Kopierschutz Offline

[Sir Rufo]

@Mabuse

Genau das hatte ich als Idee im Kopf

[mensch72]

ein USB Dongle mit externem Zähler oder was auch immer... da bleibt die "Sicherheit" doch in der PC-Software.

OK, vorausgesetzt man kann Embedded-C programmieren, dann ist ein aktueller 16..32Bit Microcontroler mit hardwaregeschütztem internem Flash&Ram "in dem wirklich echte Programmfunktion" läuft durch kein Standard-Dongle sicherheitstechnisch zu ersetzen. (Zähler, Authentifizierung, Crypto,... solange der PC 100% Funktion hat und/oder ausführt, ist es auch per PC Software zu knacken)

Die Entwickler eines Dongle (auch nix anderes wie ein Asic oder Microprozessor mit passender (Sicherheits)Software und etwas (begrenztem)Speicher könnten das auch, und sogar noch die Datenübertragung nebenbei verschlüsseln, nur das ist dann kein 0815 Massenmarkt mehr und kann nicht OutOfTheBox eingesetzt/verkauft werden.

Ich bleibe weiter dabei: eine (USB)Hardwarelösung zwischen 3Eur(8Bit,wenig Flash/RAM) und 10Eur(32BIT,2MB-Flash,512KB-Ram) mit echter Programmfunktion im externem MicroControler und/oder alternativ als Online-WebService ist sowohl sicherheitstechnisch als auch kostenseitig die bessere Variante. Aber man kann sie so kaum fertig kaufen. (Bei vielen USB Sticks oder Dongles kostet eh das Gehäuse samt USB-Stecker das meiste)

Wer ne "OutOfTheBox" Lösung sucht, kann sich die käuflichen USB Dongles ansehen. Ein RasperyPI samt Gehäuse, Kabel, Versand und Programmierung... das wäre mir dann auch etwas aufwändig. Und da bliebe es wie beschrieben nach Rücksendung ja weiter bei der "Sicherheit" rein in PC-Software... fällt für mich somit eh durch.

[kuba]

@mensch72
prima Idee, ich glaube auch dass es mit einem Raspberry PI nicht allzu schwierig ist, das Problem ist der zeitaufwändige Selbstbau.

@mabuse
Den Stick hatte ich schon mal kurz "beleuchtet", der Preis hatte mich etwas abgeschreckt. Allerdings hatte ich zu dem Zeitpunkt noch an eine Dongle gebundene Lösung gedacht. Der Stick gibt offensichtlich mehr her als nur eine Hardware gebundene Co-Existenz. Den Raspberry PI habe ich zwar schon da, aber der Selbstbau eines "Lizensierungsadapter" und die Entwicklung der passenden Software ist zu Zeitaufwändig. Wahrscheinlich gibt es auch noch Schwierigkeiten mit Treibern etc. Ich werde mir den Stick nochmal gut ansehen, danke für den Tip !

@WilliWinzig
Der Stick wäre schon ideal, abschreckend ist jedoch die "Verfallszeit", 18 Monate Stick und keine weitere Aktivierung möglich.
Außerdem ist das "Handbuch" nicht besonders aussagekräftig, mir fehlen detaillierte Info's.

KUBA

[Dejan Vu]

Nur mal so aus Interesse, folgende Fragen:

Welche Zielgruppe hat keinen Internetzugang?
Wenn es sich um Privatpersonen handelt, kann man die imho vernachlässigen, d.h.: Kein Internet, keine Software.
Wann es sich um Firmen handelt, bei denen z.B. Maschinencontroller logischerweise nicht am Internet hängen, kann man denen getrost individuelle Schlüssel verkaufen. Natürlich ist das kein Mittel gegen Missbrauch, aber erstens kommt das in Firmen seltener vor und zweitens ist das Erkennen von Missbrauch wie ein kleiner Lottogewinn.

Die Frage, die sich mir stellt, ist doch die: Lohnt sich der Aufwand?

Ausnahme: Projekt 'Eigenbau'. Das wäre ein sehr schönes Hobbyprojekt.

[mensch72]

Software die nur "online" funktioniert finde ich selbst doof.

Nicht nur für mobile Anwendungsfälle schlafe ich ruhiger, wenn wichtige Software auch offline funktioniert und/oder Rechner unabhängig funktioniert. Kopierschutz ja, aber es muss mehrere Wege geben um Daten/Programm nutzen zu können. Also wenn USB/Dongle kaputt muss es noch online gehen und wenn offline muss es noch per USB/Dongle gehen.

Wir schützen(verschlüsseln) eigentlich mittlerweile mehr die Daten und lassen die Programme bis auf eine CRC Prüfung gegen triviales Text patchen in der EXE "offen". Ist so auch für uns einfacher zu debuggen und in der EXE ist ja ein wichtiger Teil des Dekoders nicht gar nicht drin.

