16

Tengo una duda muy grande. He visto una herramienta para descompilar código Java, el cual devuelve todas la clases con todo el código fuente, incluso los datos de la conexión a la base de datos.

¿Cómo podríamos proteger nuestro código ante una herramienta así, que a partir de un .jar es capaz de devolver todo el código fuente?, ¿Cómo protegeríamos nuestro software hecho con un lenguaje tan popular?

5
  • 7
    ¿Cuál es tu objetivo al decir "proteger"? Probablemente estas tratando de solucionar el problema equivocado. Por ejemplo las cadenas de conexión no deben estar harcodeadas en tú código fuente. Commented el 13 ene. 2016 a las 18:30
  • 1
    Si lo que te preocupa son los datos de conexión a base de datos, son éstos los que deberían estar protegidos, mediante los permisos que ofrezca tu sistema operativo. Además, las credenciales que uses para acceder a base de datos deberían tener sólo acceso a lo mínimo posible, no a toda la base de datos.
    – ninjalj
    Commented el 13 ene. 2016 a las 18:37
  • ¡Óptima pregunta! :)
    – Math
    Commented el 13 ene. 2016 a las 19:56
  • Con proteger me refiero a eso, un codigo binario compilado se puede revertir y obtener el codigo fuente, evitar eso para mi es proteger el codigo y no necesariamente tiene que ver con el acceso a la base de datos.
    – Willywes
    Commented el 13 ene. 2016 a las 23:03
  • Llegué aquí buscando una respuesta para la misma pregunta, pero veo que es una desventaja que tiene Java, en C++ y .NET de Microsoft se puede hacer una dll, bien para registrarla en Windows o para usarla portablemente, lamentablemente Java solo puede leer dlls registradas en Windows y las generadas en .NET da un error del que nadie he visto que da una solución, ademas que esto es un problema de portabilidad. Siempre me pregunto por qué dicen que Java es lo mejor cuando no lo es por este tipo de inseguridades.
    – Ejrr1085
    Commented el 17 dic. 2018 a las 16:49

7 respuestas 7

16

La protección total es imposible si es código que se ha de ejecutar en una máquina que no controlas.

Hagas lo que hagas siempre existe la posibilidad de usar ingeniería inversa; lo cual permitirá descubrir cómo funciona tu programa y los datos que contiene.

Poderosas corporaciones han intentado proteger el código de sus productos con técnicas como los binarios cifrados y certificados. Para ver como sus esquemas acaban siendo derrotados como parece ser es el reciente caso de los hacks para PS4 en Brasil.

Lo cual no quiere decir que no se pueda hacer nada. Mediante técnicas como la ofuscación del código es posible dificultar la labor de ingeniería inversa.

Aquí tienes una lista de software de ofuscación : Open Source Obfuscators in Java

3
  • gracias voy a mirar el tema de los ofuscadores, aunque tambien hay forma de revertirlos.
    – Willywes
    Commented el 13 ene. 2016 a las 23:01
  • En este caso se puede poner como ejemplo DRM y otros, muchos métodos de control para evitar la piratería, y se los saltan en pocas semanas.
    – SalahAdDin
    Commented el 24 ene. 2016 a las 5:24
  • lo mas cercano para evitar que se conosca como funciona un codigo es mediante el uso de Servicios web donde el procesamieto y el codigo queda del lado de un servidor. pero de nuevo esto simplemente retrasa que una persona con suficiente conocimiento infiera como funciona el metodo web. Commented el 19 dic. 2018 a las 1:37
3

Maneras de proteger la aplicación hay muchas, pero, hoy en día las aplicaciones se hacen básicamente en tres capas:

  1. La interfaz: Esto es lo que ve el usuario y la lógica es apenas existente ya que la interfaz lo que hace es pedirle algo a un servicio y ese servicio es quien ejecuta la lógica.
  2. El servicio: Aquí es donde las cosas fuertes ocurren. Este llama a una base de datos, hace las transformaciones de la información, la información se procesa y le hace llegar a la interfaz lo que necesita.
  3. La base de datos: El servicio tiene acceso a partes concretas de ésta, no necesariamente a la totalidad.

