Kódvédelem

A kiadott programjainkat érdemes megvédeni külső behatásoktól. Ilyen külső behatás lehet például az, ha a bináris fájl tartalmát megváltoztatják, hogy kártékony kódot csempésszenek bele. Az ilyen jellegű támadások ellen megoldás lehet, ha a programjainkat digitális aláírással látjuk el. Mivel a digitális aláírás az adott program integritását is tanúsítja, ezért az aláírást követő módosítások esetén a CLR tudni fogja, hogy a programot módosították. Az integritásellenőrzésen megbukott szerelvény nem fog betöltődni a memóriába.

A digitális aláírásból két típus létezik. A "gyengébb" típus csak a fenti funkció ellátására alkalmas. Az "erősebb" típus a program készítőjét is név szerint azonosítja. Ehhez azonban egy kód aláírására kiállított digitális aláírás kell, aminek a kibocsátóját az operációs rendszer is ismeri. Ezen fajta aláírás ára kibocsátónként jelentősen eltérhet.

Védelem a módosítások ellen

Bármelyik .NET szerelvény ellátható digitális aláírással, ami lehetővé teszi a kód fordítás utáni módosításának felismerését. A megoldás könnyen aktiválható. A projekt tulajdonságaiban a Signing fülön be kell kapcsolni a "Sign the assembly" lehetőséget.

A legördülÅ‘ listából betölthetünk digitális aláírást, vagy készíthetünk újat. Új aláírás készítésekor a program fel fog dobni egy ablakot amiben megadhatjuk az aláírást tároló fájl nevét és a hozzá tartozó védelmi jelszót.¹

A digitális aláírással a szerelvény kap egy extra védelmi réteget, amit Strong Name-nek neveznek. Ha a programunk több szerelvényből áll, akkor minden szerelvényt el kell látni Strong Name-el. Ha ezt elmulasztjuk, akkor fordítási hibát kapunk. A fordítási hiba a leggyengébb láncszem-elv miatt következik be: Az egész védelem nem ér semmit alkalmazás szinten, ha egy komponems szabadon módosítható. Ezáltal az alkalmazás sértetlensége nem garantálható.

Védelem visszafejtés ellen

Egy korábbi fejezetben láthattuk, hogy a szerelvények kódjai visszafejthetőek C# programokká. Ezt a digitális aláírás sem gátolja meg. Ha ez a célunk, akkor más technológiát kell alkalmazni.

A legegyszerűbb megoldás, hogy megtiltjuk a felhasználói végszerződésben a program visszafejtését, módosítását és egyebeket. Ez egy jogi megállapodás, ami alapján ha ezt a felhasználó megsérti és ebből nekünk kárunk származik, akkor a bíróságon kérhetünk kártérítést.

Azonban ez csak akkor ér valamit, ha tudjuk, hogy ki módosította a programot, illetve a bíróságon egy ilyen ügy igen sokáig el tud húzódni és nem biztos, hogy megéri szimplán csak egy megállapodásra bízni a programunk biztonságát.

Komolyabb megoldás, ha a kódot obfuszkáljuk. Az obfuszkáció egy olyan eljárás, mely a program eredeti funkcionalitásának megőrzésével (esetleg tolerálható teljesítménycsökkenés árán) a programkódot úgy változtatja meg, hogy annak visszafejtése esetén nehéz legyen következtetni az általa leírt logikára.

.NET esetén ilyen célra a Dotfuscator alkalmazható, ami egy fizetős termék. Létezik ingyenes változata is, ami ingyenes személyes használatra. Az ingyenes változat a Visual Studio telepítőjével is telepíthető, vagy beszerezhető a https://www.preemptive.com/products/dotfuscator/downloads címről.

A program ingyenes változatának telepítése után regisztráció szükséges a használathoz, amihez az e-mail címünk kell.

Sajnos az ingyenes változat tudása kimerül abban, hogy a tárgykódban átnevezi változókat, osztályneveket és metódusokat. A teljes verzió azonban a vezérlési szerkezeteket is képes átrendezni, illetve a programba kódolt szövegek visszafejtését is megnehezíti.

Egy másik eszköz szintén ilyen célra az eazfuscator.net, ami hasonló tudással rendelkezik. A program rendelkezik egy kipróbálható próbaverzióval, ami 30 napig használható. Letölteni vagy megvásárolni a https://www.gapotchenko.com/eazfuscator.net/download címről lehet.