Изпечатай

[Naka]

Имаме една страница с JS код и css която се получи много добре.
кодът е малък и много добре кометиран, но върши прекрасна работа.

Обаче конкуренцията като види какво е направено веднага ще изкопира и ще си го пригоди за себе си.

Как може да се защити (и JS и css-a) с Obfuscation..Uglify и т.н. така че даже и да го изкопират да не може да го ползват пълноценно нито да го променят за себе си?

видях че има разни такива тулове https://stackoverflow.com/questions/194397/how-can-i-obfuscate-protect-javascript

но не знам към какво да се насоча.
От друга страна такъв тул е 'one way ticket'. ако объркаш нещо и презпишеш файла си го губиш.

Бих искал да е динамично генериране на погрозняването. Нещо чрез apache? така че оригинала винаги да си стои.
https://httpd.apache.org/docs/2.4/mod/mod_ext_filter.html
https://httpd.apache.org/docs/2.4/filter.html

например така: браузера казва GET some_script.js апачито то намира, чете го (оригиналният файл), след това го прекарва през някакъв скрипт за погрозняване и го връща на браузера.

Идеи?

[remotexx]

Ами уеб сокети и.. сметките на сървъра и само да праща резултата, да видим тогаз как ще плагиатстват. Инак ако е нещо само за разкрасяване, няма как, особено. при положение че и грозно пак ще им върши работа, защо да си играят да го разхубавяват, само ще си добавят нужните тагове та да намери елементите Джава скрипта


Нищо не спира крадците вкл. и страхът от смъртно наказание
http://e-vestnik.bg/30436/astronomicheski-krazhbi-v-ruskia-kosmicheski-sektor/

Е нема да отидат на луната и това си е....

[go_fire]

От няколко часа я гледам тази тема и съм във вътрешен конфликт да отговоря.

Има възможни два отговора според това, какво точно искате да защитите. Ако е резултат от някаква обработка е едно. На него Ремо отговори да се пренесе логиката в обслужващата страна. Тук има още една подробност. Ако искат да се защитят самите данни от „източване“, тогава се прилагат допълнителни защити за индетификация. Най-модерния подход е да се подават жетони, които изтичат за някакво време.

Другия възможен отговор е, ако целта е да се защити самия код (js в случая). Това само по себе си е мисия невъзможна. Колкото има загрозители, толкова повече са разхубавителите. И не съм виждал по-добри разхубавители от тези. Работят като магия.

Гигантите с много пари отдавна недолюбват факта, че трябва да споделят js. И не отдавна му намериха цаката. Има нов стандарт, който се казва web assembly или wasm (което не трябва да се бърка с asm.js, макар да му е наследник). Той е създаден точно с тази цел и се поддържа на всички основни интернетски навигатори включително IEvil и то преди още да се е хроматизирал.

Това е единствения вариант. Но опасявам се, имам още една лоша новина. Ако става въпрос за кратък код, както се подразбира, то wasm няма да спре присвояването му. Wasm е замислен за това, но се подразбира големи количества код. При малко всичко е безсилно.

п.п. Чак не си вярвам, че успях да напиша всичко това въпреки волята си.

=*=

Успех!

[Naka]

Другия възможен отговор е, ако целта е да се защити самия код (js в случая). Това само по себе си е мисия невъзможна. Колкото има загрозители, толкова повече са разхубавителите. И не съм виждал по-добри разхубавители от тези. Работят като магия.

Трябва да се защити малък JS код и css-a и html-a около него евентуално. Наясно съм, че теоретично е невъзможно но целта е да вгорчи максимално живота на вероятният пират.

Трябва да пробвам произволен скрипт с някой онлине тул какъв е ефекта от погрознител и след това разхубавител??? Какво ли ще стане?

От друга страна защо ще съществуват погрознители ако нямат ефект?
https://obfuscator.io/ - нещо може ли да се разбере от кода като се пуснат всичките (повечето) опции.
https://beautifier.io/

------
я какво пишело отгоре на https://obfuscator.io/

So, like UglifyJS, Closure Compiler, etc?

Yes and no. While UglifyJS (and others minifiers) does make the output code harder to understand (compressed and ugly), it can be easily be transformed into something readable using a JS Beautifier.

This tool prevents that by using various transformations and "traps", such as self-defending and debug protection.

[go_fire]

Имат ефект, но не достатъчен да затруднят този, който желае да прочете кода. Съществуват с друга цел. Целта им е да пестят трафик и изчислителни ресурси, в резултат на което да станат по-отзивчиви страниците. То затова оригинално се наричат минифаери.

По начало загрозителите са мислени за Пърл и ПХП. Тогава имаха доста добър ефект за защита. Днес не знам как е, но са малко компаниите, които се занимават да продават такива системи. Има някой друг форум, някой друг магазин и горе-долу е това. Те обаче разчитат на адвокати. Сиреч да те хванат, ако си нелегален. А на запад да те хванат с краден код е равносилно на прекратяване на бизнеса.

[go_fire]

Което ми напомня, че вие също можете да съдите конкуренцията, ако ви подлива вода. В български съд сто процента ще мине делото и няма да ви излезе скъпо.

[remotexx]

Няма как да стане с интерпретаторен език, трябва да има нещо валидно да се интерпретира... до машинен език... виж компилаторните езици е друго, там вече всичко е на машинен език и може да си спряташ кушии като прехващане на дебъгери и пр., но пък при тях губиш платформената независимост, че даже и вътреплатформената, ако да кажем оптимизираш кода за един конкретен процесор а па той се окаже друг по време на изпълнение, напр. Със/без SSE 4

[remotexx]

Пробвай, ама не знам дали ще ти хареса, с погрознител дето направо чупи годзиломера, т.е. дето вкарва екстра код който не се отразява на резултата само пречи на ревърс инженеринга, и... като им вкара там 100 МБ екстра код ..1+1,2-3 и пр. да вървят да се оправят

Но както вече се сещаш това при положение че твоя код не е тайм сенситив и му е се тая ако се забави със секунда-две

П.П. което обаче пак не ги спира да го вземат и ползват както си е - вкарай нейде извътре някакъв forward secrecy механизъм да взема еднократен токен от твоя сървър.
И споко 100 мб няма да ги сваля всеки път с подходящ е-таг

[Naka]

Пробвай, ама не знам дали ще ти хареса, с погрознител дето направо чупи годзиломера, т.е. дето вкарва екстра код който не се отразява на резултата само пречи на ревърс инженеринга, и... като им вкара там 100 МБ екстра код ..1+1,2-3 и пр. да вървят да се оправят

Но както вече се сещаш това при положение че твоя код не е тайм сенситив и му е се тая ако се забави със секунда-две

П.П. което обаче пак не ги спира да го вземат и ползват както си е - вкарай нейде извътре някакъв forward secrecy механизъм да взема еднократен токен от твоя сървър.
И споко 100 мб няма да ги сваля всеки път с подходящ е-таг

те и двете тези опции ги има тук https://obfuscator.io/ (Domain lock и Dead Code Injection) пък и е с отворен код....

Много грозно става.

Обаче какво е това npm и node.js https://github.com/javascript-obfuscator/javascript-obfuscator за един такъв тул цяла екосистема за js ли трябва да качвам? нещо ме е страх.
Няма ли някой подобен погрознител писан на PHP

[n00b]

ВИНАГИ държиш оригиналните файлове. И тогава пускаш горните инструменти отгоре им.

Тъй като държиш оригиналните файлове на сигурно място не се притесняваш за последствията.

Google препоръчват ето това:
https://closure-compiler.appspot.com/home