Méthodes basiques anti-cracking

[djes]

Petite correction, SHA et MD5 sont de algo de hashage et non de cryptage.

Autant pour moi (manque des smileys sur ce forum!)

N'oubliez pas que le cracker est avant tout un programmeur (certainement plus doué que vous pour les bons crackers).

Oui un programmeur certes, mais plus doué je ne suis pas sûr (ou pas toujours). Je dis juste ça par expérience : j'ai rencontré des crackers très forts mais qui étaient vraiment incapables de pondre quelque chose par eux même.
Le crack est quelque chose de très particulier, il faut parcourir des lignes et des lignes de code, et repérer certains "motifs", certaines techniques et en comprendre la logique. Personnellement, c'est un travail qui me rebute complètement!
Je préfére qu'on fasse le distingo.

[AYBABTU]

Autant pour moi (manque des smileys sur ce forum!)

"au temps pour moi"

j'ai rencontré des crackers très forts mais qui étaient vraiment incapables de pondre quelque chose par eux même.

Hum, ils ne devaient pas être si fort que tu le crois (ou qu'ils le disaient) A partir d'un certain niveau, on est casiment obligé de savoir coder des outils, pour ne pas etre dependants du travail des autres. Je pense notamment aux methodes d'unpacking, qui doivent "decrypter" 800 layers de cryptage... infesable à la main Ou alors au bruteforce pour certain cas. Voir des personnes qui codent des outils pour casser plus rapidement de la crypto, là en plus il faut etre un dieu en math. On peut rajouter la dedans les keygens, meme si la pluparts sont basiques, on trouve parfois de pures merveilles (d'un point de vue graphique, et du code) C'est pas un gros projets à 500 000 lignes, mais c'est pas rien non plus

Mais je me suis écarté du sujet, désolé.

[LeCyb]

AYBABTU, je n'ai pas fait un post intitulé "La manière de rendre un soft inviolable".

Cela devrait être naturel de lire entre les lignes pour un cracker . Bon ok t'es p-ê pas doué pour ça alors je t'explique.
- Quand je dis "conseil" cela veut dire "conseil" et pas "obligation" ou "infaillible".
- Quand je dis "mise à jour" ça ne veut pas dire "fonctionne contre les keygens".
- Quand je dis "packer" je ne dis pas "les experts ne pourront pas le faire".
- Quand je dis "faire plein d'appels" cela veut dire "compliquer la vie du cracker, même un petit peu".
- Même chose pour le code inutile.
- Désolé pour phishing, je suis en train de me documenter sur le sujet et l'orthographe m'a échappé. Pour les autres Phising = vol d'informations, Fishing = récupération d'un serial.
- Quand je parle de "coût" (avec un chapeau Mr. Orthographe) je parle que les gens utiliseront un crack ou l'achèteront. (Joke: ton prog à 2€ c'est p-ê le seul que t'as réussi à cracker?)


Bref vu que tu connais mieux que tout le monde, pourquoi tu nous ferais pas une bible anti-cracking au lieu de critiquer à tout vents ?

PS: je ne te permet pas de sous-entendre ni de me juger à propos de l'utilisation de versions pirates.

[erix14]

Par contre, je ne comprends pas vraiment comment tu comptes te servir de ça. Si c'est pour proteger des fichiers et que ca sera lu par ton programme, alors forcement tu vas stoquer le mot de passe dans ton executable

C'était simplement pour savoir les risques si un pirate tombait sur un fichier ZIP, que seules certaines personnes auraient le droit d'ouvrir via une clé envoyer par e-mail.

PS:
Je pense qu'il y a des bons et mauvais programmeurs dans les deux camps, la seule différence c'est que certains sont passionnés de cryptage et de piraterie... et d'autre d'applications diverses, intelligence artificielle, jeux 2D/3D... À chacun ses goûts

[AYBABTU]

En réponse à LeCyb;

hébé, calme toi mon ami. Pourquoi tu t'enerves comme ca ? Pourquoi tu m'insultes ? Je voulais juste donner mon avis, désolé , j'ai meme dis que ton post était bien, et j'ai meme approuvé certains points. On est dans une démocratie et j'ai je crois le droit de dire ce que je veux tant que ça ne nuit pas a la liberté de quelqu'un d'autre.

Mais si tu veux que je me taisse, c'est comme tu veux, mais je pense que vous avez quand meme plus a apprendre quand quelqu'un qui sait comment ca se passe "de l'autre coté" est la pour vous aider... Il n'y avait RIEN de mechant dans mon post, je suis désolé que tu l'ais pris comme ca.

