🤹🏽 👴🏼 👩‍✈️ .NET अनुप्रयोग के लिए क्लाउड सुरक्षा 🧛🏽 🥣 🥈

शायद सॉफ़्टवेयर सुरक्षा हमेशा मेरे पसंदीदा विषयों में से एक रहा है। मुझे कार्यक्रम के लाइसेंस पर जटिल, सरल जांच के साथ आना पसंद था, और उन्हें उत्साहपूर्वक लागू किया। मैंने हमेशा इस सिद्धांत का पालन किया है कि एक रक्षा दरार करने के लिए, एक हैकर को कार्यक्रम में उपयोग की जाने वाली तकनीकों का अधिकतम अध्ययन करना चाहिए। यदि वह कुंजी सत्यापन एल्गोरिथ्म में विराम लगाना चाहता है तो उसे थ्रेड सिंक्रोनाइज़ेशन के बारे में सोचने दें। यदि वह मेरे एल्गोरिथ्म में हस्तक्षेप करना चाहता है तो उसे COM लिंक की गिनती के मुद्दों का अध्ययन करने दें। उसे इस बारे में सोचने दें कि स्मृति में छवियों के बिटमैप का प्रतिनिधित्व कैसे किया जाता है, अगर उसने यह पता लगाने का फैसला किया कि मैंने मुख्य डेटा को कैसे बचाया है।

हां, इस संबंध में C ++ लगभग एक आदर्श भाषा थी। लेकिन समय बदल रहा है, पुरानी प्रौद्योगिकियां निकल रही हैं और नई, अधिक उत्पादक और सुविधाजनक उनकी जगह आ रही हैं। इसलिए हमारी टीम ने .NET पर स्विच किया। लेकिन विकास की सादगी और डिबगिंग की सुविधा के बदले, हमें भी मिला, इसके अलावा, हमारे सॉफ़्टवेयर को डिकम्पोज करने की सादगी। अब हैकर न केवल लाइसेंस प्रतिबंधों को दरकिनार कर सकता है, बल्कि हमारे कार्यक्रम का लगभग पूरा स्रोत भी बस इसे रिफ्लेक्टर में फीड कर सकता है।
बेशक, इस समस्या के समाधान के रूप में, कई अलग-अलग पर्यवेक्षकों को बाजार में पेश किया गया था। लेकिन, अजीब तरह से, उनमें से ज्यादातर ने मुझे एक ही बार में दो तरफ से निराश किया: दोनों मूल्य नीति द्वारा (यहां तक कि कुछ का न्यूनतम लाइसेंस हमारे सॉफ्टवेयर की लागत से कई गुना अधिक हो गया), और एल्गोरिथ्म के "खुफिया" द्वारा। तो, कुछ पर्यवेक्षकों के बाद, यहां तक कि सरल WinForms एप्लिकेशन क्रैश करने में कामयाब रहे। WPF के रूप में, एक लंबे, लंबे काले shamanism के बिना exclusives पर, एक मध्यम आकार के कार्यक्रम को लॉन्च करना सिद्धांत रूप में संभव नहीं था।

इससे समस्या की समझ और एक उत्पाद बनाने की स्पष्ट इच्छा पैदा हुई, जो ऊपर दी गई समस्याओं को कम करता है। और सास obfuscator और .NET कोड रक्षक AppFuscator.com दिखाई दिया

सुरक्षा एल्गोरिदम

नाम बदल रहा है

जेनरिक, इनहेरिटेंस, ओवरलोडिंग वर्चुअल मेथड्स, ओफ़्फ़सकेशन की मानक विशेषताओं के लिए पूर्ण समर्थन के साथ कक्षाओं और उनके सदस्यों का विरोध।
विभिन्न नामकरण विकल्प उपलब्ध हैं: अंग्रेजी अक्षरों में, कई प्रकार के मापदंडों, गैर-मुद्रण योग्य वर्णों, और कई अन्य लोगों द्वारा अधिभार के साथ अंग्रेजी अक्षरों में।

