Encrypt PHP zdroje (diskuse)

[xurpha]

Neřekl jsi, k čemu to jako má být dobré...

[mimic23]

No jo, na to jsem zapoměl. Ale na druhou stránku to přece není podtstaný. Jinak bych to potřeboval na zašifrování třeba copyright v PHP nebo určitých prvků, který nechci aby se měnily třeba. apod. ;)

[Mrkva]

TO je ti base64 ale na prd...

[YYY]

base64 je spise kodovani, nez sifrovani. Neni tam jaksi zadne heslo||klic, takze pripadnemu "utocnikovi" to jiste nebude delat moc problemu

[Jirka]

Je to zbytečná práce. Ten, kdo o to bude stát si base64 s minimálním úsilím dekóduje.

Už jsem na podobně "chráněný" kód narazil a autorovi to vyneslo akorát pár nepěkných slovíček na jeho adresu, ale to je asi tak všechno k čemu to bylo.

U JS chápu, že nějaká obfuskace kódu může zmenšit celkovou velikost zdrojáku. A protože se natahuje ke klientovi pokaždé, tak to má i význam (u obfuskace taky nedochází k prodloužení zpracování kódu). Ale u skriptu na serveru? Ten server musí ty soubory umět dekódovat a tím pádem to umí i člověk, který kód použije? K ničemu! U base64 navíc dochází k prodloužení doby zpracování.

Asi to není to, co chcete slyšet, ale - vykašli se na to!

[pht]

Tak tak, lépe to vyjádřit nešlo.

[Vašek Lorenc]

 To hlavní už bylo řečeno, tak já jen ještě hnidopišskou poznámku -- společně s nadpisem se pro jednu operaci objevují tři slova -- encrypt, zakódování, zašifrování. Přinejmenším dvě z nich mají různý význam, ale i tak by bylo lepší se příště držet jen toho z nich, co vyjadřuje záměr autora (tipuji, že cílem bylo šifrovat).

[blogsm]

php kompilovat? 

[mimic23]

Tak jasný, ale přece musí bejt nějaka možnost ne? Tak nemyslim celej zdoj z encryptovat, ale treba jen část reps. některý věci. K té Base64... tak, jasný, každej by si to decryptoval kdo by o to stál, ale snad musí bejt něco, co je složitější decryptovat a načítání je stejný apod. :/

[Jan Drábek]

Jestli chápu dobře, chcete někde vystavit PHP kód s nějakými zašifrovanými zadními vrátky?!

To není moc dobrá praktika, pokud nejste smířen s tím, že váš kód bude dostupný tak ho nikam nedávejte.

[qiRzT]

Nevím, jestli dobře chápu o co ti jde, ale php skripty se dají zkompilovat a pak spouštět jako binárky. Původní význam je sice optimalizace, ale pro to, aby výsledek byl closed source, se to dá použít taky. Jen je, somozřejmě, potřeba nějaká úprava Apache.

[mimic23]

Mohl by si mi poslat nějaký info o tom nebo stránku, že bych si o tom něco přečetl?

[qiRzT]

Já tu informaci mám jen od kamaráda, který s tím nějak experimentoval, ale vygooglil jsem tohle www.zend.com/en/products/guard/optimizer/ snad ti to k něčemu bude.

[default]

No, tak já teda absolutně netuším, co potřebuješ. Jestli nějakej obfuskátor nebo co. Ale když už jsme u toho Base64, někde jsem viděl:

eval(gunzip(base64_decode('blablabla')));

Přičemž namísto blablabla byl v Base64 zagzipovaný program. Jestli to máš hodně velký, tak bych se podíval po AsciiBase85 kódování. To je trošku méně náročné.

[frEon]

tak kdyz jsem tohle naposledy nasel na serveru, tak sem musel jit LOLovat pod stul...

[default]

No, podle mě jsou všechny tyhle ochrany jen zbytečný obfuskační level. Zpomaluje to člověka a nakonec i ten stroj.

[frEon]

ale hlavne je tam napsano co stim mam delat, abych si zdrojak precetl....

