imported>Megatherium: /* Sonstiges */

2025-04-18T10:15:14Z

Sonstiges

Neue Seite

'''Obfuskation''' ([[Englische Sprache|engl.]] ''obfuscate'' „vernebeln“, „unklar machen“, „verwirren“, „verschleiern“) ist ein Begriff aus der [[Softwaretechnik]] und beschreibt die absichtliche Veränderung von [[Programmcode]], so dass der [[Quelltext]] für Menschen schwer verständlich oder schwer rückgewinnbar wird. Ziel ist es, den Aufwand für [[Reverse Engineering]] stark zu erhöhen, um Veränderung, unerwünschtes Kopieren von Programmteilen oder Diebstahl von geistigem Eigentum zu erschweren oder um die Funktionalität z. B. von Schadsoftware zu verschleiern.

Bei [[Interpreter]]- oder [[Skriptsprache]]n, sofern der [[Quelltext]] ausgeliefert wird, bedeutet das, die ausgelieferte Kopie des Quelltextes unkenntlich und (für Menschen) schwerer lesbar zu machen.
Bei einem [[Compiler|kompilierten]] Programm [[Verwürfelung|verwürfelt]] und verschleiert ein Obfuskator nicht den Quellcode, sondern das Kompilat oder eine Kopie des Quellcodes unmittelbar vor dem Kompilieren.
Hier soll vor allem das (maschinelle) [[Decompiler|Dekompilieren]] verhindert werden bzw. das Dekompilat soll möglichst unverständlich werden.<ref>{{Literatur |Autor=Richard R. Brooks |Titel=Disruptive Security Technologies with Mobile Code and Peer-to-Peer Networks |Verlag=CRC Press |Ort= |Datum=2012-05-14 |Kapitel=7 |Seiten=155ff |Sprache=en}}</ref>

== Eigenschaften ==
Obfuskation verändert ausführbaren Programm-Code ohne Änderung der Programmfunktion. Zum Beispiel werden Variablen- und Funktionsnamen umbenannt, sofern sie aus dem Programm rückgewinnbar wären. Ebenfalls kann (bei einem kompilierten Programm) der [[Maschinencode|Maschinen-]] oder [[Bytecode]] so verwürfelt werden, dass die Befehlsabschnitte, die einem [[Höhere Programmiersprache|Hochsprachenbefehl]] entsprechen, sich mit denen des vorherigen/nachfolgenden Hochsprachenbefehls mischen; oft werden auch zusätzliche nicht notwendige (Maschinen-)Befehle eingefügt. Das kann ein maschinelles Dekompilieren in die ursprüngliche Hochsprache deutlich erschweren oder sogar unmöglich machen.<ref name="Codewall">{{Webarchiv|url=http://www.codewall.net/ |wayback=20141225022534 |text=Codewall .Net Obfuscation }} - "Control Flow Obfuscation. Control Flow Obfuscation scrambles the execution paths of the method bodies of your application making decompilers crash."</ref>

Ein Nebeneffekt kann je nach Beschaffenheit des Codes auch die Verkleinerung seines Speicherbedarfs sein (v. a. bei Skriptsprachenprogrammen), z. B. durch die Umbenennung langer [[Bezeichner|Identifier]] in kürzere.<ref>[http://proguard.sourceforge.net/results.html Proguard Results] - "It primarily reduces the size of the processed code, with some potential increase in efficiency as an added bonus."</ref> Das ist für Website-Skripte vorteilhaft, um das Übertragungsvolumen zu reduzieren.
Ebenfalls kann es vorteilhaft sein bei [[Anwendungsprogramm]]en für Endgeräte mit geringer Speicherkapazität oder Rechenleistung.

== Abgrenzung ==
Im Allgemeinen verschlüsselt Obfuskation nicht das Programm und ist daher keine Anwendung der [[Steganografie]] und im Allgemeinen auch nicht der [[Kryptographie]].
Es können allerdings u. U. im Programm hinterlegte Zeichenketten, Dateien oder ganze Klassen verschlüsselt werden, damit diese nicht im Klartext lesbar sind (siehe unten).