विधानसभा विलय

विश्लेषण और विघटन को जटिल बनाने के लिए कई स्रोत संरक्षित विधानसभाओं को एक फाइनल में मिला देना।
वर्तमान संस्करण में, एम्बेडेड असेंबली ऐसी विधानसभाएं होनी चाहिए जिनमें WPF संसाधन नहीं हैं।

सड़न

एक प्रक्रियात्मक प्रतिनिधित्व में वर्ग संरचना का अपघटन हमारा अपना मूल विकास है, जो एक कार्यक्रम को ऑब्जेक्ट-ओरिएंटेड फॉर्म (रिवर्स इंजीनियरिंग के लिए सरल) से प्रक्रियात्मक शैली में स्थानांतरित करने के विचार के आधार पर है, जिसमें मेटाडेटा में संग्रहीत सभी उपलब्ध जानकारी का अधिकतम विनाश होता है (लेकिन कचरा कलेक्टर की पूर्ण दक्षता बनाए रखना)। ।
मैं आपको कुछ और बताऊंगा। मान लें कि हमारे पास निम्न वर्ग संरचना के साथ एक विधानसभा है:

कोड पर्यवेक्षक

अपघटन के बाद, हम निम्नलिखित देखेंगे:
.NET obfuscator

स्क्रीनशॉट में हाइलाइट किया गया तरीका पूर्व MainForm_Load - फॉर्म लोडिंग हैंडलर है। केवल अब यह अन्य सभी कोडों की तरह, वैश्विक नाम स्थान (C # के विपरीत, जहां किसी भी वर्ग से संबंधित होना चाहिए, के समान वर्ग के बाहर स्थित है), साधारण वैश्विक कार्यों की घोषणा IL में अनुमेय है)।

फॉर्म में ही (अब कक्षा बी), केवल एक ही विधि बची है: निपटान। यह एक आभासी फ़ंक्शन का अधिभार है, इसलिए हम इसे बर्दाश्त नहीं कर सकते।

जैसा कि आप देख सकते हैं, कई बार पढ़ने की जटिलता बढ़ जाती है, और एक हमलावर के लिए यह पता लगाना बहुत मुश्किल होगा कि पहले कौन सी विधियां थीं। इस मामले में, कक्षाएं केवल डेटा फ़ील्ड (खोए हुए प्रकारों) और शेष वर्चुअल फ़ंक्शन वाले रिक्त आवरणों में बदल जाती हैं।

बाहरी विधि कॉल छिपाना

बाहरी तरीकों के आह्वान की चिंता - बाहरी असेंबली (सामान्य भाषा रनटाइम को कॉल सहित) से तरीकों का एक स्पष्ट आह्वान का प्रतिस्थापन, एक अप्रबंधित सूचक द्वारा अंतर्निहित उपयोग के लिए।
एक छोटा सा उदाहरण। यह था:

public void ShowMessage(string text) { MessageBox.Show(text); }

यह बन गया:

 // <Module> public static void a(object obj, string text) { object arg_0C_0 = calli(System.Int32(System.String), text, gb); }

स्ट्रिंग एन्क्रिप्शन

एक मालिकाना एल्गोरिथ्म के आधार पर तार का एन्क्रिप्शन। स्पष्ट रूप से एक स्वचालित डिकोडर के संभावित डेवलपर्स के जीवन को जटिल बनाने के लिए, संदर्भ के आधार पर, संरक्षित कार्यक्रम में गतिशील चर बनाए जाते हैं।

