[论文解读] Advanced Software Protection Now

Diego Bendersky, Ariel Futoransky+3 more|arXiv (Cornell University)|Jun 11, 2010

Advanced Malware Detection Techniques参考文献 32被引用 7

一句话总结

本文提出了一种无需硬件的新型软件保护框架，通过结合安全触发器与代码混淆技术，实现许可证强制执行和盗版追踪。通过加密关键代码段并利用触发器嵌入动态指纹，该系统使逆向工程和破解的成本达到不可行的程度，因为攻击者无法在不分析整个程序执行流的情况下可靠地检测或移除所有保护机制。

ABSTRACT

Software digital rights management is a pressing need for the software development industry which remains, as no practical solutions have been acclamaimed succesful by the industry. We introduce a novel software-protection method, fully implemented with today's technologies, that provides traitor tracing and license enforcement and requires no additional hardware nor inter-connectivity. Our work benefits from the use of secure triggers, a cryptographic primitive that is secure assuming the existence of an ind-cpa secure block cipher. Using our framework, developers may insert license checks and fingerprints, and obfuscate the code using secure triggers. As a result, this rises the cost that software analysis tools have detect and modify protection mechanisms. Thus rising the complexity of cracking this system.

研究动机与目标

• 为应对软件盗版的长期挑战，设计一种实用的纯软件保护系统，实现许可证强制执行并支持泄露软件的追踪。
• 克服以往依赖安全盲区或专用硬件的解决方案的局限性，这些方案往往不安全或经济上不可行。
• 将密码原语（安全触发器）与软件工程技术相结合，构建对逆向工程和代码修改具有韧性的系统。
• 证明自动化破解在事实上不可行，因为必须分析所有执行路径并识别所有加密触发块，其复杂度呈指数级增长。

提出的方法

• 该系统使用安全触发器——一种基于 ind-CPA 安全分组密码的密码原语——来加密关键代码段，确保其仅在运行时解密。
• 许可证检查和指纹信息被嵌入这些加密块中，使其对静态分析工具不可见。
• 通过任意且看似有意义的代码决策生成动态指纹，即使在优化后也难以与合法逻辑区分开来。
• 通过分析不同构建版本之间的代码差异，支持盗版追踪；每个构建中 20–30% 的字典内唯一字符串模式可实现高精度来源识别。
• 攻击者试图通过代码重优化或剪切粘贴攻击移除指纹时会失败，因为变量赋值和触发逻辑存在不一致。
• 该系统通过迫使攻击者逆向分析每个加密块来防止自动化破解，这需要分析所有可能的执行路径，其难度等同于判定停机问题。

实验结果

研究问题

• RQ1 能否仅使用标准软件技术构建软件保护系统，而无需专用硬件或网络连接？
• RQ2 安全触发器与代码混淆在多大程度上可使实际环境中的逆向工程和破解变得不可行？
• RQ3 当指纹通过动态、混淆的代码嵌入且能抵抗优化或代码操作移除时，盗版追踪的有效性如何？
• RQ4 当系统使用加密且受触发器保护的代码段时，剪切粘贴攻击是否能成功移除指纹？
• RQ5 在不进行全面静态和动态分析整个程序的前提下，是否可能阻止自动化工具识别并禁用所有许可证检查？

主要发现

• 一个 1.2MB 的 Win32 可执行文件，包含 12 个指纹化构建版本，显示字典中 440,000 个唯一 10 字节字符串中有 20–30% 仅属于每个构建版本，从而实现高精度盗版追踪。
• 约 182,000 个字典条目存在于所有构建中，证实了核心功能的一致性，其余条目则提供了唯一标识标记。
• 剪切粘贴攻击因变量赋值和触发逻辑不一致而失败，尤其在混合不同构建的代码时更为明显。
• 该系统的韧性源于攻击者必须分析每个执行路径才能解密所有受触发器保护的块，这一任务的难度等同于解决停机问题。
• 即使使用自动化工具，识别并禁用所有许可证检查也是不可行的，因为加密代码是逐步揭示的，且在缺乏完整代码理解的情况下无法可靠检测虚假触发器。
• 添加指纹和触发器后，编译时间仅略有增加（几分钟），表明运行时和开发开销极低。