Kopierschutz einer Anwendung

[MaBuSE]

Zuerst möchte ich mich bei Sven für das päckchen bedanken:

Zitat:

Danke

Zitat:

Zitat von OldGrumpy

Heute kam mein kostenloses Mini-Demo-Kit, als Einwurf-Einschreiben. Kleiner Luftpolsterumschlag, darin eine absolut schnuckelige Mini-Amaray (ich weiss nicht wie ich das Ding sonst bezeichnen soll, wo kann man sowas kaufen? *g*) mit einer 3"-CDR (obenauf hochwertiger Aufdruck sowie handschriftlich Datum und API-Version - vorbildlich!) sowie ein sehr handlicher USB-Dongle. Der USB-Dongle ist sogar mit einem kleinen Stück Klebepad sicher in der Verpackung befestigt. Der Dongle hat ein semitransparentes dunkelblaues Gehäuse, und sogar eine Öse mit der er an den Schlüsselbund oder ähnliches passt. Mein erster Eindruck zum Gesamterscheinungsbild: Sehr sehr ordentlich :)

Selbiges lag gestern auch in meinem Briefkasten.
Jetzt weis ich auch was Du unter Mini Amaray verstehst.
Sieht aus die ein DVD Tray, ist nur viel kleiner (da nur 3" CDR)

Das ganze sieht sehr proffessionell aus.

Ich werde mit das auch genauer anschauen und hier darüber berichten.
(Aber erst im nächsten Jahr ;-))

@Brechi: Es lag keine Rechnung bei. ;-)

[franktron]

Also wir haben unseren Kopierschutz noch nicht so hart aber das ahcken einen Dongels ist wirklicht nicht so schwer.

Aber das ist sowieso egal weil ich nie eine solche Software Kaufen würde da Dongles immer noch Probleme machen können unda was M$ da so ausfrist weis keiner und somit ist nicht 100% sichergestellt das die Software auch auf z.b. Vista läuft.

Was ist wenn der Dongles Hersteller nicht mehr da ist (Pleite) was dann.

was man natürlich machen kann ist eine Verschlüsselung der Daten oder Teile der Exe mit dem Dongle um zu verhindern das mann die Exe einfach Patchen tut.

Was etwas schwerer wird ist echt eine Zertifizierung mit einem Server (Inet) was aber zu Problemen führ wenn die Inet Verbindung nicht da ist, aber mann muss ja nicht bei jedem Start prüfen.

Ums kurz zu machen es gibt keine 100% Sicheren Kopierschutz.

[uwi1961]

Zitat:

Selbiges lag gestern auch in meinem Briefkasten.
...
Das ganze sieht sehr proffessionell aus.
...
Ich werde mit das auch genauer anschauen und hier darüber berichten.

Vielen Dank :thumb: auch von mir an Sven...
Bin dabei mir das genauer anzusehen,
werd mich auch im neuen Jahr dazu auslassen - aber der erste Blick :thumb:

Gruß Uwe.

[sgoers]

Hallo,

... kam von Herzen (das Fest der Liebe steht ja auch vor der Tür ;-)).

Ich möchte nocheinmal eine paar Einwürfe betreffend USB-Dongle, die gemacht wurden, aufgreifen.

Sicherheit:
In einer nicht speichergesicherten Umgebung, wie dem PC, ist es unmöglich einen absolut sicheren Softwareschutz (egal ob reine Software oder mit Hardware, wie USB-Key ) zu konstruieren. Solange die auf Maschinenbefehl-Ebene getraced und gepatched werden kann, geht es nur darum das Hacken besonderes schwer zu machen.

