Das Programm schützen???

**Jelly**

Zitat von Blutiger Anfänger:

Alles in allem ne interessante Methode. Und ich dachte vorher noch, wie will man das denn als Komponente implementieren ... aber vermutlich istalliert IceLicense auch noch einen Experten der nach dem Kompilieren das verschlüsseln der relevanten Teile übernimmt.

So siehts aus. Nach dem Kompilieren muss ich die exe-file nochmals durch IceLicense jagen, der dan den Code verschlüsselt.

Zitat von Blutiger Anfänger:

Man müßte es halt mit einem echten Schlüssel probieren den Schlüssel komplett zu entfernen. Ansonsten (ohne Schlüssel) ist das vermutlich ne sichere Sache.

Den hab ich dann mal hier in den Thread mit reingehängt, für dens interessiert... In dem Schlüssel sind dann auch Benutzername mitintegriert. Der wird zwar im Testprogramm nicht angezeigt, hätt ich aber machen können.

**scp**

markieren

Code:

			Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\8E99CFA6]

"Activation"="2004/08/24, 16:01:03"

"ActiveKey"="56E0E9DD40D5"

"LicenseKey"="...

"Username"="Blutiger Anfänger"

"UserOrg"="Delphi-Praxis"

Den Benutzernamen sieht man ja notfalls in der Registry. Ansonsten scheint es ja echt gut gemacht zu sein (ernst gemeint).

**negaH**

Zitat:

Morgen,

das Thema liess mir keine Ruh, deshalb bin ich auch schon am Rechner.

Natürlich, wenn meine Kunden Kunden einen Schlüssel haben (von mir), können Sie den auch weitergeben. Das ist dann eigentlich wieder kein Problem für mich... Durch die Weitergabe des Schlüssels, verrät er seine Identität, und wenn ich das irgendwann mal mitkrieg, weiss ich, wer der Schuldige ist. verkauf ich dir also irgendwann einen gültigen Schlüssel, und find den selbigen irgendwann im Internet, komm ich also auf dich zurück... Zudem bietet das Tool aber auch noch die Möglichkeit, die Schlüssel Rechnerabhängig zu verteilen. Das macht die ganze Sache also nicht grad leichter...

Ich glaube du hast mich falsch verstanden.

ICH suche einen dummen Freund der bei dir die Software samt gültigem Schlüssel kauft. Nun nehme ich die Software auseinander da ja der Schlüssel dafür da ist die Schutzmechanismen auszuschalten. Daraus baue ich dann eine Software die entweder komplett schutzfrei ist oder aber so leicht manipuliert wurde das sie auch ohne echten Schlüssel jederzeit funktioniert.

NICHTs dann mit Rückverfolgung oder ähnlichem, du kannst meinem Dummen Freund nichts unterstellen ohne Beweise.
Es sei denn in der Software befindet sich für JEDE Kunden individuell an verschiedenen Stellen eine Seriennummer. Aber den Aufwand wirste wohl nicht treiben wollen.

Also nichts mit "Tautologie" sondern einfach meine Worte FALSCH verstanden !

Das Ziel des Crackers ist es entweder professionell deine Software zu knacken um selber viele Raubkopien verkaufen zu können, oder aber einfach nur die Software kostenlos zu verbreiten. D.h. knackt der deine Software so dann unter der Premisse das viele illegale freie Kopien daraus entstehen können.

Der Dumme Freund könnte sogar der Cracker selber sein, beweise ihm das ER gecrackt hat.

Gruß Hagen

PS: ach und nebenbei fand ichs sehr interessant das die obige EXE, aus Zufall oder eben nicht, eine versteckte Signatur enthielt die ich in meinem DEC integriert hatte. Ist aber eigentlich irrelevant, DEC ist Freeware.

**Jelly**

Zitat von negaH:

Ich glaube du hast mich falsch verstanden.

ICH suche einen dummen Freund der bei dir die Software samt gültigem Schlüssel kauft. Nun nehme ich die Software auseinander da ja der Schlüssel dafür da ist die Schutzmechanismen auszuschalten. Daraus baue ich dann eine Software die entweder komplett schutzfrei ist oder aber so leicht manipuliert wurde das sie auch ohne echten Schlüssel jederzeit funktioniert.

So falsch hatt ich das eigentlich nicht verstanden... Aber egal... Jedenfalls sind wir im Endeffekt wieder so klug wie am Anfang des Threads: Ein sicheren Schutz gibts nicht. Aber wenigstens erschweren kann mans. Und weil ich keine Software vertreib, welche tausende Euros wert ist und die Welt links rum drehen läßt, schreckt das den Ottonormalcracker hoffentlich bischen ab (oder spornt ihn an... keine Ahnung wie Hacker im Kopf denken

)

Zitat von negaH:

PS: ach und nebenbei fand ichs sehr interessant das die obige EXE, aus Zufall oder eben nicht, eine versteckte Signatur enthielt die ich in meinem DEC integriert hatte. Ist aber eigentlich irrelevant, DEC ist Freeware.

