Code Security

Απ: Licensing σύστημα

BruteForce — Wed, 31 Dec 2008 02:43:18 GMT

Θέλω να δώσω λίγο feedback σχετικά με το αν και πόσο χρειάζονται οι εφαρμογές κλείδωμα ή πρέπει να είναι όλα ελεύθερα και να βρεθεί άλλος τρόπος, με βάση την εμπειρία που είχαμε στη Unibrain. Εμείς btw κάνουμε native development.

To software μας παίζει πάνω σε κάρτες Firewire, που έχουν ένα μοναδικό ID η καθεμία.

Αρχικά βγάζαμε ένα registration key το οποίο δίναμε στους πελάτες, το οποίο για "ευκολία" δεν ήταν δεμένο με το ID της κάρτας ώστε αν τυχόν αλλάξεις κάρτα να μη θες νέο key. To licence agreement έλεγε σαφώς ότι το key ήταν για έναν υπολογιστή μόνο.
Αποτέλεσμα; Μαζική κατάχρηση και καταστρατήγηση του licence agreement. Αγοράζανε κάρτες από αλλού και βάζανε παντού το ίδιο key. Και να φανταστείτε ότι οι πελάτες μας είναι software houses (πουλάμε firewire development kits)!!!

Στη συνέχεια βάλαμε ένα registration key που ήταν δεμένο με την κάρτα και φυσικά αρχίσαν οι "γκρίνιες" ότι είναι δύσχρηστο κλπ, τα οποία φυσικά δεν ήταν τίποτα παραπάνω από φτωχές δικαιολογίες όπως φάνηκε από τα keys που "ξαφνικά" άρχισαν να αγοράζουν.
Παλιότερα είχαμε κάποια έκδοση με USB Hasp και όταν την κόψαμε, υπήρχαν πελάτες που ΔΕΝ αναβαθμίζαν για χρόνια, μόνο και μόνο επειδή τους κόψαμε αυτό (και άρα δεν μπορούσαν να διασφαλείσουν τις πωλήσεις τους).

Τεσπα, όντως το δέσιμο με το ID ήταν πρόβλημα για κάποιους, οπότε μας ζητήσαν λύση universal licencing, δηλαδή κάτι "μαγικό" μέσω του οποίου το software τους θα παίζει σε όλες τις κάρτες, χωρίς registration key ή άλλο hardware mechanism, με ένα one-off (ή annual) payment.
Πρώτα βγάλαμε "licenced" κάρτες, που είχαν δηλαδή το key πάνω στην EEPROM και ο έλεγχος γινόταν από τον driver, οπότε για τον μέσο developer τα πράγματα γίνανε λίγο πιο σκούρα.
Αυτό δούλεψε μια χαρά για τους περισσότερους και οι πωλήσεις πηγαίνανε καλά αλλά δεν τους ικανοποίησε όλους, γιατί κάποιοι φτιάχνανε "SDK on top of our SDK", οπότε δεν μπορούσανε να αναγκάζουν τους πελάτες τους να παίρνουν τις δικές μας κάρτες.

Εκεί τα πράγματα σκουρήνανε, γιατί software-only 100% protection δεν υπάρχει, όσο και να χτυπιέσαι.
Και φυσικά εμείς θέλαμε μόνο η DLL του ενός να παίζει full, ενώ όλα τα άλλα προγράμματα να μην παίζουν αν δεν υπάρχει licence.
Τελικά αυτό που κάναμε είναι ένα συνοθύλευμα public-private encryption, stack walking, control flow obfuscation using SEH, κλπ, και όποιος έχει χρόνο ας κάτσει να περάσει την ώρα του :-)
Ότι σπάει, σπάει, αλλά πρέπει να ιδρώσεις και λίγο.
Εμείς πάντως είμαστε της νοοτροπίας ότι το να εμφανιστεί crack είναι δείγμα ότι αρχίζουμε να γινόμαστε "διάσημοι", συνεπώς ανυπομονούμε να συμβεί :-D

