Einmaliger Wert eines PCs, der sich nie ändert?

[negaH]

geht nicht. Du benötigst eine einbruchsichere Hardware, zb. den Fritz Chip, dann ist es 100%tig sicher eine Hardware eineindeutig zu identifizieren. Bleibt noch deinen Software -> geht auch nicht. Dafür benötigst du eine einbruschsichere Hardware die als CPU selber geschützt signierte Programmteile ausführen kann. Einer dieser Programmteile muss dann deine Software sein. Sowas hat MS mit Palladium versucht umzusetzen. Erst dann wirst du eine 100% sichere ID zur Hardware haben + eine 100% sichere Software die diese ID ohne Manipulationen durch Cracker sinnvoll weiterverarbeiten kann. In einem solchen Szenario erlangt nun diese Hardware + geschützte Software und damit die Hersteller dieser Produkte absolute Kontrolle über die Daten der Benutzer und dem Benutzer selber. Ich würde mir mehrmals überlegen irgendwas, und sei es nur eine Zeile Quelltext, an einer solchen Machine zu machen.

Also: auch wenn auf heutigen Machinen das was du suchst nicht praktikabel ist und somit für dich oberflächlich betrachtet eher übel ist, sollten wir froh sein das es so und nicht anders ist.

Überlege dir ein anderes Konzept, denn mit hoher Wahrscheinlichkeit kannst du durch Änderungen an deinem Vertriebskonzept/Softwarekonzept einerseits dein Problem umgehen und zusätzlich auch deinen Kunden mehr Service bieten.

Gruß Hagen

[Olli]

Zitat von negaH:

geht nicht. Du benötigst eine einbruchsichere Hardware, zb. den Fritz Chip,

Abgesehen davon, daß jegliche Hardwarelösung nicht sicher sein kann, wenn wir eine Transitionsschicht zur Software haben. Fällt diese Weg (direkte Integration ohne Treiber in das Betriebssystem), so könnte es möglich sein.

Eine andere Sache wird aber immer unterschlagen: selbst wenn sowas wie der Fritzchip kommt, glaubt ihr wirklich das Konsortium (inkl. MS) ließe sich das nicht vergolden? Meint ihr diese Geschichte wird wirklich so erschwinglich, daß es sich für ein Sharewareprogramm oder ein Programm in kleinerer Auflage lohnen könnte? Ich glaube noch nicht dran.
Die Treiberzertifizierung seitens MS ist genauso ein Schachzug gewesen. Es ist einfach hirnrissig, daß sich diese Firma leisten kann dafür bezahlt zu werden, daß sie in die Quellcodes ihrer mittelbaren und unmittelbaren Konkurrenten gucken darf, nur damit diese eine WHQL-Zertifizierung erhalten. Man sieht, auch hier handelt es sich nur um Klüngel mit fragwürdigen Gesamtimplikationen.

[Neotracer64]

Selbst dann kann der Releaser, der die Software ehrlich kauft, noch einen Dump dieser Software machen, der ohne diesen Schnick-Schnack läuft. Oder habe ich das jetzt was falsch verstanden ?

[negaH]

Zitat:

Abgesehen davon, daß jegliche Hardwarelösung nicht sicher sein kann, wenn wir eine Transitionsschicht zur Software haben.

Falsch. SmartCards sind Hardware und können ebenfalls mit eigener Software versehen werden.
Das wichtigste ist:

1.) die hardware muß einbruchsicher sein, für 99% aller Menschen ist eine stinknormale CPU heute schon einbruchsicher
2.) die Software auf dieser Hardware ist das Sicherheits kritische Element, richtig.
3.) das Gesamtkonstrukt verarbeitet ausschließlich geschützte Daten, also geschützte Daten rein, mit geschützter Software weiterverarbeitet, geschützte Daten raus und zb. auf geschützter MP3 Hardware abgespielt.

Fazit: FritzChip + Palladium ermöglichen in fact 100% sichere Datenverarbeitung. Ob das kommerziell tragbar ist ? Sicher doch, der Unterhaltungsindustrie gehen Milliarden jährlich durch die Lappen. Der Informationsindustrie wie Softwarekonzern, Medien wie Fernsehen oder Printmedien haben ein enornmes Interesse an einer absoluten Kundenbindung.

So zurück zum eigentlichen Thema da obige Ausführungen noch Zukunftsmusik sind.

Der einfachste Weg ist es sich nicht auf irgendwelche Hardware ID's zu verlassen. Die heutigen Datenmengen auf den PC's sind so rießig das es ein leichtes ist darin die eigenen Signaturen zu verstecken. Man erzeugt also solche auf Zufall basierenden Signaturen und versteckt sie möglichst verteilt in den rießigen Datenmengen. Die Eindeutigkeit solcher auf Zufall basierenden Signaturen hängt im Grunde nur von deren Größe ab. Exakt so geht Windows bei GUIDs vor falls keine eindeutigen HW-Signaturen zur Verfügung stehen.

