Gedankenspiel: möglichst sicherer Kopierschutz?

[Phoenix]

Eigentlich ging es mal darum, theoretisch über eine Methode zu diskutieren, wie man einen Kopierschutz mit einem vertretbaren eigenen Aufwand so entwickeln kann, dass das Ergebnis für den Angreifer einen unverhältnismäßig hohen Aufwand gegenüber einem Kauf bedeuten würde. Und in diese Richtung hätte ich mein Thema eigentlich auch gerne wieder. ;-)

Über Sinn und Unsinn von Kopierschutz darf gerne an anderer Stelle diskutiert werden, aber darum soll es hier bitte wirklich nicht gehen.

[Hobby-Programmierer]

Moin :),
Du wirst aber an Deinem 'Ur-Konzept' arbeiten müssen! Wie hier mehrfach geschrieben wurde, wird das mit der Online-KeyPrüfung nur bedingt funktionieren (Bsp. unten).
Vorweg aber wirst Du den Anwenderkreis eingrenzen müssen. Ist das Programm nur für bestimmte Usergruppen 'interessant' oder sogar für Firmen in geschlossenen Netzwerken? Erst wenn diese Frage eindeutig beantwortet wird, kann man sich m.M.n. für die zweckmässigste Art des Kopierschutzes bzw. einer Anwenderregistrierung Gedanken machen!! Man kann es einfach net allen Recht machen, jede Geiselei des Anwenders wird abschrecken, sei es auch 'nur' die Drohung Daten zu löschen (wie es vorgeschlagen wurde). Aber wie gesagt: die Zielgruppe bestimmt die Richtung !!

Ein Projekt an dem ich beteiligt war, hat so glaube ich, den richtigen Mittelweg gefunden.
Das Programm ein Dienstplanmanager wurde als Freeware vertrieben. Es wurde kein Support geleistet und im Programm befanden sich immer nur die aktuellen Schicht und Zugdaten des laufenden Jahres. Es liessen sich weder alte Daten importieren noch neue Jahre erstellen. Ich muss noch kurz anmerken das wir Lokführer verpflichtet sind einen Haufen Papierkram daheim zu führen! Das Programm sollte ebendies erledigen.
Wer also mit dem Programmumfang zufrieden war sollte damit glücklich werden. Wer aber über Jahre hinweg zb. seine Unterrichte, Streckenkenntnisse, Fahrschichten, Berechnung der Jaz, Krankentage, Urlaubstage usw. archivieren bzw. für's laufende Jahr erfassen wollte, musste sich eine registrierte Version kaufen incl. aller Updates(online) und Support für ein Jahr. Kostete allerdings auch nur moderate 10,-€. Alles lief über eine eigens für den Anwender generierte SN. Zusätzlich wurde beim allerersten Start der Datenbank ein Schlüssel generiert der sich aus der Personalnummer :mrgreen: und anderen Werten zusammengesetzt hat. Wollte ein User Updates, neue Jahresdienstpläne o.ä. von unserer HP, musste er sich mit seiner SN und dem Key einloggen. Wurde die SN bereits mit nem anderen Key bei uns gespeichert, wurden alle Keys dieser SN gesperrt und alle späteren Anfragen mit 'Ungültiger oder gesperrter Key' beantwortet!! Allerdings wurde ein 'böses Update' zugelassen, sprich die Datenbank schreibgeschützt :warn: . In einer netten Nachricht wurde darauf hingewiesen sich doch bitte die registrierte Version zu kaufen.
Mir sind auch nur ne Handvoll Versuche bekannt wo versucht wurde zu betrügen. Allerdings ist das Projekt zur One-Man Show vergoren so das es nicht mehr lebt :cry:

LG Mario

[Olli]

Zitat:

Zitat von Phoenix

Das bedeutet letzlich, dass ich - um wirklich sicher zu gehen, dass niemand, und wenn dann nur eindeutig identifizierbare Personen, das Programm kopieren - wichtige / elementare Funktionalität in einen Webservice auslagern muss und die Authorisierung des Benutzers über ein Zertifkat regele, das ich für den einzelnen Benutzer ausstelle.