Dann nutzt Ionworx wohl das Teil in ihrem Schutz... Ich habs im Beispielprojekt auf jeden nicht benutzt... Das spricht aber auf jeden Fall für die Qualität von DEC, oder

Gruß,

**mschaefer**

Moin, Feiarbendmoin,

weiss es passt nicht so ganz, aber ein neuer Thread ist es eigentlich auch nicht. Mir hat der Programmschutz von Microsoft oder Lexware eigentlich gut gefallen und so etwas würde ich gerne auch für mein aktuelles Projekt realisieren.

Die Funktionen:

2. standartmäßig läuft das als Demoversion (zeitlich begrenzt).

1. um es als Vollversion freizuschalten muß man sich registreiren lassen und bekommt einen
Code in Abhängigkeit von der Systemkonfiguration.

3 bei der Vollversion sollte der Name desjenigen auf den es registriert ist in der Titelleiste des
Hauptfensters erscheinen.

Wie würded Ihr an sowas herangehen ?

Grübel // Martin

Zitat von negaH:

Ich glaube du hast mich falsch verstanden.

Zitat von negaH:

Also nichts mit "Tautologie" sondern einfach meine Worte FALSCH verstanden !

Hallo Hagen, ich glaube du solltest sorgsamer lesen. Die "Tautologie" stammt von mir. Und du wirst (es sei denn du willst dir selbst widersprechen) kaum verneinen können, daß bei PKI der Besitz beider Schlüssel jede Sperre überflüssig macht. Ergo wird ein Benutzer mit (privatem) Schlüssel das Programm ohne Probleme nutzen können - und dazu zählt auch das Entfernen der Verschlüsselung (i.e. des Schutzes) durch den crackenden Benutzer.

Das stand hier aber nie zur Disposition.

PKI basiert nunmal auf Trust (engl. für Vertrauen). Im Endeffekt KANN es also für Softwareschutz nicht funktionieren, da dem Anwender ja mißtraut wird. Also wird in jeglichen Szenarien der Cracker siegen - also den Schutz entfernen können, da de facto kein Schutz existiert sobald man den privaten Schlüssel erlangt. Da dies in jeglichen Szenarien geschieht und somit beliebige Argumente redundant sind in dieser Diskussion, handelt es sich um eine Tautologie.

Gruß,

Oliver

**mschaefer**

N´Abend,

also ok, der Thread scheint ja jetzt seine philosopischen Tatsch zu bekommen. Also wenn Version 1 geknackt werden kann, wenn ich bei Version4 bin ist mir das eigentlich egal. Bei einer Reihe von Firmen reicht der Vorsprung doch auch. Wenn eh alles nicht geht, dann könne wir ja gleich alle Freewareprogrammierer werden und gehen im heimischen Garten Lebensmittel anbauehn, damit wir uns über Wasser halten können....
Und in was dann die DP umgebaut wird, darüber wage ich nicht zu philosophieren...

Grüße //Martin

Zitat von mschaefer:

also ok, der Thread scheint ja jetzt seine philosopischen Tatsch zu bekommen. Also wenn Version 1 geknackt werden kann, wenn ich bei Version4 bin ist mir das eigentlich egal. Bei einer Reihe von Firmen reicht der Vorsprung doch auch. Wenn eh alles nicht geht, dann könne wir ja gleich alle Freewareprogrammierer werden und gehen im heimischen Garten Lebensmittel anbauehn, damit wir uns über Wasser halten können....

Es geht vielmehr um Prinzipien - der Kryptographie, wohlgemerkt! Es ist schlicht unmöglich ein Programm mit Kryptographie zu sichern, es sei denn man schlägt eine permanente Client/Server-Verbindung (und ein noch zu erfindendes System) vor.

Und nur weil es nicht geht (100% Schutz), heißt es nicht, daß es sich nicht lohnt. Nehmen wir mal das Beispiel des Nonsens-Programms von oben. Sorry, aber ich habe eine Schmerzgrenze und ab der werde ich mich nicht bemühen das Programm zu cracken, sondern es kaufen. Sobald der Cracker ökonomisch denkt, werden alle obigen Argumente sinnlos, denn der Cracker kann zB den doppelten Stundenlohn von einem Programmierern "annehmen" und wird durch Einsicht schnell merken, daß der Kauf sinnvoller ist. Ansonsten hast du es mit einem Idealisten zu tun. Entweder einem der es für seinen Ruhm tut (die kann man bestimmt auch kaufen) oder einen der es für echte Ideale tut - dann hast du ein Problem und kannst (wie es ja zB MS tut) nur über Strafandrohung abschrecken.

