PHP Code Verschlüsseln

[ApoY2k]

auch MD5 was als standardverschlüsselung für passwörter genutzt wird galt mal als "sicher" ... das ist blösinn weil in dem moment wo ich verschlüssele mit md5 kann ich ja "abgleichen" ...

nehmen wir an ich verschlüssele das wort "test" was dann so aussieht "d8fgdg8sdfzsdfbiubg90" ... dann kann man ganz einfach selbst ein script programmieren was automatisch diverse wortkombinationen verschlüsselt und den code kann man dann abgleichen mit dem "d8fgdg8sdfzsdfbiubg90" ... wenn der md5 code identisch ist hat man schon das verschlüsselte wort gefunden

Selten soviel Schwachsinn gelesen. MD5 ist keine Verschlüsselung, sondern ein Hashverfahren. Und diese sind, per Definition, unumkehrbar. Du kannst niemals einen Hash auf den Ausganswert zurückführen.

Was du mit deinem einfachen Ausprobieren machst, ist einen zweiten Wert zu finden, der den gleichen Hash produziert. Sowas nennt sich Kollision und erzeugt eben einen anderen Wert, der den gleichen Hash produziert.

Damit hast du noch lange nicht das echte Ausgangspasswort, sondern nur eines, was den gleichen Wert liefert.

[tr0y]

Dein MD5-Hash mit brute forcing aufzulösen ist übrigens der größte Witz. Hast du überhaupt eine Vorstellung davon wie viel Möglichkeiten du da bspw. bei Standard-Passwortlängen ausprobieren musst ? Da bist du selbst mit mehreren Rechnern ne Weile dran.

[nikosch]

Ja, ganz … -- simpel.

Nur das Du hier totalen Quark erzählst.

- md5 ist keine Verschlüsselung
- klar kann man Verschlüsseltes dechiffrieren, wozu sollte V. sonst gut sein?!
- aber noch lange geht das nicht "einfach" "so".

in dem moment wo ich ein algorhytmus entwickele um etwas zu verschlüsseln, KENNE ICH JA DEN ALGORHYTMUS

Zunächst mal heißt es Algorithmus - wir sind hier nicht bei der Sportgymnastik - und dann ist eben die Bekanntheit des Verschlüsselungsprinzips ein Qualitätsmerkmal, aber noch lange kein Weg, einen guten Algorithmus zu „knacken“.
V. beruht immer noch auf einem Geheimnisprinzip durch einen Schlüsseltausch.

Fazit: Gekonnt selbst disqualifiziert. Sprachlich wie inhaltlich.

sicherheit ist eine illusion nur das merken die meisten nicht und lassen sich von werbeversprechen beeinflussen - man kann zwar dinge "sicherer" machen aber niemals "sicher" ... sollte jeder sicherheitsexperte wissen ...

Intelligenz ist manchmal auch eine Illusion. Sicherheit ist eine Frage der Verhältnismäßigkeit. Wenn in meinem Schuppen ein paar Schaufeln stehen, dann ist ein Vorhängeschloss sicher genug. Wenn meinem super-duper-Tresor die Bodenplatte fehlt, oder der Dieb ihn einfach wegtragen kann, ist das Verfahren nicht sicher. Wenn am Ende des Monats nur 3,50 auf meinem Konto sind und ich im Tresor meine Schmutzwäsche sammle, ist das Verfahren hinreichend sicher.

Fazit: Es gibt keine absolute Sicherheit (so geht der Spruch!), aber es gibt (hinreichende) Sicherheit.

[benjamin-bode]

IONCUBE entschlüsseln - IONCUBE decoder / decodieren

Das würde ich gerne sehen, dass Du eine Verschlüsselung zB von Source Guardian wieder rückgängig machst

sorry wenn ich mich mal einmische ... aber man muss mal deutlich sagen "alles was man verschlüsseln kann, kann man auch entschlüsseln ... da gibts kein wenn und aber ...

z.b. gillt IONCUBE als sichere art und weise um php scripts zu verschlüsseln - das ist "humbug" bzw. eine illusion ... es gibt diverse decoder für ioncube verschlüsselte scripts ...

in dem moment wo ich ein algorhytmus entwickele um etwas zu verschlüsseln, KENNE ICH JA DEN ALGORHYTMUS und bin in der lage ein decoder zu programmieren ... und allgemein alles was mit RYHTMUS verschlüsselt wird kann auch somit wieder entschlüsselt werden weil ja ein "logischer RHYTMUS" existiert ... würde man etwas UNRHYTMISCH verschlüsseln damit es keiner entschlüsseln kann, würde es nicht funktionieren weil das ergebnis ja beim verschlüsseln jedesmal variabel ist - sprich es funktioniert dann nichtmehr ...

sicherheit ist eine illusion nur das merken die meisten nicht und lassen sich von werbeversprechen beeinflussen - man kann zwar dinge "sicherer" machen aber niemals "sicher" ... sollte jeder sicherheitsexperte wissen ...

