मैं अपने डेवलपर्स से अपने एएसपी.Net स्रोत कोड की रक्षा कैसे कर सकता हूं

Question

यह एक अजीब स्थिति की तरह लगता है, लेकिन मुझे सवाल पूछने दो।

मैं कुछ DLLs कि कुछ जादुई mumbo- जंबो कि वेबसाइट मैं अभी ASP.Net में बना रहा सामग्री को प्रदर्शित करने की जरूरत है ऐसा बनाया है। मुझे डेवलपर्स की एक छोटी सी टीम मिली है जो मेरी मदद कर सकती है, लेकिन मुझे डर है कि वे मेरा कोड (डीएलएल) चुरा लेंगे और जब वे मेरी कंपनी छोड़ेंगे तो परियोजनाओं में इसका इस्तेमाल करेंगे। एक सॉफ्टवेयर में मैं शायद साबित कर सकता हूं कि वे सामग्री उत्पन्न करने के लिए मेरे डीएलएल का उपयोग कर रहे हैं, लेकिन ऐसे सर्वर पर जहां डीएलएल सार्वजनिक रूप से उपलब्ध नहीं हैं, मैं नहीं कर सकता।

तो एक टीम होने के बावजूद मैं अकेले इस पर काम कर रहा हूं।

मेरा प्रश्न है। क्या कोई तरीका है जिसके बारे में आप सोच सकते हैं कि मैं अपने डीएलएल (जो बिन फ़ोल्डर में जाता है) की रक्षा कर सकता हूं ताकि मेरे कोडर चोरी न कर सकें, या चोरी होने पर यह अनुपयोगी हो जाता है।

मैं बस की रक्षा के लिए जो कुछ भी बिन फ़ोल्डर में चला जाता है चाहता हूँ।

Answer 1

यदि आप घर जैसा महसूस नहीं करते हैं तो आप डीएलएल अपने पर्यावरण की जांच कर सकते हैं और काम करने में असफल हो सकते हैं (मेरा सुझाव है कि आप इसे तोड़ने के बजाय गलत परिणाम दें)। सुरक्षा को हटाने के प्रयासों को बाधित करने के लिए आपको कोड को भी खराब करना होगा।

संपादित करें: आप एक पर्यावरण चर, रजिस्ट्री कुंजी, प्रदर्शन काउंटर का अस्तित्व, machine.config, आदि में एक अस्पष्ट सेटिंग का उपयोग कर सकते हैं।, और इसे एक वास्तविक सेटिंग की तरह दिखते हैं, फिर एक मजबूत नाम के साथ obfuscate और हस्ताक्षर करें।

Answer 2

संबंधित: https://stackoverflow.com/questions/181991/suggest-a-good-obfuscator-for-net-closed।
आप अपने कोड को चुनिंदा रूप से खराब करना चाहते हैं (सार्वजनिक एपीआई को इस तरह रखें)

Answer 3

यह मेरी अजीब स्थिति में रहने के लिए एक अजीब स्थिति है।

नेट स्तर पर, जब आप इसे बनाते हैं तो सबसे अच्छा आप अपने कोड को खराब कर सकते हैं। आपकी असेंबली पर जोरदार हस्ताक्षर करने से आपको पता चलेगा कि छेड़छाड़ भी चल रही है या नहीं।

एक और दृष्टिकोण है कि कुछ लोगों को ले लिया है C++ वास्तव में संवेदनशील कोड लिख सकते हैं और एक अप्रबंधित .dll के लिए यह संकलन, और इंटरॉप का उपयोग कर .net से इसे में कॉल करने के लिए है। सी ++ बाइटकोड आईएल की तुलना में पढ़ने के लिए बहुत कठिन है, और यह आसान रिवर्स इंजीनियरिंग के लिए बहुत अधिक बाधाओं को फेंकता है।

संपादित करें: ओपी से टिप्पणी के आधार पर, यहाँ एक अद्यतन जवाब है।

यदि आप बस अपने वेब सर्वर पर बिन फ़ोल्डर में डाली गई डीएलएल चोरी करने के बारे में चिंतित हैं, तो बस इसे \ bin के सबफ़ोल्डर पर प्रकाशित करें, विंडो अनुमतियों का उपयोग करके फ़ोल्डर को लॉक करें, इसलिए कोई नहीं है जिस तरह से वे इसमें शामिल हो सकते हैं, और इसकी जांच करने के लिए अपना web.config बदल सकते हैं।

<runtime> 
    <assemblyBinding xmlns="urn:schemas-microsoft-com:asm.v1"> 
     <probing privatePath="bin;bin\mysubfolder;" /> 
    </assemblyBinding> 
</runtime> 

निश्चित रूप से दृढ़ता से .dll नाम के लिए सुनिश्चित करें, और अपनी निजी कुंजी फ़ाइल कहीं सुरक्षित रखें। इससे आपकी डीडी विशिष्ट रूप से पहचान योग्य हो जाती है और अगर वे इसे प्राप्त करते हैं तो छेड़छाड़ की जा सकती है।

Answer 4

यह अपनी स्थिति के लिए उपयुक्त नहीं हो सकता लेकिन आप उन्हें एक प्रॉक्सी DLL जो गणना प्रदर्शन नहीं करता लेकिन इसके बजाय अपने DLL कॉल के साथ प्रदान कर सकता है।

फिर आप किसी अन्य सर्वर कि केवल आप ही के लिए उपयोग और प्रॉक्सी DLL दूरस्थ प्रोटोकॉल के कुछ प्रकार के माध्यम से यह कहता है पर अपने DLL रहते हैं।

