Software gegen API-Zugriffe von aussen schützen?

[nuclearping]

Zitat von cookie22:

Du willst Datendiebstahl verhindern. Gut. Aber wer sollte denn die Daten stehlen?
Eine Schadsoftware? Du gehst doch nicht ernsthaft davon aus, dass deine Software auf kompromittierten Systemen läuft, oder?

Wer könnte noch die Daten stehlen? Derjenige der an dem Arbeitsplatz arbeitet? Der kann aber auch sein Handy benutzen und den Screen abfotografieren.

Zitat von cookie22:

Die Frage ist, wie weit du gehen willst?

Zitat von cookie22:

Darum die Frage nach Sinn und Unsinn. Bitte nicht falsch verstehen. Aber Sicherheit und Windows passen einfach nicht zusammen, besonders nicht auf dem Level, das du anstrebst.

Es geht hier im speziellen um den chinesischen Markt und das System kostet mehrere tausend Euro. Weiterhin enthält es Daten, die wir über viele Jahre durch Forschungen, Recherchen oder Zusammenarbeit mit anderen Instituten zusammengetragen haben.

Also es geht hier nicht darum, dass ein Otto-Normal-Anwender sich mal was ausdruckt oder sowas, sondern um professionelle Piraterie, mit der Absicht die Daten aus dem System zu extrahieren, die Hardware auseinander zu nehmen und zu kopieren, um eine billige Kopie zu erschaffen. Das wollen wir so gut wie möglich erschweren oder gar verhindern. Und unser Problem besteht nebenbei nicht nur auf Software- sondern auch auf Hardware-Ebene, da unser System mit einem eigenen Set an USB-Geräten ausgeliefert wird.

Die Frage ist nicht, wie weit ich gehen will, sondern was im vernünftigen Rahmen möglich ist. Wie schon gesagt: Mir ist völlig bewusst, dass man keinen 100%igen Schutz bieten kann und ein Angreifer einfach eine Screen-Capturing-Software laufen lässt, die Texte per OCR extrahiert und die Bilder (die es zB zu den Texten geben kann) ausschneidet. Wo ein Wille ist, ist mindestens auch ein Weg.

Andererseits können wir auch nicht einfach sagen, dass wir garnichts machen. Ich hoffe du verstehst mein Problem.

Zitat von BUG:

Das ist mehr oder weniger die Wahl zwischen Strick und Pistole:

1. unübliche GUI-Verhalten, um Tools zu täuschen: nicht benutzerfreundlich, teuer und kann wie ein Fehler aussehen
2. Verhaltensanalyse: fehleranfällig und teuer

Die Verhaltensanalyse könnte man entweder auf der Ebene der Windows-Message oder auf Ebene von Events machen. Du könntest zum Bespiel das Verhalten der normalen Nutzer und das der Tools analysieren. Wenn das Verhalten zu stark von dem eines menschlichem Nutzer abweicht oder zu Nahe am Profil eines der bekannten Tools ist, dann kannst du Maßnahmen ergreifen.
Das Ding wäre mehr oder weniger ein Forschungsprojekt mit ungewissen Ausgang

Danke für die Tipps. Ich denke das wäre durchaus ein alternativer Ansatz.

Statt zu verhindern, dass man Controls ausliest, kann man "einfach" untypisches Verhalten blockieren. Zum Beispiel:

- Wie oft ändert ein Benutzer die Datenbank-Kategorie, um sich was anderes anzuschauen? Sicher nicht mehr als 1x in 5 Sekunden. Und wenn er das doch öfters als X Mal macht, stimmt was nicht.
- Wie oft führt ein Benutzer eine Analyse über die Hardware (mit geänderten Anfrageparametern) durch? Sicherlich auch nicht öfters X Mal pro Minute bzw. X Mal sofort immer wieder hintereinander. Wenn doch, stimmt was nicht.
- Usw...

Ich denke in die Richtung könnte man wirklich was machen.

