Kopierschutz Offline

[mensch72]

Software die nur "online" funktioniert finde ich selbst doof.

Nicht nur für mobile Anwendungsfälle schlafe ich ruhiger, wenn wichtige Software auch offline funktioniert und/oder Rechner unabhängig funktioniert. Kopierschutz ja, aber es muss mehrere Wege geben um Daten/Programm nutzen zu können. Also wenn USB/Dongle kaputt muss es noch online gehen und wenn offline muss es noch per USB/Dongle gehen.

Wir schützen(verschlüsseln) eigentlich mittlerweile mehr die Daten und lassen die Programme bis auf eine CRC Prüfung gegen triviales Text patchen in der EXE "offen". Ist so auch für uns einfacher zu debuggen und in der EXE ist ja ein wichtiger Teil des Dekoders nicht gar nicht drin.

"Basteln"... wie man es nimmt:
- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk
- als "basteln" bezeichnen wir lustige Versuche per WMI oder welcher API auch immer aus CPUID und MAC Adresse eine "sichere" HardwareID zu erzeugen und die im OS oder Filesystem zu speichern... der Tipaufwand dafür ist egal ob Copy&Paste von irgendwoher oder selbst gemacht vergleichbar mit der hardwarebasierten Lösung (vorausgesetzt man kann löten und HW programmieren)


Macht es Sinn?
- bei teurer Software verkauft man ja auch Support&Plege(und verdient an Updates und Anpassungen sowie Dienstleistungen/Schulungen), da verkaufen sich Projektlizenzen am besten, wo es in gewissen Grenzen egal ist auf wie vielen PC das Programm installiert ist
- "normale" Software haben wir eine Zeit lang nur ab 178Eur verkauft, weil es sich schlicht nicht lohnte darunter eine Rechnung zu schreiben (wegen Installations- & Supportgarantie im HW-Key Aktivierungsverfahren)
- mit WebService und USB-Hardware verkaufen wir nun schon Software und ab 47Eur und aktivieren Online bezahlte Module ab 12Eur (wir gehen absichtlich nicht unter Netto 10Eur)
- wir sehen den "Datenschutz" auch als Mittel zum langfristigen Kundenkontakt... selbst WorstCase wenn der Kunde sich für eine andere Lösung entscheidet, verdienen wir noch ein letztes Mal Geld, wenn wir die Daten zur Übergabe an ein anderes System weiter verarbeitbar exportieren(das haben wir von Warenwirtschaftssystemen gelernt)

[Dejan Vu]

Zitat von mensch72:

- wir löten lieber 4 Drähte an und demontieren eventuell einen billigen China-USB-Stick um billig an ein leeres USB Metallgehäuse zu kommen und gesamt in Einzelhardware unter 10EUR zu bleiben, das ist Handwerk

Stundensätze habt ihr keine, oder schafft ihr das in wenigen Minuten? Also ich hätte für derartige Arbeiten keine Zeit. Und ehe ich mir einen Dongle selberhandwerke, kaufe ich ihn mir lieber. Das geht schneller und funktioniert sofort. Macht aber viel weniger Spaß.

Edit: Wieso lese ich erst jetzt, das ich das gleiche wie Mabuse geschrieben habe?

[mensch72]

Wir können schon rechnen
"Dongle bauen", also mit Kombizange einen billigen USB-Speicher aus dem Alugehäuse herausziehen, das 4pol. Kabel der USB-SIO kurz abschneiden und 4x abisolieren & verzinnen und mit 4 Lötstellen an 4 der 8 Pins vom IC anlöten und alles mit etwas Heißkleber im leerem Alugehäuse fixieren, das macht einer unserer Techniker für ~6 Stück in 10 Minuten.

Warum nix fertiges als Kopierschutz?
- weil wir eben keine kryptobasierten Kopierschutz wollen! Wir wollen wollen Kopierschutz nach dem Prinzip der verteilten Funktionalität in absolut getrennter typverschiedener Hardware
- damit wir echte Daten, Keys und Programmfunktion in der USB-Hardware realisieren können... sensible Daten verlassen niemals die Hardware, weil sie nur dort völlig intern verarbeitet werden... das kann kein käuflicher Dongle
- in der GUI nehmen wir auch soviel wie möglich Komponenten, wir halt alles von TMS statt DevExpress.

Warum halte ich nicht viel von WMI oder OS-API's zur ID Erzeugung:
- Lassen sich entweder per Hook oder per LOW-Levelvirtualisierung zuleicht aushebeln.
- ich mag aus Prinzip keine Software durch Software auf der gleichen Hardware schützen
- Beispiel: sichere PIN eingaben für Ausweise usw sind nur IN speziellen Geräten mit eigener Tastatur möglich, sodass der PIN pysikalisch niemals für PC-Software erreichbar ist

Ich will mich eben NICHT mit aufwendiger sicherer Implementierung von Kopierschutz beschäftigen, denn mit einer (überspringbaren) "If not DongleOK then exit" Zeile ist es ja nicht getan.
Mir ist da die Zeit und die Mühe zu schade, per RunTime Krypto(API) einzelne Programmteile dynamisch im Speicher zu entpacken und dort was auszuführen und anschließend wieder sicher zu löschen, und die nächsten sicheren Funktion irgendwo/irgendwann an anderer Stelle im Quelltext zu platzieren. Nur ganz wenige Dongleanbieter arbeiten mit einer eigenen VM und eigenem ByteCode als Sicherheit auf simulierter OpCode-Ebene.
Nebeneffekt: wir umgehen mit unserer Lösung auch eventuelle Exportbestimmungen bezüglich "starker" Kryptografie... egal ob CCC, Bundestrojaner oder NSA wer an die Daten und die Codes will, muss den HardwareLock des "ExecuteOnly-Mode" vom Microcontroler knacken. Da ist es eventuell einfacher das Zeug bei mir zu "organisieren".