mein tip ist: eigene kopierschutzverfahren entwickeln z.b. kopierschutzüberwachung bei scripts etc. und die vernünftig im code verstecken bzw. tarnen als unwichtige funktionen - oder lizenzüberwachungen etc.

ein fertiges verschlüsselungssystem ist so unsicher wie es bekannt ist - umso bekannter es ist desto unsicher wird es ...

auch MD5 was als standardverschlüsselung für passwörter genutzt wird galt mal als "sicher" ... das ist blösinn weil in dem moment wo ich verschlüssele mit md5 kann ich ja "abgleichen" ...

nehmen wir an ich verschlüssele das wort "test" was dann so aussieht "d8fgdg8sdfzsdfbiubg90" ... dann kann man ganz einfach selbst ein script programmieren was automatisch diverse wortkombinationen verschlüsselt und den code kann man dann abgleichen mit dem "d8fgdg8sdfzsdfbiubg90" ... wenn der md5 code identisch ist hat man schon das verschlüsselte wort gefunden

gibt schon diverse projekte im netz wo man via datenbanken md5 codes abgleichen kann ... ganz simples prinzip ...

[pacey]

Zum Glück aber es wird langsam fast schon OT

[ReatKay]

Ja klar, bei CMS-Systemen verhält es sich anders... aber CMS-Systeme sind nur ein kleiner Teil der PHP-Lösungen auf dem Markt.

[pacey]

Ok - in der Sparte ergibt das Sinn. Im CMS Sektor eher weniger weil du dich da teilweise echt schwertust wieder das Produkt zu wechseln - weil du ja dann die Daten herum-migrieren musst

[ReatKay]

Bei Applikationen die auf Grund des schnellen Wandels in der jeweiligen Sparte desöfteren grössere Updates erfahren (nicht Bugfixes, sondern effektive programmlogische Erweiterungen) setzen wir auf zeitbasierte Linzenzmodelle.

Desweiteren bieten wir auf gewisse Standart-Applikationen unsere Palette zeitbasierte Modelle - interessant für Kunden, deren Budget ein direkter Kauf zum Vollpreis ziemlich strapazieren würden. Hierbei hat der Kunde jetzt die Möglichkeit, die Software sozusagen als "Miete" zu beziehen... dabei zahlt jeweils mind. halbjährlich die "Mietgebühr" und hat demnach eine bis zum bezahlten Termin lauffähige Software. Gerade im Bereich der sozialen Institutionen kommen zeitbasierte Modelle gut an... viele Unternehmen möchten sich auch nicht auf Jahre hinweg auf ein Produkt einschiessen (gerade Kleinunternehmen) und fragen deshalb oft nach zeitbasierten Linzenzmodellen.

[pacey]

darf ich mal fragen in welcher Sparte man PHP Applikationen zeitbasiert vertreibt? Mir würde auf die schnelle kein Anwendungszweck einfallen.

[ReatKay]

ZendGuard funktioniert nur zusammen mit dem Optimizer...
und es ist Tatsache, dass in den meisten Fällen (auch mit Verschlüsselung durch den Guard) die Applikation performanter ist.

Wir setzen ZendGuard schon länger ein, aber nicht primär wegen der Verschlüsselung, sondern wegen Licensing. Unsere Kunden haben Jahreslizenzen unserer Produkte, nach Ablauf läuft die Software automatisch nicht mehr.

Ausserdem bietet uns ZendGuard Überwachungsmöglichkeiten. Sollte die Software plötzlich wo anders "reinkopiert" werden, läuft sie nicht und wir werden informiert - haben somit also Information über Betrüger und eine rechtliche Grundlage

[pacey]

nein ich denke nicht das das überhaupt ohne geht. hab grad auf die zendseite geschaut und scheinbar ist der optimizer ja scheinbar gleichzeitig die extension die die ausführung von Zguard gesicherten applikationen erlaubt

[David]

Gibt es Zendguard überhaupt ohne -optimizer? Das "Skript" muss danach jedenfalls nicht mehr geparst werden, da die opcodes gespeichert werden. So wie apc das auch macht, nur noch zusätzlich mit irgendeiner Verschlüsselung.

[pacey]

könnte schon sein das liegt nur meistens nicht am ZendGuard sondern das ZendGuard gesicherte Projekte auch gerne mal durch den ZendOptimizer gejagt werden.

Haben halt besagte Firmen genug Geld für die Zend Komplettsuite gehabt

[Hroudtwolf]

Zumindest bei Zendguard/-optimizer sind mir noch keine argen Performanceprobleme aufgefallen, eher das Gegenteil.

Du willst uns doch jetzt nicht sagen dass es sogar schneller als unverschlüsselt ist? ^^

[David]

Zumindest bei Zendguard/-optimizer sind mir noch keine argen Performanceprobleme aufgefallen, eher das Gegenteil.
Und open source ist eben nur eine Sichtweise. Man kann von closed source halten was man will, es gibt ihn im Hier und Jetzt. Und im Falle von ZG kann man auch nicht sagen, dass das eine Erweiterung von einem böse, bösen Drittanbieter ist, siehe php credits