एसडब्ल्यूएफ डीकंपाइलर से खुद को कैसे बचाएं

हाल ही में मुझे enviable आवृत्ति के साथ पूछा गया है: "फ़्लैश प्लेयर और सर्वर के बीच उड़ान डेटा की सुरक्षा कैसे करें?"। एक उत्तर के बजाय, मैंने क्रिप्टोग्राफी पर कोई भी किताबें पढ़ने का सुझाव दिया, और बहुत ही अभिमानी से मैंने निम्नलिखित कोड के साथ संघर्ष किया।

var myAge:Number = 23; //
var someTextToEncode:String = 'Sometext, or xml, or anything else'; //
var arr:Array = new Array();
var l:Number = someTextToEncode.length;
var encodedText:String = '';
for (var i:Number = 0; i< l; i++){
encodedText += String.fromCharCode(someTextToEncode.charCodeAt(i) + myAge); // . . 90% "" .
}
post(encodedText); //,

और उन्होंने मुझे अन-कॉपी कर दिया, कॉपी-पेस्ट कोड। और मेरे साथ सब कुछ ठीक था, जब तक कि एक जिज्ञासु ने नहीं पूछा: “लेकिन चाबी की रक्षा कैसे करें? आखिरकार, किसी भी फ्लैश ड्राइव को साइट से खींचा जा सकता है और विघटित किया जा सकता है! "

विधि, जैसा कि यह निकला, बहुत सरल है और इसके लिए किसी भी पर्यवेक्षक की आवश्यकता नहीं है। यह एक फाइल में संकलित स्टैंडअलोन फ्लैश ड्राइव के बारे में है।

सिद्धांत की बिट

कोई भी decompiler आपकी swf फ़ाइल को पार्स करता है और इसे कक्षाओं में पार्स करता है। वह वर्ग के गुणों और विधियों के नाम भी पढ़ सकता है, लेकिन केवल वे जो इस वर्ग के बाहर से सुलभ हैं: अर्थात्, स्थिर, सार्वजनिक, विरासत में प्राप्त और संरक्षित। निजी एक्सेस संशोधक द्वारा संरक्षित चर, या चर केवल तरीकों के दायरे में परिभाषित किए गए, डिकंपाइलर भी पढ़ने में सक्षम हैं, लेकिन उनके नामों को प्रतिस्थापित किया जाता है, उदाहरण के लिए, _loc_1 के साथ। यह केवल इसलिए है क्योंकि अधिकांश संकलक (यह केवल फ़्लैश पर लागू नहीं होता है) अनुकूलन में लगे हुए हैं, बाइट कोड में बदलने से पहले मानव-पठनीय आसान-से-पढ़ने वाले कोड को फेंक देते हैं। कोई व्यक्ति इस मेटा-जानकारी को कॉल करता है, लेकिन रनटाइम के लिए, यह केवल कचरा है जिसका कोई अर्थ नहीं है।

फ़्लैश तकनीक

किसी भी एक्शन-स्क्रिप्ट प्रोजेक्ट को एक swc-file: लाइब्रेरी फ़ाइल के रूप में संकलित किया जा सकता है। SWC मूल रूप से एक swf फ़ाइल और xml मेटाफ़ाइल युक्त एक संग्रह है। XML उन संदर्भ बिंदुओं को संग्रहीत करता है जिन्हें आप इस लाइब्रेरी से कनेक्ट करते समय उपयोग कर सकते हैं। वास्तव में, आप उनके बिना swf "लाइव" पढ़कर कर सकते हैं। यह एंबेड मेटा टैग के मापदंडों का उपयोग करके किया जाता है। उदाहरण के लिए, इस तरह:

[Embed(source = 'some.swf', symbol = 'SomeClass')] private const SomeClassFromSomeSWF:Class;

आप इस क्लास को हमेशा की तरह उपयोग करना जारी रख सकते हैं - SomeClassFromSomeSWF के कंस्ट्रक्टर को कॉल के माध्यम से। इस वर्ग का उदाहरण प्रकार, SomeClass क्लास में कुछ .swf जैसा ही होगा। हालाँकि, एम्बेड टैग का उपयोग करके, आप न केवल कुछ वर्गों को लागू कर सकते हैं, बल्कि पूरे SWF (वास्तव में, आप कुछ भी लागू कर सकते हैं, लेकिन अब यह उस बारे में नहीं है)। एम्बेडेड SWF का वर्ग उदाहरण किस प्रकार का होगा?

एंबेडेड एसडब्ल्यूएफ

आवेदन / एक्स-शॉकवेव-फ्लैश (जो, उदाहरण के लिए, swf फ़ाइलों के बराबर है) के साथ mimeType के साथ एम्बेडेड फ़ाइलों के लिए, Adobe के पास एक विशेष प्रकार है: MovieClipLoaderAsset , जो mx.core पैकेज में है। एम्बेड करते समय, swf फ़ाइल बाइट्स की एक सरणी के रूप में अपनी मूवीक्लिप्डाटा संपत्ति में गिर जाती है, सभी मानव- उन्मुख "कचरा" को छोड़कर - जो कि केवल फ्लैशप्लेयर की आवश्यकता है। लेकिन यह सब नहीं है। MovieClipLoaderAsset, MovieClip का उत्तराधिकारी है, जिसका अर्थ है कि इसे स्पष्ट विवेक के साथ प्रदर्शन सूची में जोड़ा जा सकता है।

यह सब जानते हुए, "डिकम्प्रेसर के खिलाफ सुरक्षा" के प्रारंभिक कार्य को हल करना तीन मिनट की बात है:

package {
import flash.display.Sprite;
import mx.core.MovieClipLoaderAsset;
public class Crypto extends Sprite {
[Embed(source = 'unprotected.swf')] public const ToProtect:Class;
public function Crypto():void {
var protectedSwf:MovieClipLoaderAsset=new ToProtect() as MovieClipLoaderAsset;
addChild(protectedSwf);
var messageToDecompiler:String = "Hello fellas. You can do nothing^^ Kekeke";
}
}
}

हां। ऊपर के संकलन परिणाम के स्रोत कोड को पढ़ने से कुछ भी नहीं होगा। लेकिन संरक्षित swf अब उसके लिए उपलब्ध नहीं होगा। और उसे केवल विशेष रूप से उसके लिए तैयार किए गए संदेश को पढ़ना होगा और रोना होगा।

UPD: AS3 प्रॉक्सी बायटेकोड एनालाइजर पर आधारित एप्प्रेट ऑप्टिमाइज़र ने इस सुरक्षा को बिना किसी समस्या के तोड़ दिया।

UPD 2: यह विधि "पूर्ण सुरक्षा" होने का दावा नहीं करती है। आप मौजूद हर चीज को हैक कर सकते हैं। यह विधि केवल SWF में प्राप्त संसाधनों को प्राप्त करने का समय और बौद्धिक लागत बढ़ाती है: कला / संगीत / गणना तर्क। इसके अलावा, टिप्पणियों में एक डिकंपाइलर था, "पुश-वन-बटन" के सिद्धांत पर काम करना, समस्याओं के समान सुरक्षा का खुलासा करना। संक्षेप में: आपको फ्लैश ड्राइव हैक करने के एकमात्र सुरक्षात्मक बाधा के रूप में इस पद्धति का उपयोग नहीं करना चाहिए। हालांकि, इसकी सादगी और हल्कापन के साथ बड़े पैमाने पर लागू किया जा रहा है, यह संसाधनों को खोलने से बचाने में काफी मदद कर सकता है।