Если задаться целью защитить модуль конфигурации или модуль обработки от просмотра/изменений, то какова вероятность, код нетленки не вскроют?

ссылка на "Sentinel HASP: Защита 1С конфигураций"
http://www.aladdin-rd.ru/catalog/hasp/hasp_srm/1c_conf_protection.php

если нетленка представляет из себя хоть что-то, то 100%

(1) 100% что вскроют?

(2) да

(3) огорчил

" защита" через хасп - 100% развод лохов на деньги.

(5) Эмулятор — наше всё...

/если нетленка представляет из себя хоть что-то, то 100%

проблема только в этом. =)

то есть надежно защитить код от модификации нет способа?

(8) нет

тебе от модификации или чтобы не увели саму программу, ты уж определись?

(0) победных отчетов о "взломе" пока не было...

считается пока единственным невзломанным решеинем для защиты решений на 8ке

(10) конфигурацию выложить в открытый доступ, но чтобы сами пользователи модифицировать "под себя" ее не могли.

(5) угу.. если ты про хасп4 который у 1С используется это да - разводка для лохов ибо ниодна вменяемая контора хасп4 не использует - жутко устарело и ненадежно...
тока 1С почемуто (видимо политика такая - проникновение на рынок через нелицензионки)

актуальные хаспы х.й поломаешь..

(10) одно другому не мешает.. заюзает хасп СЛ и никто программу не уведет.. там защита даже от виртуалок есть :)

(14) а сколько по объему пользователю качать всяких хасп СЛ драйверов, чтобы нетленка заработала?

(15) ноль...
ты макетах 2 длльки прикрепляешь и этого достаточно.

+(16) с SL там еще вроде что то типа активации есть  с привязками к железякам например.. это отдельная тулза.. ее разово используют

(13) Поэтому можно юзать не эмулятр а патчер dll

(18) угу.. на 64битном сервере 1С заюзай патчер :) а там уже не хасп4 :)

эмулятор вчерашний день, ща модно патчить дллки и грузить винду без подписи

в паблике пока не видел не декомпилятора обфусцированного кода; ключи в этом случае только как средство лицензирования, код можно заркыть без их использования

(21) а как закрыть код без ключей?

(22) без ключей не закроешь, ключи нужны.. просто можно сделать поставку где ключи не нужны будут для использования...


кстати на ИС есть офускатор - который не закрывая модули делает их наглухо нечитаемыми...

(23)угу кортес кажется демки свои им закрыли :)

(24) им всмысле халявным обфускатором с ИС или интелисом ?

(25)халявным через capicom который))

(26) ы.. не ну а тоже вариант.. берешь модуль в 10 000 строк и фигачишь его одной строкой...

любому вменяемому человеку будет понятно что лучше купить чем это г.вно разгребать :) :) :)

+(27) когда юзал кстати эту штуку - регулярно проблемы были с капикомом.. на вин7 особенно..  особенно когда чехарда с правами у юзверей...

(26) как увидеть сие чудо?

(29) http://info___rt.ru/public/15907/

(29)http://clck.ru/EEVg

А поставка без исходных модулей уже не модно?
Нетленка с нуля писаная или доработка типовой? Если доработка, тогда что закрывать предполагается свой код или всё подряд?

(27) в 92 году на советских терминалах пропускал через подобную приблуду группы с исходниками студентов. вот веселье было :)

(32) поставка без исходных модулей ломается за 5 минут.. 3 из который поиск ломалки и регистрация на соответствующих форумах чтобы скачать ее.

так что - нет, нифига не модно...

+ если решение "серьезное" (хотя каждый автор считает свое решение серьезным) нужно не только защитить его код но и ограничить распространение..

(31) скачал. а обфусканное она не собирает обратно или это другой обрабтокой делается? :-)

Ну тут цель закрытия какая? Что бы тот кто не купил не мог пользоваться или тот, кто купил не мог просмотреть и допилить?