Trotz, dass wir einige besondere Sicherheits-Features eingebaut haben ( API-Authentifizierung, Challenge-Response-Authentifizierung mit 128-Bit-Verschlüsselung, volle Dongle-Speicherverschlüsselung, Datensignierung im Dongle-Speicher, etc.), ist vielen unserer Kunden das garnicht so wichtig, denn in vielen Marktbereichen herrschen nicht die Verhältnisse, wie z.B. bei Computerspielen vor. Den geht es darum, dass in den Büros ihrer Anwender nicht 'mal eben die 5-fache Anzahl von Installationen mit dem Vorsatz vorgenommen wird, "nächste Woche kaufen wir dann die Lizenzen" - was aber 3 Tage später schon vergessen ist. Die kriminelle Energie ist dort nicht mit der im Computerspielemarkt zu vergleichen. Es gibt auch Kunden, die Probleme mit dem Fernabsatzgesetz über Dongle lösen. Die bekamen größere Zahlen geöffnete CDROMs (von dreist aufgerissen bis geschickt wieder verschlossen) mit dem Verlangen zurück, das gezahlte Geld zurückzuüberweisen. Jetzt entscheidet, ob der Dongle mit zurückgeschickt wurde oder nicht. Das war dann manchmal reine Notwehr und ein Gesundbrunnen für den Umsatz ..


Problemlosigkeit:
Das ist ein Punkt, den ich nicht vernachlässigen würde. Die hier genannten Punkte, dass sich ehrliche Anwender mit komplizierten Lösungen, die dann auch nicht immer zuverlässig arbeiten, gibt es tatsächlich immernoch und sind für Software-Nutzer als auch Software-Hersteller ein echtes Ärgernis. Leider hat sich beim Wechsel von LPT auf USB die Hoffnung nicht voll erfüllt, dass nur alles einfacher wird. So gibt es noch Produkte, die Probleme mit Treibern und Interferenzen mit anderen Produkten aufweisen. Da hätte ich auch keinen Spass 'dran.

Wir haben unser Produkt dahingehend optimiert, dass keine Treiberinstallation unter den gängigen Windows-Systemen notwendig ist. Nicht nur die kleinen Kunden auch die großen Kunden mit erheblichen Stückzahlen haben überhaupt keinen Support-Bedarf jenseits von Fragen hinsichtlich der Einbindung in ihr Programm. Die melden sich nur zum Nachbestellen. So hat mir vor kurzem ein neuer Kunde, der jahrelang bei einem der ganz großen gekauft hat und genervt war, dass ca. jeder 100-ste Kunde Probleme hatte, die stundenlangen Support in anspruchnahmen, dass der Wechsel ein "Glücksgriff" (Zitat) war (Es steht natürlich jedem frei den letzten Abschnitt zu glauben oder nicht, da es auch als "Selbstbeweihräucherung" angesehen werden kann).

So stellt sich aus unserer Sicht die Frage ist ein Dongle gut oder nicht?


Beste Grüße
Sven

[OldGrumpy]

Sagen wir mal, er ist eine Krücke, aber das beste was unter den gegebenen Randbedingungen machbar ist. Ein moralisches Problem lässt sich halt nicht wirklich technisch lösen :)

[CG2003]

So, ich hab' mir dann auch mal ein SG-Lock Demo-Kit bestellt.
Mal schauen, wie's so ist.

Ich werde dann berichten.

[sgoers]

Hallo,

die Nachfrage war rege und so ist der Stapel an kostenlosen Demo Kits jetzt leider weg ...
D.h. ab jetzt ist Angebot nicht mehr zu haben.

Besten Dank für das Interesse und viel Erfolg damit!