Ohne sich korrekt am Webservice anzumelden läuft die Software nicht bzw. die wirklich wichtige Funktionalität steht einfach nicht zur Verfügung. Da über das Zertifikat der Lizenzinhaber identifizierbar ist kann man auch auswerten, ob einer sein Zertifikat evtl. weitergegeben hat und dieses dann sperren.

Hoppala ... das könnte gravierende datenschutzrechtliche Probleme nach sich ziehen ... wills nur gesagt haben.

Zitat:

Zitat von Der_Unwissende

Was ich nicht verstehe sind die Hinweise, dass die Zeit lieber in die Qualität der SW gesteckt werden sollte.

Tja, es gibt Menschen - und das ist nicht auf Phoenix bezogen - die noch vor die Fertigstellung des Produktes den Kopierschutz stellen. Und das ist auch meines Erachtens nach verkehrte Welt.

Zitat:

Zitat von Der_Unwissende

Jedenfalls sollte man solange es Probleme bei der Qualität gibt die SW einfach nicht auf den Markt bringen, auch das führt nicht gerade zu einem Zulauf von Käufern und wenn jmd. SW testet und merkt dass die Qualität nicht stimmt, dann kauft er nicht das Produkt in der Hoffnung dass ServicePack 84 die gröbsten Fehler behebt.

Sehr idealistisch, aber leider Lichtjahre von der Realität entfernt.

Zitat:

Zitat von Der_Unwissende

Wieso glaubst du jetzt eigentlich, dass man nicht ein Zertifikat fälschen kann oder dass das eines der Probleme behebt?

Weil man dann seinen privaten Schlüssel bräuchte?

Zitat:

Zitat von Der_Unwissende

An sich fände ich es aber lustig, wenn jetzt ein Rootkit, dass irgendeine SW vor bösen Re-engineering schützen möchte anspringt, wenn der Delphi-Debugger läuft.

LOL. Die meisten Rootkits werden aber eben nicht von Könnern sondern von Kiddies geschrieben. Aber wir schweifen vom Thema ab.

Zitat:

Zitat von OldGrumpy

Es gibt durchaus die Möglichkeit, sich eine Demo zukommen zu lassen.

Sicher, wenn du auf meinem Rechner einbrichst, bekommste sogar gleich die Vollversion.

Und bei IDA haben wir wieder diesen Fall wo ich als Privatanwender ja wohl in der Lage sein sollte dieselbe Version auf meinem Laptop und auf meinem Desktop laufenzulassen. IDA versucht das über UDP-Broadcasts zu verhindern, was man ihm per Anpassung in den Firewalleinstellungen aber auch abgewöhnen kann ...

Zitat:

Zitat von OldGrumpy

Bei IDA liegt der Fall aber auch eher anders. IDA ist nicht in erster Linie durch einen Kopierschutz sondern durch extremes Watermarking geschützt. Im Netz finden sich immer wieder Versionen von IDA die auch wunderbar funktionieren, das Problem dabei ist nur, dass es noch keinen Fall gegeben hat, in dem die geleakte Version nicht einem Käufer zugeordnet werden konnte. Da die Kundschaft von DataRescue auch eher handverlesen ist (und man sich praktisch immer kennt), hat das nicht nur finanzielle Konsequenzen für den Betroffenen sondern auch sehr viel weiterreichende Folgen für seine Zukunft.

Wohl wahr. Obwohl man ja nicht zwangsläufig etwas dafür kann ... (gestohlenes Notebooks o.ä.)

Bestellungen scheinen tatsächlich nur auf Empfehlung eines Bestandskunden zu gelingen. Mir ging es damals auch so.

