Jak skuteczne jest zaciemnianie?

Zaciemnienie jest formą bezpieczeństwa poprzez zaciemnienie i chociaż zapewnia pewną ochronę, bezpieczeństwo jest oczywiście dość ograniczone.

Dla celów, które opisujesz, ciemność z pewnością może pomóc, a w wielu przypadkach jest odpowiednią ochroną przed ryzykiem kradzieży kodu. Jednak z pewnością nadal istnieje ryzyko, że kod będzie "niewidoczny", biorąc pod uwagę wystarczająco dużo czasu i wysiłku. Unobfuscating całej bazy kodowej byłoby skutecznie niemożliwe, ale jeśli zainteresowany strona chce tylko określić, jak zrobiłeś pewną część swojej realizacji, ryzyko jest wyższe.

W końcu tylko Ty możesz określić, czy ryzyko jest tego warte dla Ciebie lub Twojej firmy. Jednak w wielu przypadkach jest to jedyna opcja, jeśli chcesz sprzedać swój produkt klientom w celu wykorzystania w ich własnym środowisku.

Jeśli chodzi o "dlaczego jest nieskuteczny" - powodem jest to, że cracker może użyć debuggera, aby zobaczyć, gdzie działa twój kod niezależnie od tego, co stosuje się technikę zaciemniania. Następnie mogą użyć tego do obejścia wszelkich wprowadzonych mechanizmów ochrony, takich jak numer seryjny lub system "telefon domowy".

Nie wydaje mi się, aby ten komentarz odnosił się do "kradzieży kodu" w tym sensie, że Twój kod zostanie skradziony i użyty w innym projekcie. Ponieważ używali słowa "krakers", sądzę, że mówili o "kradzieży" w kategoriach piractwa oprogramowania. Krakersy specjalizują się w pracy z mechanizmami ochrony; są nie jestem zainteresowany używaniem kodu źródłowego do innych celów.

Większość ludzi ma tendencję do pisania tego, co wydaje się być zaciemnionym kodem, a to nie powstrzymało krakersów, więc jaka jest różnica?

EDIT:

Ok, poważny czas. Jeśli naprawdę chcesz zrobić coś, co jest trudne do złamania, zajrzyj do kodowania polimorficznego (nie mylić z polimorfizmem). Zrobić kod, który jest samo-mutacji, i to jest poważny ból do złamania i będzie trzymać je zgadywania.

Http://en.wikipedia.org/wiki/Polymorphic_code

In the end, nie ma rzeczy niemożliwych do odwrócenia.

Martwisz się, że ludzie kradną określone algorytmy używane w Twoim produkcie. Albo jesteś Sprawiedliwy , albo musisz odróżnić się bardziej niż sposób, w jaki x++;. Jeśli rozwiązałeś jakiś problem w kodzie, który nie może być rozwiązany przez kogoś innego zastanawiającego się nad nim przez kilka godzin, powinieneś mieć doktorat z informatyki i / lub patenty, aby chronić swój wynalazek. 99% produktów programistycznych jest NIE udanych lub specjalnych ze względu na algorytmy. Oni odnoszą sukces, ponieważ ich autorzy wykonali ciężki wysiłek, aby połączyć znane i łatwo zrozumiałe koncepcje w produkt, który robi to, czego potrzebują ich klienci i sprzedaje go taniej, niż kosztowałoby zapłacić innym, aby ponownie zrobić to samo.

Spójrz na to w ten sposób; edytor WMD, do którego wpisałeś swoje pytanie, został zaprojektowany przez zespół SO w celu naprawienia niektórych błędów i wprowadzenia ulepszeń som. Ten kod był zaciemniony. Nigdy nie powstrzymasz inteligentnych zmotywowanych ludzi przed hakowaniem Twojego kodu, najlepsze, na co możesz mieć nadzieję, to utrzymanie uczciwych ludzi w uczciwości i uczynienie go nieco trudnym do złamania.

Wydaje mi się, że zaciemnianie nie jest zbyt skuteczne, jeśli chcesz chronić swoje źródło. Dla prawdziwego eksperta w tej dziedzinie (nie mam tu na myśli eksperta w dziedzinie oprogramowania lub crackera, mam na myśli eksperta w dziedzinie funkcjonalności kodu), zazwyczaj nie musi on widzieć kodu, po prostu zobaczyć, jak reaguje na specjalne wejścia, przypadki krawędzi itp., aby dowiedzieć się, jak zaimplementować kopię lub kod, który jest odpowiednikiem tej chronionej funkcjonalności. Tak więc, nie bardzo pomocne w ochronie Twojego know-how.

Jeśli posiadasz adres IP w kodzie, który musi być chroniony za wszelką cenę, powinieneś udostępnić funkcjonalność swojego oprogramowania jako usługę, na zabezpieczonym zdalnym serwerze.

Dobra maskowanie ochroni cię do pewnego stopnia, ale chodzi o ilość wysiłku wymaganego do złamania go przed "nagrodą" posiadania kodu. Jeśli mówisz o zatrzymaniu przeciętnego użytkownika biznesowego, to komercyjny zaciemniacz powinien być wystarczający.

Jeśli kiedykolwiek widziałeś wyjście z disassemblera, zdajesz sobie sprawę, dlaczego zaciemnianie zawsze zawodzi.

Krótka odpowiedź brzmi tak i nie; to zależy całkowicie od tego, co próbujesz zapobiec. Sekcja dwunasta Secure Programming Cookbook ma kilka ciekawych komentarzy na ten temat na stronie 653 (która jest wygodnie niedostępna w Google books preview). Klasyfikuje anty-manipulowanie na cztery kategorie: Zero day( spowalnianie atakującego, więc zajmuje im dużo czasu, aby osiągnąć to, czego chcą), Ochrona zastrzeżonego algorytmu zapobiegającego inżynierii odwrotnej, ataki" ponieważ mogę" i nie pamiętam czwartego. Musisz zapytać, czemu próbuję zapobiec, a jeśli naprawdę martwisz się, że dana osoba spojrzy na Twój kod źródłowy, to zaciemnienie ma pewną wartość. Używany samodzielnie zwykle jest to po prostu irytacja dla kogoś, kto próbuje namieszać w Twojej aplikacji i jak każdy dobry środek bezpieczeństwa działa najlepiej, gdy jest używany w połączeniu z innymi technikami zapobiegania manipulacjom.