Beste Grüße
Sven

[OldGrumpy]

Wir haben zu danken für die kostenlose Bereitstellung! :)

[Kirchi]

Eine Frage,

wenn jeder zu seinem Programm USB-Dongles als Kopierschutz hinzufügt, braucht doch der Kunde irgendwann einen 100fach USB-Hub. Will man so was dem Kunden zumuten? :gruebel:

Grüße

[r_amse_s]

kennt jemand einen dongle mit grossen speicher (128MB-1GB) sprich USB stick mit dongle funktion ?

es wäre sehr praktisch für mobile tools, die keine installation benötigen und in viele pc'(meistens laptops) laufen soll nach dem motto:

- stick rein
- tool autostart mit autorun.ini
- authentisieren der lizenz dank der dongle funktion (seriennr, usw)
- tool verwenden
- stick raus
- tool automatisch beenden

[OldGrumpy]

Die U3 Specs sehen sowas in der Art vor, allerdings hab ich jetzt so ad hoc keinen entsprechenden Stick zur Hand. Google sollte da aber weiterhelfen können.

[r_amse_s]

habe schon gegoogelt, leider nichts gefunden...
alle haben nur ein paar bytes zum speichern von keys usw.

aber sowas wäre ideal wenn mit dem tool auch dateien auf dem zielrechner erzeugt wurden, und dann mit dem stick transportiert werden...

wäre nett wenn jemand einen konkräten hinweiss liefern könnte !

thx!

[OldGrumpy]

Wie wärs denn auf dem Stick einen verschluesselten Container zu erzeugen? Dann reichen ein paar Bytes Speicher für einen Key ja aus :) Dafür ließe sich zum Beispiel TrueCrypt benutzen...

[Olli]

Zitat:

Zitat von Martin W

Zitat:

Wenn die Software auf einer virtuellen Maschine installiert wird, kann man diese dann auf mehrere Arbeitsplätze kopieren und das Programm kriegt es nicht mit.

OK, das ist nicht ganz einfach zu lösen...

Auch nur wenn es die gleiche CPU ist. Denn ansonsten unterscheidet sich die CPU, die ja quasi durchgeschleift wird. Und das ist eines der Merkmale die von der XP-Aktivierung benutzt werden.

Zur VMWare-Erkennung sage ich jetzt mal nix. Das Ding wird dann bequem per Loader ausgeschalten und gut ist. Ist nichtmal für Scriptkiddies ne anspruchsvolle Übung.

Wie willst du das Patchen ausschließen? In der Lizenz? Da wird jemand der es "illegal" nutzen will sicher drauf achten. :lol:

@ErazerZ: Was zum Lesen!

[r_amse_s]

@ OldGrumpy
das verschlüsseln an sich ist nicht das problem, sondern das binden des tools an das usb stick.
das tool soll auf jeden pc laufen, wo das stick angesteckt wird, jedoch wenn das tool auf ein anderes usb stick kopiert wird, soll die ausführung unterbunden sein...

[r_amse_s]

...und wie soll ich die ganze truecrypt funktionalität in delphi code implementieren ?
habe leider keine api's oder sowas in der richtung gefunden...man braucht immer die truecrypt app um einen container zu erstellen.

und vor allem: es soll so gut wie nix auf dem ziel host (pc wo das stick angesteckt ist) installiert werden: treiber, registry keys, usw.(natürlich die installation des sticks soll normal ablaufen), ausser es muss unbedingt sein.

[BUG]

Zu den Dongles,
ich habe grade in der c´t ein Angebot für ein kostenlose Demo-Kit von WIBU gefunden: http://wibu.de/sdk.php ... falls es jemand interessieren sollte.

Gruß,
Bug

[Phoenix]

Zitat:

Zitat von OldGrumpy

Die U3 Specs sehen sowas in der Art vor, allerdings hab ich jetzt so ad hoc keinen entsprechenden Stick zur Hand. Google sollte da aber weiterhelfen können.

Ich habe einen U3 Stick und der kann eigentlich genau das. Die Software ist auf einem (verschlüsselten) USB-Stick installiert. Der Stick wird eingesteckt, der Benutzer gibt sein passwort ein, das U3 Menü erscheint im Tray und darüber lässt sich dann alles auf dem Stick machen.

Nachteil: Für den U3 Autostart (das Ding installiert sich als CD-Rom Laufwerk (für Autostart) und als Wechselmedium, aber nicht als normaler USB-Stick) muss einmalig ein kleiner Treiber auf dem System installiert werden - und der benötigt Adminrechte.