De esa manera, tienes que lo único que haces disponible al usuario es la interfaz, en forma de sitio web o aplicación... y por mucho que le hagan ingeniería inversa lo más que alcanzarán a ver es que esta aplicación hará llamadas al servicio, pero nunca verán la lógica de negocio, ni sabrán cual es la ubicación física de los datos, ni ningún tipo de configuración, salvo por el token de aplicación.

Ahora, que si tu aplicación no se presta para ser distribuida de esta manera, haría lo que dijo Jose Antonio, ofuscar código y esperar lo mejor.

6
  • No se como se podria separar todo y dejar solo la interfaz, osea conosco el MVC, DAO y DTO pero siempre dentro del mismo jar. por lo cual los datos siguen expuestos.
    – Willywes
    Commented el 13 ene. 2016 a las 22:59
  • 1
    Imagino que Omar se refiere a partir la aplicación en un modelo cliente servidor donde solo entregas el cliente y el servidor no lo entregas nunca sino que se ejecuta en tus máquinas. Commented el 13 ene. 2016 a las 23:45
  • Como seria eso en un app de escritorio?, probe el ofuscador y es un parche pero no me parece una solucion real
    – Willywes
    Commented el 14 ene. 2016 a las 1:53
  • 1
    @Willywes Sin conocer tus requisitos no podemos hacer nada. En todo caso, si tu aplicación está conectándose a una base de datos remota directamente, lo mejor sería introducir un servidor web intermedio (el "servicio" de esta respuesta). Hay servicios por la red que te permiten crear este tipo de intermediarios muy fácilmente para aplicaciones móviles/escritorio, como Parse (prometo que no tengo afiliación, pero es el único que conozco).
    – Darkhogg
    Commented el 14 ene. 2016 a las 8:22
  • @Willywes en java, utilizando las librerías estándar puedes hacer una aplicación EJB, en donde creas un cliente (que sería tu app de escritorio y que se conectaría a un servidor), tendrías también un contenedor (WildFly, Weblogic o algo parecido) de aplicaciones que ejecutan los servicios y se conectan a la base de datos. De esta manera el cliente tiene interfaces, nunca clases, solo las de la gui.
    – Omar
    Commented el 14 ene. 2016 a las 15:57
3

Proteger el código no tiene nada que ver con la programación en capas; es cuestión de ofuscar el código fuente.

Por defecto, cuando construyes un JAR, generalmente solo se empaquetan los .class que serán interpretados por la JVM. Sin embargo, también se pueden empaquetar el código fuente de forma directa, mediante archivos .java.

Aunque el JAR solo contenga archivos .class, estos pueden ser decompilados con herramientas como JD-GUI.

Puedes ofuscar el código por nombre, o encriptar el bytecode (aunque impacta un poco en el performance).

Puedes ver una lista de técnicas para proteger el fuente aquí

1

La ofuscación en Java trae más problemas de los que resuelve, de momento, antes de que salga Java 9 la mejor opción es para empezar, usar un compilador Ahead of Time como por ejemplo Excelsior JET.

Este tipo de compiladores realmente compilan el código Java, introduciendo optimizaciones en tiempo de compilación y generan un código binario ejecutable, el cual su puede proteger con técnicas más convencionales como el uso de packers como el Ultimate Packer.

1

Prácticamente yo utilice Proguard para ofuscar mi código. https://www.guardsquare.com/en/proguard

Siguiendo los siguientes pasos:

  • Genere un pequeño proyecto en Java construida de la siguiente forma. Nombre Clase Servidor.java donde aquí genere mi método main .

En este caso yo estaba realizando un servidor para que me conectara a una base de datos a MySQL.

  • Posteriormente Genere mi jar. en el IDE eclipse.