"Basteln"... wie man es nimmt:
- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk
- als "basteln" bezeichnen wir lustige Versuche per WMI oder welcher API auch immer aus CPUID und MAC Adresse eine "sichere" HardwareID zu erzeugen und die im OS oder Filesystem zu speichern... der Tipaufwand dafür ist egal ob Copy&Paste von irgendwoher oder selbst gemacht vergleichbar mit der hardwarebasierten Lösung (vorausgesetzt man kann löten und HW programmieren)


Macht es Sinn?
- bei teurer Software verkauft man ja auch Support&Plege(und verdient an Updates und Anpassungen sowie Dienstleistungen/Schulungen), da verkaufen sich Projektlizenzen am besten, wo es in gewissen Grenzen egal ist auf wie vielen PC das Programm installiert ist
- "normale" Software haben wir eine Zeit lang nur ab 178Eur verkauft, weil es sich schlicht nicht lohnte darunter eine Rechnung zu schreiben (wegen Installations- & Supportgarantie im HW-Key Aktivierungsverfahren)
- mit WebService und USB-Hardware verkaufen wir nun schon Software und ab 47Eur und aktivieren Online bezahlte Module ab 12Eur (wir gehen absichtlich nicht unter Netto 10Eur)
- wir sehen den "Datenschutz" auch als Mittel zum langfristigen Kundenkontakt... selbst WorstCase wenn der Kunde sich für eine andere Lösung entscheidet, verdienen wir noch ein letztes Mal Geld, wenn wir die Daten zur Übergabe an ein anderes System weiter verarbeitbar exportieren(das haben wir von Warenwirtschaftssystemen gelernt)

[p80286]

Zitat von Dejan Vu:

Nur mal so aus Interesse, folgende Fragen:

Welche Zielgruppe hat keinen Internetzugang?
Wenn es sich um Privatpersonen handelt, kann man die imho vernachlässigen, d.h.: Kein Internet, keine Software.

Ich häng doch nicht jeden Rechner ans Netz!

Zitat von Dejan Vu:

Natürlich ist das kein Mittel gegen Missbrauch, aber erstens kommt das in Firmen seltener vor und zweitens ist das Erkennen von Missbrauch wie ein kleiner Lottogewinn.

Ach ja? Da gibt's zum einen die Vorgesetzten, die erzählen, alles aber auch wirklich alles ist im Internet zu bekommen (natürlich für lau). Geht's schief war's der Angestellte, wenn nicht, wer hatte die gute Idee?

Und natürlich die ganz cleveren, die beweisen wollen wie gut sie sind und wie man gleichzeitig Geld sparen kann.

Zitat von Dejan Vu:

Die Frage, die sich mir stellt, ist doch die: Lohnt sich der Aufwand?

Gruß
K-H

[Dejan Vu]

Zitat von p80286:

Ich häng doch nicht jeden Rechner ans Netz!

Wie schön für dich. Dann kannst Du mein Produkt eben nicht haben.

Zitat:

Ach ja? Da gibt's zum einen die Vorgesetzten, die erzählen, alles aber auch wirklich alles ist im Internet zu bekommen (natürlich für lau). Geht's schief war's der Angestellte, wenn nicht, wer hatte die gute Idee?

Mit solch konstruierten Einzelbeispielen wiederlegst Du ja nicht meine These, das das bei Firmen seltener auftritt (seltener <> nie). Die weitaus meisten Firmen (eigentlich *alle*), mit denen ich bisher zu tun hatte, klauen keine SW und wenn was mit Lizenzen nicht hinhaut, dann ist das eben ein Versäumnis und wird bei Erkennen nachgeholt. Das ist dann auch ein Gentlemans Agreement zwischen Anbieter und Kunden. Gleichzeitig bietet diese flexible Lizensierung dem Kunden die Möglichkeit, bei Engpässen mal 'geklaute SW' zu verwenden und zu erkennen, das man mehr Lizenzen benötigt. Kaum ein Vorgesetzter riskiert eine fristlose Kündigung, weil er wissentlich geklaute SW einsetzt. Der wäre ja schön blöd. Wenn das bei euch so ist, tut es mir leid.

Ich kann doch komplett auf Kopierschutz verzichten, die paar Numsis entweder links liegen lassen ("Ich pack doch nicht jeden Rechner ans Netz!") oder ignorieren ("Wär doch gelacht, wenn wir das nicht geknackt bekommen").

Es kommt -wie ich eingangs schrieb- auf die Zielgruppe an. Kaum ein Privatmann wird heute nicht in der Lage sein, seinen Rechner -zumindest für die Aktivierung- ans Netzt zu hängen. Und bitte, lies genau: 'Kaum ein' ist mehr als 'Kein' und insofern... keine konstruierten Einzelbeispiele mehr. Danke.

