Kopierschutz Offline

**mensch72**

ein USB Dongle mit externem Zähler oder was auch immer... da bleibt die "Sicherheit" doch in der PC-Software.

OK, vorausgesetzt man kann Embedded-C programmieren, dann ist ein aktueller 16..32Bit Microcontroler mit hardwaregeschütztem internem Flash&Ram "in dem wirklich echte Programmfunktion" läuft durch kein Standard-Dongle sicherheitstechnisch zu ersetzen. (Zähler, Authentifizierung, Crypto,... solange der PC 100% Funktion hat und/oder ausführt, ist es auch per PC Software zu knacken)

Die Entwickler eines Dongle (auch nix anderes wie ein Asic oder Microprozessor mit passender (Sicherheits)Software und etwas (begrenztem)Speicher könnten das auch, und sogar noch die Datenübertragung nebenbei verschlüsseln, nur das ist dann kein 0815 Massenmarkt mehr und kann nicht OutOfTheBox eingesetzt/verkauft werden.

Ich bleibe weiter dabei: eine (USB)Hardwarelösung zwischen 3Eur(8Bit,wenig Flash/RAM) und 10Eur(32BIT,2MB-Flash,512KB-Ram) mit echter Programmfunktion im externem MicroControler und/oder alternativ als Online-WebService ist sowohl sicherheitstechnisch als auch kostenseitig die bessere Variante. Aber man kann sie so kaum fertig kaufen. (Bei vielen USB Sticks oder Dongles kostet eh das Gehäuse samt USB-Stecker das meiste)

Wer ne "OutOfTheBox" Lösung sucht, kann sich die käuflichen USB Dongles ansehen. Ein RasperyPI samt Gehäuse, Kabel, Versand und Programmierung... das wäre mir dann auch etwas aufwändig. Und da bliebe es wie beschrieben nach Rücksendung ja weiter bei der "Sicherheit" rein in PC-Software... fällt für mich somit eh durch.

**kuba**

@mensch72
prima Idee, ich glaube auch dass es mit einem Raspberry PI nicht allzu schwierig ist, das Problem ist der zeitaufwändige Selbstbau.

@mabuse
Den Stick hatte ich schon mal kurz "beleuchtet", der Preis hatte mich etwas abgeschreckt. Allerdings hatte ich zu dem Zeitpunkt noch an eine Dongle gebundene Lösung gedacht. Der Stick gibt offensichtlich mehr her als nur eine Hardware gebundene Co-Existenz. Den Raspberry PI habe ich zwar schon da, aber der Selbstbau eines "Lizensierungsadapter" und die Entwicklung der passenden Software ist zu Zeitaufwändig. Wahrscheinlich gibt es auch noch Schwierigkeiten mit Treibern etc. Ich werde mir den Stick nochmal gut ansehen, danke für den Tip !

@WilliWinzig
Der Stick wäre schon ideal, abschreckend ist jedoch die "Verfallszeit", 18 Monate Stick und keine weitere Aktivierung möglich.
Außerdem ist das "Handbuch" nicht besonders aussagekräftig, mir fehlen detaillierte Info's.

KUBA

Nur mal so aus Interesse, folgende Fragen:

Welche Zielgruppe hat keinen Internetzugang?
Wenn es sich um Privatpersonen handelt, kann man die imho vernachlässigen, d.h.: Kein Internet, keine Software.
Wann es sich um Firmen handelt, bei denen z.B. Maschinencontroller logischerweise nicht am Internet hängen, kann man denen getrost individuelle Schlüssel verkaufen. Natürlich ist das kein Mittel gegen Missbrauch, aber erstens kommt das in Firmen seltener vor und zweitens ist das Erkennen von Missbrauch wie ein kleiner Lottogewinn.

Die Frage, die sich mir stellt, ist doch die: Lohnt sich der Aufwand?

Ausnahme: Projekt 'Eigenbau'. Das wäre ein sehr schönes Hobbyprojekt.

**mensch72**

Software die nur "online" funktioniert finde ich selbst doof.

Nicht nur für mobile Anwendungsfälle schlafe ich ruhiger, wenn wichtige Software auch offline funktioniert und/oder Rechner unabhängig funktioniert. Kopierschutz ja, aber es muss mehrere Wege geben um Daten/Programm nutzen zu können. Also wenn USB/Dongle kaputt muss es noch online gehen und wenn offline muss es noch per USB/Dongle gehen.

