Protipirátská ochrana LAMP aplikace

[Bla]

Doplnění:
HW klíč by šlo použít, pokud bych používal nějakou CGI/PHP Extension, která by ke klíči přistupovala z binárního kódu a nikoliv z PHP.
Ale zase se dostáváme k tomu, že pak půjde poměrně jednoduše najít, který kus kódu komunikuje s tím HW.

Nicméně jsem viděl poměrně pěknou vychytávku, která by vám mohla pomoct.
Například do MySQL je možné dávat pluginy, pokud bude Váš software na tomto pluginu závislý, tak bez instalace pluginu budou mít problém to rozchodit, hlavně když to bude dobře udělané. A už vůbec, pokud to bude fungovat, ale přitom chovat se "divně".

[Reklama]

[j]

"demo" byla zcela plna verze bez jakychkoli omezeni (jak nam lidi z oraclu potvrdili)

Nesmysly, v demu jsou zadrátované omezení přímo v binárce, takže na zkoušení je to fajn ale do produkce nepoužitelné, evidentně jsi v životě Oracle neviděl.

Hosicku, tohle neni zadna binarka, to je hromada javovyho kodu, bezi to na webu a binarniho na tom neni prakticky nic. Zjevne vubec netusis o cem meles. Mam to dodneska hozeny nekde na disku.

[j]

Hovnozlanec bla se projevil ...

Ty lulínku ty jsi akorát dal dohromady dvě pecka v jedné neziskovce, jak jsi se tuším chlubil a na tomto základě stavíš své odborné posudky 

Tak teď, protože to se ve večerníčku nedozvíš, ti řeknu tajemství.

A) Hodně firem nemá rádo Software As Service model
B) Řada firem takové služby nesmí používat, protože jim to nařizuje stát nebo matka
C) ISO 27001/27002 nemá Software as Service rádo, protože ve chvíli, kdy nemáš svoje data u sebe, nemáš nad nimi kontrolu
D) Předražit zakázku je rada jako od posledního maňasa nejhoršího skriptaře
E) Výchoďáci jsou zvláštní nátury, pokud tam mají průměrný plat okolo osmi tisíc korun měsíčně u poměrně inteligentního čověka, tak je pro ně lepší si najmout deset vlastních lidí a platit jim sto tisíc měsíčně, než těch sto tisíc měsíčně dávat nějaké firmě ze Slovenska nebo ČR

Prostě se smiř s tím, že o tomhle toho víš míň, než čajový pytlík, buď ticho a šoupej nohama.
Tvoje rady "Tak jim dejte tak super servis, abyste byli levnější, než deset jejich lidí!" nebo "Už je to sice napsané, ale měli jste jim to pořádně předražit, protože pořádně předražená cena je zaručená jistota jak vyhrát zakázku." no tak to jsou rady, že kdyby ses dneska náhodou nějak zabil, nejspíš tě nominují na Darwinovu cenu!

2 Vetroplax
K HW klíči bude přistupovat nějaká funkce, kterou půjde v dekompilovaném kódu poměrně snadno najít a když jde něco najít, tak to jde taky změnit. HW Klíč jsou vyhozené peníze v tomto případě.

Jak sem psal, hownozlanec se projevil, tebe bych vykop hned mezi dverma, kdybys mi zacal nabizet ten svuj uzasnej kram, kterej se startuje zadavanim hesla ....

90% firem si plati na SW (mimo jine) support a maintanence. To je v 99% pripadu smlouva na 1-X let. A pochopitelne, pokud dodavatel dodava sracky/neposkytuje zadnou odpovidajici protisluzbu/... tak firma smlouvu neprodlouzi/vypovi. Takze se zvedni z nocniku a bez si k mamince at ti nabaca.

Resit muj dodavatel jak mi znemoznit SW pouzivat, tak to bude duvod k okamzitymu ukonceni vsech smluv a v nekterych pripadech k zalobe o nahrady skod.