प्रतिबिंब विश्लेषण

प्रतिबिंब तंत्र को कॉल का विश्लेषण - एल्गोरिदम का एक सेट जो प्रतिबिंब को कॉल करता है।
मैं हमेशा स्पष्ट रूप से यह पसंद नहीं करता था कि कार्यक्रम के अगले संस्करण को इकट्ठा करने के बाद अगला चरण शुरू हो जाए - ऑबफ्यूज़ेटर के चारों ओर एक डफ के साथ नृत्य करना। इसलिए, हमारा उत्पाद एक विश्लेषक प्रदान करता है जिसे संचार को स्वचालित रूप से ट्रैक करने और प्रोग्राम कोड में नामों को समायोजित करने के लिए प्रशिक्षित किया जाता है। इसमें जटिल संरचनाओं को पार्स करने और अंतिम समाधान चुनने के लिए काफी शक्तिशाली तर्क है। बेशक, वह सभी संभावित मामलों को स्वचालित रूप से बंद नहीं कर पाएगा, लेकिन डेवलपर का जीवन काफी आसान हो जाएगा।
मान लें कि हमारे पास दो वर्ग हैं:

 class ClassA { string GetText() { return "A"; } public int smallField; } class ClassB { string GetText() { return "B"; } }

निम्नलिखित कोड उदाहरण पर विचार करें:

 public void HabraTestFirst(int x) { Type work = null; string method = "gettext"; if (x == 0) work = typeof(ClassA); //  ClassA else { string name = "HabraCode.ClassB, HabraCode, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"; work = Type.GetType(name, true); //  ClassB } //      GetText HabraReflectionCall(work, method); } public void HabraReflectionCall(Type target, string method) { var call = target.GetMethod(method, BindingFlags.IgnoreCase | BindingFlags.NonPublic | BindingFlags.Instance); var obj = Activator.CreateInstance(target); call.Invoke(obj, null); MessageBox.Show(string.Format("HabraReflection call: {0}.{1}", obj.ToString(), call.Name)); }

इस उदाहरण में, इनपुट में दिए गए संख्यात्मक पैरामीटर के आधार पर, विधि को या तो क्लासए क्लास में या क्लासबी में बुलाया जाएगा। इसी समय, इन वर्गों का वंशानुक्रम \ इंटरफेस के बीच कोई संबंध नहीं है।

हम एक साधारण कार्यक्रम संकलित करते हैं:

 var reflector = new Reflector(); reflector.HabraTestFirst(0); reflector.HabraTestFirst(1);

हम शुरू करते हैं और आवाज करते हैं:
Obfuscation .NET Ref

जैसा कि आप देख सकते हैं, दोनों वर्गों और दोनों तरीकों का नामकरण के दौरान नाम बदल दिया गया था, लेकिन कार्यक्रम उनके बीच के रिश्ते की पहचान करने में सक्षम था, और प्रतिबिंब कॉल में नाम के लिंक को अपडेट किया।
एक और भी दिलचस्प उदाहरण, जिसमें हम न केवल प्रतिबिंब के माध्यम से पहुंचते हैं, बल्कि गणना के माध्यम से वांछित क्षेत्र भी पाते हैं:

 public void HabraTestSecond() { FieldInfo result = null; var anyobj = new ClassA().GetType(); foreach (var it in anyobj.GetFields()) { if (it.Name == "smallField") //     smallField     result = it; } if (result == null) throw new InvalidOperationException(); MessageBox.Show("HabraReflection field: " + result.ToString()); }

स्टार्टअप पर, कार्यक्रम हमें ईमानदारी से बताएगा:
प्रतिबिंब alnalyzing मॉड्यूल

यह कैसे काम करता है? सब कुछ सरल है - विशेषता निर्माण को देखा - प्रतिबिंब से प्राप्त क्षेत्रों को सूचीबद्ध करना, विश्लेषक IL कोड में अनुरोधित नाम को अनुकूलित और अपडेट करने में सक्षम था।
बेशक, यह दृष्टिकोण हमेशा काम नहीं करेगा, अगर डिजाइन अधिक बहु-चरण है या वांछित विधि का नाम लिया जाता है, उदाहरण के लिए, एक बाहरी फ़ाइल से, तो हमारे बुद्धिमान विश्लेषक ईमानदारी से हार स्वीकार करेंगे।

