System für Lizenznummern?

[trifid]

Zitat:

PS: Produkte mit AVLock und auch TurboPower's Schutzmechanismen sind geknackt worden !

wie ?
gibt es da näheres zu erfahren ?

[negaH]

Einen gravierenden Unterschied in der Sicheheit erreicht man nur mit externer Hardware. Leider bleibt aber auch da bei heutigen Systemen eine Unsicherheits-Barriere übrig. Die Kommunikation der Softare mit der externen Hardware kann nämlich ebenfalls geknackt werden. Siehe die vielen Dongle-Lösungen die geknackt wurden.

Nur ein System in dem jede beteiligte Komponente, ausgehend bei der Datenübertragung über die Software bis hin zu der Hardware einbruchsicher ist, kann einen 100%tigen Schutz bieten. Microsoft hat mit Palladium und dessen integriertem TCPA + protected Memorychips + Nexus-CPU's eine solche Lösung präsentiert. Allerdings entstehen mit solchen Systemen auch enorme gesellschafliche und juristische Probleme !

Ich selber habe ein Hardware basiertes Projekt entwickelt, bei dem mit selber programmierten SmartCards ein Registrations- und Software Schutzsystem implementiert wurde. Wichtig bei diesem System war das die SmartCard direkt über eine Live-Internet-Verbindung zu jeder Zeit den Zugriff der Benutzer kontrollieren konnte. Aber auch in diesem System war die grundlegende Schwierigkeit nicht die SmartCard'Programmierung oder die kryptographischen Verfahren, sondern die Verankerung der Schutzsysteme in die Software. Aus diesem Grunde haben wir uns ja auch für die permanente Live-Überprüfung per Internet entschieden. So war es gewährleistet das zumindestens die Serverseite absolut einbruchsicher ist. Nur durch diesen "Trick" war es überhaupt möglich ein annährnd 100% sicheres System zu schaffen. Allerdings, solche Lösungen bleiben vorerst nur Speziallösungen.

Gruß Hagen

[negaH]

Zitat:

wie ? gibt es da näheres zu erfahren ?

Mit Debugger, HEX Editor, RegMon, FileMon und Patches. Die Versuche waren reine kryptologische Experimente und dienten zur Überprüfung der tatsächlichen Sicherheit der Systeme.

Das die obigen Produkte, bzw. Produkte die darauf aufsetzten unsicher waren hatte ich von vornherein angenommen.
Interessant waren die Produkte von Rainbow Technologies. Bei denen hatte ich erwartet das sie stärker sind als sie es dann tatsächlich waren.

Delphi's Trialversionen wurden zeitweise mit Rainbow geschützt. Diese Trial's waren mit 2 Änderungen an der Registry und dem Löschen zweier Dateien immer wieder freischaltbar.
Rainbow's Statements waren das die Sicherheit ihrer Produkte entscheidend von der Integration durch die Programmierer = Kunden abhängig ist. Diese Aussage fand ich ziemlich interessant, da Rainbow selber mit großen Worten auf Kryptographsiche Verfahren, Public Keys, Sicherheitsprotokolle wirbt, aber dann selber sagt das nur die aufwendige und korrekte Implementation durch den Kunden die eigentliche Sicherheit erzeigt wird.
Wer schon mal mit dem USB-Crypto Token gearbeitet hat weiß wie kompliziert deren Anwendung für uns Programmierer sein kann.

Gruß Hagen

[negaH]

Ausgehend von diesem Wissen habe ich meine SmartCard Lösung entworfen. Die Aufgabenstellung war es zwei sicherer Endpoints zu schaffen. Einmal die einbruchsichere SmartCard auf Kundenseite und der Server auf Herstellerseite. Die Kommunikation läuft über unsichere Verbindungen, aber eben authentifiziert und verschlüsselt zwischen SmartCard und Server. Durch die Regelmäßige Überprüfung per live Connection vom SmartCard zum Server wurden die Schwachstellen der Offline System beseitigt. Die Software wurde dadurch geschützt das der Server dynamisch veränderte Programmteile zur SmartCard überträgt.