---

Hier im Thread geht es ja um Offline (Kopier)Schutz...
...und da gibt es eben neben HardwareID, USB-CryptoDongles eben auch das recht wenig verbreitete und oft unbekannte Sicherheitskonzept der auf (USB)Hardware ausgelagerten Programmfunktionalität... Wir nutzen wann immer möglich soviel wie möglich eigene Hardware. Software kopieren kann heute "jeder", Hardware analysieren und kopieren ist (arbeits)aufwendiger.

[MaBuSE]

Zitat von mensch72:

...
Hier im Thread geht es ja um Offline (Kopier)Schutz...
...und da gibt es eben neben HardwareID, USB-CryptoDongles eben auch das recht wenig verbreitete und oft unbekannte Sicherheitskonzept der auf (USB)Hardware ausgelagerten Programmfunktionalität...

Stimmt, und das bestreitet ja auch keiner.

Zitat von mensch72:

...
Wir nutzen wann immer möglich soviel wie möglich eigene Hardware. Software kopieren kann heute "jeder", Hardware analysieren und kopieren ist (arbeits)aufwendiger.

Das ist gut, und das ist auch sicher. Das bestreitet ja auch niemand.

Ihr habt aber Ahnung von Hardware und Mikroprozessorprogrammierung.
Damit könnt Ihr das machen.

Ich sage ja nur, dass es kein Allheilmittel für alle ist
Der "normale" Delphi Programmierer ist aber in der Regel kein Mikroprozessorprogrammierer. Eine Einarbeitung in das Thema ist deutlich aufwändiger als die Benutzung eines fertigen Dongles.

Das ist eine einfache Kosten / Nutzen Rechnung.

Die meisten Anwender sind mit einer Umgehung eines Dongles überfordert.
Es ist also ein guter Schutz.

Es gibt natürlich auch ein paar, die (mit genügend Aufwand) in der Lage sind den Dongle auszuhebeln. (nichts ist 100% sicher)
Aber auch die Dongle Hersteller schlafen nicht. Sie machen es dem "Cracker" möglichst schwer.

Auch Deine Lösung ist mit genügend Aufwand kopierbar.
Es würde wahrscheinlich reichen, die Hardware nachzubauen und die Software auf dem originalen Chip auf den Nachbau zu kopieren.
Die Hardware kostet ja nur ein paar Euro
Das ist aber viel Aufwand und ein Kauf der Software dürfte billiger sein als das Cracken (Zeit).

Du siehst, ich gebe Dir in fast allen Punkten Recht.

Bis auf den Punkt, das Eure Lösung [edit]nicht[/edit] für alle geeignet ist.
Zumindest nicht für die, die keine Ahnung von MPs haben.

[Dejan Vu]

Zitat von mensch72:

Wir können schon rechnen
"Dongle bauen", also mit Kombizange einen billigen USB-Speicher aus dem Alugehäuse herausziehen, das 4pol. Kabel der USB-SIO kurz abschneiden und 4x abisolieren & verzinnen und mit 4 Lötstellen an 4 der 8 Pins vom IC anlöten und alles mit etwas Heißkleber im leerem Alugehäuse fixieren, das macht einer unserer Techniker für ~6 Stück in 10 Minuten.

Programmiert ihr genauso schnell? Und testen auch? Wenn ihr die Dinger en Masse produziert, könnte sich das lohnen, oder zumindest als ABM taugen, wenn mal nix los ist. Aber ansonsten würde ich auch lieber einen fertigen Dongle kaufen.

Aber Ich finde eure Lösung trotzdem genial, und ich glaube, die meisten hier auch. Ernst gemeint.

Also wenn ich eine Empfehlung für Offline-Kopierschutz bzw. Lizensmodelle zu machen würde ich die hier hinlänglich bekannten Verfahren aufzählen:
a) Lizenz mit Aktivierungsschlüssel und einem gewissen Vertrauen in den Kunden.
b) Dongle.

a) ist besser zu verkaufen, weil b) impliziert, das man dem Kunden nicht traut. Dafür ist (b) bei sehr hochpreisiger Software durchaus zu empfehlen.

[kuba]

Hallo,

für alle die sich einen "zertifizierten" USB-Stick bauen wollen bzw. den Programmstart nur von einem bestimmten USB-Stick genehmigen wollen, habe ich ein kleines "Startprojekt" angehängt.

Vielleicht geht es ja doch noch als komplette Softwarelösung, ich denke da lässt sich was machen ...

KUBA

[MaBuSE]

Zitat von kuba:

Vielleicht geht es ja doch noch als komplette Softwarelösung, ich denke da lässt sich was machen ...

Ich erinnere mich gerade an OnGuard von TurboPower.
Die Firma TurboPower varkaufte damals (vor mehr als 10 Jahren) sehr gute Delphi Komponenten.
Als die Firma aufgekauft wurde, sollten die Mitarbeiter an anderen Projekten arbeiten.
Sie stellten daher alle Komponenten kostenlos als Open Source zur Verfügung.

http://www.turbopower.com/

Leider haben sich nur wenige gefunden, die an den Komponenten gearbeitet/weiterentwickelt haben.
Der Code ist zwar schon sehr alt, aber es lässt sich sicherlich noch die ein oder andere gute Idee in das eigene Projekt übernehmen.

Viel Spaß
MaBuSE

[mkinzler]

Die Projekte werden von Nick Hodges (ehemaliger Produktmanager von Delphi) auf SF weiter betreut