[mjustin]

Zitat von nuclearping:

Statt zu verhindern, dass man Controls ausliest, kann man "einfach" untypisches Verhalten blockieren. Zum Beispiel:
- Wie oft ändert ein Benutzer die Datenbank-Kategorie, um sich was anderes anzuschauen? Sicher nicht mehr als 1x in 5 Sekunden. Und wenn er das doch öfters als X Mal macht, stimmt was nicht.

Dann würde ich das Programm mehrmals auf verschiedenen VMs installieren. Auf jeder VM schaue ich mir nur eine einzige Datenbank-Kategorie an. Und schon wird kein "untypisches" Verhalten erkannt.

[nuclearping]

Zitat von mjustin:

Dann würde ich das Programm mehrmals auf verschiedenen VMs installieren. Auf jeder VM schaue ich mir nur eine einzige Datenbank-Kategorie an. Und schon wird kein "untypisches" Verhalten erkannt.

Das Programm braucht beim ersten Start eine Freischaltung, die durch einen Kundenbetreuer geschieht. Ich weiß nicht, ob geclonte VMs auch die gleichen Seriennummern für Hardware usw. zurückliefern, aber ich glaube bei den WinLicense-Schlüsseln fliesst zur Berechnung der eindeutigen ID mehr als nur die Hardware ein.

[Meflin]

Wenn die Daten an sich tatsächlich so unglaublich wertvoll sind, dann ist es allein schon der völlig falsche Ansatz, diese komplett als Datenbank auszuliefern. Egal ob letztere symmetrisch oder assymetrisch verschlüsselt ist, in beiden Fällen muss zwangsläufig der Schlüssel ja beim Endnutzer vorliegen, und damit führt der einfachste Weg nach wie vor darüber, die Datenbank an sich zu entschlüsseln. Kein Screen-Scraping nötig, dann habe ich einfach ALLES.

Meiner Meinung nach wäre der wesentlich sinnvollere Weg, die Daten auf einem Server bereitzustellen, und API Request mit den Lizenzen der Nutzer zu signieren. Dann hat man exakte Kontrolle darüber, wie viele Daten pro Lizenz und pro Zeiteinheit abgefragt werden können. Der Nachteil an der Sache ist natürlich der online-Zwang.

[nuclearping]

Zitat von Meflin:

Der Nachteil an der Sache ist natürlich der online-Zwang.

Ja, im Prinzip hast du da natürlich recht. Die Auslagerung der Daten wird aber auf jeden Fall mit in die Vorschlagkiste genommen.

Ich weiß nicht, wie die Netzinfrastruktur in China aussieht, aber ein anderer Nachteil wäre hier wohl auch die flächendeckende Verfügbarkeit von genügend Bandbreite und Netzstabilität.

Zitat von Furtbichler:

[...]

Wirklich guter Beitrag, der das Problem nochmal deutlich macht.

Edit: Aber du hast wirklich recht. Es ist eigentlich absurd zu denken, dass ein Plagiator in China die technische Herangehensweise als erstes wählt, wenn das Land so vor Überbevölkerung und Staatsherrschaft strotzt, dass man an jeder Ecke Leute von jung bis alt findet, die sich für 'n Hungerlohn 18 Stunden am Tag vor den Computer setzen, um in WoW Gold und Items zu farmen oder Sachen abzuschreiben ...

Zitat von Furtbichler:

Das Einzige, was einen Plagiator davon abhält, dein Produkt zu kopieren, ist die handwerkliche Qualität, die es benötigt, das Produkt herzustellen. Denn *das* muss erlernt werden und geht auch mit Manpower nicht von jetzt auf gleich. Aber selbst hier holen die Chinesen auf und produzieren durchaus beachtliche Qualität.

Ja, die Daten sind nicht alles, die Software hat auch spezielle Algorithmen und Verfahren zur Datenaufbereitung nach einer Analyse. Jedoch sind die Daten quasi mit ein Herzstück.

