7

Bom, eu estou trabalhando em um sistema SaaP (PHP/CodeIgniter + MySQL).

Inicialmente a idéia seria efetuar o deploy do sistema na hospedagem de escolha do cliente . Todo o processo de "instalação" seria realizado pela minha equipe, de forma que ela não teria contato direto com o código do sistema em si.

O fato é que me peguei pensando, o que impediria um dos meus clientes de contratar um desenvolvedor obscuro e pedir que ele pirateie o código? Dessa forma o cliente poderia repassar para os "amigos" ou até mesmo revender por um valor extremamente baixo.

É claro que do ponto de vista jurídico, a integridade do meu sistema pode ser protegida, mas sabemos que apenas isso não inibe pessoas mal intencionadas.

Bom, queimei um fosfato pensando em tudo acima e cheguei a basicamente uma solução, que não é 100% eficiente ou prática, mas foi o que pensei.


Solução

Criar uma classe central que conectasse com um servidor externo (no caso meu) e, em um esquema tipo token, enviasse um hash (do cliente) que havia sido gerado no momento da compra e assim comparado com o banco de dados do meu servidor. Caso o hash fosse inválido, a classe impossibilitaria o sistema de rodar.

Ilustração: inserir a descrição da imagem aqui

O problema é que qualquer desenvolvedor mal intencionado poderia facilmente abrir a classe e modificá-la para que essa verificação não fosse feita.

Então, a dúvida continua:

Alguém conhece algum método ou teoria que poderia ser aplicada na prevenção da pirataria de códigos/sistemas PHP?

5
  • 3
    Proteção imbatível contra usuários mal intencionados: do not deploy Commented 30/01/2014 às 13:25
  • Faz anos que não trabalho com PHP, mas será que soluções como o Zend Guard, ionCube e afins não resolveriam seu problema?
    – serathiuk
    Commented 30/01/2014 às 13:32
  • 3
    Se você entrega uma solução ao cliente, você já entregou o código fonte. Se for script é diretamente visível, se for compilado pode ser descompilado. Por fim, qualquer forma de obfuscação de código é apenas uma falsa segurança, pois uma pessoa dedicada é capaz de realizar engenharia reversa independente disso. Se você quer manter o seu "segredo industrial" um segredo, hospede sua solução fora do parque de máquinas do cliente. Commented 30/01/2014 às 13:34
  • @Renan comentário sobre o Brasil foi mal colocado, de fato não é só um problema local. Editado.
    – Kazzkiq
    Commented 30/01/2014 às 13:39
  • @Kazzkiq editei meu comentario também. Commented 30/01/2014 às 13:39

5 Respostas 5

8

De uma forma ou de outra, se a sua aplicação estiver hospedada onde o cliente escolher, ele vai ter acesso. Uma opção válida é você extrair o core do seu sistema, ou seja, a parte que realmente importa para um API, e disponibilizar para o cliente apenas o client que vai consumir a sua API. Dessa forma você pode utilizar vários tipos de validações para que o mesmo possa utilizar seu sistema, sem expor para o seu cliente qualquer código que possa colocar seu negócio em risco.

6

Se você quiser realmente esconder seu código, o cliente não pode ter acesso ao servidor.

Faça você mesmo a hospedagem do serviço.

3

Você pode obfuscar o código da classe que faz a verificação (ou o sistema todo).

Existem várias soluções (pagas e gratuitas) como o PHPProtect, PHPEncode e o Zend Guard que fazem a obfuscação de código.

2

Ofuscação de código com ZendGuard ou IonCUBE pode te oferecer uma segurança básica para usuários comuns. Entretanto é válido lembrar das dezenas de "desofuscadores" que são criados diariamente. O método mais seguro sem dúvidas seria manter toda a aplicação em seu próprio servidor, pois não conseguirá um nível de segurança em relação a acesso a código (principalmente em PHP) mantendo no host cliente.

1

O que você pode fazer é "compilar" o código para rodar em uma VM HipHop (HHVM). Essa prática é cada vez mais comum (para os mais diversos propósitos) e pode ser que sirva para o que você quer.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .