29

另一个问题，即Best .NET obfuscation tools/strategy，询问混淆是否易于使用工具实现。

我的问题是，混淆有效吗？在回复这个答案的评论中，有人说“如果你担心源代码被盗......对于真正的破解者来说，混淆几乎是微不足道的”。

我查看了 Dotfuscator 社区版的输出：它看起来让我感到困惑！我不想保持这种状态！

我知道简单地“破解”混淆软件可能相对容易：因为您只需要找到软件中的任何位置实现您想要破解的任何内容（通常是许可证保护），然后添加一个跳转来跳过它。

如果担心不仅仅是最终用户或“盗版”破解：如果担心是“资源盗窃”，即如果您是软件供应商，而您担心的是另一个供应商（潜在的竞争对手）反向 -设计您的源代码，然后他们可以将其用于或添加到他们自己的产品中……在何种程度上简单的混淆是对这种风险的充分或不充分的保护？

第一次编辑：

有问题的代码大约是 20 KLOC，它在最终用户机器上运行（用户控件，而不是远程服务）。

如果混淆真的“对真正的破解者来说几乎是微不足道的”，我想了解它为什么无效（而不仅仅是“多少”它无效）。

第二次编辑：

我不担心有人反转算法：更担心他们将算法的实际实现（即源代码）重新用于他们自己的产品。

考虑到 20 KLOC 需要几个月的时间来开发，是否需要更多或更少的时间（几个月）才能对所有内容进行去混淆处理？

是否有必要对某些东西进行去混淆以“窃取”它：或者一个理智的竞争对手可能只是将它批发到他们的产品中，同时仍然被混淆，接受它是维护的噩梦，并希望它几乎不需要维护？如果这种情况是可能的，那么混淆的 .Net 代码是否比编译的机器代码更容易受到这种攻击？

大多数混淆的“军备竞赛”是否主要旨在防止人们甚至“破解”某些东西（例如查找和删除实现许可保护/执行的代码片段），而不是防止“来源盗窃”？

4

9 回答 9

42

我已经讨论了为什么我不认为混淆是防止破解的有效手段：
Protect .NET Code from reverse engineering

但是，您的问题专门针对源盗窃，这是一个有趣的话题。在 Eldad Eiliams 的书“逆向：逆向工程的秘密”中，作者在前两章讨论了源代码盗窃是逆向工程背后的原因之一。

基本上，归根结底，您成为源盗窃目标的唯一机会是，如果您有一些与您的域相关的非常具体、难以设计的算法，可以让您在竞争中占得先机。这几乎是唯一一次尝试对应用程序的一小部分进行逆向工程具有成本效益。

因此，除非您有一些绝密算法，您不希望您的竞争对手拥有，否则您无需担心来源被盗。从应用程序中撤消大量源代码所涉及的成本很快超过了从头开始重写的成本。

即使您确实有一些您不希望他们拥有的算法，您也无法阻止有决心和熟练的人获得它（如果应用程序正在他们的机器上执行）。

一些常见的防倒车措施有：

  • 混淆 - 在保护您的来源或防止其被破解方面没有多大作用。但我们不妨不要让它完全容易，对吧？
  • 3rd Party Packers - Themida是最好的之一。将可执行文件打包到加密的 win32 应用程序中。如果应用程序也是 .NET 应用程序，则防止反射。
  • 自定义打包程序 - 如果您有能力编写自己的打包程序，有时会很有效，因为在破解场景中关于如何解压您的应用程序的信息非常少。这可以阻止没有经验的 RE。本教程提供了一些关于编写自己的打包程序的好信息。
  • 使行业机密算法远离用户机器。将它们作为远程服务执行，因此指令永远不会在本地执行。唯一“万无一失”的保护方法。

但是，打包程序可以被解包，并且混淆并不会真正阻碍那些想要查看您的应用程序正在做什么的人。如果程序在用户机器上运行，那么它很容易受到攻击。

最终，它的代码必须作为机器代码执行，这通常是启动调试器、设置一些断点并监视在相关操作期间正在执行的指令以及花一些时间仔细研究这些数据的问题。

您提到您花了几个月的时间为您的应用程序编写 ~20kLOC。如果您采取最低限度的预防措施，将那些等效的 20kLOC 从您的应用程序转换为可用源几乎需要一个数量级的时间。

这就是为什么从您的应用程序中反转小型的行业特定算法才具有成本效益。其他任何事情都不值得。

举以下虚构的例子：假设我刚刚为 iTunes 开发了一个全新的竞争应用程序，它有大量的花里胡哨。比方说，它花了几个 100k LOC 和 2 年的时间来开发。我拥有的一个关键功能是一种根据您的音乐聆听品味为您提供音乐的新方式。

Apple（他们是海盗）对此有所了解，并决定他们真的很喜欢您的音乐建议功能，因此他们决定将其撤消。然后，他们将只研究该算法，逆向工程师最终将提出一种可行的算法，该算法在给定相同数据的情况下提供等效的建议。然后他们在自己的应用程序中实现上述算法，称其为“天才”并赚取下一个 10 万亿美元。

