proteger le code source - dotfuscator?

Bonjour

J'aimerais un moyen efficace de protéger mon code source de la décompilation.

Je pense évidemment à dotfuscator, mais est-ce la seule/meilleure solution pour les programmes .NET?

La protection des méthodes de calculs contenues dans mes programmes est un point primordial, aussi serais-je prêt à programmer dans un autre langage si ça s'avère être une faiblesse de .NET...

Ma seconde question est donc de savoir si il est plus facile de faire du reverse-engineering sur un programme .NET compilé avec dotfuscator (ou autre protection..) que sur un programme compilé à partir de c++ (ou autre langage..).

Merci d'avance pour vos avis éclairés :)

Pour ce qui est des obfuscateurs, ils ont tous a peu près les mêmes fonctionnalités.

Pour ce qui est du reverse il y a un outil qui permet d'enlever les différentes protections: https://github.com/0xd4d/de4dot.
Tu peux ensuite voir le code source avec reflector, justdecompile, dotpeek, ...

Au final le code source sera un peu moins lisible que l'original mais avec un peu de temps on y arrive toujours.

En c++ il y a d'autres outils comme IDA qui permettent de faire du reverse.

Il y aura toujours moyen. Ce qui compte, c'est que l'effort qu'un hacker doit fournir pour décompiler/comprendre le code soit trop important par rapport au gain qu'il peut y retirer.

ok.. et au final, est-ce que ce sera plus facile de hacker un programme .NET qu'un programme d'un autre langage (C++ par exemple)?

Le code obtenu après obfuscation en dotnet peut être suffisant protégé. Il faut que tu essayes pour voir si ce niveau de protection te suffit.

Pour le c++ en compilant avec les bonnes options de compilation et en utilisant un obfuscateur, je pense que le code est plus dur à comprendre.

Encore une fois cela dépend de la valeur de tes algo ainsi que de l'intéret que quelqu'un peut avoir à te les voler.

PS : il existe un obfuscateur gratuit pour dotnet : http://confuser.codeplex.com/

Citation:

---

Envoyé par meziantou

Pour le c++ en compilant avec les bonnes options de compilation et en utilisant un obfuscateur, je pense que le code est plus dur à comprendre.

---

Pourquoi? Y a t-il quelque chose qui fait que intrinsèquement, du code .NET sera toujours plus facile à décompiler que du code c++? A cause du MSIL?

J'ai trouvé les conseils suivants sur le web:

Citation:

---

• Obfuscate your code. Dotfuscator has a free edition and comes with Visual Studio.
• Use public/private key or asymmetric encryption to generate your product licenses. This ensures that only you can generate your license codes. Even if your app is cracked you can be sure that they won't be releasing a key generator for your application because it is impossible to reverse the key generating algorithm.
• Use a 3rd party packer to pack your .NET executable into an encrypted w32 wrapper application. Themida is one of the better ones. This stops people from reflecting your application in .NET Reflector and makes it a pain to unpack for reversing.
• Write your own custom packer. If the 3rd party packers are too expensive, consider writing your own. Sometimes custom packers can be very effective because there aren't well published methods on how to unpack them. This tutorial gives a ton of good information on writing your own win32 packer.

---

Est-ce qu'en mettant en place ces protections (et éventuellement d'autres), on peut atteindre en .NET une protection aussi 'efficace' qu'en C++ ou bien sera t-elle toujours inférieure?

Citation:

---

Envoyé par maa

Write your own custom packer. If the 3rd party packers are too expensive, consider writing your own. Sometimes custom packers can be very effective because there aren't well published methods on how to unpack them. This tutorial gives a ton of good information on writing your own win32 packer.

---

Comme d'hab sur la question de protéger son programme, on trouve cette fausse bonne idée...
Ecrire ce genre de chose est très complexe, le faire efficacement coûte donc très très cher.
C'est la même fausse bonne idée que "je veux pas acheter un pack de composants graphiques, je les créé moi même".
Et puis comme toujours, l'investissement pour faire ce genre de choses est il largement supérieur à la perte qu'engendrerait une récupération du code source?

Citation:

---

Envoyé par maa

Pourquoi? Y a t-il quelque chose qui fait que intrinsèquement, du code .NET sera toujours plus facile à décompiler que du code c++? A cause du MSIL?

---

Le fait est que le MSIL généré par le compilateur c# est très peu optimisé. Le code ressemble comme 2 gouttes d'eau au code original. Le jitter est sensé faire le job d'optimisation.

Quand tu compiles un programme c++ en assembleur toutes les optimisations sont faites par le compilateur (loop unrolling, software pipeline, inline, ...).

Je pense donc qu'il est plus "facile" de reverse un programme dotnet car la structure du code décompiler ressemble fortement au code original.

Merci pour ces éclaircissements :)

Il me reste toujours la solution de compiler les parties sensibles en c++, voir même de les isoler sur un serveur et les appeler par web services.. Ceci tout en gardant l'ossature du programme en C# + WPF. :roll: