159

Estou pensando em fazer uma aplicação para vender, gostaria de saber como proteger meu código fonte para manter meu software seguro.

Eu vi que os bytecodes do Java, armazenados no arquivo .class são facilmente convertidos de volta para .java usando a ferramenta Java Decompiler

Os .class podem ser facilmente encontrados dentro de um .jar para o caso dos desktops, ou até mesmo em um .apk, conforme mostrado nesse post.

Como fazem os milhões de aplicativos no Google Play para protegerem seus códigos fontes? Pois deixá-los expostos me parece meio inseguro, ou não é? Se sim (se é inseguro), tem como eu desenvolver aplicações que mantenham escondido o código fonte em Java para desktop e Android?

EDIÇÃO

A resposta do @mgibsonbr me convenceu de não ser paranoico e querer proteger todo o código fonte, entretanto existem alguns pontos da aplicação que não podem ser revelados por motivo de segurança dos dados, por exemplo:

try {
    String url = "jdbc:mysql://mysql01.meudominio.com/bd";
    Class.forName("com.mysql.jdbc.Driver");
    conn = DriverManager.getConnection(url,"usuario","senha");
    System.out.println("Remote database connection established");
}

Imaginem o estrago se alguém tiver o endereço, o usuário e a senha do seu banco de dados.

Nos comentários o @mgibsonbr tentou responder essa minha dúvida, mas eu não entendi, ou talvez eu não tenha deixado a dúvida clara, enfim.

Sobre o ofuscador, através de testes pude ver que ele funciona. Entretanto tenho dúvidas se ele é mesmo a solução que eu procuro ou se a solução na verdade é remodelar o meu software de uma maneira que não guarde no código fonte nenhum tipo de informações que exijam segredo como por exemplo usuário, senhas e endereços de BD.

Se a solução for remodelar o software, por favor me expliquem como manter um arquivo externo ao código fonte de uma maneira que não seja possível o hacker copiar a parte do meu código fonte que faz a leitura desse arquivo externo, tendo então o código que consegue ler o arquivo, da mesma maneira que meu software faz.

9
  • 4
    Nota: "descompilar" é diferente de "descriptografar". Um aplicativo criptografado teoricamente seria indecifrável - tanto que nem o computador/dispositivo do cliente poderia executá-lo... Somente se você enviasse junto do mesmo a chave de criptografia, mas ops, agora o atacante também a tem, e pode decifrar o programa.
    – mgibsonbr
    Commented 25/02/2014 às 16:20
  • 5
    @mgibsonbr é vdd, vou mudar o termo na minha pergunta
    – Math
    Commented 25/02/2014 às 16:35
  • 1
    blz. Eu vou manter o comentário, pois ele ilustra um ponto importante, que pra nem todo mundo é óbvio: todas as informações que o computador precisa para executar o programa também estão disponíveis para a pessoa que recebe uma cópia do programa. Se você omitir uma informação para a pessoa, o computador também não a recebe. Isso só deixa de ser verdade quando há hardware especializado envolvido (i.e. o segredo está no hardware, não no software).
    – mgibsonbr
    Commented 25/02/2014 às 16:46
  • 2
    O código que faz conexão usando JDBC é só um exemplo para ilustrar o problema, certo? Porque na realidade o aplicativo móvel não deveria se conectar diretamente com o banco e sim obter os dados indiretamente através de webservices.
    – Piovezan
    Commented 5/05/2014 às 23:56
  • 1
    @Piovezan sim, ele é um exemplo de código que não pode ser exposto, a solução é essa que você citou e o utluiz dissertou. Entretanto, apesar de ser apenas um exemplo não estou me lembrando de outro caso que poderia citar onde o código não pode ser revelado de maneira alguma, pois acredito que todos esses casos que exigem sigilo poderiam ser transferidos por webservice após autenticação do usuário. Portanto, se vc tiver algum exemplo pra citar e/ou solução por favor o faça, pois no momento estou quase convencido que minha pergunta foi respondida.
    – Math
    Commented 6/05/2014 às 0:02

7 Respostas 7

166
+50

Não é possível, nem necessário, tomar medidas extremas para proteger o código-fonte. Concentre suas energias naquilo que agrega valor ao seu negócio, em vez de desperdiçá-la "tratando clientes como ladrões e ladrões como clientes".