[filbar]

Asi hledáte něco jako toto: IONCube, ale není to free ;(

[mimic23]

To jsou zkoušel, i cracklou, ale nepodporuje některý PHP příkazy, prostě to hodí error při spuštění php :(

[MMMMMMMMM]

ja ted laboruju s PHP LockIt...

[mimic23]

Hej to je výborný to PHP LockIt, sice zdroj potom má snad jednou tolik, ale funguje... dík moc za radu ;)

[MMMMMMMMM]

nemáš zač já zjistil, že s jedním mým projektem si ale neporadí, ale s jiným - pro mne relativně cenným - funguje bezvadně.

[CEST]

Taky jsem premyslel, jak zajistit, aby mi nejakou funkci na serveru nemohl nekdo odkoukad, pripadne i upravit a bohuzel, cokoliv bude zasifrovane, tak potrebuje lokalni funkci na desifrovani a pokud se nekdo k tomu zdroji dostane, tak ma vyhrano, at je to jenom base64 nebo nejaka silna sifra, treba i asymetricka. Takze sifrovani neni reseni.

Pak je moznost prelozit ty PHPka jako binarku, pak by sice nekdo mohl provest tracing, ale to by mohlo byt dost pracne.

Dale, pokud by ten chraneny kod mel cist nejaky data, provest nejakou upravu a vyplivnout jina data a bojis se zkoumati te funkce, nebo nechces, aby ji nekdo kopiroval, tak umistit tuhle funkci na nejaky jiny webhosting a z tve aplikace pak otevrit tuhle stranku s parametrama a precist vystup. Bohuzel to bude pomalejsi. Pokud ale bude dulezite zabranit cteni zdrojaku, pak by to mohlo byt dobre reseni.

Dalsi moznost je, napsat pozadovanou funkci v nejakym jinym kompilovanym jazyku, napr. C, zkompilovat a pak z PHP volat tenhle program, ono by mozna slo vytvorit v C ten kod jako knihovnu a tu pak pouzivat v PHP, ale to by mozna vyzadovalo instalaci tyhle knihovny na serveru, coz muze byt problem - ta binarka by mohla byt v pohode. Bohuzel, tohle mozna zabrani akorat zkopirovani kodu funkce, nicmene pri debugu je mozny ten kod jakz takz cist.

Asi bys mel opravdu napsat, co presne chces udelat. Jestli jenom obfuskaci (nadefinovat par castych funkci pomoci nejakych jinak pojmenovanych funkci, prejmenovani promenny na jednopismenny pomuze docela dobre), nebo potrebujes zabranit kopirovat kod, nebo zabranit cteni kodu.

[mimic23]

Ono to je sporný, někde bych potřeboval celej kód zabezpečit kvůli úpravám a zkopírování a někde bohatě stačí jen část kódu.
Ale jak se tady už psalo o PHP LockIt, tak si myslim, že to docela dobře zabezpečí, akorát nevýhoda, že velikost PHP je skoro jednou tolik, ale to se ještě dá překousnout.
Jinak jak jsi psal o přeložení PHP jako binárku, tak o tom nemám vůbec info teda, tekže to budu muset asi vyloučit :(

[CEST]

Prekladani PHP do bin to snad melo neco spolecnyho se ZENDem (ale mozna to byl jenom PHP zdrojak v nejakym binarnim bastlu), ale videl jsem to nekdy v roce 2003 a od ty doby jsem s tim do styku neprisel, takze taky presne neporadim.

[vlastikroot]

Tomu rikam free software ideologie ...

[Michal2]

Jak to myslis "nikde nemůže najít plnou"? Vzdyt je k zakoupeni primo na strankach, ktere jsi linkoval. Pokud jsi to chtel sproste ukrast, tak to tak napis na rovinu. Nesnasim lidi, co nenazyvaji veci pravymi jmeny.

 

[mimic23]

Uprást je hnusný slovo, řekněme vypůjčit na čas plnou verzi =)

[VRtulnikk]

"celí PHP"?!

Jinak, bCompiler je free a měly by jej umět i některé webhostingy... Btw, je to prasárna a nedělej to.

