2

У меня есть расширение(устанавливается из Chrome, выдаю доступ тестера только некоторым людям) и мне нужно что бы когда человек его устанавливал он не имел к нему доступа(то есть не имел доступа к коду, ибо при желании папку с кодом найти можно), так как если человек находит папку с кодом он может переслать весь код другому человеку и тот может пользоваться расширением. Скажите, возможно ли перенести часть кода расширения на сервер, но чтоб у клиента он всё ещё работал? Или альтернатива, как с помощью Chrome APIs можно реализовать привязку через google аккаунты в расширении?

1
  • интересуюсь: что за расширение с такой секретностью?
    – dgzargo
    4 фев 2018 в 18:43

6 ответов 6

7

Ответ на твой вопрос - никак. Смирись. Что бы ты не делал и как не изощрялся, на обход уйдет менее десятой части затраченного тобой времени. Не стоит вообще париться по этому поводу, твой код никому не нужен.

2

Расширения специально сделаны такими чтобы нельзя было запретить доступ к исходникам расширения. Это нужно чтобы можно было посмотреть что делает расширение. Если выяснится что расширение делает что-то непотребное, то расширение можно будет удалить или что хуже.

Потому, нет, вы не можете скрыть исходник расширения, и это так задумано.

0
+50

Вижу несколько вариантов:

Можно сделать просто привязкой к мак адресу.

Вообще в расширение хрома нельзя получить мак адрес компьютера, но можно попробовать сделать так - https://stackoverflow.com/a/24386579/6580397

Пользователь вводит ключ, который вы ему выдаёте, ключи можно просто случайно сгенерировать и хранить на сервере список валидных ключей.

После первого запуска программы она отправляет на сервер мак адрес компьютера, сервер приписывает к ключу мак адрес. И возвращает положительный ответ.

Соответственно при каждом запуске программы идёт запрос на сервер на соответствие ключа и мак адреса. Если соответствуют то возвращаем разрешить работу программы, если нет, то запретить.

Что бы было сложнее взломать данный алгоритм обфуксируем приложение.

Проверка на использование серийника с разных IP

Без привязки к MAC адресу. Когда идёт запрос с расширения к серверу на проверку серийника, мы смотрим с какого IP идёт запрос. Если много раз получается что почти одновременно идёт запрос с разного IP, то принимаем меры. Не обязательно сразу банить серийник, можно просто временно банить старый IP и предупреждать человека что заход произведён одновременно с разных Компьютеров.

Логин + пароль

Вместо серийника можно хранить логины и пароли (то есть пользователь авторизовано работает с программной под своим логином и паролем), этот способ лучше, так как когда пользователь логинется под своим именем, то если он захочет кому-то передать программу то придётся ему передать и своё имя и пароль, но со стороны сервера ты по алгоритму выше можешь отследить что запрос идёт с разных компов, это уже грозит мерами, и что ты поймёшь какой именно пользователь отдал программу нелегально. В случае например наличия договора это может быть расценено как воровство, что психологически более стрёмно чем просто отдача кому-то серийника.

От себя добавлю

Я бы со всеми этими сложностями бы связываться не стал. На создание системы лицензирования может уйти больше времени чем на весь ваш плагин, усложнит разработку и использование, при этом всё-равно 100% безопасности не будет.

0

можешь сделать управление ключами (нужно поиграться с эл.подписями)
выдавать ключ по уникальному значению (id железа или привязка к какому-л. аккаунту)
индификатор должен быть легко проверяемый
при первом запуске отсылать его на сервер + случайный ключ (сам выдаешь тестеру, одноразовый)
на сервере подписываешь и отсылаешь обратно. полученный пакет расширение хранит в своем хранилище и сравнивает индификатор (при запуске, подозрительных действиях, т.п.)
не забудь вписать систему лицензий поглубже в код, обусцировать, минимизировать

3
  • у тебя случайно нет аккаунта с которым можно было бы надежно связать ключ? (e.g. аккаунт браузера / акк. на своем собственном сайте)
    – dgzargo
    5 фев 2018 в 23:23
  • есть, скинуть ?
    – Tick-Tack
    7 фев 2018 в 7:14
  • очень странный ответ, я хотел продолжить мысль которую записал в ответе
    – dgzargo
    7 фев 2018 в 21:59
0

Полагаю вы планируете защитить некую бизнес-логику от посторонних глаз и исполнения. Краткий ответ: прямой возможности защитить код расширения нет.

Однако, как вы и интересовались перенос логики на сторону сервера возможен, но не всегда. Это зависит от технической реализации вашего расширения.

Подразумевается разделение кода на подмудули, часть из которых исполняется на сервере и взаимодействует с расширением (HTTP, WebSocket, Chrome Messaging).
На возможность портирования кода влияют такие вопросы как:

  • какие входные данные требуются
  • в каком формате отдается результат (или что вообще должен делать код)
  • требуется ли браузер как среда исполнения или достаточно портировать, например, на Node.js

При этом, в случае успешного переноса кода на сервер вам потребуется система предоставления доступа пользователям: токены доступа, регистрация на сайте и подобное.

На данные вопросы нет общего ответа, проконсультировать вас сможет опытный специалист, посвященный в логику работы расширения.

-1

Обфускация? Я таким не занимался, но думаю, можно обфусцировать обфусцированный код. Если да, то делать это нужно разными алгоритмами, чтобы свести с толку. Если нет, то самым мощным алгоритмом если такая уж и тайная разработка. Кстати, вопрос в ответе: что это за расширение?

2
  • Никто не мешает переписать кому-то и обфуксированный код. тут нужно что-то типа сервиса лицензий, либо привязка к Google аккаунту и уже поверх этого обфуксированный код. 3 фев 2018 в 18:37
  • обфускация тут вообще без толку так как тут просто копи-паст прикол в том что гугл аккаунт или лицензию можно передать другому человеку вместе с кодом. Введи логин/ пароль на критическую часть которая на сервере, чтоб следить за подозрительными действиями с аккаунта например авторизация одновременно с нескольких ип, и если можно тайную проверку железа, но тут вопрос может ли это делать расширение хрома - при первом запуске проверяешь, тайно у себя сохраняешь, за доступ с логином паролем но неправильным значением железа - бан.
    – user184868
    6 фев 2018 в 21:30

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.