Schutz von Java-Anwendungen

Schutz von Java-
Anwendungen
Günther Fischer
Senior Consultant, Licensing and Protection
Dr. Simon Kunz
Java Security Expert
AxProtector Java

Agenda
 Java Rückblick
 Einführung: Sicherheit und Schutztechnologien für Java
 AxProtector Java
 Aktuelle Sicherheitsmechanismen
 Java 9 Unterstützung
©2018, WIBU-SYSTEMS AG. All rights reserved. - Schutz von Java-Anwendungen 2

Java Rückblick

Java und die JVM/JRE
 Java: von Sun 1995 entwickelte Programmiersprache.
 Die JVM ist eine abstrakte Maschine.
 Der Befehlssatz ist der Java Byte Code.
 Kompilierte Java Programme bestehen aus vielen Klassendateien, die Bytecode
(keinen nativen Code) enthalten.
 JARS sind ZIP-Archive mit zusätzlichem Manifest
 Bytecode wird zur Laufzeit durch Java Virtual Machine (JVM) interpretiert und
ausgeführt.
 Bytecode lässt sich einfach Reverse Engineeren.
 Klassen werden immer als ganzes von der JVM geladen.

Java – Write Once, Run Anywhere (WORA)
©2018, WIBU-SYSTEMS AG. All rights reserved. - Schutz von Java-Anwendungen
Java Program (.java)
Interpreter (JVM)
Java Compiler
JAVAC
Java Byte Code (.class /.jar)
Windows
Interpreter (JVM)
Linux
Interpreter (JVM)
macOS
…
5

Java Architektur
Classloader
Java Program
*.class Files
Bytecode Verifier
Interpreter (JVM)
Host Operating System
(Windows, Linux, macOS,..)
Java API
*.class Files
6

Java Byte Code / Native Code Kombination
Java Runtime
(Java)
Java Virtual Machine
(Native Code)
JNI
(Native Code)
C/C++ kann via JNI (Java Native Interface) genutzt werden
7

Einführung: Sicherheit und
Schutztechnologien für Java

Java und Sicherheit
 Java-Klassen lassen sich
 Leicht extrahieren
 Leicht ersetzen (auch Systemklassen!)
 Leicht modifizieren
 Der Java Byte Code ist kein „Geheimnis“
 Fazit
 Alles was in Java geschrieben ist, ist generell unsicher!

Schutzziele
 Schutz gegen Raubkopien (Lizenzierung)
 Schutz des geistigen Eigentums (Reverse Engineering)
 Schutz gegen Analyse durch Mitbewerber
 Schutz gegen Verwendung von Code
 Integritätsschutz von Daten und Code
 Schutz von Daten als Bestandteil des Produktes (Wettbewerbsvorteil)

Das Waffenarsenal der Angreifer (Java Decompiler .jar/.class -> .java)

Zahlreiche Informationsquellen

Betrachtete Optionen
 Obfuskierung
 Java2Exe (JET Engine) bzw. Exe4j
 Umwandlung in nativen Code
 Evtl. weitere Verschlüsselung durch native Tools
 Java Bytecode Verschlüsselung
 Sonstige Methoden
 Beispiel CodeMeter Core API

Java Obfuscation Tools (KlassMaster/Allatori/ProGuard….)

Java Obfuscation Tools (KlassMaster/Allatori/ProGuard….)
Java2Exe/JAR2EXE
 Excelsior JET Engine/Regex Jar2Exe
15

Prinzip Java2Exe/Jar2Exe/Exe4J
JavaCode
JavaByteCode
NativerCode
JAVAC
Compiler
Excelsior
JET
Compiler
Exe4J
Compiler
16

Zusätzlicher Schutz durch Verschlüsselung
JavaCode
JavaByteCode
NativerCode
Verschlüsselter
nativerCode
JAVAC
Compiler
Excelsior
JET
Compiler
AxProtector
Native
Exe4J
Compiler
17

Aktuelle Sicherheitsmechanismen
des AxProtector Java

Verschlüsselung
 Verschlüsselung des ausführbaren Codes vor der Auslieferung
 Entschlüsselung der benötigten Klassen/Methoden
zur Laufzeit im Speicher
Verschlüsselung
Ungeschützte
Anwendung
Entschlüsselung
AxEngine
AxEngine
19

Unverschlüsselter Code (CAFEBABE)
Magic Number Version
Constant Pool
Access Flag
this Class
super Class
Interfaces
Fields
Methods
Attributes
20

Mit AxProtector Java geschützter Code
Magic Number Version
Constant Pool
Access Flag
this Class
super Class
Interfaces
Fields
Methods
Attributes
21

AxProtector Java
 AxProtector Java
 Java 1.6
 Java 1.7
 Java 1.8
 Java 9
 Java Anwendungen
 Java Applets
 Java Servlets

AxProtector Java – Funktionsprinzip
 AxProtector Java automatischer Schutz auf Klassen/Methodenebene durch Verschlüsselung des
Bytecodes
 Flexible Lizenzierungsmöglichkeiten
 Jede Klasse wird automatisch beim Laden entschlüsselt. Dazu muss die AxProtector Runtime initialisiert
werden:
 Java-Anwendungen mit Main-Klasse => Automatisch durch Wrapper (com.wibu.xpm.Wrapper) ersetzt
 manuelles Laden durch EntryPoint