Los pasos de ofuscación son los siguientes:

1.- Genere un archivo.bat donde agregue la siguiente información.

set CLASSPATH=%CLASSPATH%;retroguard.jar;
java RetroGuard Servidor.jar ServidorOfuscado.jar propiedades.rg

Nota: cree una carpeta donde almaceno el .jar del proyecto que cree, el archivo retroguard.jar y el archivo propiedades.rg.

Donde: propieades.rg

Son los archivos de configuracion al momento de ofuscar nuestro codigo. https://www.guardsquare.com/en/proguard/manual/examples#native

Estos pasos son para agregar una libreria externa al Class-Path en este caso el driver de MySQL.

cree una carpeta lib donde agregue el driver de mysql.

  • Abrí mi proyecto .jar generado y arrastre la carpeta lib a la raiz del jar.
  • cuando se genera el .jar por defecto te genera una carpeta de nombre META-INF.
  • Abres la carpeta y editas el archivo MANIFIEST.MF. de la siguiente manera.

    Manifest-Version: 1.0

    Main-Class: Servidor

    Class-Path:lib/mysql-connector-java-5.1.45-bin.jar

0

Las aplicaciones de escritorio siempre acaban hackeandose. La prueba son los cracks o cd-key ilegales que salen para los mejores programas de escritorio más populares: paquete office, paquete adobe photoshop, autocad, etc.

Luego están los sistemas distribuidos en cliente y servidor. Estos son más difíciles, y por lo tanto mucha menos gente tiene acceso a ellos. Y por lo general, los resultados de estas intrusiones no son puestas al público alegremente. Ejemplos son los robos a cuentas bancarias. Pagos en plataformas online con tarjetas de crédito o débito piratas, etc. Los que son capaces de hacer esto no te venden tarjetas prepago con 1000€ por 20€. Diréctamente las usan ellos. Y son casos muy, muy especiales en el mundo y a lo largo del tiempo. Últimamente ni siquiera se escucha que sucedan. Eso significa que los bancos han incrementado sus medidas de seguridad. Tal y como he escuchado, han puesto 3 capas de seguridad en el lado del servidor. No se exactamente qué significa eso, pero los robos a los bancos de manera electrónica han parado. Cuando hace unos años se escuchaba sobre ellos, ya no se escuchan.

El único código que hasta la fecha nadie ha conseguido obtener en la historia de la informática es el código del motor de búsqueda de google.

Por lo tanto, esta es la prueba de que para proteger un código lo mejor es no entregar al cliente el código en forma de programa empaquetado con todo. Sino darle al cliente única y exclusivamente una interface. Dejando la parte más importante del código tras barreras remotas. Sin embargo, esto tiene su complejidad.

A más seguridad para tu código, más trabajo en proporcionar esa seguridad. Y por lo tanto la pregunta más importante es: ¿Cuanto vale tu código para ti? No lo que creas que los demás vayan a querer, sino lo que tú valores tu trabajo. Y en base a eso, ponerle más o menos seguridad.

Si te compras un coche común y de segunda mano le pones un tipo de seguridad. Si te compras un ferrari de los más exclusivos únicamente accesible a cuentas multimillonarias... pues no lo vas a proteger sólo con la barra que une el volante y el acelerador. Querrás un sistema de seguridad más avanzado. Como por ejemplo un arranque remoto en el que un servicio de seguridad te arranca el coche remotamente, necesitando hablar por teléfono con un agente que te pedirá una contraseña hablada, y que además te analiza la voz para ver si es la misma voz y si esta contiene estados de estres o no.

Pues lo mismo pasa con tu código. A más valores tu código, más esfuerzo habrás de ponerle en protegerlo. Puede llegar a ser inviolable, pues la prueba está en el código del motor de búsqueda de google, que no tengo ni idea del modo de protección, o en los sistemas actuales bancarios de triple capa. O incluso ahora mismo se me ocurre el tema de las cripto-monedas. Pero el desarrollo de estos niveles de protección cuesta más trabajo que la gran mayoría de códigos a proteger.