É possível proteger o código-fonte?

Não dá para impossibilitar os outros de fazerem engenharia reversa no seu programa, no máximo dá pra dificultar. Ofuscadores de código são uma boa opção, se for simples o bastante de implantá-lo junto ao seu produto. Mas isso não impedirá um atacante dedicado a descobrir como seu software funciona ou, mais simples ainda, simplesmente copiar seu código binário mesmo.

Cabe lembrar que:

  • Da mesma forma que você pode ofuscar seu código, o atacante pode ofuscá-lo novamente e/ou empregar outras técnicas para parecer que o código copiado é diferente do seu. Como provar que é o mesmo código depois? (no caso de uma ação judicial, por exemplo)

  • Você pode precisar realizar ações de diagnóstico no seu programa, depurar partes com problema, etc. Isso se torna bem mais complicado se seu código estiver ofuscado, aumentando seu custo em prestar manutenção aos clientes. Isso se o próprio ofuscador não introduzir algum bug, o que faria com que a versão "desofuscada" funcionasse, mas a ofuscada não.

É necessário para se proteger contra...

Pirataria?

Quem quer copiar seu sistema irá copiá-lo de qualquer forma, independentemente de "entender como ele funciona" ou não. As ferramentas de crack em geral atuam no próprio binário, então não há interesse da parte dos atacantes nos fontes.

Concorrentes?

Se a parte mais difícil de se comercializar um produto fosse construí-lo, então talvez essa medida se justificasse (no caso de aplicativos para dispositivos móveis, não está muito longe disso, mas não tenho experiência suficiente para comentar). Mas há muito mais envolvido: marketing, suporte, melhorar continuamente o produto a partir do feedback dos clientes, etc. Já é um trabalho bastante grande, e isso sem ter que se preocupar em ser processado a qualquer momento por violações de direitos autorais. Um concorrente sério não vai copiar seu código, ainda que você o esfregue na cara dele.

Quanto a "descobrir o que seu código faz", eu pergunto: isso é mesmo relevante? Existem segredos comerciais nele, ou tecnologias ainda não divulgadas para o público geral, coisas que só você e sua empresa sabem? Se a reposta for sim, então vá em frente e proteja. Caso contrário, não se preocupe muito com isso, provavalmente os seus concorrentes já sabem tudo o que precisam saber sobre seu sistema, o que os impede de copiá-lo nesse exato momento é o custo de oportunidade (i.e. você chegou primeiro, e já conquistou certa clientela, quem vier depois vai ter que fazer esforço extra para roubá-la de você).

Hackers?

Se seu sistema usa "segurança por obscurantismo", então pare e reveja seu design. Idealmente, os sistemas deveriam se manter seguros ainda que todos os detalhes sobre o algoritmo sejam públicos, apenas a "chave" (ou equivalente) seja secreta. Se não dá para evitar isso, tornar mais difícil ler os fontes vai parar atacantes casuais (script kiddies) mas não os mais dedicados, então leve isso em consideração ao pesar os riscos.

Clientes como ladrões e ladrões como clientes

Se seu aplicativo está numa "App Store", 95% das pessoas vão simplesmente comprá-lo, não tentar roubá-lo de você (mentira, 20% vão comprar e 75% não vão usar seu aplicativo). E os outros 5% não vão simplesmente dizer "oh, está mais difícil de copiar, acho que só resta eu comprar..." - eles ou vão desistir de vez, ou vão se esforçar um pouquinho mais (lembre-se que basta 1 pessoa crackear e distribuir para todos os outros). De uma forma ou de outra eles não são seus clientes, você não vai receber nenhum dinheiro deles, então que diferença faz se eles copiaram seu aplicativo ou não?