[r_amse_s]

@bug ja genau sowas habe ich gesucht, nur die preise sind für kleine (relativ günstige tools) anwendungen unbezahlbar...leider

@phönix, OldGrumpy: könntet ihr mehr infos, bzw. link zur U3 stick posten ? thx

ahhh... U3 ist ja ein standard :wall: ...werde mir genauer anschauen

danke!

[Phoenix]

U3.com ist ein guter Anlaufpunkt :)

Edit Nachtrag: Mein 2GB- U3-Stick (ist ein Kingston U3 DataTraveller) hat übrigens 38 € gekostet. Kleinere Sticks sollten von daher schon deutlichst billiger daherkommen und somit auch als 'Dongel-Ersatz' bzw. eben direkt als Auslieferungsmedium dienen können.

[Mastersurfer84]

Hallo zusammen,

dieses Thema bezüglich Kopierschutz kann man überall lesen und nirgends eine 100%-Lösung finden.
Für meine Anwendung hab ich mir auch viele Gedanken dazu gemacht und mich mich auf folgendes beschränkt:

1. Der Kunde bekommt Lizenz-Datei mit verschlüsselten Angaben, wieviele Lizenzen, Name des Lizenznehmers, etc.
2. Außerdem bekommt er einen Lizenzkey ("nur" 15 Stellen).
3. Er gibt beides an. Mit Hilfe des Lizenzkeys wird die Lizenzdatei auf Manipulationen überprüft. Beides speichert das Programm an einer schwer auffindbaren Stelle.
5. Bei jedem Programmstart wird diese Lizenz an der Stelle geprüft und der Name des Lizenznehmers ausgelesen. Der erscheint dann auf allen Ausdrucken und sonst an allen Stellen wo man ihn, ohne dass er stört, unterbringen kann.

Somit finde ich ist sichergestellt, wenn ein Unternehmen den Key eines anderen klaut steht auf allen Ausdrucken der falsche Firmenname drauf. Und aufgrund der Ausdrucke ist das nicht lustig wenn der Chef plötzlich seine Mitarbeiter frägt, warum da statt Firma A die Firma B draufsteht.

Ist nicht so aufwending mit bestehender Internetverbindung, Dongle, etc. Aber trotzdem irgendwie gemein, da du es nicht ändern kannst.

Was haltet Ihr davon?

grüße

[Phoenix]

Zitat:

Zitat von Mastersurfer84

Aber trotzdem irgendwie gemein, da du es nicht ändern kannst.

Dass man es nicht ändern kann halte ich für ein Gerücht ;-)

Aber darum dreht sich dieser Thread ja auch. Ein Angreifer kann Deine .exe so patchen, dass sie a) keine Lizenzdatei mehr braucht und b) jeden beliebigen Namen anzeigt. Wahrscheinlich ist das Ding sogar nur eine globale Variable bzw. ein Property auf einer zentralen Klasse das von überall angezogen wird.

[Mastersurfer84]

Hi,

da man eh alles Patchen kann muss ich es dem Kunden aber auch nicht zu kompliziert machen, das sorgt sonst nur für Frust unter den Benutzern. Bei der Zielgruppe meines Programmes weiß wahrscheinlich eh niemand was patchen bedeutet, geschweige wie es geht!

Wenn ich die Lizenzinfos von Zeit zu Zeit (nicht per Timer, aber bei bestimmten Aktionen) erneut einlese, und die Variable vom dem frisch gelesenen abweicht, dann meckerts Programm. Das sollte noch eine Hürde mehr zu nehmen sein. Was aber nicht heißen soll dass nicht auch die zu nehmen ist! ;-)

Oder was gibts sonst für eine praktikable Möglichkeit das Benutzen der Lizenzinfo ohne forlaufendes Einlesen abzusichern? Den Wert im RAM (Variable) zu verschlüsseln? Hashes in einer anderen Variable ablegen?