Απ: Re: Licensing σύστημα

Dimitris Papadimitriou — Wed, 28 Jun 2006 18:00:31 GMT

ωραίο άρθρο. Έχοντας διαβάσει και αυτό http://msdn.microsoft.com/msdnmag/issues/06/07/CLRInsideOut/default.aspx από το MSDN Magazine μάλλον πρέπει να ισχύει αυτό που λέω, δηλαδή ότι με strong signature θα μπορούσε κανείς να προσατέψει τα dll του, αλλά όχι και το εκτελέσιμο αρχείο του. Εκεί θα πρέπει να γίνει κάποιο είδους self check.

Πάντως θα συμφωνήσω απόλυτα με την λύση:

Hasp για να νομίζει ο πελάτης ότι είναι κλειδωμένο
Άλλες λύσεις για να νομίζουμε εμείς που το φιάξαμε ότι είναι κλειδωμένο

Απ: Re: Licensing σύστημα

γιωργος μπακογιαννης — Wed, 28 Jun 2006 00:21:03 GMT

Υπάρχει ένα πολλή ωραίο άρθρο στο www.codeproject.com

Building Security Awareness in .NET Assemblies

Λέει τα "πάντα" για τα strong names & security

Απ: Re: Licensing σύστημα

Dimitris Papadimitriou — Tue, 27 Jun 2006 23:20:00 GMT

gcapnias wrote:
KelMan wrote:

Επανέρχομαι σε αυτό το thread γιατί έπεσα σε ένα blog post που περιγράφει πόσο εύκολο είναι να "σπάσεις" ένα obfuscated assembly αν δεν γράψεις σωστά το πρόγραμμα. Πχ όταν ζητάμε ένα serial number / password προσπαθούμε να μην παρέχουμε feedback με τη μορφή MessageBox γιατί είναι το σημείο που "πιάνεται" ο hacker/cracker για να ξεκινήσει το reverse engineering. Έδωσες λάθος serial? FDISK! Όχι "παρακαλώ ξαναπροσπαθήστε", "συγχαρητήρια" και αηδίες...

Υπάρχει ένα πρόγραμμα, που όταν καταλάβει ότι έχει γίνει cheat, περιέχει διάφορους μηχανισμούς για να κάνει self check, μπορεί να κάνει με 100 τρόπους ζημιά στο μηχάνημα αυτού που το τρέχει.

Δεν νομίζω ότι και αυτό είναι λύση, αλλά σίγουρα υπάρχει και τρόπος, να αντιμετωπιστεί και αυτή η κατάσταση.

George J.

ας συμμετάσχω και εγώ σε αυτό το θέμα, που είναι ένα από τα πλέον φλέγοντα και τσουρουφλίζοντα στο .NET.

Αν είναι να κάνει κάποιο πρόγραμμα self check, τότε αυτό αρκεί να είναι το εκτελέσιμο. Τα υπόλοιπα προγράμματα, εφόσον έχουν strong name δεν θα μπορεί να πειραχθούν. Σωστά;

Απ: Licensing σύστημα

Ηλίας Κεκάκος — Sat, 24 Jun 2006 17:10:00 GMT

Γειά σου,

Μήπως έγινε public το πρόγραμμα που αναφερεσαι στο παραπάνω post?

Thanks in advance

Απ: Licensing σύστημα

γιωργος μπακογιαννης — Mon, 07 Nov 2005 14:48:14 GMT

Περιμένουμε το Post.
Αλλα υποστιριζει .Net αυτο ειναι το θέμα ?!?

Απ: Licensing σύστημα

Panagiotis Kefalidis — Sun, 06 Nov 2005 11:57:53 GMT

Λεπον,

σπανίως κάνω post όπως ξέρετε εδώ, αλλα καθώς έχω μεγάλη εμπειρία σε licensing συστήματα, μπορώ να πω την γνώμη μου για τα περισσότερα απο αυτά.

