Как обеспечить надежную защиту php продукту

olegk

Новичок
Как обеспечить надежную защиту php продукту

Есть некоторый набор скриптов php по сути коммерческий продукт, который необходимо защитиь

Я вижу следующие ходы:
1)Закодировать zend кодером и проверять ряд параметров (IP, имя хоста)
2)заменить некоторые скрипты на CGI программы, работающие с hasp
(в этом случае остается вопрос обмена данными) Надо суметь забраться из CGI в сессию php или обмениваться информацией через некий буфер

Подскажите какие еще есть ходы? Спасибо
 

Dreammaker

***=Ф=***
ИМХО, ZendEncoder - враг продаж.
Решения с открытом кодом очень хорошо рекламируются сайтами у которых присутствует z в названии ;)

Главное обеспечить регулярный выход обновлений и заплаток.
Сейчас наступает момент, когда много людей стараются перейти в цивилизованные марки работы с производителями ПО, особенно, если это касается качественных отечественных продуктов. А варезные сайты выступают таким себе рекламным средством.
 

magic

lancer
Тогда наверное проще положить в паблик и прилепить кнопочку "Donate" :)

IMHO, Suum cuique (c)
 

Paxan

Новичёк
ZendEncoder не спасает к сожалению. Можно получить опкоды и по ним вернуть оригинальный исходник, хоть это не тривиально, но можно и есть кто это делает за деньги. А "ряд параметров (IP, имя хоста)" можно пропатчить даже не декодируя.
 

Dreammaker

***=Ф=***
magic, ну это не совсем идеальный вариант. .:) Тут уже наш народ вряд ли что-то будет "донейтить"..

Я просто на своём примере смотрю: заинтересовали меня две проги - наши СНГ-шные разработки (точнее три, но одна ориентирована больше на западный рынок и в наших условиях она не совсем применима).

Одна из них в семь раз дороже другая ($100 и $699) - я планирую покупать и одну, и другую (порядок по возростанию цен, просто вторая сейчас финансово не окупится, поэтому придётся несколько месяцев потерпеть). Программы для СЕО (кто в этом варится, тот поймёт о каких прогах идёт речь) - они разработаны для для примерно одинаковых задач, но, в принципе, в некоторых задачах взаимодополняют друг друга. Поэтому хотелось бы иметь обе.

Конечно, можно было бы сделать, как у нас всегда делается :), но.. Я знаю, что заплатив я всегда буду иметь актуальную версию программы без особых напрягов + буду получать нормальную техподдержку. И сэкономленное время потрачу на зарабатывание больших денег или на отдых.

И как я замечаю таких людей всё больше. Относительно же, закодированных скриптов (если их брать во внимание), то они часто отпугивают потенциальных покупателей. Не раз уже встречал на форумах о подобном ПО возражения, что "хочу посмотреть код", "что-то может под себя подправить", "неизвестно что вы туда засунули.." и тому подобное.

Хотя как вариант можно демки выпускать заенкоженные, а полноценная версия, опять же ИМХО, должна быть с открытым кодом. Не дай бог, разработчика перемкнёт занятся чем-то другим (уехать в другую страну разводить кенгуру, жениться и т.д.) пользователь останется на руках с "чёрным ящиком", в лучшем случае недырявым..

Если для виндовых программ это ещё как-то можно допустить, то для скриптов (с учётом, что от версии пхп к версии может что-то поменяться. человек захочет переехать на другой хостинг и т.д.) это не подходит..
 

magic

lancer
Dreammaker
А как насчет know-how? или товарищей, которые просто 3.14здят код и выдают его за свой?

Или вот пример лицензирования - одна копия на один сервер или одна копия на один сервер на один год. Товарищ покупает одну копию - и ставит ее на пять/десять серверов и пользуется, а ты ему каждый месяц обновления давай. С такими что делать? :)
 

olegk

Новичок
Автор оригинала: kruglov
вы hasp собрались ставить на сервер провайдеру?
Более надежного способа защиты софта от нелегального распространения я увы не знаю
А поставки открытого кода рано или поздно приведут к утечке, пойдут клоны продукта и т.д.

Кто нибудь делал именно привязку к хаспу?
 

kruglov

Новичок
olegk
Более надежный способ - это софт никому вообще не продавать. Экономический эффект, в принципе, будет сравним с хаспом.

Без обид, но у вас настолько гениальная и уникальная разработка, что dedicated server с haspом для нее будет достаточной жертвой?
 

olegk

Новичок
аналогичные продукты offline мы поставляем именно с аппаратными ключами. Эта схема отлажена. Стоимость ключа порядка 15 $
Если мне удасться надежно привязать некоторые важные части продукта к hasp будет отлично.
На гениальность разработки было бы претендовать несерьезно, но определенной ценностью продукт обладает, а потому должен иметь и соответствующую защиту

-~{}~ 19.05.06 13:27:

Есть ли возможность добраться из CGI сессии php штатными средствами, понятно что можно парсить строку сессии вручную и менять там что-либо, кто-нибудь имеет такой опыт?

-~{}~ 19.05.06 15:51:

а как насчет варианта написания своего веб сервера , работающего с php шифрованными по своему?
 

Andreika

"PHP for nubies" reader
лучше продавать свой сервер, с наглухо запаяным корпусом, обработанным особым образом кувалдой портами и дисководами и прикрученным титановыми болтами хасп ключем
 

olegk

Новичок
Увы Andreika это не по сути решения вопроса
Мне проблему нужно решить а не закрыть на нее глаза
Сейчас анализирую плюсы и минусы этих трех вариантов.
 

magic

lancer
Ответ был дан. Теперь дискуссия перешла в бредовое русло :)
 

WP

^_^
Лучше без защиты. По поисковику ищешь нарушителей лицензии и хостеру телегу шлешь.
 

Alexandre

PHPПенсионер
аналогичные продукты offline мы поставляем именно с аппаратными ключами. Эта схема отлажена. Стоимость ключа порядка 15 $
Если мне удасться надежно привязать некоторые важные части продукта к hasp будет отлично.
На гениальность разработки было бы претендовать несерьезно, но определенной ценностью продукт обладает, а потому должен иметь и соответствующую защиту
olegk, я работал в компании, которая продавала свой продукт с хаспом. Проблем не было. Есть только одна накладка
- поддерживается ли хасп решения на юникс серверах (я не заню, у нас было виндовозное решение).

тонкость... вы продаете решения, клиент покупает хостинг и предлагает хостеру - поставть хасп, а хостер отвечает словом, начинающимся с тойже буквы что и хасп.
Есть ли возможность добраться из CGI сессии php штатными средствами, понятно что можно парсить строку сессии вручную и менять там что-либо, кто-нибудь имеет такой опыт?
скорее всего нет, или я не совсем понимаю о какой сессии идет речь.
а как насчет варианта написания своего веб сервера , работающего с php шифрованными по своему?
olegk - не прощели написать свое пхп расширение, или модуль для апача или kgnix который взаимодействует с хасп. На много проще, чем городить весь этот огород.

очень много тонкостей за кадром, о которых мы не знаем, ну например - какого масштаба твое решение,
как оно будет поставляться, платформа...
тип инсталляции и пр...
по этому трудно дать конкретную рекомендацию - а просиходит гадание на кофейной гуще.
 

Dreammaker

***=Ф=***
magic, ноу-хау это ,в принципе, причина прятать код, но с другой стороны я вряд ли поставлю себе заенкоженный продукт (гы, хотя пользуюсь бинарными программами под виндовс:) ).

История из жизни - на searchengines.ru ветка форума - оптимизатор купил себе скрипт с закрытым кодом. Поставил. жил - не тужил пока к нему не пришло письмо в котором указывались пароли от админки. Человек попросил 100 долларов за раскрытие информации о месте дырки (это при том что скрипт стоит 150).

Не было вымагательства и угроз - просто плата за информацию. Он заплатил, как оказалось пароли были записаны в .phtml фйле который по умолчанию не обрабатывался сервером как пхпшный.

Он в свою очередь обратился к разработчикам с просьбой компенсировать ущерб и закрыть дыру. в итоге ему отказали в техподдержке (но дыру закрыли для других пользователей).

Вот и покупай после этого закрытый пхп-код. :)
Ситуация скорее нетипичная. но всё же... желания покупать такие продукты после этого становиться ещё меньше.

update: это я тому что так бы он мог нанять программиста который ему бы это поправил.. Хотя в данном случае всё решается прописыванием в хтаксесс, но другие проблемы могут иметь более трудное решение..
 

WP

^_^
А я бы на месте этого оптимизатора посмотрел логи =))) А на письмо ответил бы лаконичным словом на ту же букву что хасп.
 
Сверху