Allerdings, solche Systeme sind tragbar für Pay-Per-Use Software, Online Katalog usw. D.h. es sollte in solchen Systemen immer ein Bedürfnis der Kunden geben sich beim Server einzuloggen. Dies beschränkt eben die Nutzbarkeit des Systemes auf spezialisierte Anwendungen. Ok, letzendlich war das Prohjekt eh nur eine Studie, gefördert vom Bund.

Gruß Hagen

[Sharky]

Hai Hagen,

ersteinmal besten Dank für dein, wie immer, sehr genauen erklärungen.

Einen zu großen Aufwand wollte ich eh nicht betreiben da das Porogramm eh nur für bestimmte Firmen interesant ist und diese ohne Support nicht viel damit machen werden.

Das wichtigste ist eigentlich in der Lizenznummer die Anzahl der Server/Clients zu kodieren.

Bzgl. eines Hashwertes müsste mir doch sicher dein DEC weiterhelfen können oder?

Wo kann ich das eigentlich bekommen?

[trifid]

@negaH

Zitat:

... auf Kryptographsiche Verfahren, Public Keys, Sicherheitsprotokolle wirbt, aber dann selber sagt das nur die aufwendige und korrekte Implementation durch den Kunden die eigentliche Sicherheit erzeigt wird.
Wer schon mal mit dem USB-Crypto Token gearbeitet hat weiß wie kompliziert deren Anwendung für uns Programmierer sein kann.

wenn aber der Dongle erst bei 35Euro anfängt, dann ist eine Hardwarelösung für eine 50Euro Software doch etwas zuviel des guten

Zitat:

Ausgehend von diesem Wissen habe ich meine SmartCard Lösung entworfen. ... Ok, letzendlich war das Prohjekt eh nur eine Studie, gefördert vom Bund.

a) das mit der SmartCard hört sich gar nicht so schlecht an, aber hatten wir das nicht
schon einmal ...
beim Installieren muss eine Diskette eingelegt werden und beim deinstallieren auch
b) nicht jede Anwendung soll und darf mit dem Internet verbunden sein ?
c) wenn der Bund das gefördert hat, dann ist es auch meistens frei zugänglich, wo kann man mehr
darüber erfahren ?

[negaH]

Zitat:

a) das mit der SmartCard hört sich gar nicht so schlecht an, aber hatten wir das nicht
schon einmal ...
beim Installieren muss eine Diskette eingelegt werden und beim deinstallieren auch
b) nicht jede Anwendung soll und darf mit dem Internet verbunden sein ?
c) wenn der Bund das gefördert hat, dann ist es auch meistens frei zugänglich, wo kann man mehr
darüber erfahren ?

A) nicht in der Form das über die Client Software die SmartCard eine Live Verbindung zum Server des Herausgebers der SmartCard hat. Die SmartCard ist intelligent im Vergleich zu Disketten, d.h. sie kann nun dynamisch mit der Serverseitigen Software kommunizieren. Sinn und Zweck dabei sind zB. Lösungen bei der die Client Software ohne großen Aufwand auf SICHERE Art und Weise die SmartCard dazu benutzt um zB. Pay per Use einzurichten. In einem Internet Cafe werden pro Benutzer solche Karten ausgegeben. Oder im Intranet wird der Zugriff auf die lokalen und internen Intranet Resourcen geregelt. Hier benötigt man keine Internet Verbindung, sondern der SmartCard Server der die Zugriffe und Authentifizierungen regelt sitzt als Intranet Server im Firmennetzwerk. Für meine Lösung spielt das alles keine Rolle. Man könnte sogar als privat Anwender auf dem gleichen Home PC den Server installieren und dann werden Multiple Client Anwendungen über ein einheitliches API durch die SmartCard Lösung unterstützt. Es könnte zB. auch so aussehen: Die jeweilige Nutzung der SmartCards ist von Anwendung zu Anwendung unterschiedlich. Die eine Anwendung nutzt die SmartCard als Authentifierung und Zugriffverwaltung für die Benutzer. Die andere Software benutzt die SmartCard als sicheren und serverbasiertem Passwortsafe. Die dritte Anwendung benutzt die SmartCard als Pay per View Zugriffskontrolle um vom Server bereitgestellt Mediainhalte zu dechiffrieren und abrechnen zu können. Die SmartCard Serveranwendung wiederum ist immer die gleiche und über sie können die drei Anwendungen im gesammten konfiguriert und gesteuert werden. Das heist also, die Server Software verwaltet ALLE verschiedenen Anwendungen die auf der SmartCard Lösung basieren im gleichen GUI + Database. Die Anwendungen selber können von verschiedenen Hersteller sein mit ganz unterschiedlichen Nutzungsformen für die SmartCards.