Zitat:

Zitat von OldGrumpy

Was die Windows-Aktivierung angeht, ist das immer noch kein Problem, entsprechende Tools existieren. Dass es keinen XP-Keygen gibt, liegt eher daran, dass es den Aufwand nicht lohnt. Auch Cracker gehen oft den Weg des geringsten Widerstands. Und wenn das Ergebnis das gleiche ist, who cares? Dito für WGA (Windows Genuine Advantage), minimale Patches und fertig ist die Laube. Fazit: Wer Windows illegal betreiben will, schafft das auch, ohne große Mühen.

Stop. Das habe ich nie bestritten. Die Aussage war aber, daß es keine ungeknackten Produkte gibt, was klipp und klar nicht stimmt.

Zitat:

Zitat von alzaimar

(wer hat damit eigentlich ein Problem?)

Ich, weil es doch tatsächlich noch immer Rechner gibt, die sich nicht zum Internet verbinden lassen oder die man aus diversen Gründen nicht verbinden läßt.

[OldGrumpy]

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Es gibt durchaus die Möglichkeit, sich eine Demo zukommen zu lassen.

Sicher, wenn du auf meinem Rechner einbrichst, bekommste sogar gleich die Vollversion.

Mag sein dass sich das inzwischen geändert hat, als wir damals IDA Pro angeschafft haben, gab es noch auf Anfrage eine personalisierte Trial. Mit der habe ich damals Chef demonstriert, warum wir das unbedingt anschaffen müssen :) Das ist jetzt aber auch schon mehrere Jahre her, die Zeiten ändern sich, und Pierre ist ja zu Recht manchmal schon etwas genervt :)

Zitat:

Zitat von Olli

Und bei IDA haben wir wieder diesen Fall wo ich als Privatanwender ja wohl in der Lage sein sollte dieselbe Version auf meinem Laptop und auf meinem Desktop laufenzulassen. IDA versucht das über UDP-Broadcasts zu verhindern, was man ihm per Anpassung in den Firewalleinstellungen aber auch abgewöhnen kann ...

Naja, ich habs entweder hier oder da laufen, insofern betrifft mich das in der Regel wirklich nicht. Und mehrere Instanzen auf einem Rechner ist ja kein Problem.

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Bei IDA liegt der Fall aber auch eher anders. IDA ist nicht in erster Linie durch einen Kopierschutz sondern durch extremes Watermarking geschützt. Im Netz finden sich immer wieder Versionen von IDA die auch wunderbar funktionieren, das Problem dabei ist nur, dass es noch keinen Fall gegeben hat, in dem die geleakte Version nicht einem Käufer zugeordnet werden konnte. Da die Kundschaft von DataRescue auch eher handverlesen ist (und man sich praktisch immer kennt), hat das nicht nur finanzielle Konsequenzen für den Betroffenen sondern auch sehr viel weiterreichende Folgen für seine Zukunft.

Wohl wahr. Obwohl man ja nicht zwangsläufig etwas dafür kann ... (gestohlenes Notebooks o.ä.)

Im Falle eines gestohlenen Notebooks sollte man sich halt im Voraus schnell an DataRescue wenden, komplette Unmenschen sind die Jungs eigentlich nicht. Die harten Bandagen sind ja wirklich nur eine Reaktion und nicht von Anfang an in der Form im Einsatz gewesen.

Zitat:

Zitat von Olli

Bestellungen scheinen tatsächlich nur auf Empfehlung eines Bestandskunden zu gelingen. Mir ging es damals auch so.

Bei uns gings damals noch einfach so, vielleicht hatten wir als Firma mit internationalen Kontakten auch einfach nur die passenden Credentials :) Für mich ist IDA auf jeden Fall ein unverzichtbares Tool, ich möchts wirklich nicht mehr missen.