Es geht um Kosten vs. Nutzen von Kopierschutz. Und dabei muss ich doch nicht wirklich alle Sonderfälle erschlagen:
* Reinhold Messner möchte die Software auf dem Gipfel des Naga Parpat ohne Internet aktivieren.
* Selbst der CCC soll Kreide fressen, wenn er meinen Kopierschutz knacken will.

[MaBuSE]

Zitat von mensch72:

...
"Basteln"... wie man es nimmt:
- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk
- als "basteln" bezeichnen wir lustige Versuche per WMI oder welcher API auch immer aus CPUID und MAC Adresse eine "sichere" HardwareID zu erzeugen und die im OS oder Filesystem zu speichern... der Tipaufwand dafür ist egal ob Copy&Paste von irgendwoher oder selbst gemacht vergleichbar mit der hardwarebasierten Lösung (vorausgesetzt man kann löten und HW programmieren)...

Ich bin der Meinung, das man als Entwickler nicht immer das Rad neu erfinden muss.
Deswegen verwende ich auch 3rd party Komponenten wie z.B. DevExpress
Das kostet zwar Geld, aber es selbst zu programmieren (und pflegen (bugs)) kostet deutlich mehr.

Warum sollte das bei hardwarebasiertem Kopierschutz anders sein?
Es gibt Systeme, die sind lange am Markt und haben sich bewährt.
Klar kosten sie Geld. In diesem Fall ca. 20 Euro.
Aber eine Selbstentwicklung inkl. Hardwarebau kosten deutlich mehr Zeit (= Geld).
Wenn jetzt Deine Voraussetzung nicht erfüllt ist (vorausgesetzt man kann löten und HW programmieren), wird es noch teurer (Zeit).
Und es schleichen sich leicht Bugs ein, die das sichere System aushebeln.

Das was Du Basteln nennst, nenne ich Handwerk. (lustige Versuche per WMI)
Auch hier greife ich gerne auf verfügbare Systeme zu.
(z.B. jcl, jwa oder jwscl)
Damit bekommst Du die Informationen ohne bastelei.

Man muss nicht immer alles selbst erfinden.
-> Kosten vs. Nutzen

(Als Privatman, Hobbyprojekt sieht das natürlich anders aus.)

Zitat von Dejan Vu:

...
Es kommt -wie ich eingangs schrieb- auf die Zielgruppe an.
...
Es geht um Kosten vs. Nutzen von Kopierschutz.
...

Der "Erfinder" von SG-Lock sieht das genau so.
In einem Interview mit dem Entwicklermagazin sagte er:

Zitat von sgoers:

Quelle: http://www.sg-lock.com/download/test_sg-lock.pdf
...
EM: Wo macht Kopierschutz Ihrer Meinung nach Sinn?
Görs: Wo Kopierschutz für Software Sinn macht, zeigt der Markt selbst. Ich denke, dass viele Softwarehersteller sich sehr gründlich Gedanken gemacht haben, ob ein Kopierschutz für sie eine Alternative darstellt oder nicht. Hier gilt es, die sich teilweise widersprechende Argumente abzuwägen.
Entwicklungsintensive und dadurch teure, aber nur für kleine Märkte entwickelte Produkte sind prädestiniert für Kopierschutz – dort sind Sie auch überwiegend zu finden. Massenprodukte mit Kopierschutz zu versehen kann möglicherweise dazu führen, dass die Anwender auf andere Produkte ausweichen, weil die große Auswahl an sich wenig unterscheidenden Produkten in diesem Marktsegment dies einfach macht – denn er sieht für sich im Kopierschutz keinen Nutzen. Dieser Erkenntnis muss man sich stellen.
Einen gewissen Nachholbedarf sehen wir in der Nutzung alternativer Vertriebsmodelle, wie Pay-per-Use, Leasing, Vermietung von Software. Hier bietet der Kopierschutz, der dann mehr als reiner Kopierschutz wird, viele Lösungen.
...

[p80286]

Zitat von Dejan Vu:

Mit solch konstruierten Einzelbeispielen wiederlegst Du ja nicht meine These, das das bei Firmen seltener auftritt (seltener <> nie).

Ist leider nicht konstruiert.

Zitat von Dejan Vu:

Kaum ein Privatmann wird heute nicht in der Lage sein, seinen Rechner -zumindest für die Aktivierung- ans Netzt zu hängen.

Damit kann ich leben.

Übrigens haben z.B. Laborrechner/Steuerrungsrechner eher selten einen Internetzugang.


Gruß
K-H

[Dejan Vu]

Zitat von mensch72:

- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk

Stundensätze habt ihr keine, oder schafft ihr das in wenigen Minuten? Also ich hätte für derartige Arbeiten keine Zeit. Und ehe ich mir einen Dongle selberhandwerke, kaufe ich ihn mir lieber. Das geht schneller und funktioniert sofort. Macht aber viel weniger Spaß.

Edit: Wieso lese ich erst jetzt, das ich das gleiche wie Mabuse geschrieben habe?