Por outro lado, a tentativa de aplicar DRM (ou qualquer outra medida anti-pirataria) a um sistema pode torná-lo mais lento, cheio de bugs, complicado de instalar/usar/depurar, etc. Isso prejudica seus clientes de fato, aqueles que pagaram por seu produto e esperam por uma experiência de qualidade.

Concluindo, tome sim medidas simples para proteger seu programa quando cabíveis, mas não se preocupe demais com isso. Não dependa do segredo dos fontes para a segurança. E se concentre em criar um produto melhor do que o da concorrência, em vez de ficar preocupado com a concorrência copiar seu produto tal como está agora (e não como estará daqui a 6 meses, por exemplo).

4
  • 1
    apenas a "chave" (ou equivalente) seja secreta de que chave vc está falando? e como manter algo secreto se está tudo exposto?
    – Math
    Commented 26/02/2014 às 1:49
  • 5
    @Math Falo de casos em que o sistema usa criptografia ou algo do tipo. Ver o 2º princípio de Kerckhoff. Mas se seu sistema não tem nada disso, então isso não se aplica. E sobre manter algo secreto quando o código fonte está exposto, pense num campo do tipo "senha" por exemplo: você sabe que o campo está lá, sabe como ele funciona, mas a partir disso você consegue descobrir a senha de um usuário em particular? Não. O código não é secreto, mas os dados são.
    – mgibsonbr
    Commented 26/02/2014 às 3:39
  • 1
    Mas se meu sistema usar criptografia por mais que minha chave seja secreta meu programa ainda sim a usará, correto? Por exemplo, a senha é 123, daí eu uso hash e transformo ela para xyz, a pessoa não saberá que a senha é 123 mas poderá através do fonte (que está exposto) saber como usar a chave xyz ao invés da senha para, digamos, acessar um BD. Ou teve alguma coisa que eu não entendi? Esquecendo a parte dos concorrentes, pirataria, etc.. Vc já me convenceu disso tudo, rsrs.. só me restou a dúvida da segurança dos dados.
    – Math
    Commented 6/03/2014 às 14:14
  • 2
    @Math Nesse caso a chave deve estar em um arquivo de dados (de configuração, por exemplo), e não nos fontes. Na instalação, o programa cria esse arquivo (de preferência, diferente para cada cliente). Em caso de suspeita de invasão/quebra/vazamento, somente se substitui esse arquivo, e não o programa inteiro - o que teria de ser feito se o segredo estivesse nos fontes. Naturalmente, o cliente deve proteger esse arquivo contra acesso não autorizado (no caso do Android por exemplo é tranquilo - um aplicativo não pode acessar dados privados de outro).
    – mgibsonbr
    Commented 6/03/2014 às 20:18
47

Creio que o ponto não é proteger o código-fonte em si, como muitos já disseram.

No entanto, quero ressaltar essa questão de proteger dados sigilosos. Aplicativos e sistemas robustos não deveriam usar tais mecanismos, isto é, criptografar dados de login e senha.

Primeiro porque o acesso do aplicativo seria melhor feito via um web service, por exemplo, uma API Rest.

O conceito melhor aplicável seria autenticar o usuário nessa API usando um cadastro que ele deve fazer antes de acessar o sistema, por exemplo, usando o e-mail e uma senha ou chave que ele recebe ao se cadastrar.

O aplicativo é então configurado com a conta do usuário e envia o e-mail e a chave a cada requisição que faz ao servidor, o qual então verifica se o mesmo possui acesso à função solicitada, executa a ação necessária e retorna os dados para o aplicativo, por exemplo, via Json, HTML ou XML.

Pensando num outro cenário, por exemplo, onde você faz um aplicativo para pedidos em restaurantes. Cada aplicativo conecta-se diretamente ao banco do restaurante. Nesse caso, os dados de acesso poderiam ser definidos via configuração e não fixos no código.

Não só em aplicativos para mobile, mas em qualquer sistema, eu consideraria uma má prática deixar dados de acesso hard-coded no código.

