Schritt für Schritt zur geschützten Java-Anwendung

Transkript

1 1 Schritt für Schritt zur geschützten Java-Anwendung Wolfgang Völker Produktmanagement Günther Fischer Professional Services

2 2 Agenda Java Rückblick Schutz-Technologien für Java-Anwendungen Grundprinzip des AxProtector Java Optionen des AxProtetcor Java Schutz auf Klassen-Ebene / Methoden-Ebene Kurze Einführung in die Lizenzierung von Java-Anwendungen

3 Java Rückblick 3

4 4 Java und die JVM/JRE Java: von Sun 1995 entwickelte Programmiersprache. Die JVM ist eine abstrakte Maschine. Der Befehlssatz ist der Java Byte Code. Kompilierte Java Programme bestehen aus vielen Klassendateien, die Bytecode (keinen nativen Code) enthalten. JARS sind ZIP-Archive mit zusätzlichem Manifest Bytecode wird zur Laufzeit durch Java Virtual Machine (JVM) interpretiert und ausgeführt. Bytecode lässt sich einfach Reverse Engineeren. Mit dem OpenJDK gibt es eine quelloffene Implementierung der JVM.

5 5 JAVA - Write Once, Run Anywhere (WORA) Java Program (.java) Java Compiler JAVAC Java Byte Code (.class /.jar) Interpreter (JVM) Interpreter (JVM) Interpreter (JVM) Windows Linux MacOS

6 6 Java Architektur Java Program *.class Files Classloader Java API *.class Files Bytecode Verifier Interpreter (JVM) Host Operating System (Windows, Linux, MacOS,..)

7 7 Java und Sicherheit Java-Klassen lassen sich Leicht extrahieren Leicht ersetzen (auch Systemklassen!) Leicht modifizieren Der Java Byte Code ist kein Geheimnis Fazit Alles was in Java geschrieben ist, ist generell unsicher!

8 9 Schutzziele Schutz gegen Raubkopien (Lizenzierung) Schutz des geistigen Eigentums (Reverse Engineering) Schutz gegen Analyse durch Mitbewerber Schutz gegen Verwendung von Code Integritätsschutz von Daten und Code Schutz von Daten als Bestandteil des Produktes (Wettbewerbsvorteil)

9 Das Waffenarsenal der Angreifer (Java Decompiler.jar/.class ->.java) 10

10 Schutz-Technologien für Java-Anwendungen 11

11 12 Betrachtete Optionen Obfuskierung Basic Obfuscation Heavy Duty Protection (Klassmaster) Java2Exe (JET Engine) Umwandlung in nativen Code Evtl. weitere Verschlüsselung durch native Tools Java Verschlüsselung AxProtector Sonstige Methoden Beispiel CodeMeter Core API

12 Java Obfuscation Tools (KlassMasterAltaori/ProGuard.) 13

13 Basic obfuscation 14

14 15 Basic Obfuscation (Name Obfuscation) Quelle: Zelix Webseite

15 16 Decompilieren einer Basic Obfuscation Decompile Quelle: Zelix Webseite

16 Heavy Duty Protection 17

17 Zelix KlassMaster 18

18 19 Heavy Duty Protection (Flow, Exception, String Obfuscation ) Quelle: Zelix Webseite

19 JDO: Java Deobfuscator / JMD: Java bytecode deobfuscation tool 20

20 21 Excelsior JET Engine JAVA2EXE

21 Java Code Java Byte Code Nativer Code 22 Prinzip Java2Exe JAVAC Compiler Excelsior JIT Compiler

22 Java Code Java Byte Code Nativer Code Verschlüsselter nativer Code 23 Zusätzlicher Schutz durch Verschlüsselung JAVAC Compiler Excelsior JIT Compiler AxProtector

23 Verschlüsselung 24

24 25 Verschlüsselung des Codes Verschlüsselung des ausführbaren Codes vor der Auslieferung Ungeschützte Anwendung Verschlüsselung AxEngine Entschlüsselung der benötigten Klassen/Methoden zur Laufzeit im Speicher Entschlüsselung AxEngine

25 26 Die AxProtector Suite AxProtector nativ Windows 32-/64-bit Mac OS X Linux AxProtector.NET.Net 2.0, 3.0, 3.5, 4.0, 4.5 AxProtector Java Java 1.6 Java 1.7 Java 1.8 Java Anwendungen Java Applets Java Servlets

26 27 AxProtector Java - Funktionsprinzip AxProtector Java automatischer Schutz auf Klassen/Methodenebene durch Verschlüsselung des Bytecodes Jede Klasse wird automatisch beim Laden entschlüsselt. Dazu muss die AxProtector Runtime initialisiert werden: Java-Anwendungen mit Main-Klasse => Wrapper (com.wibu.xpm.wrapper) manuelles Laden durch EntryPoint manuelles Laden durch ProtectionManager Einbau erweiterter Schutzmaßnahmen (IxProtector) Einbau von Lizenzabfragen (CoreAPI)

27 Java-Anwendungen mit Main-Klasse 28

28 EntryPoint 29

29 Einbau erweiterter Schutzmaßnahmen (IxProtector) 30

30 31 Unterstützte Anwendungstypen Welche Anwendungstypen kann der AxProtector Java schützen? Konsolen- und Desktopanwendungen Applets, Web Start Anwendungen Servlets Eclipse RCP, Eclipse Plugin OSGi