Nikdo tady ty debile nemluvi o zadnym predrazovani. Pokud nekomu neco dodavam, tak za cenu kterou si ja urcim. A VZDY ve 100% pripadu tak, ze je mi uplne uzadeke co si stim pak bude delat. Pokud si nezaplati support, jeho vec. SW si zaplatil tak at si stim dela co chce. Pokud je ovsem nekdo debil a doda SW gratis, na zaklade per huba slibu, ze si od nich nekdo bude objednavat sluzby, tak jen dobre mu tak.

[Bla]

ty debile

Ty lulínku jeden jsi mě pobavil.
Žel bohu nemám chuť se s tebou pouštět do odborné debaty o něčem, čemu nerozumíš 

[to_je_jedno]

Hosicku, tohle neni zadna binarka, to je hromada javovyho kodu, bezi to na webu a binarniho na tom neni prakticky nic. Zjevne vubec netusis o cem meles. Mam to dodneska hozeny nekde na disku.

Prosim o vysvetleni pro nas hloupe: oni distribujou neco co je napsan v jave a neni to z jejich strany dodavane jako binarka? co s tim ma spolecneho, ze to bezi na webu?

[Reklama]

[aaa]

Deaktivacia na zaklade pohladu niekam von je nezmysel. To sa da vyhodit a nefunguje to vzdy dobre, aj keby ste na obidvoch serveroch mali 100% uptime.

Ja pouzivam zadne vratka, ktore sa tvaria ako bug, ale musela by nastat uzasna zhoda nahod, aby sa do toho niekto trafil. Ked sa aj niekto trafi, tak by tym nemal dokazat robit velmi vela. Zneuzitie toho bugu musi obsahovat moznost plausible deniality.
Nakoniec z toho vyjde nieco ako, ze ked je u zmeny uzivatela meno prazdne, priezvisko obsahuje zakazane znaky a pritom sa nahrava zakazany avatar, tak sa to dostane na taku code-path, ze sa pri tom zmaze inak vybrany uzivatelsky subor. Je to cele spravene ako bug, takze tam nie je explicitny "if" na tento pripad.

Subory odporucam obfuskovat a to tak, aby nasledne ich zmena alebo zmena adresaru sposobila nemoznost deobfuskacie. Kludne to xorujte par znakmi hashu index.php, zoznamu suborov v aktualnom adresari, __FILE__ a kludne este niecim. Takto bude obfuskovany aj sam index.php. Fantazii sa medze nekladu a taketo nieco odradi pomerne vela utocnikov, lebo ak si niekam pridaju debug vypis, tak im to bude vracat nezmysly.
Na druhu stranu to chce trochu chytristiky, ako vymysliet ten zakladny subor (index.php). S trochou snahy a trochou bruteforce to nebude problem ;-).
Akurat si potom treba dat pozor na update, ze sa vzdy nahradia vsetky subory.

[nejsempsychopat]

Vaše starosti bych chtěl mít. Tak to vydejte jako open-source a nemusíte se bát kopírování. Hlavně kopírování není krádež, takže nevím, o co jako jde. Všichni se určitě třesou na cizí úžasný kód, který nikdo nezná

[h7]

HipHop -> c++, crackout to sice jde, ale rozšiřovat a udržovat prakticky bez šance (c++ kompilátor provádí pokročilé optimalizace). Ale musíš se smířit s jistými omezeními v kódu.

[MartinX]

Ak by som bol zakaznik, ktory si objedna a zaplati zakazkovu aplikaciu, tak by nevyhnutnou podmienkou bolo, aby bol dodany aj okomentovany zdrojovy kod (a samozrejme aj licencia umoznujuca jeho zmeny).
Kazdy pokus o obfuskaciu alebo ine obmedzenie mojho pristupu  by som povazoval za podvod zo strany dodavatela a okamzite by som s nim prerusil spolupracu. V profesionalnej IT praxi je vazba na jedneho dodavatela cestou do otroctva.
"Closed source" akceptujem vyhradne v pripade hromadne (teda nie zakazkovo) dodavaneho softwaru zalozeneho na standartoch (OS, databazy, aplikacne servere ... ).

[Lol Phirae]

Ja pouzivam zadne vratka ...  Je to cele spravene ako bug,

V duchu "kvality" této diskuse: Kokote, u tebe bych si teda určitě něco vobjednal. 

