アプリケーションの保護（難読化と堅牢化）

金融サービス、ソフトウェアプロバイダー、メーカー、ゲーム、医療、保険、通信、政府、サービスおよびその他の業界は、海賊版、ソフトウェアの改ざん、リバースエンジニアリングによる解析、知的財産の窃盗、著作権侵害のなどの不正行為の対策に毎年何億円も負担しております。

ハッカーは、簡単に入手できる逆コンパイラツールを使用することで、非常に簡単にリバースエンジニアリングを行うことができます。リバースエンジニアリングされたソースコードにデバッガを組み合わせることでさらに危険性が高まります。ハッカーは、アプリケーションの完全性を損なわせ、ライセンスと認証チェックを迂回し、機密データと知的財産を盗む可能性があります。

PreEmptive ソリューションは、知的財産とソースコードの保全、そして最終的に著作権侵害、偽造、改ざんに対する信頼と収益を保護します。当社の階層化されたセキュリティと難読化による保護機能は、.NET、Java、Android、および iOS アプリケーションに直接組み込まれるため、エンドユーザのコンピュータ/デバイスやネットワークを変更する必要はありません。ソースコードの難読化だけでなく、アプリケーションのリスクを管理するのに役立ちます。

ソリューション概要

• モバイル、デスクトップ、サーバー、組み込みなどすべてのアプリケーションに対応
• 逆コンパイルやリバースエンジニアリングなどの静的な攻撃から保護
• デバッグや改ざんなどの動的な攻撃から保護
• 動的な攻撃を報告して応答

製品の特徴

• 強力な難読化により、逆コンパイルの阻止とリバースエンジニアリングによる静的解析の妨害
• 機密データの参照、認証チェックの回避、コード変更などの攻撃を目的としたデバッグを阻止
• 標準の開発環境を変えることなく最強の保護機能を提供。通常のビルド作業で自動難読化
• 逆コンパイラやハッカーよりも先に進歩するように開発・改良を継続
• 非常に複雑な開発環境とビルド環境をサポート
• アプリケーションのバイナリに埋め込みます。ソースコードが不要で、開発サイクルに支障なし
• もっとも普及が進むプラットフォームである .NET、Java、Android、iOS をカバー
• 簡単で使いやすい

ハッキング予防～運用・被害のための、ソフトウェア保護

ハッカーは、商用サービスのモバイル、サーバー、およびデスクトップアプリケーションを攻撃の対象とすることがますます増えています。あなたのアプリケーションは次のような危険にさらされている可能性があります。

ソリューション概要

• 知的財産の盗難
• 詐欺と不正アクセス
• 信頼と企業イメージの被害
• 機密データの漏洩
• 収益の損失

あなたの会社は、ハッキングに対して、どのようにして自分自身をより安全に守ることができますか？
次の対策を実行することで実現することが可能です。

1.予防 – ソフトウェア保護と難読化徴

明白な保護措置として、潜在的なセキュリティ脆弱性についてソフトウェアを監査し、アプリをリリースする前にそれらを修正してください。また、コードの難読化や堅牢化などの技術を適用して、逆コンパイラを防止し、人間による解析を非常に困難にすることによって、リバースエンジニアリングやハッキングを大幅に難しくすることができます。

2.運用中 – セキュリティ状態の検出と応答

アプリケーションの堅牢化により、アプリケーションの改ざんやデバッグに対抗する必要があります。たとえば、保護されたアプリケーションは、実行時にデバッガがアタッチされていたり、改ざんされているのか、脱獄（jailbroken）または安全でないデバイスで実行中であるのかを検出し、適切に応答（報告）ができます。
一例として、デバッグ検出は複数のアクションをランダムに適用してハッカーをさらに混乱させ、場合によってはアプリケーションをロック（二度と実行できないようにする）し、同時に報告します。

3.ハッキングの被害後 – 法的努力を強化する

最近制定された DTSA （Defend Trade Secrets Act）※の下で、企業は裁判所で営業秘密盗難の申し立てを行い、救済措置を求めることができます。これらの救済策を最大限に活用するには、企業は企業秘密を特定し、合理的な秘密防衛措置を実施しなければなりません。これらのルールをソフトウェアアプリケーションに適用することで、難読化および強化技術は、お客様のIPの機密性を維持するために必要な「合理的な努力」を確立する上で重要な役割を果たします。ディフェンド・トレード・シークレット法の詳細については、こちらをご覧ください。
※ 米国の法令です。米国市場でのビジネスにおいては、重要となります。

