок существующих условий, циклов и безусловных переходов по телу функции. Подобные манипуляции разрушают стандартные схемы построения циклов и условий, используемые компиляторами высокоуровневых языков (C#, VB, ..), что не позволяет в дальнейшем преобразовать код программы в язык высокого уровня. В тоже время, даже анализ IL-кода, с учетом перемешивания и наличия ложных ветвей представляет собой довольно сложную задачу
• Обфускация вызовов
  Данный метод заключается в размежевании кода вызова функции и кода помещения параметров этой функции в стек, что также препятствует восстановлению программы в виде алгоритма на языке высокого уровня.
• Перемешивание случайным образом линейных участков кода

Из той же справки про защиту от декомпиляторов

Защита от декомпиляторов существенно ограничивает возможности восстановления исходного кода приложения на язык ассемблера или языки высокого уровня (C#, VB и т.д.). Для обеспечения защиты от восстановления исходного кода используются следующие методы:

• Внедрение в защищаемое приложение дополнительных методов, обладающих корректной семантикой для языка ассемблера, но не корректной для компиляторов языков высокого уровня, и, соответственно, вызывающие ошибки при восстановлении кода на эти языки.
• Внедрение в защищаемое приложение дополнительных методов, обладающих не корректной семантикой даже для языка ассемблера, и, соответственно, вызывающие ошибки при восстановлении кода на язык ассемблера.
• Внедрение в методы сборки недостижимых в процессе исполнения вызовов функций с некорректным кодом, формирующих скрытые ошибки, проявляющиеся при попытке скомпилировать дизассемблированный код.
• Бинарная обработка сборки для защиты от декомпиляции.
• Внедрение в методы сборки, кода с некорректной для компиляторов языков высокого уровня семантикой (при включенном режиме обфускации "Граф потока управления").
• Преобразование кода методов сборки, в код с некорректной семантикой для языков высокого уровня (при включенном режиме обфускации "Граф потока управления").

Елси хочешь, могу привести реальный пример обфускации с использованием указанных выше методов.

Справочный материал принадлежит фирме Inquartos Software

[iGrok]

Наверное, мы говорим немного о разных вещах..
..Мы получаем работоспособный код на ЯП высокого уровня, и его можно проанализировать и изменить. Для взломщика этот код и будет отправной точкой.

Вот реально. ЯП высокого уровня. JavaScript. Куда уж выше. Посмотри jQuery перед тем, как продолжать дискуссию, а?

[GPP]

Прочитав весь пост... я пришел к выводу, что защитить программу написанную на .NET практически не реально! Я правильно понял?