У меня есть расширение(устанавливается из Chrome, выдаю доступ тестера только некоторым людям) и мне нужно что бы когда человек его устанавливал он не имел к нему доступа(то есть не имел доступа к коду, ибо при желании папку с кодом найти можно), так как если человек находит папку с кодом он может переслать весь код другому человеку и тот может пользоваться расширением. Скажите, возможно ли перенести часть кода расширения на сервер, но чтоб у клиента он всё ещё работал? Или альтернатива, как с помощью Chrome APIs можно реализовать привязку через google аккаунты в расширении?
6 ответов
Ответ на твой вопрос - никак. Смирись. Что бы ты не делал и как не изощрялся, на обход уйдет менее десятой части затраченного тобой времени. Не стоит вообще париться по этому поводу, твой код никому не нужен.
Расширения специально сделаны такими чтобы нельзя было запретить доступ к исходникам расширения. Это нужно чтобы можно было посмотреть что делает расширение. Если выяснится что расширение делает что-то непотребное, то расширение можно будет удалить или что хуже.
Потому, нет, вы не можете скрыть исходник расширения, и это так задумано.
Вижу несколько вариантов:
Можно сделать просто привязкой к мак адресу.
Вообще в расширение хрома нельзя получить мак адрес компьютера, но можно попробовать сделать так - https://stackoverflow.com/a/24386579/6580397
Пользователь вводит ключ, который вы ему выдаёте, ключи можно просто случайно сгенерировать и хранить на сервере список валидных ключей.
После первого запуска программы она отправляет на сервер мак адрес компьютера, сервер приписывает к ключу мак адрес. И возвращает положительный ответ.
Соответственно при каждом запуске программы идёт запрос на сервер на соответствие ключа и мак адреса. Если соответствуют то возвращаем разрешить работу программы, если нет, то запретить.
Что бы было сложнее взломать данный алгоритм обфуксируем приложение.
Проверка на использование серийника с разных IP
Без привязки к MAC адресу. Когда идёт запрос с расширения к серверу на проверку серийника, мы смотрим с какого IP идёт запрос. Если много раз получается что почти одновременно идёт запрос с разного IP, то принимаем меры. Не обязательно сразу банить серийник, можно просто временно банить старый IP и предупреждать человека что заход произведён одновременно с разных Компьютеров.
Логин + пароль
Вместо серийника можно хранить логины и пароли (то есть пользователь авторизовано работает с программной под своим логином и паролем), этот способ лучше, так как когда пользователь логинется под своим именем, то если он захочет кому-то передать программу то придётся ему передать и своё имя и пароль, но со стороны сервера ты по алгоритму выше можешь отследить что запрос идёт с разных компов, это уже грозит мерами, и что ты поймёшь какой именно пользователь отдал программу нелегально. В случае например наличия договора это может быть расценено как воровство, что психологически более стрёмно чем просто отдача кому-то серийника.
От себя добавлю
Я бы со всеми этими сложностями бы связываться не стал. На создание системы лицензирования может уйти больше времени чем на весь ваш плагин, усложнит разработку и использование, при этом всё-равно 100% безопасности не будет.
можешь сделать управление ключами (нужно поиграться с эл.подписями)
выдавать ключ по уникальному значению (id железа или привязка к какому-л. аккаунту)
индификатор должен быть легко проверяемый
при первом запуске отсылать его на сервер + случайный ключ (сам выдаешь тестеру, одноразовый)
на сервере подписываешь и отсылаешь обратно. полученный пакет расширение хранит в своем хранилище и сравнивает индификатор (при запуске, подозрительных действиях, т.п.)
не забудь вписать систему лицензий поглубже в код, обусцировать, минимизировать
Полагаю вы планируете защитить некую бизнес-логику от посторонних глаз и исполнения. Краткий ответ: прямой возможности защитить код расширения нет.
Однако, как вы и интересовались перенос логики на сторону сервера возможен, но не всегда. Это зависит от технической реализации вашего расширения.
Подразумевается разделение кода на подмудули, часть из которых исполняется на сервере и взаимодействует с расширением (HTTP, WebSocket, Chrome Messaging).
На возможность портирования кода влияют такие вопросы как:
- какие входные данные требуются
- в каком формате отдается результат (или что вообще должен делать код)
- требуется ли браузер как среда исполнения или достаточно портировать, например, на Node.js
При этом, в случае успешного переноса кода на сервер вам потребуется система предоставления доступа пользователям: токены доступа, регистрация на сайте и подобное.
На данные вопросы нет общего ответа, проконсультировать вас сможет опытный специалист, посвященный в логику работы расширения.
Обфускация? Я таким не занимался, но думаю, можно обфусцировать обфусцированный код. Если да, то делать это нужно разными алгоритмами, чтобы свести с толку. Если нет, то самым мощным алгоритмом если такая уж и тайная разработка. Кстати, вопрос в ответе: что это за расширение?
-
Никто не мешает переписать кому-то и обфуксированный код. тут нужно что-то типа сервиса лицензий, либо привязка к Google аккаунту и уже поверх этого обфуксированный код. 3 фев 2018 в 18:37
-
обфускация тут вообще без толку так как тут просто копи-паст прикол в том что гугл аккаунт или лицензию можно передать другому человеку вместе с кодом. Введи логин/ пароль на критическую часть которая на сервере, чтоб следить за подозрительными действиями с аккаунта например авторизация одновременно с нескольких ип, и если можно тайную проверку железа, но тут вопрос может ли это делать расширение хрома - при первом запуске проверяешь, тайно у себя сохраняешь, за доступ с логином паролем но неправильным значением железа - бан. 6 фев 2018 в 21:30