кстати в интелесе есть шикарная фишка.. можно на разные функци/процедуры разные режимы защиты вешать...

тупой пример: делаем платную обработку типа печатная форма какаянить сложная и хитрая...

делаем две функции.. одна формирует табличный документ и показывает его, вторая печатает... и закрываем модуль, и на вторую функцию вешаем обязательное наличие ключа...

как это будет работать - дали пользователю обработку, без ключа он может только посмотреть табличку.. а вот вывести на печать - функция потребует наличие ключика...

причем разные функции разными наборами лицензий которые в ключах сидят можно закрывать.. то есть сделать некий "продукт" а потом поставлять его разным клиентам за разные деньги с разным функционалом.... красота...

(35) досвидос.. обратно только переписать все заново :)

(36) цель как всегда одна - скрыть тупой код от насмешек.. других же целей не бывает...

(34) если защитить код, то ограничить распространение, наверное, можно в коде защищаемого блока?

(0) Волшебник в посте (1) конечно прав. Вероятность возможности вскрытия - 100%, но он не указал трудоемкость этой задачи :)

На данный момент прецендентов вскрытия нет

по поводу эмуляторов - на данный момент в сети я не нашел кто бы сделал эмулятор для ключей HASP SRM. Объявы конечно дают многие, но когда отправляешь реальный запрос - уходят в молчанку.

Таким образом WiseAdvice: Защита конфигураций 2 на данный момент обеспечивает наилучшую степень защиты и возможность лицензирования в автоматическом(!) режиме. Т.е. не надо ломать голову что-то придумывая.

Все остальное (кроме выноса алгоритмов в dll) - ломается за несколько минут.

IamAlexy, спасибо за отзывы

(40) с помощью нашего решения, ограничить распространение можно путем установки одной галочки. При этом будет доступно без изменения поставки:
- полные версии
- триальные версии
- модульное лицензирование (если части конфигурации продаются по отдельности)
- сетевые и локальные версии с учетом лицензий в тонких и веб-клиентах
- ...

(36) >> Ну тут цель закрытия какая?
тот, кто купил не мог просмотреть и допилить

(37) как раз подобный функционал приводится в нашей демке - в отчете "Матрица ролей пользователей" - отчет можно без ключа сформировать, а чтобы менять роли - надо ключ

Rebelx
А о каком, простите, решении Вы говорите и что такое "WiseAdvice"?

(40) когда обфускатором тем который с ИС будешь защищать получится что привзяать к железу или к дате - нужно будет соответственно либо явно дату указывать либо использовать способы привязки к железу через вба например или wmi  - то есть нечто что НЕ 1Совое и соответственно обфускации неподвержено..

соответственно через ctrl+f это все ищется и вымарывается из обфусцированного кода...

ну это сугубо теоретически коненчо....

(45) Интелис = WiseAdvice
у нас был ребрендинг

(47) а я как бы автор :)

(48) можно вопрос к автору? :) если задача - закрыть код, то что требуется установить пользователю, чтобы он мог работать? Dll-ки едут в макетах, это я понимаю.

(43) Завидую тебе прям чорной, чорной завистью.
Умеешь значит писать без ашипок. Ну я бы всё равно на месте клиента подстраховался бы... и не купил бы.

(50) а я не продавать собираюсь. но за "допиливанием" под конкреные нужды чтобы ко мне обращались.

(51) Вообще разные методики защиты конфигураций 1С я описал на своем сайте: http://www.1c-zk2.ru/articles

(50) да фигня это.. 90% пользователям.. не 1Сникам и аименно пользователям вообще однох.йственно что там открыто или закрыто внутри.. им нужно чтобы работало...

ты как автомеханник можешь распинаться на тему "с автоматом никогда машину не куплю, лучше перестраховаться, если что ручку сам поченю" а водители, которым нужно по городу ездить все равно купят машину с автоматической коробкой ибо для них главное чтобы было удобно и чтобы авто ездило.. а если проблемы какие - он в сервисный центр по гарантии обратятся...

