Seguridad de licencias en plugins de forma no removible

Hola que tal?
Hace un tiempo les comentaba que buscaba vender desarrollos propios, estoy montando una tienda propia en woocomemrce y un sistema propio para generar las key y validar su uso.
El sistema funciona integrando un formulario en el plugin que pide la clave y la valida contra mi servidor notificando su uso, el dominio y otros datos.
El problema es que no logro encontrar la mejor forma de integrar la valdiacion en mis plugins de forma que no sea fácilmente removible.

Voldemorth dijo:

El problema es que no logro encontrar la mejor forma de integrar la valdiacion en mis plugins de forma que no sea fácilmente removible.

Hacer clic para expandir...

el archivo principal encriptalo. y en el principal debe de ir la validación.

este es un archivo principal encriptado. por ejemplo

y ahí debe de ir tu validación,

tienes encriptadores oficiales de php, y también puedes comprar cualquier encriptador de codecayon

Hay varias APIs en google para manejar licencias o el plugin EDD tiene otro plugin para ello.

Igual aunque te gastes 1 millon en seguridad alguien lo va a usar pirata....
Mejor invierte en marketing, enseñale a tus consumidores los beneficios de adquirir una licencia, como por ejemplo acceso a una comunidad privada, asistencia personalizada etc

Alexk dijo:

Hay varias APIs en google para manejar licencias o el plugin EDD tiene otro plugin para ello.

Hacer clic para expandir...

Si el api no es problema, el problema el la implementación, lo que comenta @miguel2008 es una posibilidad pero por lo que veo maneja ofuscaciones en base64 por lo que he visto revestirlas solo toma tiempo, no estoy seguro si existe algún otro tipo de traba.

en vez de pensar evitar en robos de tu software, solo hazlo increíble. Provoca el sentimiento de querer actualizaciones en los clientes y no deberás preocuparte de licencias.

el que yo te he puesto es base 64, pero tienes otros más oficiales, como source guardian o como ioncube. no obstante con un base 64 ofuscado y unos cuantos loop ya te digo que nadie se va a tirar horas o días para intentar desencriptarlo.

ioncube te permite el pago por número de ficheros encriptados. por lo que con que pagues por 1 te vale. para un plugin.

romper la encriptación es complejo, y por lo general nadie lo va a hacer para un producto de poco dinero y poco comercial. que no vas a vender un windows.

si vas a vender 200 plugins tardan más en quitar la validación que en montar un plugin de nuevo. y además no obtendrían el código sino el código ofuscado por lo que es un poco limitado y si además es wp que requiere de actualizaciones cada poco tiempo no creo que les salga muy rentable a no ser que sea algo famoso y que sea extremadamente fácil desencriptarlo.

miguel2008 dijo:

el que yo te he puesto es base 64, pero tienes otros más oficiales, como source guardian o como ioncube. no obstante con un base 64 ofuscado y unos cuantos loop ya te digo que nadie se va a tirar horas o días para intentar desencriptarlo.

ioncube te permite el pago por número de ficheros encriptados. por lo que con que pagues por 1 te vale. para un plugin.

romper la encriptación es complejo, y por lo general nadie lo va a hacer para un producto de poco dinero y poco comercial. que no vas a vender un windows.

si vas a vender 200 plugins tardan más en quitar la validación que en montar un plugin de nuevo. y además no obtendrían el código sino el código ofuscado por lo que es un poco limitado y si además es wp que requiere de actualizaciones cada poco tiempo no creo que les salga muy rentable a no ser que sea algo famoso y que sea extremadamente fácil desencriptarlo.

Hacer clic para expandir...

es un muy bun punto

miguel2008 dijo:

el que yo te he puesto es base 64, pero tienes otros más oficiales, como source guardian o como ioncube. no obstante con un base 64 ofuscado y unos cuantos loop ya te digo que nadie se va a tirar horas o días para intentar desencriptarlo.

ioncube te permite el pago por número de ficheros encriptados. por lo que con que pagues por 1 te vale. para un plugin.

romper la encriptación es complejo, y por lo general nadie lo va a hacer para un producto de poco dinero y poco comercial. que no vas a vender un windows.

si vas a vender 200 plugins tardan más en quitar la validación que en montar un plugin de nuevo. y además no obtendrían el código sino el código ofuscado por lo que es un poco limitado y si además es wp que requiere de actualizaciones cada poco tiempo no creo que les salga muy rentable a no ser que sea algo famoso y que sea extremadamente fácil desencriptarlo.

