[PHP] ervaring met Code Lock ?

[Koffie]

Ola,

Ik zat een beetje te brainstormen over licentie mogelijkheden in PHP scripts e.d. maar je loopt altijd tegen het probleem aan dat je licentie-check redelijk leesbaar is in PHP

Toen maar eens gaan searchen op GoT, en daar kwam ik enkele alternatieven voor Zend tegen (immers, als je code onleesbaar is, is je licentie-check dat ook).
De meeste zijn redelijk Linux based, ook qua install, en daar heb ik totaal geen kaas van gegeten.
Via verder zoektochten kwam ik uit op PHP Code Lock
Een PHP programma welke de volgende functionaliteiten bied :

• Encryptie van PHP code
• Encryptie van HTML
• Unlock code om PHP script te kunnen runnen
• Licentie van script laten expiren op diverse manieren
• Script locken op IP of domain

Er is een 15 dagen trial te draaien, en ik moet zeggen dat ik er redelijk van onder de indruk ben.
Het enige waar het programma afhankelijk van zou kunnen zijn is ZLIB, maar je kunt ervoor kiezen dit niet te gebruiken.
Mijn inziens dus redelijk n00bproof als het om installatie op servers gaat.

De installatie is simpel; gooi de directory in een webdir, CHMOD wat files en vervolgens kun je webbassed je files encrypten.
Ook het uitvoeren van de files gaat redelijk simpel, ik zie iig geen verschil.

De files die je eruit krijgt zijn minimaal 2 files :

- Originele script
- Encoder

Die 2 files moeten samen in 1 dir staan (de encoder is ook speciaal gebuild voor dat script voor zover ik begrijp).
Je originele script roept automagisch de encoder aan.

Als ik naar oplossing ala Zend kijk (verder geen ervaringen mee) zit daar nogal een groot prijsverschil tussen (deze kost $55,- USD).
Uiteraard snap ik dat je nooit 100% veilig kunt zijn, immers PHP / de server zal toch een keer die zut moeten parsen.

Nu ben ik geen diehard coder, dus vroeg ik mij af of dit misschien te mooi is om waar te zijn; zitten er addertjes onder het gras ?

Zowel met google, search als op newsgroups kon ik weinig info hierover vinden (met google alleen links naar het product, geen info of tests).

Ik moet zeggen dat ik toch wel overweeg om dit eventueel te gaan aanschaffen.

[Koeniepoenie]

Als ik dat zo lees heb je wel wat performance verlies. De bestanden worden namelijk ge-encrypt, maar wil je het runnen, moet je het eerst decrypten (zoals je zelf ook al aangeeft).

Maar dit kost alles wel tijd, en het lijkt me dat dat decrypten gebeurt bij het ophalen van het document door de bezoeker, dus moet er telkens worden gedecrypt, en dat werkt vertragend (of is dit verwaarloosbaar?).

[.oisyn]

Een PHP script uitvoeren kost ook tijd, afgezien van datgene wat je in PHP aan het doen bent, dus een vertaalslag heb je sowieso. Ik denk niet dat het decrypten van een file nou zo dramatisch veel toevoegt, maar goed, ik weet verder vrij weinig over de gebruikte encryptie

[igmar]

Koffie schreef op 22 oktober 2004 @ 22:32:
Uiteraard snap ik dat je nooit 100% veilig kunt zijn, immers PHP / de server zal toch een keer die zut moeten parsen.

Nu ben ik geen diehard coder, dus vroeg ik mij af of dit misschien te mooi is om waar te zijn; zitten er addertjes onder het gras ?

De encoders spugen een intermediate language uit, wat een beetje op ASM lijkt. Dat wordt door de decoder vervolgens aan de ZE gevoerd, die verder zorgt voor de uitvoering ervan. Van de originele code is geen spoor meer te bekennen, en hoewel het mogelijk is om de IL te onderscheppen heb je hier op zich vrij weinig aan, aangezien dit niet of extreem moeilijk weer is om te zetten naar leesbare code.

[Gerco]

Helaas Koffie,

Ik heb de demoversie van CodeLock even gedownload en wat van mijn eigen scripts ge-encode, het resultaat:

• De encryptie is niet gebaseerd op een degelijk algoritme, nu is dit niet zo heel erg ware het niet dat:
• De decryptie key (de key die je zelf kan opgeven en die de gebruiker moet intikken om je software te acitveren) staat PLAINTEXT in codelock.php
• Delen van de code zien eruit alsof een 12 jarige dit in een half uurtje in elkaar gestampt heeft en de "beveiliging" is van hetzelfde niveau.

Nu zullen noobs en gebruikers absoluut niet weten wat ze hiermee aanmoeten, maar een middelmatig intelligente programmeur heeft je script (met of zonder "encryptie") binnen een dag uitgepakt en vrij voor verder gebruik.

Ik denk dat het tegen de policy ingaat om precies uit te leggen hoe het werkt en hoe je het kan "breken" (er zit geen slot op, dus van breken is eigenlijk geen sprake). Dus dat ga ik ook niet doen. Neem maar van mij aan dat het (op n00b bescherming na) volkomen waardeloos is.

[chem]

Koffie, koop gewoon de Zend Encoder voor $299. Het is duurder, maar werkt verder zonder problemen.
Daarbij zullen hosters eerder geneigd zijn de Zend Optimizer te installeren, dan een onbekende partij als php code lock.

Hmz heb trouwens ook even gekeken, en heb idd ook binnen 10 minuten geinstalleerd, een script ge-encode en vv de boel "gehacked". Dus. Schattig, maar waardeloos.

[ Voor 28% gewijzigd door chem op 23-10-2004 16:56 ]

[justmental]

Misschien kun je een alternatief proberen?:
http://freshmeat.net/projects/roadsendpcc/
http://freshmeat.net/projects/phpcoder/