Re: Generierung einer eindeutigen MachineID
Und während du die Registry nach deiner CLSID ausliest oder du deine DLL lädst machst du folgendes:
Scheiße den Angreifer im wahrsten Sinne des Wortes zu ! D.h. starte mehrere Threads die die Registry scannen, alle Pfade und Werte öffenet und ausliest. Du produziertst damit eine rießige Menge an Zugriffen auf die Registry. Das dauert normalerweise nur par Sekunden, aber ein Angreifer der seinen RegMON laufen lässt wird damit Millionen von Registryzugriffen beobachten. Das geht soweit das er enerviert das Ding erstmal abschaltet und er eben nicht frei Haus alles gechenkt bekommt. So, das gleiche machst du mit der DLL im SYSTEM32 Folder. Starte mehrer Threads die diesen Ordner scannen, öffne jede DLL und lade die Bytes am Ende der DLL. Auch hier wird der FileMON des Angreifers zugesch..en. Gruß Hagen |
Re: Generierung einer eindeutigen MachineID
@negaH:
Erst mal danke für Deine Kommentare und Anregungen. Werde sie mir mal durch die Rübe sausen lassen. Das hier noch jede Menge Try/Except Blöcke fehlen, ist mir auch klar (werden auch noch eingearbeitet). Die Frage ist eben nur, ob der Aufwand, den ein Hacker betreiben muss, um das Ganze zu umgehen sich überhaupt für ihn rechnet. Mal ganz davon abgesehen werden die MD5-Hashes nicht auf dem Kundenrechner, sondern bei mir in der zentralen Lizenzdatenbank gespeichert, und die Übertragung der Daten erfolgt PGP-Verschlüsselt... |
Re: Generierung einer eindeutigen MachineID
Zitat:
Das kann nur funktionieren wenn die SmartCard direkt online mit deinem Server kommunizieren kann. Im schlechtesten Falle weist du dann das auf der anderen Seite eine von dir zertifizierte SmartCard sitzt. Du weist aber längst noch nicht ob der Rechner noch der gleiche ist oder der Benutzer tatsächlich berechtigt wurde. Die Schwierigkeit liegt nun darin die SmartCard so mit der eigenen Software zu verköpfen das es für einen Angreifer keine Möglichkeit gibt diese Verknüpfung zu umgehen. Man könnte zb. die Software so konstruieren das sie nur mit Daten von deinen Server erst richtig nutzbar wird. Diese Daten sind verschlüsselt und nur mit und DURCH eine zertifizierten SmartCard werden sie entschlüsselt. Die Nutzbarkeit der Software wird also eingeschränkt ohne die Daten vom Server und den SmartCards. Gruß Hagen |
Re: Generierung einer eindeutigen MachineID
Nur mal so als Frage: Was bringen denn diese ganzen Abkenkungsmanöver? Ein Cracker der ganz normal im Kopf ist wird doch da ganz anders an die Sache gehen oder nicht? Er erstellt einfach einen Patch, der das Programm nur auf seine Funktionalität runterkürzt ohne irgendwelche komplizierten Checks und Aufrufe zu analysieren um vlt. n Keygen zu schreiben.
|
Re: Generierung einer eindeutigen MachineID
Die Software verweigert eh die Arbeit, wenn die Daten, die auf dem Server liegen nicht mit denen übereinstimmen, die die Software liefert.
Und wie gesagt, die Kommunikation mit der Datenbank läuft über https und ist PGP-verschlüsselt... |
Re: Generierung einer eindeutigen MachineID
Zitat:
Alles zuviele WENN und ABERS. Und alle obigen Tricks machen das System eben nicht wirklich sicher, es geht nämlich heutzutage garnicht sicher zu machen. Du und dein Server sind sicher aber deinen Käufern musst du immer als Feinde betrachten da deren Systeme heutzutage nicht sicher sind. Einzigste Lösung ist es in Zukunft einbruchsichere Hardware zu verkaufen und darauf basierend einbruchsichere Betriebsysteme laufen zu lassen. Dann gewährleistet diese Endstelle die Sicherheit an Stelle des Benutzers. Klar, der Benutzer wird quasi entrechtet. WIR können jetzt noch wählen, haben wir uns aber einmal für ein solches System entscheiden werden wir es höchstwahrscheinlich nicht mehr los. Die Alternative ? Baue doch erstmal eine wirklich gute Software die ihre Aufgabe aus Sicht der Anwedner ordentlich und preiswert erledigt. Dann mixt du noch einen guten Support dazu und deine Kunden werden freiwillig einsehen das du auch leben mußt. Gruß Hagen |
Re: Generierung einer eindeutigen MachineID
Zitat:
|
Re: Generierung einer eindeutigen MachineID
Zitat:
Aber die Frage ist schon richtig. Sie bringen in Wahrheit nur sehr wenig wenn man sie mit echten mathematisch fundierten Sicherheitssystemen vergleicht. Deshalb meine obige "Warnung", zukünftige PC mit einbruchsicherer Hardware und OS snd defakto mathematisch fundiert konstruierte Systeme und ergo nicht merh zu knacken. Haben wir uns einmal für diesen Weg entschieden so bestimmen die PC und deren Hersteller was wir machen dürfen und was nicht. Gruß Hagen |
Re: Generierung einer eindeutigen MachineID
Sorry, das ich mich nochmal melde.
Ich finde es schade, dass hier keiner auf die Speicherlecks eingegangen ist. Wenn das übrige Programm so geschrieben ist, na dann gute Nacht. Entschuldigung, dass ich darauf aufmerksam machen wollte. |
Re: Generierung einer eindeutigen MachineID
Zitat:
ich habe aus Interesse mal andere Software in den Debugger geladen...kurz gesagt: Da wird einem ja übel... :wink: Ich denke jetzt mittlerweile auch, dass man den "Mainstream" der GelegenheitsCracker damit aufjedenfall in die Knie zwingt und das ist immerhin schon ein kleiner Erfolg. |
Alle Zeitangaben in WEZ +1. Es ist jetzt 22:33 Uhr. |
Powered by vBulletin® Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024 by Thomas Breitkreuz