Hacer clic para expandir...

el código puesto tuyo es muy fácil de 'desbloquear'. Solo debo entrar en memoria y sacar el código con diagnostico. Si alguien desea tu código puro lo va a obtener y punto. no veo sentido en gastar recursos en algo que no sirve.

Yo tuve licencias en uno de mis productos y la verdad no sirve de mucho.

Mask7OfDragon dijo:

el código puesto tuyo es muy fácil de 'desbloquear'. Solo debo entrar en memoria y sacar el código con diagnostico.

Hacer clic para expandir...

yo creo que es bastante fácil el que yo te he puesto, lo he hecho con 4 loops, mi pregunta es , ya que es tan fácil.
¿nos puedes dar el ejemplo del codigo que te he puesto? como muestra de lo que dices ¿?


y aun siendo tan fácil encontrarás el código ofuscado, ni siquiera el codigo bonito, siempre que lo ofusques.

el que te he puesto no están ofuscadas las variables por lo que lo puedes encontrar fácilmente.

Mask7OfDragon dijo:

Si alguien desea tu código puro lo va a obtener y punto. no veo sentido en gastar recursos en algo que no sirve.
Yo tuve licencias en uno de mis productos y la verdad no sirve de mucho.

Hacer clic para expandir...

yo no estoy de acuerdo con esto, yo tuve mis licencias y vendimos más de 1000 plugins, y nunca conocimos ningún problema, y mira que mis plugins se vendian para hacer blackhat que el tipo de cliente le gusta romper las licencias.

por otro lado, yo creo que un desarrollador serio tarda menos en montar un plugin que hace 1 cosa que en hackear cada versión que saque, además de que siendo tu versión la puedes vender siempre que sea interesante el negocio

miguel2008 dijo:

yo creo que es bastante fácil el que yo te he puesto, lo he hecho con 4 loops, mi pregunta es , ya que es tan fácil.
¿nos puedes dar el ejemplo del codigo que te he puesto? como muestra de lo que dices ¿?


y aun siendo tan fácil encontrarás el código ofuscado, ni siquiera el codigo bonito, siempre que lo ofusques.

el que te he puesto no están ofuscadas las variables por lo que lo puedes encontrar fácilmente.



yo no estoy de acuerdo con esto, yo tuve mis licencias y vendimos más de 1000 plugins, y nunca conocimos ningún problema, y mira que mis plugins se vendian para hacer blackhat que el tipo de cliente le gusta romper las licencias.

por otro lado, yo creo que un desarrollador serio tarda menos en montar un plugin que hace 1 cosa que en hackear cada versión que saque, además de que siendo tu versión la puedes vender siempre que sea interesante el negocio

Hacer clic para expandir...

no me pondre a sacarlo porque es una perdida de tiempo

$O0O00000O0 = file(__FILE__);

function Il1lIII1I1($a,$b){$c=array(775,340,128,10464);if($b==36){$d=substr($a,$c[0]+$c[1],$c[2]);}elseif($b==1){$d=substr($a,$c[0],$c[1]);}elseif($b==87){$d=trim(substr($a,$c[0]+$c[1]+$c[2]));}return$d;} ( aca seria solamente pasarle por medio de Il1lIII1I1 otra vez eval decode.

I1111lII1I(Il1lIII1I1($O0O00000O0[0], 87), Il1lIII1I1($O0O00000O0[0], 36), $O0O00000O0) aca seria pasarle otra vez.

luego __halt_compiler(); ejecuta y listo. no es necesario nada mas. si desea un sistema de licencias fuertes debes usar DRM. esto es inutil y no es nada inteligente usarlo es molesto para quienes quieren modificar cosas del codigo.

respondiendo a la duda del usuario
si quieres proteger tus codigos usa

https://phpbolt.com luego crea un sistema IACR desde tu servidor que solicite un archivo maestro de carga por solicitud de eventos.

esto igual es muy sencillo de sacar ya que solo debes buscar en memoria. pero al menos el codigo IACR no lo podran obtener y por ende no podran pasar algunas funciones, o puedes ejecutar codigo

tipo serverless donde tu tengas todo el codigo y tus plugins simplemente soliciten a tus servidores los eventos y listo.

Vale, bien!

entonces me reafirmo más, no parece tan fácil, y no parece que lo saques en un momento. parece que tiene un coste de trabajo alto y que no estás dispuesto a sacarlo... lo cual me parece correcto, y me da más aun la razón.

es un poco como yo he dicho que al final nadie lo saca por que tarda menos en montar un plugin que en romperse la cabeza para sacar un código mal codificado... por lo que entonces cumples el objetivo de proteger tu codigo con una encriptación de 1 click.

si nadie lo saca y quieres el encriptador avisame y lo busco.