Ofuscação de Código ou Ofuscamento de Código é o nome dado a uma tentativa deliberada de fazer um código de programação tornar-se difícil de entender por outras pessoas.
Ofuscação de Código ou Ofuscamento de Código é o nome dado a uma tentativa deliberada de fazer um código de programação tornar-se difícil de entender por outras pessoas. Isto é feito pela adição de código não destrutivo e irrelevante como redundâncias de código, uso de nomes de variáveis sem sentido, códigos de resultado nulo, entre outras técnicas, produzindo um código confuso e ilegível, mas com a mesma funcionalidade de uma versão eficiente do programa. Evitam- se, assim, muitas das regras básicas de legibilidade de código como variáveis bem nomeadas, comentários adequados e outros recursos. Em geral, a ofuscação é feita por diversos motivos : ocultar a finalidade do código, impedir possíveis alterações (segurança pela obscuridade), impedir a violação de direitos reservados através da alteração e cópia, dificultar Engenharia Reversa ou mesmo como um meio de diversão e desafio para oferecer a quem lê o código-fonte. Um exemplo de uso típico é a ofuscação do código JavaScript : como os scripts da linguagem rodam no lado cliente, o usuário tem acesso ao código-fonte a ser executado. Desta forma, para evitar a cópia, o desenvolvedor opta por tentar ocultar parte do código. Outro uso comum da Ofuscação do Código é sua utilização para disseminação de código malicioso que seja imperceptível ao usuário.
A ofuscação de código pode ser realizada de forma manual, mas existem também programas de computador que transformam um código comum em um código ofuscado através de uso de algoritmos convenientes. Neste sentido, também existem programas chamados de "desofuscadores" que implementam uma série de análises e algoritmos para retirar as informações irrelevantes de um código, trazendo sua versão mais objetiva. As principais desvantagens do ofuscamento de código é que ele não torna seu código completamente protegido, já que não há técnica que seja impossível de ser quebrada. A ofuscação de um código pode tornar sua compilação ou execução mais demorada do que em um código comum, além de aumentar consideravelmente o seu tamanho. Além disto, alguns softwares de anti-vírus podem alertar sobre um determinado programa que utiliza código ofuscado.Muitas organizações podem incentivar o uso de ofuscação de código como um meio de proteger seu código de manipulação alheia, principalmente quando instalam aplicações no ambiente de uma outra organização que contrata seus serviços. Algum cuidado deve ser tomado pelas produtoras de software, já que a técnica pode ser utilizada por alguns desenvolvedores como uma forma de fraudar uma organização caso o desenvolvedor seja de alguma forma descartado. Há situações em que desenvolvedores ocultam bugs no sistema de forma deliberada que podem ser acionados quando conveniente ao desenvolvedor. Desta forma, a padronização do método como o software é construído por todos os desenvolvedores de uma organização, deve ter uma maior ênfase. Já empresas que contratam softwares de terceiros, devem tomar cuidado pois diversas produtoras de software utilizam a ofuscação de código para evitar que o software seja copiado pela empresa contratante e que a contratante posteriormente descarte a produtora de software. Nestes casos é conveniente que a organização que contrate um empresa de desenvolvimento de software defina se possuirá direito ao acesso ao código-fonte do software contratado: se sim, deve ser estabelecido de forma adequada que o software será disponibilizado de forma amigável e legível para a contratante.
Técnicas básicas para ofuscação de código
As técnicas de ofuscação podem ser estáticas ou dinâmicas. As mudanças estáticas podem incluir a alteração da formatação do programa, alteração dos nomes das variáveis e inclusão de código inútil, sendo que estas técnicas são implementadas na escrita do código-fonte . As técnicas dinâmicas buscam alterar o código durante o tempo de execução.
Algumas técnicas básicas de ofuscação de código incluem:
- Usar nomes de variáveis cuja função não seja de fácil percepção por parte de outra pessoa. Exemplo: ao invés de utilizar o nome de soma para uma variável que irá receber o resultado de uma soma, você pode utilizar nomes como v1, x, ghdjs ou mesmo subtracao.
- Declarar variáveis e constantes que não sejam utilizadas durante o programa. Se, por exemplo, só são utilizadas duas variáveis no programa, declarar mais duas pode confundir aquele que deseja analisar o código-fonte.
- Em linguagens em que não há necessidade de dividir o código em diferentes linhas (como C, Java, PHP e afins) , todo o código de um programa pode ser feito em uma mesma linha.
- Inserir código auto-suficiente com efeito nulo dentro da programação normal. Por exemplo, um while que não muda variáveis importantes do programa ou uma chamada de função que não possui funcionalidades internas.
Fonte: Revista Brasileira de WEB