Wir schützen(verschlüsseln) eigentlich mittlerweile mehr die Daten und lassen die Programme bis auf eine CRC Prüfung gegen triviales Text patchen in der EXE "offen". Ist so auch für uns einfacher zu debuggen und in der EXE ist ja ein wichtiger Teil des Dekoders nicht gar nicht drin.

"Basteln"... wie man es nimmt:
- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk
- als "basteln" bezeichnen wir lustige Versuche per WMI oder welcher API auch immer aus CPUID und MAC Adresse eine "sichere" HardwareID zu erzeugen und die im OS oder Filesystem zu speichern... der Tipaufwand dafür ist egal ob Copy&Paste von irgendwoher oder selbst gemacht vergleichbar mit der hardwarebasierten Lösung (vorausgesetzt man kann löten und HW programmieren)

Macht es Sinn?
- bei teurer Software verkauft man ja auch Support&Plege(und verdient an Updates und Anpassungen sowie Dienstleistungen/Schulungen), da verkaufen sich Projektlizenzen am besten, wo es in gewissen Grenzen egal ist auf wie vielen PC das Programm installiert ist
- "normale" Software haben wir eine Zeit lang nur ab 178Eur verkauft, weil es sich schlicht nicht lohnte darunter eine Rechnung zu schreiben (wegen Installations- & Supportgarantie im HW-Key Aktivierungsverfahren)
- mit WebService und USB-Hardware verkaufen wir nun schon Software und ab 47Eur und aktivieren Online bezahlte Module ab 12Eur (wir gehen absichtlich nicht unter Netto 10Eur)
- wir sehen den "Datenschutz" auch als Mittel zum langfristigen Kundenkontakt... selbst WorstCase wenn der Kunde sich für eine andere Lösung entscheidet, verdienen wir noch ein letztes Mal Geld, wenn wir die Daten zur Übergabe an ein anderes System weiter verarbeitbar exportieren(das haben wir von Warenwirtschaftssystemen gelernt)

Zitat von mensch72:

- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk

Stundensätze habt ihr keine, oder schafft ihr das in wenigen Minuten? Also ich hätte für derartige Arbeiten keine Zeit. Und ehe ich mir einen Dongle selberhandwerke, kaufe ich ihn mir lieber. Das geht schneller und funktioniert sofort. Macht aber viel weniger Spaß.

Edit: Wieso lese ich erst jetzt, das ich das gleiche wie Mabuse geschrieben habe?

**mensch72**

Wir können schon rechnen

"Dongle bauen", also mit Kombizange einen billigen USB-Speicher aus dem Alugehäuse herausziehen, das 4pol. Kabel der USB-SIO kurz abschneiden und 4x abisolieren & verzinnen und mit 4 Lötstellen an 4 der 8 Pins vom IC anlöten und alles mit etwas Heißkleber im leerem Alugehäuse fixieren, das macht einer unserer Techniker für ~6 Stück in 10 Minuten.

Warum nix fertiges als Kopierschutz?
- weil wir eben keine kryptobasierten Kopierschutz wollen! Wir wollen wollen Kopierschutz nach dem Prinzip der verteilten Funktionalität in absolut getrennter typverschiedener Hardware
- damit wir echte Daten, Keys und Programmfunktion in der USB-Hardware realisieren können... sensible Daten verlassen niemals die Hardware, weil sie nur dort völlig intern verarbeitet werden... das kann kein käuflicher Dongle
- in der GUI nehmen wir auch soviel wie möglich Komponenten, wir halt alles von TMS statt DevExpress.