Α) Armadillo: Πολύ καλό, αν και σπάει. Πρόσφατο feature είναι τα λεγόμενα Nanomities τα οποία δυσκολεύουν κατα πάααρα πολύ το σπάσιμο της εφαρμογής.Είναι σχετικά φτηνό και αρκέτα διαδεδομένο.
Β) ASPACΚ: Επίσης πολύ καλό.Σπάει και αυτό, αλλα ποιο δύσκολο απο το προηγούμενο.
Γ) Salamander .Net Protector and Linker by RemoteSoft: To δοκίμασα, αλλα δεν λέει και πολλά.Ο λινκερ συνήθως βγάζει corrupted .exe και δεν παίζει σωστά
Δ) Xenocode 2005: Σπάει πανεύκολα, δεν αξίζει τα λεφτά του με τίποτα, και δεν κατάφερα ΠΟΤΕ να βγάλω working .exe απο τον linker του με ΤΙΠΟΤΑ
Ε) Γενικές λύσεις HASP: Υπάρχουν τόσοι πολύ HASP emulator έξω που δεν νομίζω καν οτι υπάρχει λόγως αναφόρας τους ως protection.
Ζ) Thininstaller: ΠΑΝΑΚΡΙΒΟ και τελείως άχρηστο.Το μόνο που αξίζει ειναι το VirtualMachine feature που έχει και τίποτα άλλο.

Για όσους θα βγήτε να πείτε διάφορα..Υπάρχουν αυτη τι στιγμή 2 συστήματα, το Execryptor και ένα ακόμα (δυστυχώς δεν μπορώ να πω, καθώς έχω δεσμευτεί προτού γίνει τελείως public το προιόν η έκδοση 1.1(σε λίγες μέρες)), τα οποία ΔΕΝ σπάνε, και δεν έχουνε σπάσει εδώ και 1 χρόνο που υπάρχουν.Έχουν ασχοληθεί κόσμος και κοσμάκις, αλλά χωρίς αποτέλεσμα.Το Execryptor δυστυχώς δεν υποστηρίζει .net αλλά μόνο Win32 Native.

Κάποιος είπε για games.Ναι..Μέχρι πριν 15 μέρες δεν υπήρχε crack για το Splinter Cell 3 : Chaos Theory..Χρησιμοποιούσε Starforce Protection (τώρα βγαίνει έκδοση 2 ή οποία με τα νέα feature θα πάρει κανα 2 χρόνια να την σπάσουν) και έσπασε ΜΕΤΑ απο 7 μήνες.Και αυτό γιατι χρησιμοποιήθηκε σωστά στο game το SDK και το engine του protector.Πολλά παιχνίδια που ήταν προστατευμένα απο το StarForce έσπασαν σε 2 μέρες γιατί απλά χρησιμοποιούσαν μόνο τον packager/encryptor και όχι τον protector "βαθία" integrated στον κώδικά τους.

Αυτά τα λίγα.Μόλις το άλλο προιόν που ανέφερα βγεί Public σαν έκδοση 1.1 θα κάνω post να σας ενημερώσω.

Panagiotis,
Gizm0 @ GRNet/#php

Απ: Licensing σύστημα

Mitsaras — Fri, 07 Oct 2005 07:53:34 GMT

Αχέμ, επιτρέψτε μου να συμβάλλω. Αυτό που θες, δεν είναι obfuscator, αλλά .net protector. Υπάρχει ένας της Salamander (πανάκριβος), και ένας της PV Logiciels (επικοινώνησα μαζί τους για ερωτήσεις, και ο τύπος ήταν πολύ φιλικός, σχεδόν με παρακαλούσε να βρω τρύπες στο πρόγραμμά τους).
http://dotnetprotector.pvlog.com/