(27) а модуль из 10000 строк вытягивать в одну строку не имеет особого смысла - назначаем пароль, пропускаем через декомпилятор, и получаем идеально отформатированный текст :)

(50)надо писать уникальные решения, тогда купят в любом виде :)

(54) не ну это понятно.. до этого еще додуматься надо..
егож если не выгрузить он там и порежется неплохо так...

Rebelx, а для решения моей цели подойдет "«Стартовый комплект для защиты 1С конфигураций» за 2800? На вашем сайте дешевле 10.000 ничего не заметил )

а как запросы обфусифицируются?

58) ьтарбыв есв

(57) нет, не пойдет. Где Вы такую цену увидели? Это ошибка, если реально так написано. Если смореть прайс Аладдина, то надо смотреть четвертый лист экселя.

(59)точно?
я в отладчике текст смогу посмотреть
и скуль "раскурить"

(61) шутка

(60) да, верно, открыл четвертый лист - от 10.000руб до 100.000руб. А какое из этих решений подходит для моей цели?

(58) в нашем решении тексты запросов шифруются. в остльных решениях для обфускации исходных текстов, на сколько мне известно никак не защищаются

(61) Вы говорите про WiseAdvice: Защита конфигураций 2, или про что-то другое? В нашем решении отладка защищенных модулей вообще невозможна. А скуль "раскурить" конечно можно. Но гоооораздо дешевле купить лицензию на конфигурацию :)

(62) В состав любого из пунктов входит наше решение и набор ключей HASP. Какие именно ключи Вам нужны, я не знаю. Опишите Вашу политику лицензирования, и тогда я смогу подсказать, что именно необходимо именно Вам. Можно в привате. Мои контакты есть на сайте www.1c-zk2.ru

(64) политика лицензирования - конфигурация распространяется бесплатно, без ограничений, но с закрытым кодом.

(63)>тексты запросов шифруются

я в отладчике текст смогу посмотреть
и скуль "раскурить"

и часто бывает что запрос составляет "большую ценность"
тогда значит в этом случае защита не работает?

(66) ты в отладчике точку останова непоставишь.. там поставка без исходных текстов...

куда ты точку поставишь свою?

(49) в свете (64) - ничего не надо, даже dll в макетах.
(64) Вам стартовый комплект не надо. нужны позиции прайса (по одной штуке):
страница 1:
"HASP HL Pro 336 байт памяти, уникальный ID-номер."
"Sentinel HASP Master Key"
страница 4:
"Интелис: Защита Конфигураций"

(66) В нашем решении отладка модулей невозможна. Таким образом, тексты запросов посмотреть не получится.

+(68) этого же набора будеть достаточно, чтобы распространять триальные версии, с програмным ключом.

(67)исходный текст восстанавливается
(69)почему невозможна, вы патчите исполняемые модули 1c?

Единственный плюс 1С-открытость кода. Отказываясь от этого, автор нетленки отказывается от грамотной половины закачиков и будет продавать закрытое ПО только дурачкам.

До тех пор, пока кто-нибудь толковый не перепишет закрытые модули и назовёт это своей разработкой.

(67)
В bsl.dll :)

(71) исходный текст модуля защищенного "WiseAdvice: Защита конфигураций 2" восстанавливается? Каким образом? Не путайте защиту этим продуктом и поставку без исходных кодов - две большие разницы. Пока что см. (11)

(72) ценность многих решений не в открытом коде а в их поддержке и развитии...

автору разработки будет весьма неинтересно поддерживать и развивать решение которое 80% пользователей пользуют нахаляву...

(72) хозяин - барин, хочет - закрывает, хочет - даром раздает.  Если он убил кучу времени на разработку - он может рассчитывать на вознаграждение? А умные клиенты, понимая, что поддержка и развитие продукта важнее разовой выгоды купят, не заморачиваясь, закрыта она или нет.

(76)умные клиенты понимают что подсаживаются на иглу

(74)вот я и пытаюсь понять как построена ваша защита, не со злым умыслом

т.е. получается что при использовании вашей защиты внешняя обработка как файл на диске не существует?

(77) ладно, уговорил. Отсылай всех глупых клиентов ко мне, а я буду к тебе направлять всех умных.

(77) Я им это говорю прямым текстом (про иглу). Пока не отказывались. А если кто откажется - счастья ему с другими специалистами.

(79)(80)я как ИТ специалист часто выступаю со стороны клиента и все прелести закрытости хорошо понимаю

но мне тема интересна не этим

ув. Rebelx можете в двух словах рассказать про основы защиты "WiseAdvice: Защита конфигураций 2" или дайте ссылок почитать

(78)(81)умысел тут уже не важен

Внешние обработки, файлы, перехват обращений к диску - это уровень СЗК и ИЗК1, это устарело и не надежно.

принцип реализации защиты в WA:ЗК2 я описал тут: http://www.1c-zk2.ru/tech-info
все возможные способы защиты я описал тут: http://www.1c-zk2.ru/articles/i-esee-neskolko-slov-o-zasite-razrabotok

(82)т.е получается обфускация, шифрование текстов запроса и поставка без исх. текста?

(83) обфускация п-кода модулей (защита от декомпилятора), шифрование всех строк, поставка без исходных кодов, привязка к ключу

(81) а теперь попробуй вспомнить - сколько раз тебе ДЕЙСТВИТЕЛЬНО нужно было залезть в исходный код ПО.  Вот опенофис открытый. - сколько раз ты вы его исходники лазил?
А в исходники закрытого мсофиса как часто тебе нужно было залезть?

А для пользователей нетленка на 1С это чтото типа офиса. Им - плевать на закрытость кода. Так же как тебе плевать на то что у тебя нет доступа к двигателю самолета на котором ты в отпуск летишь например.

(85)я не программирую на МСОфисе и на ОперОфисе, а вот проф. программерского стаже по 1С у мя уже десять лет, и код УПП я излазил чуть более чем полностью  )

сейчас вот в данный момент поднимаю в одной конторе ЗУП, всё просто, из упр. проги переношу данные, и таки да я смотрю код ЗУПа

(84)привязка к ключу она опциональная? т.е я могу ключ не ставить?

(85) это разные классы приложений. В силу объективной реальности бизнес приложения подвержены значительно большей вероятности изменений чем обычный софт

(1),(5) +100500
любое тиражное решение обречено на взлом защиты, если оно имеет какую-то практическую ценность. просто потому, что "тиражное" = "подходит для всех одинаково". Вот если сделать решение, которое перед продажей необходимо будет затачивать под конкретного покупателя, то во взломе смысла не будет. Но это порождает отдельный геморрой + хрен вам, а не статус тиражного решения.

(85) если бы качество и работоспособность закрытого кода партнерских отраслевых решений было хотя бы на 50% таким же, как у опенофиса, тогда бы твой аргумент был бы адекватным. А так - по скольку чаще всего отраслевые сделаны из тормозного и глючного говна, засунутого в dll, для них открытость кода, который в случае чего можно починить, - это серьезный плюс.

(87) да, опциональна.
(88) очень часто в силу объективной реальности знаний среднестатистического админа-рукосуя не достаточно для адекватной модификаций бизнес-приложений.
(5) это что-то из области "все дебилы, один я красавчег" - ноль аргументов
(89)это безусловно. все решается соотношением цены продукта и цены взлома. однако смею уверить, что в случае с WA:ЗК2 проще переписать защищенный функционал заново, чем восстановить исходный код.
(90)да, к сожалению такая беда имеет место быть, когда создаются не качественные решения. Каюсь, и я такое создал (много лет назад, когда я в глаза не видел до этого 1С, меня посадили писать с нуля отраслевую конфу)