Warum halte ich nicht viel von WMI oder OS-API's zur ID Erzeugung:
- Lassen sich entweder per Hook oder per LOW-Levelvirtualisierung zuleicht aushebeln.
- ich mag aus Prinzip keine Software durch Software auf der gleichen Hardware schützen
- Beispiel: sichere PIN eingaben für Ausweise usw sind nur IN speziellen Geräten mit eigener Tastatur möglich, sodass der PIN pysikalisch niemals für PC-Software erreichbar ist

Ich will mich eben NICHT mit aufwendiger sicherer Implementierung von Kopierschutz beschäftigen, denn mit einer (überspringbaren) "If not DongleOK then exit" Zeile ist es ja nicht getan.
Mir ist da die Zeit und die Mühe zu schade, per RunTime Krypto(API) einzelne Programmteile dynamisch im Speicher zu entpacken und dort was auszuführen und anschließend wieder sicher zu löschen, und die nächsten sicheren Funktion irgendwo/irgendwann an anderer Stelle im Quelltext zu platzieren. Nur ganz wenige Dongleanbieter arbeiten mit einer eigenen VM und eigenem ByteCode als Sicherheit auf simulierter OpCode-Ebene.
Nebeneffekt: wir umgehen mit unserer Lösung auch eventuelle Exportbestimmungen bezüglich "starker" Kryptografie... egal ob CCC, Bundestrojaner oder NSA wer an die Daten und die Codes will, muss den HardwareLock des "ExecuteOnly-Mode" vom Microcontroler knacken. Da ist es eventuell einfacher das Zeug bei mir zu "organisieren".

---

Hier im Thread geht es ja um Offline (Kopier)Schutz...
...und da gibt es eben neben HardwareID, USB-CryptoDongles eben auch das recht wenig verbreitete und oft unbekannte Sicherheitskonzept der auf (USB)Hardware ausgelagerten Programmfunktionalität... Wir nutzen wann immer möglich soviel wie möglich eigene Hardware. Software kopieren kann heute "jeder", Hardware analysieren und kopieren ist (arbeits)aufwendiger.

**MaBuSE**

Zitat von mensch72:

...
Hier im Thread geht es ja um Offline (Kopier)Schutz...
...und da gibt es eben neben HardwareID, USB-CryptoDongles eben auch das recht wenig verbreitete und oft unbekannte Sicherheitskonzept der auf (USB)Hardware ausgelagerten Programmfunktionalität...

Stimmt, und das bestreitet ja auch keiner.

Zitat von mensch72:

...
Wir nutzen wann immer möglich soviel wie möglich eigene Hardware. Software kopieren kann heute "jeder", Hardware analysieren und kopieren ist (arbeits)aufwendiger.

Das ist gut, und das ist auch sicher. Das bestreitet ja auch niemand.

Ihr habt aber Ahnung von Hardware und Mikroprozessorprogrammierung.
Damit könnt Ihr das machen.

Ich sage ja nur, dass es kein Allheilmittel für alle ist
Der "normale" Delphi Programmierer ist aber in der Regel kein Mikroprozessorprogrammierer. Eine Einarbeitung in das Thema ist deutlich aufwändiger als die Benutzung eines fertigen Dongles.

Das ist eine einfache Kosten / Nutzen Rechnung.

Die meisten Anwender sind mit einer Umgehung eines Dongles überfordert.
Es ist also ein guter Schutz.

Es gibt natürlich auch ein paar, die (mit genügend Aufwand) in der Lage sind den Dongle auszuhebeln. (nichts ist 100% sicher)
Aber auch die Dongle Hersteller schlafen nicht. Sie machen es dem "Cracker" möglichst schwer.

Auch Deine Lösung ist mit genügend Aufwand kopierbar.
Es würde wahrscheinlich reichen, die Hardware nachzubauen und die Software auf dem originalen Chip auf den Nachbau zu kopieren.
Die Hardware kostet ja nur ein paar Euro

Das ist aber viel Aufwand und ein Kauf der Software dürfte billiger sein als das Cracken (Zeit).

Du siehst, ich gebe Dir in fast allen Punkten Recht.

Bis auf den Punkt, das Eure Lösung [edit]nicht[/edit] für alle geeignet ist.
Zumindest nicht für die, die keine Ahnung von MPs haben.

Zitat von mensch72:

Wir können schon rechnen

"Dongle bauen", also mit Kombizange einen billigen USB-Speicher aus dem Alugehäuse herausziehen, das 4pol. Kabel der USB-SIO kurz abschneiden und 4x abisolieren & verzinnen und mit 4 Lötstellen an 4 der 8 Pins vom IC anlöten und alles mit etwas Heißkleber im leerem Alugehäuse fixieren, das macht einer unserer Techniker für ~6 Stück in 10 Minuten.

Programmiert ihr genauso schnell?

Und testen auch?