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Was die Windows-Aktivierung angeht, ist das immer noch kein Problem, entsprechende Tools existieren. Dass es keinen XP-Keygen gibt, liegt eher daran, dass es den Aufwand nicht lohnt. Auch Cracker gehen oft den Weg des geringsten Widerstands. Und wenn das Ergebnis das gleiche ist, who cares? Dito für WGA (Windows Genuine Advantage), minimale Patches und fertig ist die Laube. Fazit: Wer Windows illegal betreiben will, schafft das auch, ohne große Mühen.

Stop. Das habe ich nie bestritten. Die Aussage war aber, daß es keine ungeknackten Produkte gibt, was klipp und klar nicht stimmt.

Definiere "ungeknackt". Betrieb ohne Freischaltung? Gibts doch.

Zitat:

Zitat von Olli

Zitat:

Zitat von alzaimar

(wer hat damit eigentlich ein Problem?)

Ich, weil es doch tatsächlich noch immer Rechner gibt, die sich nicht zum Internet verbinden lassen oder die man aus diversen Gründen nicht verbinden läßt.

[/quote]Und das aus gutem Grund, Rechner die sensible interne Daten verwalten, brauchen keinen Internetzugang, nur mal so als Beispiel. Wenn man die Angriffsvektoren minimiert, minimiert man damit auch etliche der Risikofaktoren. Im Volksmund auch "keine Angriffsfläche bieten" genannt :)

@Phoenix: Nochmal zurück zu Deinem Ansatz, der leider broken by design ist. Um mal einen zugegebenermaßen etwas hinkenden Vergleich zu bemühen, du fragst nach einer Methode möglichst effizient im Vakuum zu atmen. Die gibt es halt nunmal nicht (wenn man jetzt mal davon ausgeht, dass es sich nicht um ein Wesen handeln soll, das sich von kosmischer Strahlung ernährt :mrgreen: ) Du hast haufenweise hilfreiche Tipps für eine sinnvollere Betrachtung des Themenkomplexes bekommen, also verbeiss Dich nicht in Deine Idee sondern lerne :)

Kennst Du eigentlich dieses Dreieck mit den drei Eckpunkten "schnell", "gut" und "preiswert"? In genau so einem Feld bewegst Du Dich, und die Randbedingung lautet "such Dir zwei von den dreien aus."...

[Olli]

Zitat:

Zitat von OldGrumpy

und Pierre ist ja zu Recht manchmal schon etwas genervt :)

Manchmal uebertreibt er aber auch.

Zitat:

Zitat von OldGrumpy

Naja, ich habs entweder hier oder da laufen, insofern betrifft mich das in der Regel wirklich nicht. Und mehrere Instanzen auf einem Rechner ist ja kein Problem.

Manchmal entschliesse ich mich aber es in einer VM laufen zu lassen und dann ist es ein Problem (trotz eines Rechners). Und das Problem war ja auch mehr, dass man es dann schliessen muss. Wenn dann nur die jeweils andere Kopie inaktiv wuerde, so dass wirklich nicht 2 Menschen gleichzeitig arbeiten koennen ... aber selbst ein Mensch der nur abwechselnd an mehreren PCs sitzt kann unter diesen Bedingungen nicht arbeiten.

Zitat:

Zitat von OldGrumpy

Bei uns gings damals noch einfach so, vielleicht hatten wir als Firma mit internationalen Kontakten auch einfach nur die passenden Credentials :) Für mich ist IDA auf jeden Fall ein unverzichtbares Tool, ich möchts wirklich nicht mehr missen.

Bei Firmen ist es sowieso grundsaetzlich weniger ein Problem als bei Privatleuten.

Zitat:

Zitat von OldGrumpy

Definiere "ungeknackt". Betrieb ohne Freischaltung? Gibts doch.

Knacken ist fuer mich genau das was das Wort aussagt, eben die (gezielte) Zerstoerung von etwas um etwas anderes zu erreichen. Und im Sinne von Software waere Knacken fuer mich die gezielte Zerstoerung der Abfragemechanismen fuer Seriennummern etc ...