Das ist es übrigens was MS schon an den (ja legalen) Linux-Programmierern stört - die sind vielfach Idealisten.

**negaH**

@Oliver,

und ich meinte eben das es denoch den perfekt sicheren Schutz geben kann und wollte eigentlich nur auf den Unterschied zwischen rein Software und Hardware basierter Kryptographie hinweisen.

reiner Softwareschutz ist im Vergleich zu einbruchsicherer Hardware (siehe DRM, Palladium, Fritz Chip) unendlichmal leichter zu knacken. Ein reiner Softwareschutz, egal ob symmetrische Verfahren oder asymmetrische Verfahren benutzt werden kann niemals sicher sein. Dem Kunden muß aus "Sicherheitstechnischer Sicht" immer absolut misstraut werden. D.h. jeder Kunde ist ein potentieller Cracker, und mit Erlangung der Schlüssel hat er alles was nötig ist um lauffähige Raubkopien herzustellen.
Nicht so bei Kryptrographischer Hardware. Microsoft plante ja mit Palladium ein solches OS. Hardwarebestandteil ist der Fritz Chip o.ä. der alle kryptrographischen Operationen einbruchsicher durchführen kann und zudem noch die Schlüssel der Hersteller enthält. Das Betriebssystem selber beinhaltet den sogenannten Nexus der nur zertifizierten Code ausführen kann. Diese Zertifikate sind Digitale Unterschriften des Maschinencodes. Diese Zertifikate werden durch den FritzChip hardwaremäßig überprüft. Somit ist der Nexus absolut sicher konstruiert, man müsste also schon ein Herstellerzertifikat besitzen. Der Nexus wiederum stellt nun auf sicherere Art und Weise die API's für die Endanwendungen zur Verfügung. Mithilfe dieses Nexus wird es also möglich das über eigene Digitale Zertifikate der eigene Code geschützt wird. Nur Benutzer mit gültigem digitalen Zertifikat, extra zugeschnitten für seinen Rechner mit einer Serialnummer, hat dann das Recht die Software auszuführen.
Statt also die Software zu schützen, wird sie im Grunde durch die PC Hardware und dem OS geschützt. Sie kann dann zwar frei kopiert werden, wird aber nur laufen auf Rechnern mit aktiviertem Nexus und gültigem Benutzerzertifikat das durch die Softwarefirma speziell für diesen Kunden + Rechner ausgestellt wurde.

So, nun dürfte auch der riesige Unterschied klar werden zwischen einem noch so cleveren Softwareschutz zu einer professionellen Hardwarebasierten Lösung.

Die Eingangsfrage bezog sich ja auf das Ziel eine Software zu schützen. Darüber zu diskutieren ob diese Software OHNE gültige Registration knackbar ist ist aus meiner Sicht irrelevant. Am Ende der Vermarktung stehen registrierte Kunden, sie haben also aus Sicht der Softwarebude IMMER einen gültigen Schlüssel. Somit stellt sich die Frage: "kann man eine Software rein in Software so schützen das registrierte Kunden KEINE Raubkopien produzieren können". Diese Frage muß mit NEIN beantwortet werden.

Ich brauche nicht darüber zu diskutieren ob eckige Räder besser sind, wenn am Auto beim Verkauf nur runde Räder montiert werden.

Gruß Hagen

Zitat von negaH:

Statt also die Software zu schützen, wird sie im Grunde durch die PC Hardware und dem OS geschützt. Sie kann dann zwar frei kopiert werden, wird aber nur laufen auf Rechnern mit aktiviertem Nexus und gültigem Benutzerzertifikat das durch die Softwarefirma speziell für diesen Kunden + Rechner ausgestellt wurde.

Auch Hardware kann potentiell geknackt werden - zumal man diese ja auch dem Benutzer geben muß. Oder willst du mir erzählen das Zertifikat würde auf den Chip gebrannt und wäre ohne Zerstörung nicht auslesbar (und somit emulierbar)? Wie kommuniziert die Hardware mit der Software? Treiber?! Kennst du sichere Methoden für diese Kommunikation welche eine "Interception" ausschließen? Ich nicht. Die Hürde wird IMO nur höher gelegt und Cracker werden sich schneller anpassen als du meinst.
Ich persönlich würde (und das obwohl ich derzeit keine raubkopierte Software auf meinem Rechner habe) vermutlich auf andere Systeme umsteigen.

Übrigens denke ich, daß PC und Zertifikat sich ausschließt. Woran machst du das Zertifikat fest? Das Problem bleibt, daß man dem Endbenutzer nicht vertraut - ergo muß Kryptographie der falsche Ansatz sein.

Zitat von negaH:

Ich brauche nicht darüber zu diskutieren ob eckige Räder besser sind, wenn am Auto beim Verkauf nur runde Räder montiert werden.

ROFL, der Vergleich ist gut

Beste Grüße,

Oliver