सोर्स कोड यहां से डाउनलोड किया जा सकता है ।

WPF विश्लेषण

Windows प्रस्तुति फ़ाउंडेशन से एक्सेस किए जाने वाले प्रकार, विधियों और फ़ील्ड्स को स्वचालित रूप से बहिष्कृत करें। इस कार्यक्रम में असेंबलियों में संकलित XAML संसाधनों का विश्लेषण और विश्लेषण किया जाता है। पूरी तरह से WPF सिंटैक्स एक्सटेंशन का समर्थन करता है, जिसमें जटिल निर्माण (जैसे संपत्तिपथ और अन्य) शामिल हैं।
इसके कारण, WPF में लिखे गए एक प्रोग्राम में, जिसे केवल नया नाम दिया जाना चाहिए उसका नाम बदल दिया जाएगा।

ओफिसकेशन के बाद एक कार्यक्रम का एक विशिष्ट उदाहरण:

(विस्तार के लिए क्लिक करें)

क्यों सास?

यह सरल है - कई हज़ार डॉलर के लिए एक अच्छा बॉक्सिंग ऑबफ्यूज़र खरीदने के बजाय, और फिर अपने अपडेट की खरीद के लिए लगातार भुगतान करना (आखिरकार, .NET प्लेटफ़ॉर्म टेक्नॉलॉजी बहुत तेज़ी से विकसित हो रही हैं), आप ऑनलाइन ओफ़्सेकेशन सेवा तक पहुंच प्राप्त करते हैं। और उसके बाद, केवल उस काम के लिए भुगतान करें जिसकी आपको व्यक्तिगत रूप से आवश्यकता है। महीने में एक बार संस्करण जारी करना - केवल इसके लिए भुगतान करें।
मूल्य निर्धारण अब अपनी प्रारंभिक अवस्था में है, लेकिन मैं आत्मविश्वास से कह सकता हूं कि परिस्थितियां स्वादिष्ट होंगी। इसके अलावा, एक नि: शुल्क संस्करण उपलब्ध होगा, जिसकी कार्यक्षमता वर्तमान में उपलब्ध सभी नि: शुल्क पर्यवेक्षकों को पार कर जाती है।

क्या यह सुरक्षित है?

हम आपके डेटा की सुरक्षा को बहुत गंभीरता से लेते हैं।

सबसे पहले और सबसे महत्वपूर्ण: आपको कार्यक्रमों के स्रोत कोड को सर्वर पर भेजने की आवश्यकता नहीं है। आप केवल पहले से संकलित असेंबली भेजते हैं, जिस रूप में आपके उपयोगकर्ता (और संभवतः केवल उपयोगकर्ता नहीं हैं) उन्हें देखेंगे यदि आपने सुरक्षा के मुद्दे से निपटा नहीं था और उन्हें बाधित नहीं किया था। किसी अन्य जानकारी की आवश्यकता नहीं है।
स्थगन की पूरी प्रक्रिया समर्पित सर्वरों पर की जाती है, जिसकी पहुंच हमारी टीम के कुछ लोगों तक ही होती है। बेशक, हम सॉफ़्टवेयर के नवीनतम संस्करणों का उपयोग करते हैं और नियमित अपडेट का उत्पादन करते हैं। इसके अलावा, उपयोगकर्ता के साथ बातचीत करने के लिए ऑबफ्यूजन मॉड्यूल और वेब फ्रंटेंड को शारीरिक रूप से अलग-अलग सर्वर पर रखा जाता है, जिससे सिस्टम की सुरक्षा और मापनीयता बढ़ जाती है।

हम एक कानूनी इकाई हैं, और सभी आवश्यक दस्तावेज प्रदान करने के लिए तैयार हैं, जैसे कि हमारी सेवा और एनडीए के उपयोग के लिए एक अनुबंध।

अब सेवा बीटा मोड में लॉन्च की गई है, और आप सभी कार्यक्षमता को बिल्कुल मुफ्त में परीक्षण कर सकते हैं।

.NET अनुप्रयोग के लिए क्लाउड सुरक्षा