Grüße

[torud]

Also ich kann/muss Phoenix hier zustimmen, denn ich habe selbst mit eigens generierten Lizenzdateien gearbeitet und war mir sicher, dass das Tool, wenn denn diese Datei nicht auffindbar ist im Demo-Mode startet und dann eben nicht ALLE Funktionen zur Verfügung stellt.

Nachdem mir ein Kollege mal nen Link einer Hackerseite geschickt hat, habe ich dort mal spasses halber den Namen meines Tools eingegeben und siehe da, es hatte sie jemand die Mühe gemacht ein Tool, das gerade mal 7,50 Euro kostet, zu hacken.

Nach Ausführen einer speziellen exe wurde meine Exe entsprechend angepasst und auch in all meinen Dialogen, wo ich dem Kunden zeigen wollte, auf wen die Lizenz ausgestellt wurde, stand entweder nix, oder ich konnte lesen, von wem das Tool gehackt wurde. Sehr nett, aber ich denke, dass uns das wieder an den Punkt führt wo man feststellt, dass es keinen 100%igen Schutz geben kann.

Ich habe es für mich jetzt so gelöst, dass ich es etwas erschwert habe und die Kunden, die es nicht bezahlen wollen definitiv etwas an krimineller Energie aufwenden müssen, um es trotzdem zum laufen zu bringen. Der Aufwand darf eben auch nicht zu gross werden...

[Mackhack]

Ich glaube auch man sollte heutzutage nicht denken dass sich die ganzen Cracking-Groups nur muehe machen fuer Programme die super teuer sind. Im prinzip wird alles gecrackt. Die Gruppen machen es ja noch nicht mal wegen Geld. Es is eine Challange fuer die Gruppen. Wer bringt fuer die neueste Software/neueste Version den ersten Crack raus, wer hat die meisten funktionierenden Cracks und Patches auf der Seite/FTP-Server usw...

Es ist auch nicht so dass Firmen wirklich daran interessiert daran sind dass ein Mitarbeiter das Warenwirtschaftssystem XYZ bei eMule oder Bit Torent saugt und dann der Admin das ganze auf dem Server installiert und auf allen Workstations.

Selbst bei MS hat man es mittlerweile eingesehen dass man noch so gute Kopierschutzmechanismen entwickeln kann, es wird immer jemanden geben der es crackt. Was sie aber in meinen Augen wirklich geschafft haben ist es, den Leuten ganz einfach die Update-Funktion zu entziehen wenn es sich nicht um eine Legale Version handelt. Man kann bei XP kein SP2 installieren noch die Kritischen Updates wenn es sich nicht um eine Genuine Version handelt. Ich glaube da trifft MS die Leute.

Ich selbst habs gestern im Buero gesehen. Kollege kommt rein und fraegt ob jemand Visual Studio hat. Warum fragten wir. Nun ja sagte er vom College aus bekommen wir den Link zum Download der Version von Microsoft damit wir unsere Hausaufgaben machen koennen, ABER: die Seite bzw. Microsoft ueberprueft vorher ob eben Windows legal ist. Wenn nicht wird der DL verwehrt.

Kurz und gut: Der Mitarbeiter schrieb sich ne Rechnung fuer ne neue Hard Disk, ein Windows XP und ging ins Lager um sich sein Zeugs zu holen und bezahlte. Wie man sieht, frueher oder spaeter kommen doch viele daher und kaufen sich schliesslich doch noch ihre Lizenz.

Lange Rede kurzer Sinn. Investiert eure Zeit in die Programmfunktionalitaet und wenn es sich nicht grad um 1000de von Euro/Dollar handelt die euer Programm wert ist, macht es einem cracker von mir aus schwerer dann dauert es halt 10 Minuten anstatt nur 5 es zu cracken und alle sind gluecklich!