Wenn ihr die Dinger en Masse produziert, könnte sich das lohnen, oder zumindest als ABM taugen, wenn mal nix los ist. Aber ansonsten würde ich auch lieber einen fertigen Dongle kaufen.

Aber Ich finde eure Lösung trotzdem genial, und ich glaube, die meisten hier auch. Ernst gemeint.

Also wenn ich eine Empfehlung für Offline-Kopierschutz bzw. Lizensmodelle zu machen würde ich die hier hinlänglich bekannten Verfahren aufzählen:
a) Lizenz mit Aktivierungsschlüssel und einem gewissen Vertrauen in den Kunden.
b) Dongle.

a) ist besser zu verkaufen, weil b) impliziert, das man dem Kunden nicht traut. Dafür ist (b) bei sehr hochpreisiger Software durchaus zu empfehlen.

**p80286**

Zitat von Dejan Vu:

Nur mal so aus Interesse, folgende Fragen:

Welche Zielgruppe hat keinen Internetzugang?
Wenn es sich um Privatpersonen handelt, kann man die imho vernachlässigen, d.h.: Kein Internet, keine Software.

Ich häng doch nicht jeden Rechner ans Netz!

Zitat von Dejan Vu:

Natürlich ist das kein Mittel gegen Missbrauch, aber erstens kommt das in Firmen seltener vor und zweitens ist das Erkennen von Missbrauch wie ein kleiner Lottogewinn.

Ach ja? Da gibt's zum einen die Vorgesetzten, die erzählen, alles aber auch wirklich alles ist im Internet zu bekommen (natürlich für lau). Geht's schief war's der Angestellte, wenn nicht, wer hatte die gute Idee?

Und natürlich die ganz cleveren, die beweisen wollen wie gut sie sind und wie man gleichzeitig Geld sparen kann.

Zitat von Dejan Vu:

Die Frage, die sich mir stellt, ist doch die: Lohnt sich der Aufwand?

Gruß
K-H

Zitat von p80286:

Ich häng doch nicht jeden Rechner ans Netz!

Wie schön für dich. Dann kannst Du mein Produkt eben nicht haben.

Zitat:

Ach ja? Da gibt's zum einen die Vorgesetzten, die erzählen, alles aber auch wirklich alles ist im Internet zu bekommen (natürlich für lau). Geht's schief war's der Angestellte, wenn nicht, wer hatte die gute Idee?

Mit solch konstruierten Einzelbeispielen wiederlegst Du ja nicht meine These, das das bei Firmen seltener auftritt (seltener <> nie). Die weitaus meisten Firmen (eigentlich *alle*), mit denen ich bisher zu tun hatte, klauen keine SW und wenn was mit Lizenzen nicht hinhaut, dann ist das eben ein Versäumnis und wird bei Erkennen nachgeholt. Das ist dann auch ein Gentlemans Agreement zwischen Anbieter und Kunden. Gleichzeitig bietet diese flexible Lizensierung dem Kunden die Möglichkeit, bei Engpässen mal 'geklaute SW' zu verwenden und zu erkennen, das man mehr Lizenzen benötigt. Kaum ein Vorgesetzter riskiert eine fristlose Kündigung, weil er wissentlich geklaute SW einsetzt. Der wäre ja schön blöd. Wenn das bei euch so ist, tut es mir leid.

Ich kann doch komplett auf Kopierschutz verzichten, die paar Numsis entweder links liegen lassen ("Ich pack doch nicht jeden Rechner ans Netz!") oder ignorieren ("Wär doch gelacht, wenn wir das nicht geknackt bekommen").

Es kommt -wie ich eingangs schrieb- auf die Zielgruppe an. Kaum ein Privatmann wird heute nicht in der Lage sein, seinen Rechner -zumindest für die Aktivierung- ans Netzt zu hängen. Und bitte, lies genau: 'Kaum ein' ist mehr als 'Kein' und insofern... keine konstruierten Einzelbeispiele mehr. Danke.

Es geht um Kosten vs. Nutzen von Kopierschutz. Und dabei muss ich doch nicht wirklich alle Sonderfälle erschlagen:
* Reinhold Messner möchte die Software auf dem Gipfel des Naga Parpat ohne Internet aktivieren.
* Selbst der CCC soll Kreide fressen, wenn er meinen Kopierschutz knacken will.