Blurry Box Hackers' Contest

Hunderte Teilnehmer aus aller Welt haben beim Hackerwettbewerb mitgemacht. Die Aufgabe war, den Blurry Box^® Softwareschutz eines Computerspiels zu knacken, so dass es auch ohne Lizenz korrekt funktioniert. Blurry Box ist ein neuartiges Schutzverfahren, dessen Mechanismen öffentlich sind. Ergebnis: Keiner konnte die neueste Technologie brechen.

Drei Wochen lang arbeiteten die Teilnehmer intensiv an der Aufgabe. Zwei von ihnen haben ihre Ergebnisse an die unabhängige Jury eingesandt, die aus Prof. Dr. Thorsten Holz und Prof. Dr. Christof Paar vom Horst Görtz Institut (HGI) und Prof. Dr. (TU NN) Norbert Pohlmann vom Institut für Internet-Sicherheit if(is) bestand. Keiner der Hacks konnte den Softwareschutz brechen. Die Jury entschied, das Preisgeld von 50.000 Euro nicht auszuzahlen, aber jedem der beiden Einsender als Anerkennung 1.000 Euro zuzusprechen. Das verbliebene Geld wird weitere Entwicklungsaktivitäten stärken.

Blurry Box wurde vom Kompetenzzentrum für angewandte Sicherheitstechnologie (KASTEL) des Karlsruher Instituts für Technologie (KIT), dem Forschungszentrum Informatik (FZI) und Wibu-Systems entwickelt und 2014 mit dem ersten Platz beim Deutschen IT-Sicherheitspreis ausgezeichnet. Es wurde in CodeMeter integriert und jetzt in dem Wettbewerb öffentlich erprobt. Das Verfahren mit sieben Mechanismen dupliziert, modifiziert und verschlüsselt einzelne Funktionen, bestimmt zur Laufzeit die passende Variante und berücksichtigt den Programmfluss. Ferner wird die Entschlüsselungsrate begrenzt. Wird eine Funktion benötigt, wird nur diese entschlüsselt, während die anderen Funktionen weiterhin verschlüsselt im Speicher bleiben. Werden nicht benötigte Varianten entschlüsselt, erlischt die Lizenz im Dongle; Brute-Force-Angriffe werden so verhindert. Der Aufwand für einen Angreifer, den Softwareschutz zu entfernen, ist höher als der einer Neuentwicklung. Hier sind die Mechanismen anschaulich in einem Video erklärt: https://www.wibu.com/bb

Prof. Dr. Jörn Müller-Quade

, Leiter des Instituts für Kryptographie und Sicherheit am Karlsruher Institut für Technologie (KIT), sagt: „Ich freue mich über das Ergebnis des Hackers’ Contests, denn egal wie gut die Analyse im Vorfeld ist, die wirkliche Sicherheit hängt ja auch davon ab, ob die theoretischen Modelle überhaupt nahe genug an der Realität sind. Dies kann man nur durch Beobachtung und Experiment feststellen. Daher benötigt auch die Theorie einen Hackerwettbewerb. Die IT-Sicherheitsforschung im Kompetenzzentrum KASTEL betrachtet Systeme als Ganzes und muss daher viele Disziplinen und Methoden einbinden. Blurry Box zeigt dies beispielhaft.“

Blurry Box wird in AxProtector, IxProtector, AxProtector .NET und AxProtector Java integriert. Ein Teil davon, speziell Fallen und die Verschlüsselung einzelner Funktionen, ist heute schon verfügbar. Weitere Methoden folgen. Verwenden Sie daher immer die aktuelle Version von CodeMeter Protection Suite.

Höhere Sicherheit wird in der Regel oft durch eine geringere Performance erkauft. Einige der zeitintensiven Blurry Box-Features sind daher auch nur für lokale Lizenzen verfügbar.

Blurry Box vs. CodeMoving, was ist besser?

Blurry Box und CodeMoving schließen sich nicht gegenseitig aus, genau genommen verwendet Blurry Box sogar CodeMoving zur Auswahl der nächsten Methode Ihrer Software im CmDongle. Während klassisches CodeMoving meist langsam oder die geschützte Funktion trivial ist, entfaltet CodeMoving im Rahmen von Blurry Box seine volle Wirkung. Auch komplexe Funktionen können geschützt werden, nur die Variantenauswahl erfolgt im CmDongle. Damit ist Blurry Box skalierbar, bei einer weiterhin akzeptablen Performance.

 

KEYnote 34 – Herbstausgabe 2017