B) die Zielsysteme solcher Sicherheitslösungen müssen dies aber unterstützen. Das ist eine einfache grundlegende Bedingung. D.h. die Sicherheit des Systemes basiert eben darauf das auf einem einbruchsicheren Server die SmartCard Server Anwendung läuft. Dies IST bei solchen LAN/WEB basierten Systemen immer der Fall. Allerdings betrachtet aus der Sicht der Kommunikationswege ist der Server meistens der EINZIGSTE sichere Endpunkt im System. Dies ist die Schwachstelle der meisten heutigen Systeme. Um das sicher zu bekommen, wird am anderen Ende der Line ebenfalls ein einbruchsicherer Endknoten benötigt. Dieser wird bei unserer Lösung durch die SmartCards erledigt. Im Microsoft Palladium wäre das der Fritz TCPA + die Nexus CPU. Bei solchen Hardware Voraussetzung können nun die heutigen 100% sicheren Kryptographischen Verfahren voll ihr Potential ausschöpfen. In fakt: solche Systeme SIND IMMER absolut einbruchsicher und NICHT knackbar, vorausgesetzt alles wurde korrekt implementiert. Ein weiterer "Vorteil" bei solchen Systemen ist die Möglichkeit für die Hersteller dieser Systeme unbekannte Back Doors einzubauen. In den USA wird sowas generell von den Staatlichen Organen für solche Systeme vorgeschrieben !!
D.h. auch im Microsoft Palladium ist zu erwarten das NICHT mehr der Benutzer und Eigentümer der Hardware Vollzugriff auf ALLE Bereiche dieser Systeme hat, sondern AUSSCHLIESSLICH nur die Herstellerung und die Governements haben solche Zugriffsrechte.

C) Warum soll das dann frei zur Verfügung stehen ? Davon weis ich aber nichts, wäre ja noch schöner. Bei der Förderung durch den Bund geht es darum Geld für die Entwicklung der eigenen Systeme zu bekommen. Dazu muß man sich beim Bund bewerben, bekommt Projektbezogene, Personelle und Finanzielle Auflagen, die bei der Finalisierung des Projektes natürlich durch Profi's überprüft und überwacht werden. Das Geld ist also auch wenn es im Grunde ein Geschenk ist, nicht umsonst. Alleine der Papierkram kann den Aufwand im Vergleich zum Nutzen, der paar Kröten, übersteigen.

@Shary:

Zitat:

Bzgl. eines Hashwertes müsste mir doch sicher dein DEC weiterhelfen können oder?
Wo kann ich das eigentlich bekommen?

Im DEC mit

Delphi-Quellcode:

  ResultAsHEXString := THash_MD4.CalcString(InputString, nil, fmtHEX);

DEC kannste bei Delphi Super Page, Torry, VCLComponents etc downloaden.
Ich empfehle dir die Delphi Super Page, Abteilung D5 -> Security -> Cipher, oder Top Ten Downloads -> Cipher.
DEC sollte bei DSP auf dem 4. Platz aller Freeware Komponenten liegen.

Gruß hagen