Answer 5

आप एक विश्वसनीय तृतीय पक्ष के लिए dll बात करने के लिए (जो शायद एक सर्वर आप के नियंत्रण के लिए होता होगा) हो सकता था एक छोटे से हाथ मिलाते हुए यकीन है कि इसे चलाने के लिए चाहिए था बनाने के लिए। की

A. Hey, I'm sitting at [hostname->taken from env vars], can i do my job? 
B. (checks records of registered hosts) Yes you can. 
A. Thanks. (does what it does best) 

संपादित पंक्तियों के साथ

कुछ: मोटे के , किसी और जानता है कि यदि आप इस कार्य कर रहे हैं, वे अपने द्वारा चयनित किसी मशीन के लिए दूरदराज के पते के लिए बाध्य कर सकता है ... और इस बिंदु पर आपने वास्तव में अपनी मूल समस्या को ठीक नहीं किया है।

Answer 6

मुझे भारत में कानूनी व्यवस्था के बारे में बहुत कुछ पता नहीं है, लेकिन सुनिश्चित करें कि आप उन्हें एनडीए के कुछ रूपों पर हस्ताक्षर करने के लिए प्राप्त करें, और उन्हें स्पष्ट करें कि आप इसे गंभीर मानते हैं और अगर वे इसका उल्लंघन करते हैं तो मुकदमा दायर करेंगे।

और यदि संभव हो तो केवल COM सर्वर Windows सेवा के माध्यम से या बाहर के प्रक्रिया अपने DLL का पर्दाफाश, ताकि आप अपने DLL जहां वे इसे सीधे उपयोग नहीं कर सकते अलग कर सकते हैं।

यदि वे आपके DLL करने के लिए भौतिक उपयोग कर सकते है, और वे आधे रास्ते सक्षम डेवलपर्स रहे हैं, तो शायद बहुत ज्यादा नहीं है कि आप वास्तव में एक प्रौद्योगिकी के दृष्टिकोण से कर सकते हैं वास्तव में उन्हें उपयोग करने से रोक रहा है। आप उन्हें थोड़ा धीमा कर सकते हैं, लेकिन अनिवार्य रूप से उन्हें बाइनरी तक पहुंचने पर वे क्या चाहते हैं। उन्हें बाइनरी तक पहुंचने से इनकार करना ही इसे रोकने का एकमात्र प्रभावी तरीका है।

हालांकि, यदि डीएलएल किसी भी तरह से उपयोगकर्ता इनपुट को संसाधित करता है और परिणामस्वरूप प्रदर्शित करने के लिए सामग्री प्रदान करता है, तो आप किसी प्रकार के "ईस्टर अंडे" में डाल सकते हैं जो किसी अस्पष्ट पर आधारित किसी प्रकार का एक अलग हस्ताक्षर आउटपुट करेगा लेकिन विशिष्ट इनपुट। कानूनी व्यवस्था के आधार पर जो जांच खोलने के लिए पर्याप्त हो सकता है और जांचकर्ताओं तक पहुंच प्रदान करने के लिए मजबूर करता है कि वे यह साबित कर सकें कि वे आपके तकनीक को चोरी नहीं कर रहे हैं। जब तक उन्हें पता न हो कि वे वहां हैं, तो संभवतया आप इसे देखने की संभावना नहीं रखते हैं और इसे लागू करने का मौका मिलने से पहले इसे अक्षम कर देंगे।

Answer 7

मैं एक सुरक्षित सर्वर है कि आपके dll के कार्यों का पर्दाफाश होगा पर एक वेब सेवा बन जाएगा। एक बार विकास हो जाने के बाद आप कोड के उन हिस्सों को बदल सकते हैं जो वेब सेवा को सीधे डीएल कॉल करने के लिए कहते हैं।

Answer 8

मैं LachlanG की रणनीति से सहमत बजाय अपने डेवलपर्स उत्पादन एक है कि आसानी से फटा जा सकता है और इंजीनियर उलट तक पहुंच देते हुए के एक प्रॉक्सी DLL वितरित करने के लिए।

एक अन्य विकल्प जिसे आप एक्सप्लोर कर सकते हैं वह है "डोंगल" को अपने डीएलएल की रक्षा करना। मेरी समस्या के समाधान के दौरान मैंने आपके प्रश्न के साथ ठोकर खाई। मैं इस विकल्प की खोज कर रहा हूं क्योंकि मैं एक ही स्थान पर हूं लेकिन अधिक कमजोर PHP आधारित समाधान के साथ भी।

मैंने पाया कि Keylok एक किफायती मूल्य कि मैं दृढ़ता से विचार कर रहा हूँ पर एक प्रतिस्पर्धी उत्पाद प्रदान करता है। यह अभी तक देखा जाना है कि PHP में एपीआई कॉल की रक्षा कैसे करें, जो कोड बाइनरी नहीं है और न ही obfuscated। मुझे डीएलएल के साथ कोई समस्या नहीं है।

मैं एक कंपनी है कि डोंगल के इन प्रकार के साथ उनके एसएपी एकीकरण सॉफ्टवेयर संरक्षित के लिए एक परियोजना प्रबंधक था। अंतिम उत्पाद एक सीडी था जिसमें कोड, इंस्टॉलेशन मैनुअल, डोंगल और $ 200k के लिए लाइसेंस बिल था। Sweeet !!! यह 10 साल पहले था, और मैंने अभी तक किसी भी चोरी या कॉपीराइट उल्लंघन कहानियों के बारे में नहीं सुना है!

मुझे आशा है कि इस मदद करता है।