Zitat von Furtbichler:

Tipp: Sucht euch einen Partner in China, der Verbindungen zu den Triaden hat.

Hehehe.

[Furtbichler]

Zitat von nuclearping:

Die Frage ist nicht, wie weit ich gehen will, sondern was im vernünftigen Rahmen möglich ist. Wie schon gesagt: Mir ist völlig bewusst, dass man keinen 100%igen Schutz bieten kann und ein Angreifer einfach eine Screen-Capturing-Software laufen lässt, die Texte per OCR extrahiert und die Bilder (die es zB zu den Texten geben kann) ausschneidet. Wo ein Wille ist, ist mindestens auch ein Weg.

Dazu eine Anekdote: Als ich vor einiger Zeit eine industrielle Produktionsdatenerfassung bei einem großen deutschen Ableger in China etablieren wollte, scheiterte jegliche Investition in MDE (also mobile Terminals) daran, das die einfach genügend Leute haben, die den ganzen Zag mit Strichlisten durch die Werkshallen laufen, dann die Strichlisten in EXCEL übertragen, wieder aufstehen und wieder von vorne ihre Strichlisten machen. Das ist *billiger*, als jede automatische oder halbautomatische Datenerfassung.

Wenn also ein Chinese deine SW bzw. den Inhalt der DB klauen will, dann holt er sich 100 Landarbeiter (oder 1000), setzt die an deine SW und jeder schreibt etwas anderes ab. Gar-kein-Problem für die. Die unterhalten ja auch 1000 Leute, die WoW spielen, um dann irgendwelche Punkte zu verticken oder virtuelle Waren. Ich kann mir vorstellen, das die noch nicht einmal auf die Idee kämen, die SW per Screenshot abzukopieren, denn direkt Abschreiben geht eh schneller und ist billiger, als dann ne OCR-SW zu nehmen.

Das Einzige, was einen Plagiator davon abhält, dein Produkt zu kopieren, ist die handwerkliche Qualität, die es benötigt, das Produkt herzustellen. Denn *das* muss erlernt werden und geht auch mit Manpower nicht von jetzt auf gleich. Aber selbst hier holen die Chinesen auf und produzieren durchaus beachtliche Qualität.

Tipp: Sucht euch einen Partner in China, der Verbindungen zu den Triaden hat.

[schöni]

Zitat von Furtbichler:

das die einfach genügend Leute haben, die den ganzen Zag mit Strichlisten durch die Werkshallen laufen, dann die Strichlisten in EXCEL übertragen, wieder aufstehen und wieder von vorne ihre Strichlisten machen. Das ist *billiger*, als jede automatische oder halbautomatische Datenerfassung.

In Deutschland undenkbar! Für mich auch irgendwie unvorstellbar. Vielleicht sollte ich mein Problem mit dem Mystix Editor nach China auslagern.

[Furtbichler]

Zitat von schöni:

Für mich auch irgendwie unvorstellbar.

Was meinst Du, wie ich geglotzt habe, als kein einziger meiner 'Optimieren Sie Ihren ROI, TOC' Marketingfuzziargumente stach.

Wenigstens produzieren sie mittlerweile so viel und so schnell, das die Strichlisten nicht mehr ausreichen. Teilweise wird doch tatsächlich über MES nachgedacht. Mit EXCEL-Makros und Textdateien aus den Produktionsmaschinen

[divBy0]

Dann stehen da halt 2 Chinesen mit 2 Listen...

Ich bin jetzt insgesamt fünf Wochen in Shanghai und kann dem Treiben jeden Tag zuschauen... Wenn einer nicht schnell genug ist, stellen die einfach einen zweiten dazu und fertig...

Aber in 6 Stunden geht der Flieger nach Hause.

[Furtbichler]

Zitat von divBy0:

Dann stehen da halt 2 Chinesen mit 2 Listen...

Aber sie denken über MES nach.