Verschlüsselung auf Klassenebene bzw. Methodenebene
Verschlüsselung auf Klassenebene
Klasse wird als ganzes verschlüsselt
Klasse wird bei Verwendung komplett geladen und entschlüsselt
class
Method 1
Method 2
Method 3
AxProtector
class
Method 1
Method 2
Method 3
24

Verschlüsselung auf Methodenebene
Methoden werden als neue Klassen extrahiert
Methoden werden erst bei Verwendung geladen und entschlüsselt
Erlaubt unterschiedliche Lizenzlisten für einzelne Methoden (IxProtector)
class
Ref 1
Ref 2
Ref 3
class
Method 1
class
Method 2
class
Method 3
referenziert
class
Method 1
Method 2
Method 3
25

Verschlüsselung auf Klassen- und Methodenebene
class
Ref 1
Ref 2
Ref 3
class
Method 1
class
Method 2
class
Method 3
referenziert
class
Method 1
Method 2
Method 3
Beispiel: Basis-Lizenz Feature-Lizenzen
26

Die drei Arten der Verschlüsselungskonfiguration
 Annotationen im Source Code
 AxProtector GUI
 xml-Konfigurationsdatei

Annotationen im Source Code
 @Protected (licenseList=0)
 @Unprotected
 @EntryPoint

AxProtector GUI

xml - Konfigurationsdatei

Fallen (‘traps’) in einer Java Anwendung
 Wird eine als Falle deklarierte Klasse oder Methode entschlüsselt, wird die
Lizenz gesperrt: Firm Access Counter  0
 Einfügen von Fallen: Manuell oder automatisch

Manuelles Einfügen über Annotation:
class
Ref 1
Ref 2
Ref 3
class
Method 1
class
Method 2
class
Method 3
referenziert
class
Method 1
Method 2
Method 3
trap
@Trap
private static void Method3() {
}
32
Beispiel-Referenzierung:
if (tax > 100%) {
Method3()
}

Automatisches Einfügen durch Kommandozeilenoption
Zum Beispiel fügt
-trap1:70
zu ca. 70% der verschlüsselten Methoden Fallen hinzu class
Ref 1
Ref 2
Ref 3
class
Method 1
class
Method 2
class
Method 3
class
Method 1
Method 2
Method 3
Ref 4
class
Method 4
AxProtector summary output:
33

Verschlüsselung des Konstantenpools (Option –caa1)
 Konstante Einträge der Datentypen String, int und long im Konstantenpool bleiben durchgehend verschlüsselt
 Entschlüsselung erfolgt bei Bedarf.
Anschaulich:
 Schlüssel ändern sich dynamisch
String a = “Hello World!”;
String a = “ut3ilspNQ”;
a = decrypt(a);
Nativer
Funktionsaufruf
Bytecode
Konstantenpool
Java Klasse
34

Verschlüsselung des Methodenkonrollflusses (Option –caa2)
class
Ref 1
Ref 2
Ref 3
class
XYZ
class
YZF
class
LQZ
class
Method 1
Method 2
Method 3
Verschlüsselt die Zuordnung zu den extrahierten Methoden
Programmfluss kann nicht mehr nachvollzogen werden
35

Namensobfuskierung
 Anwendbar auf
• Klassen
• Methoden
• Felder
• Packages
• Lokale Variablen
 Individuell für Klassen und Methoden steuerbar
 Auf verschlüsselte und unverschlüsselte Klassen/Methoden anwendbar
Beispiel:
36

Individuelle Namensobfuskierung via AxProtector GUI
Beispiel:
37

Integritätsprüfung
 Schutz vor Manipulation von .class Dateien
 Individuell für Klassen und Methoden steuerbar
 Auf verschlüsselte und unverschlüsselte
Klassen/Methoden anwendbar

CodeMoving
 CodeMoving: Verschlüsselter Code wird ausschließlich im CmDongle
entschlüsselt und ausgeführt
 Nur mit Universal Firm Code (UFC)
 Nur mit CmDongles 3-xxx, kein CmActLicense
 Nur lokal, nicht über LAN
Method Code
Ergebnis
39

CodeMoving
 CodeMoving Code muss derzeit in C geschrieben werden
 CodeMoving Funktionalität wird bereits unterstützt
 Derzeit wird an Automatismus zur Codeübersetzung geforscht
Java
AddIntegers.c
Keine echte Programmlogik im Java Code.
 Wird vom AxProtector durch CodeMoving Aufruf ersetzt
40

Java 9 Unterstützung

Java 9 Unterstützung
 Einführung von Modulsystem Jigsaw
 Jar Dateien können modularisiert erstellt werden: Modulare Jars mit zusätzlicher Rechteverwaltung
 AxProtector Java unterstützt die Verschlüsselung modularer Jars
Module.jar
AxProtector
Module.jar
com.wibu.xpm.jar
42

Deutschland: +49-721-931720
USA: +1-425-7756900
China: +86-21-55661790
http://www.wibu.com
info@wibu.com
Vielen Dank für Ihre Aufmerksamkeit!

Schutz von Java-Anwendungen

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie Schutz von Java-Anwendungen

Ähnlich wie Schutz von Java-Anwendungen (18)

Mehr von team-WIBU

Mehr von team-WIBU (20)

Schutz von Java-Anwendungen