[Franta <xkucf03/>]

Doplnění:
HW klíč by šlo použít, pokud bych používal nějakou CGI/PHP Extension, která by ke klíči přistupovala z binárního kódu a nikoliv z PHP.
Ale zase se dostáváme k tomu, že pak půjde poměrně jednoduše najít, který kus kódu komunikuje s tím HW.

Nicméně jsem viděl poměrně pěknou vychytávku, která by vám mohla pomoct.
Například do MySQL je možné dávat pluginy, pokud bude Váš software na tomto pluginu závislý, tak bez instalace pluginu budou mít problém to rozchodit, hlavně když to bude dobře udělané. A už vůbec, pokud to bude fungovat, ale přitom chovat se "divně".

MySQL je licencovaná pod GNU GPL*, což je svobodná copyleftová licence, která dává uživateli právo požadovat zdrojové kódy a software upravovat, šířit, libovolně používat… Jestli tam není nějaká výjimka, i ten plugin musí být pod GNU GPL a zákazník k němu musí dostat zdrojáky a práva. A jestli ta aplikace závisí na pluginu nebo na MySQL, musí dodavatel poskytnout zdrojáky a práva i k té aplikaci.

Zákazníkovi bych tedy doporučil jít touhle cestou – požadovat zdrojové kódy a práva a pokud nebude vyhověno, ukončit s dodavatelem spolupráci a podat na něj žalobu za porušování autorského zákona.

*) případně komerčně od Oraclu, ale předpokládám, že takovou licenci si ti tragédi neplatí

[Bla]

*) případně komerčně od Oraclu, ale předpokládám, že takovou licenci si ti tragédi neplatí

Těžko říct, jestli vůbec používají MySQL, PHP je s MySQL "dost spojené", ale né výhradně.
V každém případě tuším že ano, že když chceš poskytovat komerční moduly s MySQL, musíš mít smlouvu s Oraclem.
(Ne zákoš, ale ty jako vývojář.)

[Bla]

Jen doplním, že MySQL stejně nemůžeš komečně nabízet, tedy nemůžeš říct "Udělám vám e-shop, který poběží na Apache, PHP a MySQL".

"MySQL may be used freely, including by commercial entities for evaluation or unsupported internal use. However, distribution for commercial purposes of MySQL, or anything containing or derived from MySQL in whole or in part, requires a written commercial license from TcX AB, the sole entity authorized to grant such licenses."

" Does your application require MySQL to function properly? If your product requires MySQL, you need a license for any machine that runs the mysqld server. For example, if you've designed your application around MySQL, then you've really made a commercial product that requires the engine, so you need a license."

Takže jsme znova u toho, že můžou napsat plugin a tím si to zabezpečit, protože jim to přece neprodali bez licence.

[paranoik]

presne na toto je urceny Zend Guard - http://www.zend.com/en/products/guard

[j]

Jen doplním, že MySQL stejně nemůžeš komečně nabízet, tedy nemůžeš říct "Udělám vám e-shop, který poběží na Apache, PHP a MySQL".

"MySQL may be used freely, including by commercial entities for evaluation or unsupported internal use. However, distribution for commercial purposes of MySQL, or anything containing or derived from MySQL in whole or in part, requires a written commercial license from TcX AB, the sole entity authorized to grant such licenses."

" Does your application require MySQL to function properly? If your product requires MySQL, you need a license for any machine that runs the mysqld server. For example, if you've designed your application around MySQL, then you've really made a commercial product that requires the engine, so you need a license."

Takže jsme znova u toho, že můžou napsat plugin a tím si to zabezpečit, protože jim to přece neprodali bez licence.

Jiste, a pak ses probudil ... jelikoz je MySQL pod GPL, a ta zadna dalsi rozsirena ujednani nepripousti, natoz podobna omezeni ... tak ji samozrejme pro komercni ucely muze pouzivat kdo chce.

Pochopitelne GPL verze neobsahuje nektere casti funcionality, ktere komercni verze ano (treba zalohovani).