3
  • 1
    Gostei da resposta. Acho que que era essa a peça que faltava para completar a resposta da minha dúvida.
    – Math
    Commented 5/05/2014 às 18:00
  • Eu tinha focado mais na parte que você falou do webservice, onde o BD é remoto. Mas no caso de um BD local assim como no exemplo do restaurante eu não entendi muito bem. Você disse para definir acesso via configuração, seria basicamente o usuário e a senha armazenados num arquivo a parte? Qual seria a vantagem disso?
    – Math
    Commented 13/05/2014 às 22:13
  • @Math A vantagem é que os dados de acesso podem ser alterados quando for necessário. Se você vender o aplicativo, você poderia, por exemplo, exigir a alteração de senha periódica para evitar problemas de segurança. Além disso, você poderia estabelecer uma senha diferente para cada cliente e não adiantaria nada alguém descompilar o código, já que só quebraria o próprio código e não de outros clientes. Enfim, essa questão é bem complexa pois depende muito da arquitetura da sua aplicação, da forma de distribuição e do tipo de controle que você pretende exercer.
    – utluiz
    Commented 14/05/2014 às 0:58
16

Existe um ferramente nativa no Android chamada proguard. Muito simples de utilizar, faz o mesmo processo de ofuscação de código java da outras ferramentas.

Basicamente você habilita adicionando no project.properties a linha:

proguard.config=proguard.cfg

Feito isso, toda vez que você gerar um .APK clicando no projeto com o botão direito, indo em Android Tools e depois em Export Signed Application Package, o código será ofuscado. O mesmo vale para a opção Export Unsigned Application Package.

você pode utilizar um modelo do proguard.cfg que fica em na pasta de instalação do SDK tools/proguard/. nesta pasta existe dois arquivos proguard-android.txt e proguard-android-optimize.txt

Fonte e mais informações em https://github.com/exmo/equizmo-android/wiki/Ofuscando-aplicativos-Android

14

Solução para proteção código fonte


A unica alternativa que encontrei para isso é conhecida como Ofuscamento do .JAR, com ele você vai dificuldade a engenharia reversa em sua aplicação segue abaixo alguns links que explicam sobre o assunto com grandes detalhes.


Links relacionado a Ofuscamento:

  1. Dúvida relacionada
  2. Protegendo o seu código
  3. Java - Sapão
  4. Download PDF Sobre Ofuscamento
  5. Ofuscar código

Programa para Ofuscamento

Utilizo o proGuard para fazer esse ofuscamento dificultando a engenharia reversa no .JAR

Links relacionado ao ProGuard


Observação: Os links são para ajudar no entendimento sobre o assunto.

2
  • 1
    Existem ferramentas pagas que adicionam proteções mais sofisticadas, como a Arxan, mas o custo é de 5 a 6 dígitos em dólar. Pode ser interessante para casos realmente críticos como um aplicativo bancário etc.
    – epx
    Commented 25/02/2014 às 15:33
  • Uma licença de DexGuard custa 480 euros. Já é menos que os 5 a 6 dígitos em dólar. :)
    – Piovezan
    Commented 25/02/2014 às 17:46
10

Após ler as várias respostas, quero dizer que concordo com a maioria, mas, tendo eu me debatido não a muito tempo com o mesmo problema gostava de colocar alguns pontos que acho importante referir.

  1. O código Java é totalmente dependente dos binários da JVM, pelo que, para ser executado e aproveitando todas as suas características, este, será sempre dependente da JVM, logo dependente de alguém ou de algo. Não é por acaso que as multinacionais investem milhões em linguagens de programação e ou plataformas.

  2. A motivação para violar um código fonte de um qualquer software é dependente do valor que o mercado atribuí à solução e ao seu custo de licença de utilização, ou seja, mais sucesso mais investimento por quem protege como por quem "ataca"

  3. Para proteger uma solução proprietária várias podem ser as soluções mas claramente não pelo código.

Hoje uma solução de software é muito mais que um produto... A tendência é cada vez mais ser um produto com serviços ou conjunto de serviços.

Na minha opinião um sistema de licenciamento é essencial pois hoje um software é muito mais que o seu código fonte, é também um mercado especifico... e porque tudo custa dinheiro mesmo o que é de borla tem um custo, é importante conhecer o mercado que o nosso produto final de software conquista, para então se tomar decisões.