Σκοπεύω να το κάνουμε license, μόλις περάσουμε ό,τι project έχουμε σε .net 2.0

Απ: Re: Licensing σύστημα

Ηλίας Κεκάκος — Fri, 07 Oct 2005 05:37:34 GMT

Διαφωνώ με τους υπόλοιπους σχετικά με το license των εφαρμογών. Πιστέυω ότι ένα κλείδωμα πρέπει να υπάρχει για να μπορέσεις να προστατέψεις λίγο την εφαρμογή σου (όχι βέβαια 100%). Βέβαια πιστεύω ότι η τιμή πρέπει να κινείτε σε λογικά πλαίσια. Αυτό πιστέυω ότι θα αποτρέψει αρκετούς από την πειρατεία. Όσο από προγράμματα υπάρχουν κάποια καλά που κυμαίνονται από 50 έως 250 euro. Ψάξε στο google με ΝΕΤ LICENSE και θα βρείς.

Re: Licensing σύστημα

axaros — Fri, 17 Jun 2005 23:01:20 GMT

Εν πάσει περιπτώση και όπως προανέφερα δεν βλέπω θετικά οποιαδήποτε είδους "ζημιά", το να κάνεις όμως inaccecible την εφαρμογή σου σαν εναλλακτική την βλέπω μάλλον ουδέτερα ...
Τώρα τα νομικίστικα δεν τα ξέρω ...

Re: Licensing σύστημα

axaros — Thu, 16 Jun 2005 19:06:17 GMT

Κανονικός όχι μόνο Cyber δηλαδή :
That break-in occurred over Memorial Day weekend in 1981, when Kevin and two friends decided to physically enter Pacific Bell's COSMOS phone center in downtown Los Angeles.

Re: Licensing σύστημα

axaros — Wed, 15 Jun 2005 17:11:37 GMT

Άκυρο ...
Τον βρήκα : http://www.takedown.com/bio/mitnick.html

Αλλά αυτός από ότι βλέπω ήταν μπουκαδόρος όχι δημιουργός ...

Re: Licensing σύστημα

axaros — Wed, 15 Jun 2005 16:59:06 GMT

Ποιος είναι ο Mitnick και τι έκανε ;

Re: Licensing σύστημα

Παναγιώτης Καναβός — Tue, 14 Jun 2005 20:10:31 GMT

Υπερβολή ως προς το μέγεθος της ποινής, ίσως. Δεν είμαι δικηγόρος και δεν ξέρω πόσο "τιμάται" η εσκεμμένη πρόκληση ζημιάς σε υπολογιστές. Ξέρω ότι στην Αμερική σηκώνει φυλακή (λέγε με Mitnick) και ότι κι εδώ ισχύει κάτι παρόμοιο.

Δεν είναι καθόλου υπερβολή όμως ως προς τη σοβαρότητα. Αν κάνεις ζημιά στον άλλο "γιατί σου αντέγραψε το πρόγραμμα" και ανταλλάξετε μυνήσεις, εσύ θα είσαι σε πολύ χειρότερη θέση.

Άσε που έτσι και απλά το πάρει μυρωδιά η αγορά ότι χρησιμοποιείς τέτοια κόλπα δεν πρόκειται να σταυρώσεις ξανά πελάτη στον αιώνα τον άπαντα. Δεν θα σε εμπιστεύεται κανείς και με το δίκιο του. Κι αν εσύ σκοπεύεις να εκβιάσεις τους πελάτες σου αργότερα? Κι αν προκαλείς ζημιές εσκεμμένα για να πληρώνουν "support"? Ποιός θα σε εμπιστευτεί ότι δεν θα κάνεις κάτι τέτοιο?

Re: Licensing σύστημα

axaros — Tue, 14 Jun 2005 18:49:18 GMT

Μου φαίνεται ότι υπάρχει μία τάση υπερβολής στο παραπάνω σχόλιο ...
Από εκεί και πέρα με το να κάνεις ζημιά και εγώ δεν συμφωνώ ...