这就是来源盗窃减少的方式。

没有人会坐在那里并反转所有 100k LOC 来窃取您编译的应用程序的重要部分。这将太昂贵且太耗时。大约 90% 的时间，他们会反转无聊的、非行业机密的代码，这些代码只是处理按钮按下或处理用户输入。相反，他们可以聘请自己的开发人员以更少的钱从头开始重新编写大部分内容，并简单地逆转那些难以设计并为您带来优势的重要算法（即音乐建议功能）。

于 2009-02-16T01:26:41.473 回答
10

混淆是一种通过晦涩难懂的安全形式，虽然它提供了一些保护，但安全性显然非常有限。

出于您描述的目的，模糊性肯定会有所帮助，并且在许多情况下，可以充分防止代码被盗的风险。但是，如果有足够的时间和精力，肯定仍然存在代码“未混淆”的风险。不混淆整个代码库实际上是不可能的，但如果感兴趣的一方只希望确定您是如何完成实现的某些部分的，那么风险会更高。

最后，只有您才能确定风险对您或您的企业是否值得。但是，在许多情况下，如果您希望将产品出售给客户以在他们自己的环境中使用，这是您唯一的选择。

关于“为什么它无效” - 原因是破解者可以使用调试器查看您的代码在哪里运行，无论使用什么混淆技术。然后，他们可以使用它来解决您设置的任何保护机制，例如序列号或“电话回家”系统。

我不相信评论真的是在引用“代码盗窃”，因为您的代码将被盗并用于另一个项目。因为他们使用了“破解者”这个词，我相信他们在谈论软件盗版方面的“盗窃”。Crackers 专门研究保护机制；他们对将您的源代码用于其他目的不感兴趣。

于 2009-02-16T00:19:59.340 回答
7

大多数人倾向于编写看似模糊的代码，但这并没有阻止破解者，那么有什么区别呢？

编辑：

好吧，严肃的时候。如果你真的想做一些难以破解的东西，请研究多态编码（不要与多态混淆）。编写可以自我变异的代码，破解它是一件非常痛苦的事情，并且会让他们继续猜测。

http://en.wikipedia.org/wiki/Polymorphic_code

最后，逆向工程没有什么是不可能的。

于 2009-02-16T00:38:23.147 回答
6

您担心人们会窃取您产品中使用的特定算法。要么你是Fair Isaac，要么你需要使用比 x++ 更多的方式来区分自己；。如果您在代码中解决了一些其他人费解几个小时无法解决的问题，您应该拥有计算机科学博士学位和/或专利来保护您的发明。99% 的软件产品不成功或不特别是因为算法。他们之所以成功，是因为他们的作者做了繁重的工作，将众所周知且易于理解的概念整合到一个产品中，该产品可以满足客户的需求，并以比支付其他人重新做同样事情的成本更低的价格出售。

于 2009-02-16T02:45:00.317 回答
3

这样看；您输入问题的 WMD 编辑器由 SO 团队进行了逆向工程，以修复一些错误并进行一些增强。该代码被混淆了。你永远不会阻止聪明的人破解你的代码，你能希望的最好的就是让诚实的人保持诚实，让它有点难以破解。

于 2009-02-16T01:37:21.523 回答
2

如果您曾经看过反汇编程序的输出，您就会明白为什么混淆总是会失败。

于 2009-02-16T03:20:43.367 回答
1

我倾向于认为，如果你想保护你的源代码，混淆确实不是很有效。对于真正的领域专家（我不是指软件专家或破解者，我是指代码功能领域的专家），通常他或她不需要看代码，只需查看它对特殊输入、边缘情况等的反应，以了解如何实现与受保护功能等效的副本或代码。因此，对保护您的专有技术没有多大帮助。

于 2009-02-16T00:17:58.720 回答
1

如果您的代码中有 IP 必须不惜一切代价加以保护，那么您应该在安全的远程服务器上将您的软件功能作为服务提供。

良好的混淆可以在一定程度上保护您，但这完全取决于破解它所需的努力，而不是拥有代码的“奖励”。如果您要阻止普通业务用户，那么商业混淆器就足够了。

于 2009-02-16T00:18:28.033 回答
0

简短的回答是肯定的和否定的；这完全取决于您要防止什么。安全编程手册第十二节在第 653 页上对此有一些有趣的评论（这在谷歌图书预览中很方便）。它将防篡改分为四类：零日（减缓攻击者的速度，因此他们需要很长时间才能完成他们想要的事情），保护专有算法以防止逆向工程，“因为我可以”攻击，我可以'不记得第四个了。您必须问我要防止什么，如果您真的担心有人会查看您的源代码，那么混淆具有一定的价值。单独使用它通常只会让试图弄乱您的应用程序的人感到烦恼，并且与任何良好的安全措施一样，它在与其他防篡改技术结合使用时效果最佳。

于 2009-02-16T00:35:42.280 回答