Насколько эффективна обфускация?

обфускация-это форма безопасность через незаметность, и хотя он обеспечивает некоторую защиту, безопасность, очевидно, довольно ограничена.

для целей, которые вы описываете, неизвестность, безусловно, может помочь, и во многих случаях, является адекватной защитой от риска кражи кода. Однако, безусловно, все еще существует риск того, что код будет "незамутненным" при наличии достаточного времени и усилий. Unobfuscating всей кодовой базы будет практически невозможно, но если заинтересованная сторона желает только определить, как вы выполнили определенную часть своей реализации, риски выше.

в конце концов, только вы можете определить, стоит ли риск для вас или вашего бизнеса. Однако во многих случаях это единственный вариант, если вы хотите продать свой продукт клиентам для использования в их собственной среде.

относительно "почему его неэффективно" - причина в том, что взломщик может использовать отладчик, чтобы увидеть, где ваш код работает независимо от того, какая техника обфускации используется. Затем они могут использовать это для работы с любыми механизмами защиты, которые вы установили, такими как серийный номер или система "домашний телефон".

Я не верю, что комментарий действительно ссылался на" кражу кода " в том смысле, что ваш код будет украден и использован в другом проекте. Поскольку они использовали слово "взломщик", я считаю, что они говорили о" краже " с точки зрения программного пиратства. Крекеры специализируются на работе вокруг механизмов защиты; они не заинтересованы в использовании вашего исходного кода для каких-либо других целей.

большинство людей склонны писать то, что кажется запутанным кодом, и это не остановило крекеры, так в чем разница?

EDIT:

хорошо, серьезное время. Если вы действительно хотите сделать что-то, что трудно сломать, посмотрите на полиморфное кодирование (не путать с полиморфизмом). Сделайте код, который является самомутацией, и это серьезная боль, чтобы сломать и сохранить их угадывание.

http://en.wikipedia.org/wiki/Polymorphic_code

В конце концов, нет ничего невозможного для декомпиляции.

вы беспокоитесь о людях, крадущих конкретные алгоритмы, используемые в вашем продукте. Либо вы Ярмарка Исаак или вам нужно дифференцировать себя, используя больше, чем то, как вы x++;. Если вы решили какую-то проблему в коде, которую не может решить кто-то другой, озадаченный этим в течение нескольких часов, вы должны иметь докторскую степень в области компьютерных наук и/или патентов для защиты вашего изобретения. 99% программных продуктов не успешных или специальные из-за алгоритм. Они успешны, потому что их авторы сделали тяжелый подъем, чтобы собрать хорошо известные и легко понятые концепции в продукт, который делает то, что нужно их клиентам, и продать его дешевле, чем стоило бы заплатить другим, чтобы сделать то же самое.

посмотрите на это так; редактор WMD, в который вы ввели свой вопрос, был реверсивно спроектирован командой SO, чтобы исправить некоторые ошибки и сделать улучшения som. Этот код был запутан. Вы никогда не остановите интеллектуальных мотивированных людей от взлома вашего кода, лучшее, на что вы можете надеяться, - это держать честных людей честными и сделать его несколько трудным для взлома.

Я склонен думать, что обфускация действительно не очень эффективна, если вы хотите защитить свой источник. Для настоящего эксперта в этой области (я не имею в виду эксперта по программному обеспечению или взломщика, я имею в виду эксперта в области функциональности кода), обычно ему не нужно видеть код, просто посмотрите, как он реагирует на специальные входы, крайние случаи и т. д., чтобы получить представление о том, как реализовать копию или код, эквивалентный этой защищенной функциональности. Таким образом, не очень помочь в защите вашего ноу-хау.

Если у вас есть IP в коде, который должен быть защищен любой ценой, то вы должны сделать функциональность вашего программного обеспечения доступной как услуга на защищенном удаленном сервере.

хорошая запутанность защитит вас до определенного момента, но все дело в количестве усилий, необходимых, чтобы сломать его против "награды" наличия кода. Если вы говорите об остановке среднего бизнес-пользователя, то коммерческого обфускатора должно быть достаточно.

Если вы когда-либо видели выход из дизассемблера, вы поймете, почему обфускация всегда будет терпеть неудачу.

короткий ответ-да и нет; она полностью зависит от того, что вы пытаетесь предотвратить. Двенадцатый раздел Безопасное Программирование Поваренная Книга имеет некоторые интересные комментарии по этому поводу на странице 653 (который удобно недоступен в Google books preview). Он классифицирует анти-вмешательство в четыре категории: нулевой день (замедление атакующего, поэтому им требуется много времени, чтобы выполнить то, что они хотят), защита собственного алгоритма для предотвращения обратного проектирования, "потому что я могу" атаки, и я не могу вспомнить четвертую. Вы должны спросить, что я пытаюсь предотвратить, и если вы действительно обеспокоены тем, что человек смотрит на ваш исходный код, то запутывание имеет некоторую ценность. Используется самостоятельно, это обычно просто раздражение для кого-то, кто пытается возиться с вашим приложением, и, как и любая хорошая мера безопасности, она лучше всего работает при использовании в сочетании с другими методами защиты от подделки.