Das die eigene Software nicht sicher vor Crackern ist dürfte wohl klar sein. Alleine schon dieser Fakt macht im Grunde jede größere Investition an Zeit in solche Verfahren sinnlos. Aber, diese Frage kommt alle 3 Wochen in der DP wieder hoch.

Das beste Konzept ist es sich von vornhinein ein anderes Konzept zu suchen. Zb. eben die potentiellen Kunden einfach dazu zu bringen ehrlich ein Produkt zu benutzen, weil es von nur Vorteil für sie ist.

Braucht man nur eine relativ eindeutige ID zur Hardware, und man kann sicherstellen das ein Kunde kein Interesse hätte diese vorzutäuschen, dann reicht ein Aufruf von CreateGUID() und das Resultat in einer INI zu speichern.
Ein Kunde hat immer dann kein Interesse solche ID's vorzutäuschen wenn er vom Produzenten der Software mithilfe dieser ID + seinen persönlichen Daten einen erweiterten, schon bezahlten (weil inklusive) Sevice erwarten kann.
Diese Änderung im Konzept macht also aufwendige Sicherheitsmerkmale absolut überflüssig und stellt das Produzenten-Kunden Verhältnis wieder auf eine faire Basis.

Gruß Hagen

[eddy]

Hallo CodeX,

ich gehe mal davon aus, daß Du nicht willst, daß Deine Software ohne weiteres von einem Normal-Nutzer (NoNu) Deiner Programme kopiert und an deren Bekannte, Freunde usw. weitergegeben wird ohne Dir einen Obolus zukommen zu lassen.

Nimm einfach die Serien-Nummer der Festplatte:

Delphi-Quellcode:

function GetSerialNumber(Drive: PChar): DWord;
var
  FileSysName, VolName: array[0..255] of Char;
  SerialNum, MaxCLength, FileSysFlag: DWORD;
begin
  GetVolumeInformation(Drive, VolName, 255, @SerialNum, MaxCLength, FileSysFlag, FileSysName, 255);
  Result := SerialNum;
end;

verschlüssele diese mit einer Deiner Phantasie überlassenen Codierung und lege das Ergebnis in eine INI-Datei oder sonstwie ab. Beim ersten Start wird die Seriennummer hinterlegt, Du läßt Dir die Datei schicken, ersetzt die Seriennummer durch einen gültigen Code und schickst sie dem Nutzer wieder zu.

Es wurde hier schon zur genüge besprochen, daß es keinen absoluten Schutz gibt, und wenn ein echter Hacker der Meinung ist, er müsse unbedingt Deinen Schutz umgehen, dann kannst Du sowieso nichts dagegen machen.

Der NoNu erhält nach dem Kopieren auf einen anderen Rechner eine Fehlermeldung: "Datenbank beschädigt, wenden Sie sich an den Programmierer Fehler-Code XX-204" und entscheidet sich dann entweder dazu, sich bei Dir zu melden oder irgendeine andere Software zu probieren.

Nach der Neuinstallation von Windows, einem Plattenwechsel usw. muß der Nutzer dann zwar jedesmal Kontakt zu Dir aufnehmen, aber solange Du nicht hunderte Nutzer hast sollte das kein Problem sein.

mfg
eddy

[Olli]

Zitat von negaH:

Falsch. SmartCards sind Hardware und können ebenfalls mit eigener Software versehen werden.

Richtig. Dies ändert aber rein nix an meiner Aussage - wenn eine Transitionsschicht existiert. Ich weiß worauf du hinauswillst. Smartcards, SD-Cards und auch andere Hardware hat eigene "Prozessoren" - Dongles im Grunde auch. Na und? Weißt du, wie der übliche Hardwareschutz aussieht? Der ist lächerlich. Weiteres können wir oberflächlich per PN besprechen.

Ich stimme dir dann zu, wenn beispielsweise relevante Programmteile auf eine externe geschützte Hardware ausgelagert werden. Ansonsten dürfte so ziemlich alles machbar sein, selbst wenn die Hardware eine Blackbox ist.

Zitat von negaH:

3.) das Gesamtkonstrukt verarbeitet ausschließlich geschützte Daten, also geschützte Daten rein, mit geschützter Software weiterverarbeitet, geschützte Daten raus und zb. auf geschützter MP3 Hardware abgespielt.

Hurra. Totale Kontrolle. Wenn die Menschen das mit sich machen lassen ... ich trainiere solange weiter meine RE-Skills und werde dann vielleicht doch irgendwann die Seiten wechseln, wenn die Industrie und die Staaten ihre Kontrollwut übertreiben.

Zitat von negaH:

Sicher doch, der Unterhaltungsindustrie gehen Milliarden jährlich durch die Lappen.