Zitat:

Zitat von OldGrumpy

Und das aus gutem Grund, Rechner die sensible interne Daten verwalten, brauchen keinen Internetzugang, nur mal so als Beispiel. Wenn man die Angriffsvektoren minimiert, minimiert man damit auch etliche der Risikofaktoren. Im Volksmund auch "keine Angriffsfläche bieten" genannt :)

Jupp. Wobei ich mehr darauf hinaus wollte, dass die Rechner u.U. selbst Gefahrenquellen fuers Netz sind, wie die in unserm VAN (Virus Analysis Network) hier in der Firma.

[OldGrumpy]

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Naja, ich habs entweder hier oder da laufen, insofern betrifft mich das in der Regel wirklich nicht. Und mehrere Instanzen auf einem Rechner ist ja kein Problem.

Manchmal entschliesse ich mich aber es in einer VM laufen zu lassen und dann ist es ein Problem (trotz eines Rechners). Und das Problem war ja auch mehr, dass man es dann schliessen muss. Wenn dann nur die jeweils andere Kopie inaktiv wuerde, so dass wirklich nicht 2 Menschen gleichzeitig arbeiten koennen ... aber selbst ein Mensch der nur abwechselnd an mehreren PCs sitzt kann unter diesen Bedingungen nicht arbeiten.

Ja, stimmt schon. ich vermeide diese Situationen meist intuitiv schon :) Und wenns gar nicht anders geht gibts ja immer noch die Firewall :)

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Bei uns gings damals noch einfach so, vielleicht hatten wir als Firma mit internationalen Kontakten auch einfach nur die passenden Credentials :) Für mich ist IDA auf jeden Fall ein unverzichtbares Tool, ich möchts wirklich nicht mehr missen.

Bei Firmen ist es sowieso grundsaetzlich weniger ein Problem als bei Privatleuten.

Darauf wird bei der Bestellung ja auch noch extra hingewiesen. Eigentlich traurig dass man so derb "die Schotten dicht machen" muss.

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Definiere "ungeknackt". Betrieb ohne Freischaltung? Gibts doch.

Knacken ist fuer mich genau das was das Wort aussagt, eben die (gezielte) Zerstoerung von etwas um etwas anderes zu erreichen. Und im Sinne von Software waere Knacken fuer mich die gezielte Zerstoerung der Abfragemechanismen fuer Seriennummern etc ...

Naja, da wirste Dich halt gedulden müssen bis MS mal die andern Möglichkeiten schwerer macht :D

Zitat:

Zitat von Olli

Zitat:

Zitat von OldGrumpy

Und das aus gutem Grund, Rechner die sensible interne Daten verwalten, brauchen keinen Internetzugang, nur mal so als Beispiel. Wenn man die Angriffsvektoren minimiert, minimiert man damit auch etliche der Risikofaktoren. Im Volksmund auch "keine Angriffsfläche bieten" genannt :)

Jupp. Wobei ich mehr darauf hinaus wollte, dass die Rechner u.U. selbst Gefahrenquellen fuers Netz sind, wie die in unserm VAN (Virus Analysis Network) hier in der Firma.

Das hatte ich zwar auch im Hinterkopf, hab dann aber nicht geschafft es explizit hinzuschreiben. In anderem Kontext hab ich das heute dann auch schon wieder mal erwähnt :) Bei welchem AVler biste denn?

[Olli]

Zitat:

Zitat von OldGrumpy

Bei welchem AVler biste denn?

Nur ein Wort: Island :mrgreen:

(jetzt sollte es doch klar sein, oder?)

[phXql]

F-Prot? (bzw. Frisk Software)

[Christian Seehase]

Moin Zusammen,

ich möchte mal alle Off-Topic Poster bitten dies hier zu unterlassen, und ggf. für ihre Diskussion einen eigenen Thread aufzumachen.
Danke.