3

Queria saber se existe alguma forma de gerar uma chave de segurança que fique atrelada ao nome do computador em que esta hospedada a aplicação.

Pra que isso ? Pra que se por acaso uma pessoa maliciosa tentar "roubar" o sistema e hospedá-la em outro server não tenha como iniciar a aplicação, pois como o nome do computador é diferente, restringiria o uso do meu sistema.

Por acaso existe alguma forma de gerar essa chave ? Se não, como que eu poderia "fechar" o sistema pra um computador específico ?

3 Respostas 3

5

Éric, existe muita confusão na área de cryptografia e segurança. Acho que até a sugestões foram boas, mas acredito que podem existir falhas graves aí. Pegar o MAC não me parece uma boa solução.

A resposta para as perguntas de segurança (e não criptografia) sempre começam assim?

  1. Quão desejável é minha aplicação e meus dados? Valeria a pena roubar meu código e meu banco de dados? Se sim, o quanto tempo e recursos valeria a pena "investir nisso"? Exemplo.: Você guarda senhas sem encriptação, dados de cartão ou informações confidenciais de usuários? Se sim, você deve ficar bem preocupado.

  2. Baseados na resposta acima, que tipo de pessoas iriam tentar roubar minhas informações?

  3. Elas estariam interessadas em meus algoritmos ou em meu banco de dados?

Se a sua resposta é que os dados são desejáveis o suficientes para criminosos de alto escalão, pode ter certeza que encriptação do MAC não é a solução. Muitos dos servidores disponíveis usam máquinas virtuais, o que seria realmente muito fácil clonar MACs físicos.

A verdade é que a pergunta que você fez é a mesma pergunta feita por empresas de segurança do mundo inteiro, e mesmo assim elas continuam a cair sob ataque. Falo isso porque a questão é realmente séria. Não é difícil você pegar um código .NET e "descompilar". Há ofuscadores de código. Eles conseguem disfarçar muito bem a lógica da sua aplicação, mas não a segurança (encriptação) que você usa. Eles não tem poder de mudar suas senhas... somente tentar escondê-las em algum lugar melhor.

A resposta de forma simples, você não está segura em nenhuma maneira hospedando seu site em um provedor de informações que não seja seu próprio. Por maior que seja a segurança no servidor, em geral a chave é tentar usar sua senha de acesso. Ter o seu próprio exige profissionais qualificados no assuntos, mas acaba sendo bem mais fácil.

Voltando as perguntas acima, se o que há de mais valioso é seu código, invista nele. Use formas de ofuscar (.Net Obfuscator?). Para ter um controle um pouco mais simples, você poderia um site com IP fixo e que não seja compartilhado com outras aplicações no mesmo servidor (estranho, mas não seria impossível alguém conseguir hospedar um outro site no mesmo servidor e conseguir a resposta do IP). Daí toda vez que seu sistema iniciar, você poderia verificar qual é o seu IP atual perguntando a servidores externos e internos por seu IP. Seu servidor externo conseguiria verificar com confiabilidade se o IP da chamada é o dos servidores a seu alcance.

Aí entra finalmente a criptografia. Você poderia mandar uma resposta criptografada autorizando a execução da sua aplicação. Lembre-se de mudar constantemente com o tempo a chave de sua criptografia (a cada 1 mês mais ou menos), fazendo deploys em seus clientes, atualizando tanto o seu servidor externo quanto o das aplicações. Mesmo que alguém conseguisse tomar posse de todo arsenal para "copiar" seu código, não seriam hábeis o suficiente de descriptografar as sequências a tempo de um novo deploy.

Se as informações importantes estiverem no banco de dados, a conversa precisa ser totalmente outra.

