שלום לכולם אני כותב תוכנית בסביבת C# - Form
ולאחרונה נחשפתי לDeCompiler שמחזיר לי את הקוד שכתבתי בדיוק כמו שכתבתי אותו
וזה לא מתאים לי בכלל הגעתי לתוכנה שיודעת לשנות את שמות המשתנים אבל זה לא ניראה לי מספיק
יכול להיות שאני לא מקמפל נכון או משאיר אופציה לDEBUGIING פתוחה
או משהו אחר שלא עובד טוב.
אני צריך עזרה או איזשהו כיוון כדי שלא יכלו לראות את הקוד שלי.
http://www.remotesoft.com/salamander/index.html
באתר יש גם Decompiler וגם את תוכנת האבטחה שלהם מה שהזכרתי קודם


תודה אייל

http://msdn.microsoft.com/en-us/vcsharp/aa336818.aspx

http://msdn.microsoft.com/en-us/magazine/cc164058.aspx

ה obfuscator החינמי של מיקרוסופט טוב למי שמסתפק בהגנה חלשה-בינונית. יש כלים בתשלום שהופכים reverse engineering לבלתי אפשרי באופן מעשי. אין טעם להשתמש בהם אלא אם יש ללוגיקה שלך ערך מסחרי (או אחר) רב מאד.

כל עניין "הסתרת הקוד", במיוחד ב-.NET, הוא מרדף של חתול ועכבר.

"מערבלי הקוד" נוהגים "לברוח" בעוד מפתחי ה-Decompiler-ים השונים נוהגים "לרדוף" אחרי הערבול שהם בצעו ולשפר את הישגי ה-Decompiler שלהם.

בשורה התחתונה, יש סיכוי שה-Decompiler שתשתמש בו כבר לא יהיה רלוונטי תוך תקופת זמן מסויימת, וניתן יהיה לקרוא את הקוד שלך בסופו של דבר.

עם זאת, זה כנראה הפתרון הטוב ביותר.

במישור התיאורטי אתה צודק, במעשי אולי פחות.

פתרונות ההגנה של היום מתבססים על שילוב חומרה-תוכנה (למשל מפתח הצפנה דינמי שיושב על usb), על מנגנונים של public key private key כמו אלה של RSA, מפתחות הצפנה ארוכים מאד, ועוד. פריצה שלהם קשה לא פחות מפריצה של מידע שמוצפן על ידי SSL ודומיו. במילים אחרות - הקושי לפרוץ מקביל לקושי לפענח נתונים מוצפנים של טרנזקציות בנקאיות למשל: אפשרי אבל דורש כוח חישוב עצום.

מצד שני, חורים יש בכל מערכת אבטחה. איתור שלהם הוא כנראה קל יותר מהתקפה חזיתית.

מה שאתה אומר נכון בהחלט.

כוח החישוב הנחוץ בכדי לפרוץ את פרוטוקול SSL הוא כוח עצום, ובשימוש במפתחות נכונים (שבאתרים רציניים בדר"כ מונפקים כתעודות ע"י CA (Certificate Authorities)) הדבר עשוי לקחת מאות ואלפי שנים, כך שהוא איננו משתלם כלל, במיוחד לאור העובדה שהמפתח, לרוב, משתנה כל מספר חודשים או שנים בודדות (שנתיים לכל היותר).

אך כשמדובר ב-Decompiling, המושגים הינם שונים לחלוטין.
מדובר בערבול קוד בלבד. פעולה ש"מסבכת" את הקוד. אין כאן הצפנה. וגם אם כן, כל מה שרץ לוקאלית על המחשב (ומן הסתם מאוכסן לוקאלית) משתמש במפתח שמאוכסן לוקאלית על המחשב. האפליקציה צריכה לדעת את המפתח שבעזרתו היא מעפנחת את המידע, ובמידה ויש לך הרשאות Administrator על המכונה (ואם המחשב הינו המחשב האישי שלך, אין סיבה שלא יהיו לך ההרשאות המתאימות) שום דבר לא יכול לעצור בעדך מלשלוף את המפתח מהמקום בו היא נמצאת. בין אם היא מאוכסנת בצורת Hard-Coded ב-DLL, ב-Registry או שהמפתח יושב על רכיב חיצוני כמו USB (שפשוט ירד למחשב).

אפליקציה שנדרשת לפענח מידע חייבת לדעת את המפתח, ובהרשאות המתאימות על המכונה המעפנחת - תוכל תמיד להשיג אותו, לא משנה מה.

בסופו של דבר, גם אם יומצא ה"מערבל" האולטימאטיבי, תמיד ניתן לבצע Disassembly ולבצע Reverse Engineering באמצעותו, גם אם זה נוח הרבה פחות מה-Decompiling הפשוט והברור. חברות עושות זאת היום וימשיכו לעשות זאת כנראה עוד הרבה מאוד זמן. לעומת זאת, הבחינה החוקית של העניין מוצבת בסימן שאלה.

תראה מה עושה Aladdin הישראלית למשל ותבין איך הכל מתקשר.

http://www.aladdin.com/hasp/intellectual-property-protection-srm.aspx

אבל תבין את זה-

אם התוכנה רצה אופליין ( = שום חלק שלה לא נמצא על מחשב מרוחק ) מספיק REVERSING יתן לך את מה שאתה רוצה להוציא ממנה

בדיוק.