改ざん検出および通知

改ざん通知と応答ソリューションがもたらすパワフルな検知コントロールは、アプリケーション開発者と顧客の両者の保護に役立ちます。

Dotfuscator/DashO for Java/Android はアプリケーションの改ざんを自己診断するロジックを難読化したアプリケーションに自動的に追加することができます。

改ざん通知

変更または未承認で再コンパイルされた難読化アプリケーションは、まず初めに安全なシグナルを発信します。 このシグナルは改ざん通知レポートとして集められ、ほぼリアルタイムにアプリケーションの作成者や顧客の IT スタッフに通知されます。

リアルタイム改ざん応答

開発者は改ざん検出時に自動的に実行されるカスタマイズされたコードを追加することができます。コードには実行の停止、改ざんされたアプリケーションの機能制限、改ざんされたアプリケーションユーザーへの通知などがあります。

改ざん通知サービスにはたくさんの注目すべき特徴があります。

強力で新しい IT コントロール

実行モジュールの直接的な改ざんや、リバースエンジニアリング後に変更されたソースコードの再コンパイルなど未承認による変更をアプリケーション実行時に通知/応答

プログラミング不必要

カスタム属性の使用のみでプログラミング不必要

安全で非公開

シグナルは SSL 経由で送信。（個人を特定できる情報は含まれていない）

最終的なアプリケーションへの影響極小

・エージェントフリーのモニタリングソリューションを生成する改ざん検知ロジックを挿入。
・コンパイル後の枝刈りがフットプリントにおける変更を最小化。

高い価値

サポート契約をしている Dotfuscator for .NET / DashO for Java/Android ユーザーであれば無償で利用可能。

信頼性

今日最も広くインストールされている難読化ソリューションです。

ソフトウェア ウォーターマーク

概要

PreEmptive Solutions では PreMark と呼ばれるソフトウェアによるウォーターマークツールをリリースしました。このツールは Dotfuscator Professional Edition version 3.0 および DashO version 3.2 から製品に同梱されております。Dotfuscator for .NET および DashO for Java/Android for Java/Android は作成したコードの商売上の秘密を保護するために使用する製品ですが、PreMark は作成したソフトウェアの、認定されていないコピーを、その提供元まで遡って追跡し、所有権の根拠を明確にする方法を提供します。デジタル ウォーターマークに通じていないのであれば、ここに PreMark の詳細までを含めその概要を提示しておきます。

ウォーターマークとは何か

ウォーターマークの最も根源的な定義は、「他の情報内への別情報の埋め込み」です。当然、その過程でオリジナル情報の可用性を損なってはいけません。

下に示すような、目に見えるデジタル ウォーターマークを使用した画像を恐らく目にしたことがあるでしょうが、ここで言うウォーターマークは見えないように隠されたウォーターマーク、あるいはステガノグラフィによるウォーターマークのことであり、幅広い範囲のアプリケーションで使用されています。

ステガノグラフィ

ステガノグラフィ (Steganography) とは、何らかのメッセージが存在することを隠す技法を指します。例えば、伝令使の頭を剃り刺青をで文章を記した後、頭髪を伸ばします。そして伝令使が目的地に着いた時に再度頭髪を剃ればメッセージが現れるというものがあります。また、サブリミナル広告も、視聴者に気づかれないようにフレームが挿入されるという意味でステガノグラフィ技法の1つであると考えることができます。

例えば、あなたは有料視聴制の放送で目に見えるウォーターマークを使って欲しくないとか、あるいはお金を出して購入した画像を目に見えるウォーターマークで損なって欲しくないと考えるかもしれませんが、そのようなコンテンツの所有者や配布者は、所有権の証を引き出せるようにしておきたいのです。

データのデジタル ウォーターマーク処理

デジタルウォーターマークは、使用されていない情報密度部分を利用することで情報を隠します。データとしては画像 (jpeg 等) やオーディオファイル (mp3)、あるいはバイナリの実行可能形式を使用可能です。概念としては、データ本来の品質および内容を保持した形で識別情報をデータ内に埋め込むというものです。