2
  • 2
    Eu discordo apenas da parte sobre ofuscação, mas de resto +1, e esta deveria ser a resposta marcada como correta. Commented 26/11/2014 às 12:30
  • 1
    Excelente resposta! Muito boa mesmo. Em dias atuais não tem como ser 100% seguro. Mas respondendo as questões. Não que meu sistema seja uma mina de ouro. Longe disso. Nem guardo informações tão sensíveis dessa forma. Apenas um sistema de ocorrências com seus alunos e usuários. Somente. A minha intenção é somente proteger o projeto de intencionais roubos do meu código pra que outro lugar use como se eu que tivesse vendido. A questão é somente essa. Após o deploy, a pessoa não consiga pegar meu código na pasta inetpub, copiar e colar em outro servidor IIS. Mas parabéns, muito boa a resposta ! Commented 26/11/2014 às 12:43
4

O nome do computador pode ser replicado na máquina "pirata". Na verdade, qualquer característica da sua máquina pode ser "clonada" por um hacker com tempo livre suficiente nas mãos. Mas se quiser mesmo complicar para o pirata, use algo que deveria ser realmente único para o seu computador. O endereço MAC da placa de rede é um bom começo.

Você pode tentar algo do tipo guardar um hash desse endereço no sistema. Toda vez que a aplicação for iniciada, você faz um hash do endereço MAC atual e compara o resultado. Se bater, a aplicação continua. Senão, você faz o que achar mais conveniente para atrapalhar a vida do hacker.

Esse tipo de proteção não é perfeito. Na verdade é bem falho. Isso pode impedir que o seu programa seja copiado e reutilizado se o hacker em questão for um garoto de 12 anos que acabou de descobrir o que são PHP e injeção de SQL. Se eu tivesse o seu programa em mãos e uma vontade muito grande de rodá-lo em outra máquina, eu faria um disassembly do executável e de quaisquer bibliotecas carregadas. Na hora que eu encontrasse a função que faz o hash, eu não iria atrás nem de tentar um ataque de colisão - só faria um bypass do método de autenticação e pronto.

Se você quer realmente proteger seu sistema, a forma mais segura atualmente é hospedá-lo na web e fornecê-lo como serviço ;)

2
  • Na verdade o ASP.NET MVC é bem protegido contra injection se as práticas padrão são utilizadas. Concordo com a parte do disassembly, mas se ele quer mesmo distribuir o código, a criptografia do endereço MAC já dificulta bastante o trabalho do Hacker. Commented 25/11/2014 às 19:56
  • Concordo com tudo que você disse @Renan. Muito útil. Eu já estava pensando futuramente em colocar minha aplicação na web e oferece-la como serviço. Commented 25/11/2014 às 21:02
2

Você pode gerar uma chave SHA1 usando como semente para a geração o endereço MAC (físico) do adaptador de rede da máquina. O processo é muito seguro porque dificilmente a pessoa que roubar seu sistema conseguirá clonar também o endereço físico do equipamento porque precisa ter acesso a ele de alguma forma.

O algoritmo de codificação em SHA1 é o seguinte:

private string GetSHA1HashData(string data)
{
    SHA1 sha1 = SHA1.Create();

    byte[] hashData = sha1.ComputeHash(Encoding.Default.GetBytes(data));

    StringBuilder returnValue = new StringBuilder();

    for (int i = 0; i < hashData.Length; i++)
    {
        returnValue.Append(hashData[i].ToString());
    }

    return returnValue.ToString();
}

Para obter o primeiro endereço físico do seu equipamento de rede, use o seguinte método:

private string GetMacAddress()
{
    string macAddresses = string.Empty;

    foreach (NetworkInterface nic in NetworkInterface.GetAllNetworkInterfaces())
    {
        if (nic.OperationalStatus == OperationalStatus.Up)
        {
            macAddresses += nic.GetPhysicalAddress().ToString();
            break;
        }
    }

    return macAddresses;
}

Por fim, o uso é da seguinte forma:

var chave = GetSHA1HashData(GetMacAddress());

Tendo a chave gerada, basta inventar um mecanismo de licenças que compare os dois hashes:

if (chave == chaveVindaDoBancoOuDoWebConfig) {
    // Liberar uso
} else {
    // Emitir mensagem falando de problema na licença.
}

Aí vai da sua preferência guardar o hash:

  • Guardar no arquivo Web.config (menos seguro);
  • Guardar no banco de dados (um pouco mais seguro).
1
  • Por favor evitem longas discussões nos comentários; a conversa de vocês foi movida para o chat
    – Maniero
    Commented 1/03/2017 às 20:05

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .