Bezpieczeństwo

Inżynieria Wsteczna – co to takiego?

Inżynieria wsteczna, odwrotna, programowanie zwrotne – co to takiego?

Jest to proces badania aplikacji w celu ustalenia jej działania, a w konsekwencji stworzenia odpowiednika. Jest to jedna z technik wykorzystywana podczas przeprowadzania audytu bezpieczeństwa aplikacji.

Jedną z technik inżynierii wstecznej jest dekompilacja czyli przekształcanie kodu maszynowego do języka wyższego poziomu. Warto jednak zaznaczyć, że dekompilacja nie odtwarza kodu źródłowego sprzed jego kompilacji. Odtwarza pewną postać źródłową programu w języku wyższego rzędu.

Jak się zabezpieczyć?

Aby zabezpieczyć naszą aplikację przed potencjalnym atakiem poprzez jej modyfikację powinniśmy jakoś tę czynność utrudnić ewentualnemu „napastnikowi”.

Jedną z technik ochrony przed stosowaniem inżynierii wstecznej jest obfuskacja kodu.

Obfuskacja czyli zaciemnianie kodu jest to technika przekształcania programów tak aby utrudnić ich zrozumienie zachowując przy tym semantykę. Wyróżniamy kilka typów obfuskacji: transformacja wyglądu, transformacja danych, transformacja kontroli.

Transformacja wyglądu – zmiana nazw zmiennych i funkcji, zmiana formatowania, usuwanie komentarzy.

Transformacja danych – rozdzielanie zmiennych, konwersja statycznych danych do procedury, zmiana kodowania, zmiana długości życia zmiennej, łączenie zmiennych skalarnych, zmiana realizacji dziedziczenia, rozłam/łączenie tablic, zmiana porządku instancji zmiennych / metod / tablic.

Transformacja kontroli – zmiana przebiegu, rozszerzenie warunków pętli,  zmiana kolejności komend / pętli / wyrażeń, metody inline, ogólnikowe wyrażenia, klonowanie metod.

Obfuskacja a minifikacja

No właśnie. Gdzie właściwie tkwi różnica? Czytając definicje obfuskacji i minifikacji można mieć wrażenie, że właściwie to to samo. I właściwie tak jest. Efekt obfuskacji i minifikacji często jest podobny jednak różnica pomiędzy tymi pojęciami tkwi w celu. Celem obfuskacji jest zaciemnienie kodu i utrudnienie jego czytania. Celem minifikacji jest zmniejszenie rozmiaru aplikacji.

Przykładowe narzędzia do obfuskacji kodu:

  • Java: ProGuard, JODE, JavaGuard, DexGuard
  • .NET: Obfuscar
  • JS: javascript-obfuscator, grunt-javascript-obfuscator
  • PHP: php-obfuscator, php-packer

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Wyloguj /  Zmień )

Zdjęcie na Google

Komentujesz korzystając z konta Google. Wyloguj /  Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Wyloguj /  Zmień )

Zdjęcie na Facebooku

Komentujesz korzystając z konta Facebook. Wyloguj /  Zmień )

Połączenie z %s