Sin embargo, hay un primer paso que te reducirá muchísimo la cantidad de "ladrones de código", y aunque únicamente con este paso seguirá habiendo mucha gente capaz de seguir teniendo acceso a tu código, ya habrás reducido muchísimo, muchísimo esta cantidad. Y el paso es el comentado por los compañeros: Dar los servicios a través de un servidor web, y que el cliente única y exclusivamente tenga una interfaz. Pero ya puestos a hacer esto... lo más cómodo para tí y también para el cliente es que esa interfaz esté en una web. Actualmente se están llevando muchos programas de escritorio a la web. Mísmamente ORCs enteros (programas de facturación, control de stock, etc) Algo así como un facturaplus a través de internet. Esto reduce muchísimo la cantidad de personas capaces de acceder a tu código. Luego siempre puedes investigar como implementar más sistemas de seguridad. Pero esto ya se convierte en un tema muy poco conocido, y en este foro no creo que se de respuesta a ello. Si quieres acceder a estos conocimientos, mejor busca por google libros sobre seguridad informática.

Edito: Hay números que los ordenadores no pueden computar. Son tan grandes que son incapaces de calcular. En este video hay una conferencia sobre esto: https://youtu.be/EtSN8GGBwsM

Resumiendo: una operación muy simple: suma 1+1 después de suma, tenemos la suma de sumas (multiplicación) así que multipliquemos el segundo número natural (2x2) Después de la multiplicación tenemos la multiplicación de multiplicaciones (potencia), así que cojamos el siguiente número y hagamos potencia de él (3 elevado a 3)... y así, los resultados de esta serie van creciendo. Hay otras series capaces de crecer muchísimo más rápidamente. (Las explica en el vídeo) con distintas notaciones, etc. Bien, llegamos a tener algunas series que crecen tan tan tan deprisa que el 4º número de esa serie hay ordenadores que llevan años calculándolas y aún siguen. Y debido a que hay problemas que los ordenadores se tiran años para resolver sus cálculos, es posible también crear sistemas de encriptación de datos para los que desencriptar dichos datos se necesiten hacer cálculos que tarden igual años en resolverse. Y por último, hay una cosa en la teoría matemática, inventada por Allan Turing que se llama los números no computables. Echale un vistazo a la wikipedia. Yo no me he enterado de mucho de esto, aunque lo he visto muy, muy de pasada, no he llegado a dedicarle ni 1 minuto. Pero ya sólo el título te dará una idea de que hay cálculos que los ordenadores no son capaces de realizar. No es que tarden años, no... es que no son capaces de realizarlos. Y debido a esto también se tiene que poder llevar esta teoría a la práctica, con un poco de imaginación que quizás nadie hasta la historia lo ha conseguido o lo ha intentado hacer, se pueda hacer para proteger los datos contra decompiladores. De cualquier manera, el video mencionado antes te puede, quizás, dar alguna idea sobre algún modo de proteger tu código que, o bien se tarden años en decompilar o bien no se puedan decompilar pues los cálculos no se puedan realizar.

En cuyo caso, si consigues esto... ya te digo yo que sólo ese sistema de protección vale más que todo Google en la actualidad.

0
-1

La mejor opción es programar usando tus própias técnicas y no las aprendidas en la escuela, porque las técnicas comunes son como patrones faciles de captar para un experto en ingeniería inversa. Ofuscadores y encriptadores solo son antónimos de desenfuscadores y desencriptadores. De modo que si lo vas a Ofuscar hazlo a tu manera. Si lo haces así, tu programa debe valer mucho como para que salga más barato contratar a expertos en ingenieria inversa que lo que costaría pagarte por tu aplicación. No se si me explico. De todos modos... Siempre puedes poner tus algoritmos más importantes en forma de funciones o procesos a una base de datos y limitar el acceso al cliente, o crear servicios webs para tu app, pero to aplicación necesitará estar conectada siempre a internet.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.