软件授权与加密技术简单原理

2019-11-05

  当前趋势下,互联网公司一般对外提供服务,而非直接出售软件,所以,大家不怎么关心软件授权、加密。但是,一些工业的软件拥有很核心的算法及技术专利。对外发布时,需要保护好程序。一般有如下要求:
  不能让未被授权的第三方未经授权而使用程序。
  不能让他人反编译程序,重现代码,推算出算法。

对于第一个需求,就是需要实现授权。简单的授权方式有:
1,license文件
2,USB加密狗
3,网络授权

  license文件授权是使用方式最广的方式。成本最低,且使用限制条件较少,软件甚至不需要联网检查。license文件的方式,被一些日常工具类型的软件所采用。这些软件本身售价不高,采用license文件是成本最低的方式。激活码只有短短几十个字符,我们也可以认为那是license文件的方式。 把这些字符放到指定的文件内不就是license文件嘛!license授权的原理也很简单,给入一些数据,只有厂商知道哪些数据是符合的,哪些是不符合的。
  如果license很容易被破解,那么就可以伪造license文件了。若二进制代码中只有一个点检查license,那很容易就被跳过。即使检查点很多,全都调用同一个license检查函数,这个函数的二进制代码很容易被篡改。这就导致license文件的方式最容易crack。我们需要很高的代码混淆技术,让cracker无法找到授权检查的代码,无法找到所有的检查调用点,这样,总有地方会触发授权失败,程序退出。
  USB加密狗是更加严格的授权方式。花费也非常高昂,一个USB加密狗硬件价格一般几十甚至一两百,外加算法套件或者服务费用。很多软件的价格都没有这么贵。这种方式一般适合价格昂贵的软硬件系统。这样的系统中软件一般专机运行,甚至有专人负责软件使用。原理:软件代码中有授权算法厂商lib代码,其会查询机器的usb设备,授权lib会与USB进行通信,由USB内芯片告知是否通过授权。USB加密狗的方式,是最安全的方式,最不易被破解的。
  随着人们越来越重视软件安全性与授权,可以预见USB加密狗加密软件在工业上越来越常见。USB加密狗为代表的硬件加密锁,已经有不少企业在做解决方案。成本也会越来越低的。
  网络授权分为两类:局域网授权;广域网授权。但是,本质上是一样的。就是程序向远程的服务器查询,看看自己的机器是否被授权。授权lib会给当前PC设备生成一个ID,利用网卡MAC、CPU、GPU等等硬件附带的信息来生成此ID。一般很难伪造ID。也因此,这些PC上的硬件可能无法随意更换,否则会导致新的ID,PC无法通过授权。把ID提交给授权服务器并记录,这样,就能够对一个PC做授权了。
  当向一个组织出售软件,数量稍大,且软件所在网络架构易变,或者软件可能随时在不同的机器上安装使用,license软件或者USB加密狗的方式都不适合了。而且,采取网络授权的方式进行大批量授权的公司,一般也很大,不敢公然破解程序,收到律师函可不是闹着玩儿的。
  软件开发者使用到的一些工具,如Jetbrains系列,设计人员需要用到Autodesk公司的产品,基本上使用账户购买的方式来授权。这些软件会定时要求联网到软件厂商的授权服务器。若检查失败,或者一个账号多人使用,很容易就会导致授权失败,程序不可用。
  对于第二个需求,为了增加软件被反编译的难度,我们可以采用代码混淆技术。这里也有两个层次的混淆技术:源代码、二进制。像JS、VB这样语言写的程序,需要对写出来的源代码做混淆技术。对于Java、Python等半编译半解释语言,其bytecode是很容易被反编译到源代码的,所以,混淆技术可能作用就不那么大了。对于C/C++写的程序,反编译到源语言是极其困难的,但是,对于简单的模块还是能够反编译到C的,也可读,即使反汇编到汇编语言,也是能够大概了解算法的。对于算法模块而言,这已经相当致命了。所以,需要对二进制做混淆,让反汇编出来的结果基本不可读,增加反编译的难度。
  当使用clang/LLVM编译C/C++时,还有专门的混淆工具Obfuscator-llvm。
  除了代码混淆,我们还需要防止软件被debug。若获知软件的运行流程,cracker会更容易获知软件信息。一般,加密与授权的算法lib 一般会使用一些技术防止进程被debug。例如safenet lib检测到有debugger附加到进程,就会让程序崩溃。
  不管是源代码混淆,还是二进制混淆,混淆工具都可能会出错,会导致测试小组增加工作量。且加密后的软件,很难再通过debugger工具来排查错误,只能借助log、审查代码来解决问题。简直要了命了。有些软件,处于不同授权层次时,会展现出不同的UI以及交互流程。这对于开发团队来讲,提出了额外的要求。需要在架构上对于此需求做准备。

 

 

如果有任何意见,欢迎留言讨论。


[ 主页 ]
COMMENTS
POST A COMMENT

(optional)



(optional)