Em muitos sistemas também é importante entregar algum nível de segurança e controlo de dados e um sistema licenciamento ajuda e muito.

Ter um sistema de licenciamento não quer dizer ter o código inviolável, coloca apenas um controle sobre quem usa quando e como... As soluções tecnológicas estão aí...seja criptografia, webservices que colocam o segredo do negócio no lado dos servidores, etc.

Claro que devemos tornar a vida mais difícil a quem tente violar o código fonte e para isso, recorre ao que melhor se adequar a tua solução.

Um utilizador é sempre um potencial cliente e com isso em mente o céu é o limite.

8

Bom eu ja baixe apk e já apliquei engenharia reversa no programa dos outros para ver como eram feitos. No meu caso como sou programador de Games queria tirar algumas ideias, mas nunca peguei um código fonte na integra, apenas via o que tinha de bom e otimizava meu próprio código. Achei muita Classe que vinha no próprio java e desconhecia, colocando-o no meu projeto e agilizando o serviço. O máximo que irão fazer é tirar idéias da parte boa de seu código, só de você remover os comentários ja atrapalha bastante, pq o comentários podem ser recuperados, já as variáveis não, eles viram como var1, var2, var3... Dai tem que se deduzi o que foi feito ali.

3
  • 1
    Não sabia que o bytecode guardava comentários. Eu tenho para mim que eles são removidos durante a compilação, já que não têm utilidade nenhuma no código executável.
    – Piovezan
    Commented 25/03/2017 às 17:59
  • Testa ai: javadecompilers.com/apk e esse : javadecompilers.com você carrega o arquivo.jar e ele te devolve o codigo em uma arquivo zip
    – KlanPaia
    Commented 9/06/2017 às 3:20
  • 1
    Também utilizo da engenharia reversa para esse fim, me recordo de um momento que fiz um game como atividade da faculdade, eu compilei o projeto e momento depois não sei como perdi todos os sources kkkk a sorte foi que não utilizei nenhum ofuscador e com o Java Decompiler eu recuperei tudo, exatamente da forma como criei... Commented 3/02/2018 às 17:29
6

A melhor maneira de você proteger seu código fonte é não disponibiliza-lo para o usuário. Hospede o código fonte no servidor e forneça o acesso aos recursos apenas a usuários autenticados, um webservice.

É possível fazer uma aplicação com a plataforma Java Enterprise Edition (JEE) no backend, que possui diversas tecnologias:

  • Servlets - São componentes Java executados no servidor que tem o objetivo de gerar conteúdo (HTML e XML) dinâmico para web.

  • Java Server Pages (JSP) - Especialização de servlets que permite aplicações em Java serem mais robustas e tenham facilidades no desenvolvimento.

  • Java Server Faces (JSF) - É framework web com o padrão MVC (Model, View e Controller) baseado em Java que ajuda a simplificar o desenvolvimento de interfaces (telas do sistema) através de um modelo de UI.

  • Java Persistence API (JPA) - É uma API padrão do Java que usa o conceito de mapeamento objeto relacional, sendo utilizada para a persistência dos dados. Essa ferramenta traz muita produtividade, pois consegue desenvolver aplicações que trabalham com banco de dados sem escrever nenhuma linha SQL.

  • Enterprise Java Beans (EJB) - São componentes que executam em um container de aplicação e que oferecem a facilidade e produtividade no desenvolvimento de componentes distribuídos, transacionados, seguros e portáteis.

  • JDBC (Java Database Connectivity), utilizado no acesso e conexão ao banco de dados.

Fontes:

http://respostas.guj.com.br/51696-tecnologias-mais-utilizadas-no-desenvolvimento-de-sites-em-java

https://www.devmedia.com.br/jee-um-caminho-prazeroso-e-interessante/3747

1
  • a melhor resposta de todas, e pelo visto, a única que funciona: "A melhor maneira de você proteger seu código fonte é não disponibiliza-lo para o usuário."
    – danilo
    Commented 11/08/2019 às 18:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .