эх жаль что eval() в AS работает не так как в JavaScript - а то можно было б целый кусок кода во флэху с сервака затягивать, а сделать защиту файла на серваке не так уж и сложно.

А вот родился еще один безумный метод в моей не самой умной голове...
Инклудить в код файл с исполняемым на сервере расширением (php, asp, aspx, html...). Флешу глубоко по барабану на это расширение, а вот просмотреть содержимое, например, php файла не так то просто. Либо он выполнится (если вдруг каким-то чубесным образом совпадут синтаксисы php и flash), либо выдаст ошибку, что в принципе равнозначно. Ни имен переменных, ни адресов никто не узнает.

если файл сможет скачать флэшка - значит разрешения на нём 644 как минимум. то есть, зная адрес, скачать его можно чем угодно. а раз уж флэшка умеет им пользовать - алгоритм шифрования добыть из неё не супер сложно.

всё,что "инклюдится" во флэшку, попадает внутрь флэшки НА ЭТАПЕ КОМПИЛЯЦИИ. то есть, в момент работы программы, этот внешний файл уже не нужен -- всё уже внутри флэшки.

Как это защитить на серваке, если его все равно надо будет к клиенту затягивать:umnik2: ?

Интересно а если swf будет компилироваться на лету, это может помочь чем то защите?

да. я даже пробовал :)
но это нужна специфическая ситуация, в которой тебе нужно сокрыть какую-то информацию, которая быстро устареет. то есть, ставка на то, что к тому времени, когда человек расковыряет свфку ему уже не нужен будет результат взлома.

тут три проблемы:
- нужна такая специфическая ситуация
- нужно придумать, как генерить свфку, чтобы её код всякий раз отличался от предыдущего
- нужно придумать, как ставить некую "случайную" защиту, чтобы её нельзя было вскрыть автоматически.

вобщем сложно это. вряд ли стоит делать это на флэше.

А в чем может быть плюс именно компиляции, ведь специфичекую информацию, которая устаревает, что-то типа ключа, можно и передавать и не компилируя заново ролик. В каких случаях, например, замена имен переменных каждый раз на новые может помочь?

ну, тут не в именах переменных дело. нужно что-то более интересное придумывать.

речь о сокрытии _алгоритма_ авторизации, а не только ключика или сессии.

То есть алгоритм должен быть каждый раз новый? :eek: Чего-то я уже запутался, совсем. Но одно ясно, то - что попадает на машину клиента, защитить от чего-то полностью невозможно! ;)

в этом и хитрость - придумать такой алгоритм, чтобы можно было видоизменять какие-то его части случайным образом.
то, что ты сказал про имена переменных - тоже вариант, правда совсем примитивный.