מדובר שם על הגנה ע"י רכיבים -חיצוניים-. למעשה, כל פיענוח ה-Data הרגיש נעשה ע"ג הרכיב החיצוני, עליו יושבת הסיסמא. גם כרטיסים חכמים (Smart-Cards) עובדים בצורה הזאת. כשאתה מתאם מפתחות סימטריים עם מחשב מרוחק, הפיענוח של המסרים שמגיעים אליך (שהצד השני הצפין בעזרת ה-Public-Key של אותו התעודה שעל ה-Smart-Card), נעשה ע"ג ה-Smart-Card. ע"ג הכרטיס ישנו CPU (עם ביצועים מאוד מאוד נמוכים מן הסתם, כי אין צורך בביצועים גבוהים מכרטיס חכם).

כאן קורה אותו הדבר בדיוק. לא ניתן להגן על שום דבר שנמצא לוקאלית על ההארד-דיסק שלך כשיש לך הרשאות כתיבה אליו. הכל עניין של זמן.

אגב, כבר הצליחו להוכיח שגם את ה-Private-Key שע"ג הכרטיסים החכמים (שמבחינה עקרונית לא ניתן לקרוא מהכרטיס) ניתן לקרוא בעזרת המכשור הפיזי הנכון. אני לא זוכר את שמו של הבנאדם שהצליח, אבל אתה מוזמן לשאול את גוגל.

אנסה להסביר את המכניזם.

הרעיון הוא שערבול קוד אינו מספיק ולכן צריך להצפין אותו (במקום או בנוסף לערבול). לאחר סיום הפיתוח נעשה תהליך של deployment במהלכו מוצפנים כל האסמבליז (וקבצים אחרים על פי הצורך) ורק הם נכללים בקיט שמופץ ומותקן. מפתח ההצפנה וכמותו שמות משתמשים ומספר העותקים שמותר להריץ בכלל או ברגע נתון יושבים על התקן usb שנמצא על המחשב המריץ או על שרת ברשת. לחילופין הם יכולים לשבת על תשתית האבטחה הארגונית בדומה לסיסמאות של sys admin.

כשרוצים להריץ את התוכנה צריך לספק שם משתמש וסיסמא מתאימה שרק איתה ניתן לפענח את התוכנה המוצפנת ולטעון לזכרון. שמות המשתמש והססמאות מוגנים על פי השיטות הנהוגות בארגונים גדולים.

מי שגונב דיסק של התוכנה צריך להתמודד עם מנגנוני ההצפנה הקשים שנפוצים היום - למשל AES 128 bits. אחר כך הוא צריך להתמודד עם הערבול.

אפשר לטעון ש"אין בעייה לגלות סיסמאות" או "פרופסור אחד גילה שיטה לפענח כל מידע מוצפן" או "כל ערבול אפשר לשערבל". אני לא מתכוון להתמודד עם טענות כאלה, רק לומר שאם הן נכונות אזי תשתית האבטחה של מערכות המחשב סביב העולם כולו פרוצה. זה אינו המצב כמיטב ידיעתי.

עם כל הכבוד נראה לי שאתה עוד אחד מאלה שלא מבינים איך עובדים מחשבים ואיך עובדים צופן ומערכות צופן ופשוט פאדיחה שאתה מנסה " להסביר" לאחרים דברים בנושא

למקרה הפרטי אסביר שבהינתן גישה למחשב ( ויש גישה למחשב ) אפשר לראות מה המפתחות שעוברים בין ה- USB למחשב בזמן הפיענוח ,ליצור עותק שלהם ,ולפענח את התוכנה בלי הדונגל להבא .
אף אחד לא מנסה לשבור ‎128-bit AES אלא פשוט להשתמש במפתח שיש לו ( כי הוא על הדונגל ) כדי לפענח תוכנה שיש לו ( על הדיסק שהוא קנה )
כל עוד לא מדובר במערכת אינטראקטיבית מול צד שאינו נגיש למשתמש ( לדוגמה אתר החברה ) כל השיטות האלה לא מעניינות

וזה מוביל אותי למקרה הכללי-
client-side security בהקשרים האלה לא עבד לא עובד ולא יעבוד לעולם לדוגמה:
- מנגנון CSS של ה- DVD נעקף כמעט מיד
- כל ההגנות מפני העתקה שיש על משחקים היום נפרצו ויש פאצ'ים בשבילם באיננטרנט ( safedisc, securom, starforce וכו' )
ואין לזה שום קשר לאמינות של " תשתית האבטחה של מערכות המחשב סביב העולם כולו "

שיחקת אותה Incred2

הוצאת לי את המילים מהפה.

עם כל הכבוד ליישום שאתה כותב - אולי תהפוך את כיוון החשיבה שלך.
במקום לערבל/להצפין פשוט תגן על עצמך עם רשיון מתאים.
.NET זו לא הבעיה - גם אם היית כותב קוד בשפת מכונה תמיד יהיה ההאקר שיבין למה התכוונת.
והפתרון הכי טוב הוא לכתוב קוד פתוח - לחלוק את הידע עם האחרים, כמו שאתה מקבל ידע מאחרים.
מותר לשאול מה כל כך קריטי ביישום שאתה כותב? על מה אתה מנסה להגן?

לחברה אין אינטרס להפר זכויות יוצרים/פטנט כי זה חושף אותה לתביעות.