A moins que tu n'es pas aimé que j'ai été fouiné sur ton compte perso et que j'ai découvert la version retail, et donc cracké, par DVT, de PureBasic 3.93...
PureBasic.3.93.Full.Retail.by.DVT.rar
(oui, la c'est méchant)

EDIT: Je viens de voir que tu l'avais acheté dans un autre post. C'est bien. J'ai pas de moyen de savoir si c'est vrai, mais je veux bien te croire sur parole. En tout cas, dans mon 1er post, il n'y avait aucun jugement sur ce point, c'etait un clin d'oeil, c'est tout.

P.S: et les attaques perso, sur l'orthographe, et sur mes connaissances en cracking, c'est vraiment d'un niveau pitoyable, tu passes toi meme pour une andouille... aller chipoter sur l'accent du mot "coût" ... nan mais t'as quel âge ? Ou alors tu as un ego titanesque et tu ne supportes pas qu'on te fasses la moindre remarque, meme si elle est juste et aucunement méchante.

Incroyable les jeunes de nos jours. Tu fais une remarque et ils se sentent agressés directement. Ré-apprenez a accepter les approches des autres et à communiquer bon sang.

[AYBABTU]

C'était simplement pour savoir les risques si un pirate tombait sur un fichier ZIP, que seules certaines personnes auraient le droit d'ouvrir via une clé envoyer par e-mail.

D'accord Ouais en effet c'est assez tranquille de ce coté. La seule faille que je vois reste humaine, piratage des mails de la personne ou meme de la machine. Et croyez pas que ca ne se fait jamais

Je pense qu'il y a des bons et mauvais programmeurs dans les deux camps, la seule différence c'est que certains sont passionnés de cryptage et de piraterie... et d'autre d'applications diverses, intelligence artificielle, jeux 2D/3D... À chacun ses goûts

Je pense que tu as tout a fait raison
Je rajouterais une 3eme categorie... ceux qui sont passionnés par les deux cotés

[djes]

Autant pour moi (manque des smileys sur ce forum!)

"au temps pour moi"

http://www.langue-fr.net/index/A/au_temps-autant.htm
Au temps pour moi! En fait, je connais ce truc, mais je n'aime pas cette façon d'écrire cette expression.

j'ai rencontré des crackers très forts mais qui étaient vraiment incapables de pondre quelque chose par eux même.

Hum, ils ne devaient pas être si fort que tu le crois (ou qu'ils le disaient) A partir d'un certain niveau, on est casiment obligé de savoir coder des outils, pour ne pas etre dependants du travail des autres. Je pense notamment aux methodes d'unpacking, qui doivent "decrypter" 800 layers de cryptage... infesable à la main Ou alors au bruteforce pour certain cas. Voir des personnes qui codent des outils pour casser plus rapidement de la crypto, là en plus il faut etre un dieu en math. On peut rajouter la dedans les keygens, meme si la pluparts sont basiques, on trouve parfois de pures merveilles (d'un point de vue graphique, et du code) C'est pas un gros projets à 500 000 lignes, mais c'est pas rien non plus

Oui tu as raison, c'est mieux d'être polyvalent, mais d'après ce que j'ai connu, les petits outils ou les cracktros, c'est toujours d'autres qui les écrivaient Mais maintenant que tu me le rappelles, c'est vrai qu'ils travaillaient en équipe.

[AYBABTU]

http://www.langue-fr.net/index/A/au_temps-autant.htm
Au temps pour moi! En fait, je connais ce truc, mais je n'aime pas cette façon d'écrire cette expression.

hihi moi non plus, je n'aime pas cette façon de l'écrire, mais on m'a eu une fois avec ça, alors depuis je me venge dès que je peux :p

[Backup]

La seule maniere que je connais de trouver le mot de passe d'un Zip, c'est en effet le bruteforce. Attaque par dictionnaire ou par generation de mot. Advanced Zip Password Recovery fait ca bien, ainsi que Passware Kit. Donc bien sur si le mot de passe est "#~{&={[{éçéjhé(hjk(875è_", aucune chance de le trouver Smile

pour une fois que je dit pas de bétises !

[LeCyb]

En effet j' n'aime pas qu'on fouille dans mes affaires et je n'aime pas non plus me faire agresser.

Et si j'ai une version de 3.93 pirate de PB c'est pasque sur le mon compte PB je n'ai pu prendre que la version 3.94 qui a encore quelques petits bugs on dirait (d'ailleurs si qqun peut me dire où sont les anciennes version sur notre compte je l'efface directement).

