И снова о защите SWF

AlexeiSulga · 18.07.2008, 23:55

Приветствую всех форумчан,

Вопрос защиты swf от взлома не дает мне покоя

В голову пришла следующая идея защиты:
1. Есть swf wrapper, который должен загрузить swf main с сервака.
2. Внутри wrapper рэндомом генерируется ключ.
3. Ключ отправляется на сервер по https
4. На сервере swf байты шифруются этим ключом.
5. Main swf подгружается как ByteArray, декомпилируется ключом.

Как думаете будет работать такой вариант?

etc · 19.07.2008, 00:27

Цитата:

Сообщение от AlexeiSulga

Как думаете будет работать такой вариант?

Работать от кого?

Chas · 19.07.2008, 00:32

я возьму у себя из кеша твой враппер. Декомпилирую его. Внедрю свой код _после_ расшифровки ByteArray. Запущу свой "подмененный" враппер. Что ты еще предумаешь? Проверять длину флеш-враппера. Каким-то образом получишь md5? Какая разница, если я внедряю свой код в твой враппер и заставляю его отвечать так, как я хочу.
Много секса - а в результате защита не намного лучшая, чем если просто прогнать флешку через обфускатор "от детей".

AlexeiSulga · 19.07.2008, 00:49

Цитата:

Сообщение от __etc

Работать от кого?

От флешеров среднего уровня. Etc, реально ли взломщику как-то узнать какой ключ был сгенерирован внутри swf? Может можно проанализровать память занятую флеш плеером или отловить ключ в момент передачи по https?

Цитата:

Сообщение от Chas

я возьму у себя из кеша твой враппер. Декомпилирую его. Внедрю свой код _после_ расшифровки ByteArray. Запущу свой "подмененный" враппер. Что ты еще предумаешь? Проверять длину флеш-враппера. Каким-то образом получишь md5? Какая разница, если я внедряю свой код в твой враппер и заставляю его отвечать так, как я хочу.
Много секса - а в результате защита не намного лучшая, чем если просто прогнать флешку через обфускатор "от детей".

А если проверить на сервере с какого домена пришел запрос? Если домен не верный не отдавать main swf.

etc · 19.07.2008, 01:13

Цитата:

Сообщение от AlexeiSulga

От флешеров среднего уровня. Etc, реально ли взломщику как-то узнать какой ключ был сгенерирован внутри swf? Может можно проанализровать память занятую флеш плеером или отловить ключ в момент передачи по https?

Да хоть как, вариант, предложенный Chas-ом, вполне реален и не требует больших трудозатрат. Что конкретно вы шифровать собрались?

AlexeiSulga · 19.07.2008, 01:20

Цитата:

Сообщение от __etc

Да хоть как, вариант, предложенный Chas-ом, вполне реален и не требует больших трудозатрат. Что конкретно вы шифровать собрались?

Речь шла о защите виджета для фейсбук.
Спасибо за ответы.

etc · 19.07.2008, 01:26

Цитата:

Сообщение от AlexeiSulga

Речь шла о защите виджета для фейсбук.

Не вижу смысла тогда.

wolas · 19.07.2008, 15:42

Прошу прощения, может не туда вопрос задаю, но задался тут вопросом, возможно ли по прошествии какого-то времени, чтобы нужные SWF-файлы на сайте удалились сами, либо пришли, так скажем, в не используемый(в негодность) вид.

Реально ли такое реализовать основываясь на AS или это что-то хитрее и выходит за его рамки?

Интересует данный вопрос, как средство против неуплаты или невыполнения обязательств.

зы Как новичку, мне может ещё рановато думать об этом, но с другой стороны жалко потраченного времени в пустую.

wvxvw · 19.07.2008, 16:33

Если вы делаете флешки для своего сайта - то как бы вопрос бессмысленный, если для чужего - то, по идее, вам за них должны заплатить, так что тож... если делаете .ехе, то у MDM Zinc есть опция сделать "пробную" версию.
И вообще, письменные, нотариально заверенные договоры защищают лучше, чем любые программерские навороты =)

Chas · 19.07.2008, 16:41

Для большинства кидал простая защита (проверка по дате, привязка к домену, etc) достаточно хороша (особенно если предупредите кидалу о ее существовании). Ему будет дороже найти кого-то, чтобы ее поломать.
Для профи (которому лень работать) любая защита в коде будет по плечу. Весь код у него, он декомпилируется до байткода без проблем, можно легко вставить свой код. Се ля ви.