(91)т.е. если у меня есть внешний отчет сделанный на СКД, то WA:ЗК2 не вариант (

(82)
Поясни пару моментов:
1. рассуждая логически, так как защита навесная, и никакой логики из 1С ни в какие дллки не выносится, смею предположить, что проверка ключа осуществляется из п-кода 1С, вызовом методов ВК. Что мешает тупо занопать эти вызовы?
Есть ли средства контроля модифицированности кода?
2. Дешифрация строк при исполнении - как сказывается на производительности?
3. Как отработает Выполнить(КодЯзыкаСЛокальнымиПеременными) ?
4. Гипотетическая ситуация - 1С в будущих релизах меняет исполняющую машину, обеспечивая обратную совместимость модулей без исходных текстов путем конвертации, которая возможна за счет того, что как раз "определенные конструкции языка генерируют определенные последовательности команд п-кода" (то есть тупо декомпилирует и компилит по новой. Куда пойдет клиент для перехода на новую платформу?

(93) Можно ведь не просто проверять наличие ключа, а в ключе хранить ключ для расшифровки например. Или кусок кода.

(94)>хранить ... кусок кода

а сколько кода ты туда запишешь? и
а что уже есть такие ключи?

1) почти ничего не мешает :), но только ключ проверяется не на есть/нет, а используется его криптопроцессор, т.е. без ключа часть данных не может быть восстановлена. при этом не стоит забывать, что модуль был подвержен модификации и линейное выполнение п-кода сильно нарушено :) и разобраться вручную в нем ооооочень проблемно (можете поверить, я создал работающий декомпилятор задолго до того как они появились в сети)

2) в среднем на обращение к ключу тратится 0,05сек для ключей HASP и 0,15с для ключей GUARDANT

3) никак. такие конструкции запрещены в защищаемом модуле (проверяется при установке защиты)

4) сильно гипотетическая ситуация, с учетом того, что исполняющая машина почти не изменилась по сравнению с 7.7

(94) не надо ничего в ключе хранить - в нем есть криптопроцессор, он сам расшифровывает

(94)
Кусок кода в ключе хранить?
Самомодифицирующийся пкод в 1С - это уже нечто запредельное.
Если только например шифрованные строки посылать в ключ для расшифровки - так что мешает все эти строки после расшифровки выдернуть ?

(95) В принципе это возможно. И кусок кода может быть достаточно большим. Но есть проблема - из ключа не получиться обратиться к внешним по отношению к ключу ресурсам, в т.ч. недоступны сеть, COM/OLE, ..., т.е. программа в ключе может выполнять только вычислительные задачи на основании переданных данных. Но в принципе может генерировать тексты запросов, хоть и не сможет их выполнить

(98)выдернуть расшифрованные строки мешает сложность декомпиляции - скорее всего стоимость выдергивания будет не меньше покупки лицензионного решения

(96)
Именно, что не изменилась - цикл по считыванию, потом по коду операции переход к функции-обработчику через индекс в массиве указателей. Так что для снятия данных, восстанавливаемых с помощью ключа, ничто не мешает в bsl.dll поставить бряк в цикле обработки пкода и снимать результаты с 1Сного стека. Но конечно, это уже немного другой уровень знаний/умений/навыков.

Вот кстати да. Хороший вопрос. Если я смотрю на экран и вижу форму обработки например, которая была зашифрована, значит этот код уже успешно расшифрован и скормлен одинэсу. Иначе одинэс его бы просто не поняла. А значит где то в памяти это уже есть в незашифрованном виде. Для семёрки есть приблуда, что бы из памяти код вытаскивать. Помню был случай, кто то запустил обработку в предприятии и то ли стер то ли испортил её. Пожаловался на форуме и эту утилитку за несколько минут написали :-)

(100) "немного другой уровень" - это мягко сказано :))
это даже не мой уровень, хотя отлачиком я пользоваться несколько умею
(101) так код и не шифровался. он есть, доступен, бери да смотри - только ни поймешь ничего

(99)
Опять соревнование брони и снаряда :)
Да, твоя защита парит статический декомпилятор.
Во "взрослых" языках в этом случае на сцену выходят отладчики :)
Кто-нить напишет простой трэйсер выполнения кода, который будет вываливать в файл результаты работы и по две переменные с верхушки стека...
(101)
Не, там глубжее...
Код там расшифрован, но это не тот код, который ты видишь в редакторе.
Там так называемый p-Код машины выполнения 1С. Существуют декомпиляторы, которые могут по п-коду восстановить исходный код. А в этой разработке запутывается уже сам п-код, так, что существующие декомпиляторы не могут сообразить, каков был исходный код.