Ein Gerücht. Wenn ich die Mondzahlen höre, kommt mir immer das kalte Kotzen. Vieles von der Unterhaltung hat sich inzwischen von "CDs" zu "Events" verlagert. Das kann man nachweisen. Da dies wieder ein anderer Teil der Musikindustrie ist und die Klagen nur von den CD-Verlegern kommen, bekommen wir nur eine sehr einseitige Sicht präsentiert. Und ob Musik oder Hardware, nur weil man bspw. in der Ukraine (dieses Beispiel kenne ich, daher ...) durchsetzt, daß die Leute legale Kopien kaufen müssen, können die sich von ihren $50-250/Monat im Arbeitersegment (Professoren zähle ich dort dazu mit $250 - aufgebessert durch die Bezahlung für gute Noten) auch nicht mehr Windows leisten. Da ist doch die CD mit Windows XP für $1 eine tolle Alternative. Nur, diese "Ausfälle" werden mitgerechnet, weil die Industrie maßlos geworden ist. Der Kunde war mal König ... jetzt ist er im besten Fall Bittsteller, im schlimmsten ist er Internierter.

Zitat von negaH:

Das die eigene Software nicht sicher vor Crackern ist dürfte wohl klar sein. Alleine schon dieser Fakt macht im Grunde jede größere Investition an Zeit in solche Verfahren sinnlos. Aber, diese Frage kommt alle 3 Wochen in der DP wieder hoch.

... endlich mal Klartext!

Zitat von negaH:

Diese Änderung im Konzept macht also aufwendige Sicherheitsmerkmale absolut überflüssig und stellt das Produzenten-Kunden Verhältnis wieder auf eine faire Basis.

[messie]

Zitat von Olli:

Zitat von negaH:

Das die eigene Software nicht sicher vor Crackern ist dürfte wohl klar sein. Alleine schon dieser Fakt macht im Grunde jede größere Investition an Zeit in solche Verfahren sinnlos. Aber, diese Frage kommt alle 3 Wochen in der DP wieder hoch.

... endlich mal Klartext!

Da die drei Wochen ja wieder rum sind, kann ich das Thema ja mal wieder aufwärmen...

Das regelmäßige Auftauchen der Frage ist hauptsächlich darin zu begründen, daß jedesmal eine heftige Grundsatzdiskussion über solche Maßnahmen ausbricht (ist die Erde nun rund oder eckig?) und es mit Sprüchen wie dem obigen so plattmacht, daß die oft unerfahrenen Fragesteller sich gar nicht mehr trauen, überhaupt noch etwas zu posten.
Vielleicht kann man sich ja mit dem Gedanken abfinden, daß es nichts Sicheres zum Schutz von Software gibt aber trotzdem ein paar sinnvolle Funktionen vorstellen, die man benutzen könnte. Zumindest so, daß jemand, der das Cracken versucht, schon einige Arbeit leisten muß bzw. jederzeit damit rechnen muß, daß sich die geckrackte Software irgendwann nicht mehr benutzen läßt. Insbesondere für den letzten Fall würde ich mir ein paar Vorschläge wünschen.
Ich hatte z.B. gedacht, bei der Installation oder beim Erststart eine dll oder so zu patchen (könnte das klappen?)

Grüße, Messie

[Olli]

Zitat von messie:

Vielleicht kann man sich ja mit dem Gedanken abfinden, daß es nichts Sicheres zum Schutz von Software gibt aber trotzdem ein paar sinnvolle Funktionen vorstellen, die man benutzen könnte.

Das ist der erste Punkt. Mit einfachen Funktionen, ohne jegliche externe Unterstützung (zB "PE-Encrypter" o.ä.) reißt du hier garnichts.

Zitat von messie:

Zumindest so, daß jemand, der das Cracken versucht, schon einige Arbeit leisten muß bzw. jederzeit damit rechnen muß, daß sich die geckrackte Software irgendwann nicht mehr benutzen läßt.

Da kann aber jeder selber kreativ sein - ich erinnere nur an die Spiele, in denen plötzlich unvorhersehbare Dinge bei gecrackten Versionen passieren.

Zitat von messie:

Ich hatte z.B. gedacht, bei der Installation oder beim Erststart eine dll oder so zu patchen (könnte das klappen?)

Könnte klappen - allerdings verrätst du dich damit schon gegenüber dem Cracker.

Auch wenn ein Compiler nicht in Hagens Sinn ein Verschlüsselungsprogramm ist, so ist es eine effektive Methode um die meisten Leute abzuhalten. Danach hängt alles was du machst davon ab, wie du es machst. Ein Patentrezept gibt es auf dieser Ebene wirklich nicht. Das "Plattmachen" ist also gerechtfertigt. Besser als den Benutzer in scheinbarer Sicherheit zu wiegen.

[marabu]

Hi Messie,

Titel und Inhalt in deinem thread driften ja etwas auseinander, aber vielleicht interessiert dich auch die ProductID: klick

Grüße vom marabu

[Olli]

Zitat von marabu:

Titel und Inhalt in deinem thread driften ja etwas auseinander, aber vielleicht interessiert dich auch die ProductID: klick

Ist doch garnicht "seiner" ... guck mal ganz oben