Si je ne m'abuse c'est toi qui a commencé à reprendre mon orthographe, pourquoi tu n'acceptes pas qu'on te fasse aussi des "clins d'oeil" ?

Pour ton info j'ai 30 balais et j'ai simplement essayé de te faire comprendre que c'était uniquement quelques conseils faciles à mettre en place et qui dérouteraient la majorité des crackeurs en herbe.
Comme tu as l'air d'être assez puéril et difficile à la détente je vais te l'écrire clairement:
Tu n'as ni besoin d'approuver ni besoin de critiquer point par point des conseils qui ne sont pas erronés. (plus clair je peux pas faire désolé)

Maintenant si tu veux rajouter de l'information, tu fais à ta guise c'est le but d'un forum.
Mais si ton but est de démonter les messages pour attaquer les gens je t'invite à passer ton chemin.

-----------------------

Pour répondre (un peu tardivement j'avoue mais à force de se faire engueuler...) au sujet des zip, il existe des méthodes pour accélérer le brute force à condition de connaître le début d'un fichier (12 bytes minimum) contenu dans le zip.
Y'a une méthode qui fait ça et qui extrait le CRC du fichier (contenu dans le header du zip) puis il décrypte les douze premiers bytes.
Le dernier byte doit correspondre au byte de poids fort du CRC, ce qui élimine à peu près 255 passwords sur 256 essais (au lieu de brute forcer inutilement).

Le nombre de fichiers dans le zip influence aussi le temps de cracking, idéalement il faut 4 fichiers ou plus dans le zip pour multiplier les performances.

Donc avec un bon algorithme de cracking (en gros qui élimine un maximum de mauvais passwords) il est possible de réduire considérablement le temps de brute force (genre 2-3 heures avec 4-5 fichiers dans le zip).

Comme je l'ai fait comprendre un peu plus haut y'a aucune méthode infaillible mais il existe des méthodes pour décourager la majorité des gens.

[AYBABTU]

En réponse à LeCyb, encore...
...

Bon, deja, tu vas clairement te calmer. Bois un verre, va faire une sieste, mais calme toi. Des gens qui ne savent pas discuter calmement sur un forum, c'est une des choses que je ne supporte vraiment pas.

Bref, pour simplifier, t'as rien compris à ce que j'ai dis et tu crois ENCORE que je t'ai critiqué dans le 1er message. Soit tu es un imbecile, soit tu es tres imature et tu es incapable de faire la part des choses dans une discution virtuelle. Mais ça se corrige.

Prenons le sujet de l'orthographe. Je t'ai corrigé un terme, phishing, en fishing, parce que les 2 termes existent et sont valides. J'ai meme mis un smiley à la suite pour te faire comprendre que c'était pas méchant. Ce n'était pas une correction orthographique mais une correction de terme employé, et encore moins un clin d'oeil. Toi tu me dis que j'ai pas mis l'accent sur le mot "coût" (d'une manière plus deplacé d'ailleurs, arrogante). Tu trouves pas que c'est totalement different ?

Ensuite passons au sujet principal. Tu enumeres des conseils, et pour certains je dis qu'ils sont parfaits. Je RAJOUTE quelques informations quant à la réelle qualité de ceux-ci. Si un mec dis un truc et que ce n'est pas tout a fait vrai, il faut mieux s'ecraser et ne rien dire, pour ne pas se faire insulter ? C'est une drole de mentalité. Mais soit, si tu preferes, pour tes prochains conseils je dirais juste "Merveilleux conseils", et j'attendrais de me faire cracker mes programmes.

Tu n'as ni besoin d'approuver ni besoin de critiquer point par point des conseils qui ne sont pas erronés.

Oui, je n'ai pas le BESOIN de faire ceci, mais j'en ai le DROIT.

Maintenant si tu veux rajouter de l'information, tu fais à ta guise c'est le but d'un forum.
Mais si ton but est de démonter les messages pour attaquer les gens je t'invite à passer ton chemin.

JAMAIS, je ne demonte des messages pour attaquer des gens, quand je ne subis pas moi meme une attaque. Relis mon 1er message une fois calmé, Dis moi ce que je demonte. Toi ? NON ! tes conseils ? NON ! j'en approuve meme certains. Je ne démonte rien, je dis ce que j'en pense. C'est pire qu'une dictature si on n'a plus le droit de faire cela. Dire que je me suis dis que LeCyb connaissait deja pas mal de chose et que je m'etais fait une bonne opinion de toi. Je ne pensais vraiment pas que tu réagirais aussi stupidement.