А какой смысл спорить о надежности сабжа, если ничего лучше все-равно нет?

(104) Обеденный перерыв.

(101)
Да, вот кстати та история с отчетом...
http://www.abelov.com/forum/f.php?ac=ar&ak=20735

(103) а что даст трейсер? (кстати, когда его напишешь? больше некому:)) получишь зашифрованные данные, вставишь их в код (кстати, если ключа нет, то данные не получишь - а ломать купленное - зачем платить дважды?), отучишь от ключа (и все это в ручном режиме!), а через неделю получишь обновление...
ИМХО в этом случае броня победит :)

(107)
Писать трэйсер - боже упаси, на свои идеи времени не хватает, чтобы еще чужие ломать :).
Кстати, за АЛьФ'ом приглядывай, он и не такое еще умеет :)
Но чисто гипотетически, трейсер даст уже расшифрованные данные, скидывая после выполнения каждой  команды пкода результат ее выполнения. Но таки да, без ключа фиг что получишь.

(107) Далеко не всегда от разработчика можно добиться исправления ошибок в приемлемые сроки. Ели конфа критична для предприятия, то возможно имеет смысл её ломануть, что бы её мог сопровождать и собственный штат одинэсников.

(109) да, такое тоже бывает. было дело, ко мне обратились СЗК сломать на конфе, потому что конторы которая ее создала уже не существует. Помог не за дорого :)

(109) а с другой стороны, может производитель как раз не хочет, чтобы конфу обслуживал собственный штат одинесников - тогда же бабос мимо пролетает.
И тогда на помощь приходит WA: ЗК2!!! ;)

Каждый сам выбирает на какой игле ему сидеть. Кто то содержит штат разработчиков и пишет свою нетленку. Кто то подсаживается наиглу чужого закрытого решения. Истории успеха есть и там и там, равно  как и слезливые сказки пр о плохих программистов.

Апну.
Раз в ветке присутствует создатель защиты, то вопросы, пожалуй, больше к нему.

Попрошу автора разъяснить пункт (68)

>> политика лицензирования - конфигурация распространяется бесплатно, без ограничений, но с закрытым кодом

Ответ:
"[в свете этой политики лицензирования]... ничего не надо, даже dll в макетах


А как же тогда работает защита???

+ (113) Автор защиты пишет [Для закрытия модулей нужно]:

"Нужны позиции прайса (по одной штуке):
страница 1:
"HASP HL Pro 336 байт памяти, уникальный ID-номер."
"Sentinel HASP Master Key"
страница 4:
"Интелис: Защита Конфигураций""

Если в поставляемой конфигурации нет dll, то зачем нужно купить эти три программы?

+ (114) ~ 13.000 руб.

(0) а просто убрать из поставки программный код стандартными средствами в базовых модулях? Никто не будет париться. Не переживайте что кто-то будет крякать. Замучаешься крякать.

(116) стандартная защита всех модулей конфигурации ломается обработкой 1С (!)  за 2-3секунды.

(113) устанавливается только защита от декомпиляции, как то требуется по условиям задачи.
(114) страница 4:
"Интелис: Защита Конфигураций""
не работает (не может установить защиту) без
страница 1:
"HASP HL Pro 336 байт памяти, уникальный ID-номер."
который в свою очередь не может быть приобретен, если у Вас нет
страница 1:
"Sentinel HASP Master Key"

+(118) а если не покупать программы (114), тогда см. (117)