31 32 Unverschlüsselter Code (CAFEBABE) Magic Number Version Constant Pool Access Flag this Class super Class Interfaces Fields Methods Attributes

32 33 Mit AxProtector Java geschützter Code Magic Number Version Constant Pool Access Flag this Class super Class Interfaces Fields Methods Attributes

33 34 Prinzip des AxProtector Java Klasse im Speicher loadclass JVM AxProtector Runtime Verschlüsselte Klasse auf der Festplatte

34 35 AxProtector Klassen Automatischer Schutz (in das JAR integriert oder als WibuXpm4JRuntime.jar) Anpassungen im Code Laufzeit der geschützten Anwendung Integriert in die geschützte Anwendung WibuXpm4JRuntime.jar im classpath

35 36 Parameterdatei im XML-Format (Lizenzliste) Quelle: CodeMeter Entwicklerhandbuch

36 Beispiel 37

37 Decompilieren nach Verschlüsselung 38

38 Enigma 39

39 D4J 40

40 Lython 41

41 JD-GUI 42

42 43 Angriffe via Tools In Java gibt es einige Tools Interfaces Gedacht, um Byte-Code zu analysieren / modifizieren Debugger, Profiler JVMPI: Java Virtual Machine Profiling Interface Bis einschließlich Java 6 JVMTI: Java Virtual Machine Tools Interface Ab Java 7, Nachfolger von JVMPI

43 44 Besondere Schutzmaßnahmen WibuXPM4J32/64.dll Absicherung Callback Check Prüft, dass keine JNI Funktionen geändert wurden JVMPI / JVMTI Check Prüft, ob ein JVMPI/JVMTI Agent vorhanden ist

44 45 JVM Manipulation / Ändern des JVM Quellcodes OpenJDK ist eine quelloffene Implementierung der JVM Seit Version 6 Kann somit mit Hintertür gebaut werden Einfügen von Code, der geladene Klassen mitschreibt, somit einfach möglich Lösung: JVM Verifizierung

45 Update der Signaturen 46

46 Weitere Verfahren 47

47 48 Schutz von Daten Annahme Geistiges Eigentum sind die Daten z.b. Fahrzeugdaten für Werkstätten Schutzziel Schützen der Daten gegen unbefugte Benutzung (Lizenzierung) Schützen der Daten gegen Extraktion und Nachbau durch Mitbewerber Lösung: Verschlüsselung der Daten

48 49 Schutz von Daten Nur sicher, wenn die Schlüssel in einem vertrauenswürdigem Speicher liegen.

49 50 CodeMeter Core API com.wibu.codemeter Grundlage aller Schutzmechanismen Schnittstelle zur Kommunikation mit CodeMeter Erweiterte Schutzmöglichkeiten Einheitliches Interface durch CodeMeter License Server Lizenz in einem Dongle oder in einer verschlüsselten Lizenzdatei Ihre Software Java Native Interface CodeMeter License Server Aktivierung Dongle Einheitliche Lizenzoptionen Mischen in einer Anwendung möglich

50 51 Schutz von Daten - Verschlüsselung Schutz durch Ver-/Entschlüsselung in der Anwendung cmcrypt2 ()

51 52 Integritätsschutz - Signatur Integritätsschutz von Daten/Bibliotheken cmcalculatedigest() cmcalculatesignature() cmvalidatesignature()

52 53 Core API Dokumentation und Beispiele CodeMeter Java API Help (HTML Format) Servlet Sample CmCalculator CmDemo Lizenzzugriff Auslesen von Lizenzen Verschlüsselung

53 Ein paar Worte über CodeMeter 54

54 55 Flexible Lizenzierungs Modelle für Lizenzgeber Single User Time zone Network Name/PC Feature On Demand Borrowing Perpetual Overflow Trial version High Availability Rent / Leasing / Subscription Standby Pay-Per-Use Version Maintenance period Volume Downgrade Grace Period

55 Zusammenfassung 56

56 57 Erreichung Schutzziele bei Obfuscation Schutz gegen Raubkopien (Lizenzierung) Schutz des geistigen Eigentums (Reverse Engineering) Schutz gegen Analyse durch Mitbewerber Schutz gegen Verwendung von Code Integritätsschutz von Daten und Code Schutz von Daten als Bestandteil des Produktes (Wettbewerbsvorteil)

57 58 Erreichung Schutzziele bei Java2Exe Schutz gegen Raubkopien (Lizenzierung) Schutz des geistigen Eigentums (Reverse Engineering) Schutz gegen Analyse durch Mitbewerber Schutz gegen Verwendung von Code Integritätsschutz von Daten und Code Schutz von Daten als Bestandteil des Produktes (Wettbewerbsvorteil)

58 59 Erreichung Schutzziele bei Verschlüsselung Schutz gegen Raubkopien (Lizenzierung) Schutz des geistigen Eigentums (Reverse Engineering) Schutz gegen Analyse durch Mitbewerber Schutz gegen Verwendung von Code Integritätsschutz von Daten und Code Schutz von Daten als Bestandteil des Produktes (Wettbewerbsvorteil)

59 Wir sind gewappnet! 60

60 61 Vielen Dank! WIBU-SYSTEMS Germany USA China