Pour finir, j'aimerais savoir où je t'ai aggressé dans mon 1er message, histoire qu'on puisse clore le sujet, avec citation à l'appuis. Que je puisse te démontrer que ce n'etait evidement pas pour t'aggresser. On dirait un jeune de cité qui se croit agressé dès qu'on le regarde dans la rue et qui insulte direct...

Et puis évite de prendre les gens pour des cons, ça fait mauvais genre. J'ai peut etre 10 ans de moins que toi, mais je pense que celui qui laisse resortir le plus son immaturité dans nos messages, c'est bien toi, avec tes insultes gratuites qui ne montent pas très haut ("puéril", "difficile a la detente", "incapable de lire entre les lignes, etc...".

Bref, si vous voulez que je me tire, c'est pas un soucis, je me tire. J'y gagne vraiment rien a vous dire comment on fonctionne. Mais je pense qu'au contraire beaucoup on compris qu'ils avaient plus a gagner en sachant ce qui fonctionne réellement. Désole de t'avoir dit que Aspack ne servait a rien.

[Oliv]

Non AYBAtu rest, c'est interressant ce que tu dis, même pour toi, quelles sont les protections les plus souvents rencotrées et les moins efficaces ?

[djes]

Je confirme n'avoir pas compris pourquoi il y avait embrouille?!

[Lapin]

AYBABTU : faut arrêter de de sentir attaquer de partout...

Si on donne des démos, mieux vaut mettre juste une partie, pas un déblocage par sérial ou autre, bien que une fois l'exe acheté, il est facile de le diffuser

d'accord, mais un cracker n'est pas un pirate ni un carder.
si tu diffuses juste une démo bridée sur ton site, le cracker ne pourra pas faire grand chose...
tu peux aussi watermarker les fichiers de la version complète, histoire de décourager les petits malins.


Mon conseil:
éviter les name/serial, c'est beaucoup trop classic... toujours les mêmes api... la routine (sans jeux de mot bidon )
faites un truc avec des couleurs, des flèches, des checkbox, bouger des éléments pour s'enregistrer ect...

[AYBABTU]

Quelles sont les protections les plus souvents rencontrées et les moins efficaces ?

Le plus courant, ça reste la protection maison tout de meme, avec nom/serial. Donc là on ne peux pas donner de regle, c'est plus ou moins bien fait. Ca va de la routine qui regarde si le serial de 11 caracteres commence par '703' (veridique), à la crypto. Mais on peut faire une protection comme ça tout a fait beton, à la fin il y a toujours 2 etats: valide ou non valide.

Une des erreurs la plus courrament rencontrée c'est de faire confiance aveuglement au packer/protector, Pour rappel un protecteur du type Armadillo ou ASProtect rajoute une couche de protection sur le binaire, et se charge de la partie gestion des licences. Donc une fois que le crackeur a supprimé la protection sur le binaire, il a devant lui un executable qui croit etre enregistré. (ou alors les modifications a faire pour qu'il le soit vraiment sont triviales) Les protecteurs c'est puissant, mais ça finit bien un jour par se faire casser. (y'a un an Armadillo etait la bete noire a abattre, maintenant, c'est finis...)
Ah oui aussi, beaucoup de personnes utilisent tres tres mal ce genre de logiciels, et n'activent pas toutes les options.Parfois c'est necessaire par soucis de compatibilité, mais un armadillo sans toutes ses protections activées, ça ne sert a rien.
A noter tout de meme que ce genre de soft restent en general non keygennable, ce qui est tout de meme un bon point Meme si dans les versions precedentes des failles ont été trouver (on peut keygenner du ASProtect 1.0 (c'est vieux!), et du Armadillo, meme derniere version, si l'auteur n'a pas utlisé le dernier niveau de securité pour les clés (le niveau 10))


Bref, je ne vais pas vous écrire les conseils qu'on voit partout, et qui ne sont pas "vraiment" efficaces, comme dire de stoquer le serial et le nom dans la base de registre et de ne le verifier qu'apres le lancement de l'application, pas directement quand on valide. C'est toujours mieux que rien, mais il est facile de tracer les appels à la base de registre. Ne pas afficher de messagebox c'est deja un peu plus utile, mais ca ralenti, c'est tout.

La seule vraie protection, c'est comme dit plus haut, de distribuer une version demo sans toutes les fonctions. La version complete étant tout de meme protegée par soit un protecteur si on a une licence, soit une schema maison. Noter a qui on a envoyé la version complete, et surtout, la watermarker, intelligement de preference.(= ne pas mettre le nom du mec dans l'exe ^^)

Mais rien n'est infaillible