以下の図では、隠されるデジタルメッセージは緑と黒の点で表現されています。このメッセージが風景写真に埋め込まれます。

Source: http://www.ece.purdue.edu/~ace/water2/sampleimages.html

風景画像はウォーターマーク処理の前後では同じように見えます。しかし、2つ目の画像、即ちウォーターマークされた画像にはあるデジタル化されたメッセージが埋め込まれているのです。

ソフトウェアのデジタル ウォーターマーク処理

損失のあるデータ型 (例えば、食用に適するかどうかのパターン化情報) はウォーターマーク処理に大変適しています。

画像の曖昧な部分や、歌曲の検出不能音域には情報を隠すための多大な余地があります。しかし、ソフトウェアのようにデータに余地のないものにウォーターマークを隠すことは容易ではありません。全ての機能は保持されていなければなりません。しかし、GUI を表現するには複数の方法があり、ウォーターマークを機能に影響を与えることなく格納することが可能なのです。

目的

暗号化や難読化（隠蔽処理）は犯罪行為を抑制することを目的に設計された技術ですが、ウォーターマーク処理は犯罪行為の検出と犯罪者の逮捕に使用できる可能性があります。通常、デジタル ウォーターマーク処理はあるレベルの著作権保護を提供するために使用されます。これは著作権情報を、後に取り出すことができる形でデータに挿入することで行われます。ウォーターマークを付与されたデータはコピーすることも使用することもできますが、著作権情報はいつでも取り出すことができ所有者を証明できるのです。著作権保持者の情報だけでなく、元々の購入者情報もエンコードすることができるので、違法コピーの追跡が可能となります。

フィンガープリント処理

フィンガープリントという技法は、不法な著作権侵害行為を検出するためにデジタルコンテンツを「パーソナライズ」します。パーソナライズとはデジタルコンテンツに対して小さな変更を行うことで、著作権侵害にあたるコンテンツを発見した場合にその侵害行為に加担した元々のユーザを割り出すことができるようにするものです。通常、フィンガープリントによる侵害行為の追跡は「背信者追跡 (Traitor Tracing)」と呼ばれています。

フィンガープリント処理は衛星放送データの著作権侵害行為の検出によく使用されてきました。正当な視聴者には放送データをデコードする一連のキー情報が発行され、放送されるコンテンツの各ユニットにはそれぞれの正規視聴者に対する固有のフィンガープリントが付与されています。もし一人あるいは複数人の正規視聴者がキーを他人に (インターネットや「ブラックボックス」デコーダを通じて) 渡した場合、放送者はいつかはフィンガープリント情報を使用し、元々の視聴者を割り出すことができるようになっているのです。

PreMark – Java および .NET のウォーターマーク処理

PreMark は既に難読化（隠蔽処理）されたコードおよびまだ難読化されていないコードの両方の上で実行可能であり、Java および .NET の両方のアセンブリで利用可能です。この機能では、隠されるべき情報をあなたのコードに直接埋め込みます。PreMark を実行すると、会社名のような著作権情報、および恐らくカスタマ識別情報を含め入力します。

PreMark は続いてこの情報を埋め込み、オリジナルと機能的に同等のモジュールを出力しますが、出力されたモジュールはオリジナルのものになんらコードを追加しておらず、コードサイズもオリジナルのものと同じです。また、処理済の出力ファイルを PreMark で処理すると、そのファイルに埋め込まれている情報を取り出し表示します。

結局、ソフトウェア ウォーターマークで何ができるのか

この機能を使用することで、ソフトウェアのコピーを追跡することができる可能性があります。また、ソフトウェアの所有権の証明、あるいは窃盗したものであることを証明することができる可能性もあります。ウォーターマークの付与は容易にできるので、あなたのビルド手順の1ステップとして組み込むべきでしょう。

PreMark は著作権保護技法としてステガノグラフィ手法、即ち非公開の手法を使用しているため、あるプログラムが DashO for Java/Android あるいは Dotfuscator for .NET を使用しフィンガープリントで著作権保護されているのかどうかを知ることは容易ではありません。従って、PreMark 機能が実際に使用されているかどうかに関わらず、これはいくつかの状況下において抑止力となりえます。