[mimic23]

Noo hele určitě zkusím, podle toho jak mi to bude vyhovovat, tak se uvidí, ale dík

[mimic23]

Tak jsem to zkoušel překompilit do binárky ten PHP script a jako fachá výborně, sice mi to moc nezabalil, spíš naopak, ale má zas nevýhodu, že to nepodporuje drtivá většina serveru (na mim to jede v poho), takže bych řekl, že to je spíše pro vlastní využití ten bcompiler a pod. nástroje pro kompilaci PHP

[default]

Hele, teď mě tak napadá: ;co přejít na Perl?

[mimic23]

Na Perl? Aha... to bych napsal Hello World! a šel bych si pro facku

[Grunt]

Co CGI?

A asi nebudu sám koho zajímá důvod takového činění. Jde jen o schování kódu před poskytovatelem místa a nebo o něco víc?

[Kvakor]

U CGI bude problém s hostingem - běžné hostingy málokdy povolují jen tak provozovat vlastní binarky, často je jedinou možnosti serverhosting nebo virtuální server.

Pamatuju si, jak jsem řešil případ, kde bylo třeba udělat na webu masivní transformaci obrazu, která by v PHP pomocí GD trvala řádově desítky sekund (protože na to nebyla žádná hotová funkce), ale specializovaná binárka jí zvládlala za necelou sekundu. Ale na zákazníkově hostingu to prostě nechtěli povolit (ani kdyby měli v dispozici zdrojáky) a zákazník hosting měnit nechtěl.

Nakonec se mi to povedlo spáchat pomocí nástrojů z ImageMagicku (který byl, díkybohu, na hostingu nainstalovaný), kde to trvalo asi pět sekund, ale chodilo to.

[snajpa]

A můžu se zeptat jak moc geniální je to, co jsi napsal? Nebo chceš zamaskovat, že ty sám jsi někomu ukradl kód? Tyjo, sám tyhle věci nesnáším, ještě abych je dělal druhým...

    Join us now and share the software;
    You'll be free, hackers, you'll be free.
    x2

    Hoarders can get piles of money,
    That is true, hackers, that is true.
    But they cannot help their neighbors;
    That's not good, hackers, that's not good.

    When we have enough free software
    At our call, hackers, at our call,
    We'll kick out those dirty licenses
    Ever more, hackers, ever more.

    Join us now and share the software;
    You'll be free, hackers, you'll be free.
    x2 

[mimic23]

Teď myslíš co? To co mam napsaný v blogu, že jsem zkoušel šifrovat kód? To jsem dělal no. Taková svině nejsem, že bych to někomu ukradl a potom to ještě veřejně "propagoval"... Jinak geniální je to v tom smyslu, že to nějak nefachá na php ale jen na html apod.

[xkucf03]

šifrování != kódování

Abys něco zašifroval, base64 a podobné věci ti nepomohou. Resp. nepomůže ti prakticky nic – je to jaky když chceš šifrovat disky na serveru – buď uložíš klíč na ten server → pak ti je šifrování na nic, nebo si klíč hlídáš, ale při každém restartu tam musí přijít obsluha s klíčem (nebo aspoň zadat heslo). U toho PHP je to stejné – pokud má server ten kód vykonat, musí znát klíč. Leda že bys klíč zadal jen jednou a pak se držel v RAMce (tam by si ho správce serveru stejně mohl přečíst).

To, co asi hledáš, je obfuskace*, ale na to radši kašli – lepší je kód vydat pod GPL a případně se pak s někým soudit, že ti ho ukradl.

*) BTW: nepřijde vám, že některé programy jsou obfuskované, aniž by autor použil nějaký obfuskátor?

[default]

*) BTW: nepřijde vám, že některé programy jsou obfuskované, aniž by autor použil nějaký obfuskátor?

Proto jsem doporučil ten Perl

[Grunt]

To, co asi hledáš, je obfuskace*, ale na to radši kašli – lepší je kód vydat pod GPL a případně se pak s někým soudit, že ti ho ukradl.

Proč mám pocit, že jemu zrovna nejde o tohle?

[mimic23]

a o co by mi mělo jít?

[Grunt]

No to řekni ty.

[default]

[mimic23]

Já to mám pro vlastní účely a použití, spíš by mě zajímal tvůj názor - o co mi teda jde

[Grunt]

Respondami na tebe.