== Beispiele für Methoden der Code-Obfuskation ==
; Äquivalente Formeln und konstante Transformationen: Beispielsweise kann eine Addition +10 ersetzt werden durch „addiere 15 und subtrahiere 5“.
; Verändern des [[Kontrollfluss]]es: Die Reihenfolge, in der Programmanweisungen ausgeführt werden, kann manchmal umgeordnet werden, ohne die Funktionalität zu beeinflussen. Das kann sowohl im Quelltext als auch im Kompilat (dann mit Maschinenbefehlen) geschehen.<ref>[https://msdn.microsoft.com/en-Us/library/ms227229(v=vs.80).aspx Control Flow Obfuscation], Microsoft Developer Network, Visual Studio 2005</ref>
; Variablensubstitution: Einfaches Umbenennen von [[Variable (Programmierung)|Variablennamen]] wie „Rechnungsbetrag“ oder „Adresse“ auf generierte Namen wie „ax7zhgr“.
; [[Bedingte Anweisung]]en und Sprünge: Dazu gehören auch überflüssige Vergleiche, die stets wahr bzw. falsch ergeben, [[Dateiverknüpfung|Links]] oder [[Zeiger (Informatik)|Pointer]].
; Veränderung der Funktionshierarchie: Einzelne Anweisungen oder auch Blöcke können – entgegen der logischen Struktur – in [[Unterprogramm]]e ausgelagert oder aus Unterprogrammen an die aufrufende Stelle kopiert werden.
; Einfügen von [[Redundanter Code|redundantem Code]]: In die Folge der Anweisungen wird überflüssiger Code eingefügt, der lediglich irrelevante Berechnungen ausführt.
; Einfügen von Code, der Dekompilieren erschwert: Beispielsweise das Einfügen von Code nach dem Ende einer Methode, was manche Dekompilierer zum Absturz bringt.<ref>{{Internetquelle |url=http://www.sable.mcgill.ca/JBCO/ |titel=JBCO: the Java ByteCode Obfuscator |abruf=2024-02-20}}</ref><ref name="Codewall" />
; Verschlüsselung: [[Verschlüsselung]] ist besonders für die Tarnung von einzelnen Bytes oder Strings wie im Code hardcodiert abgelegte Passwörter oder mitgelieferte Dateien, oder sogar ganze Klassen und Bibliotheken geeignet.<ref>{{Internetquelle |url=https://www.guardsquare.com/dexguard |titel=Android App Security and Obfuscation {{!}} DexGuard |hrsg=Guardsquare nv. |sprache=en |abruf=2024-02-20}}</ref>
; Mischen von Funktionen: Die (Maschinen-)Anweisungen zweier Funktionen/Hochsprachenbefehle können alternierend geschrieben werden. Dadurch verschwimmen die Grenzen zwischen den Funktionen.
; Spalten von Variablen: Umstrukturierung von [[Feld (Datentyp)|Arrays]] oder Listen
:* ein eindimensionales Array kann in mehrere eindimensionale Arrays gespalten werden
:* ein eindimensionales Array kann in ein mehrdimensionales Array ausgeweitet werden
:* ein mehrdimensionales Array kann in ein eindimensionales Array geschrumpft werden
:* zwei oder mehrere eindimensionale Arrays können zu einem eindimensionalen Array zusammengeführt werden.
; Anti-Debugs: Routinen, die auf die Erkennung und dann frühzeitiges Beenden eines Programmes bei der Erkennung eines Debuggers abzielen. Dazu scannen sie beispielsweise den Speicher nach Suchstrings diverser Debugger.

== Programme ==
Für das Verschleiern von Software gibt es je nach Programmiersprache und Plattform eine unterschiedlich große Zahl an Obfuskatoren. Viele davon sind für die direkte Anwendung auf den Quellcode<ref>{{cite web|url=http://www.dmoz.org/Computers/Programming/Languages/JavaScript/Tools/Obfuscators/ |title=Open Directory - Computers: Programming: Languages: JavaScript: Tools: Obfuscators |publisher=Dmoz.org |date=2013-08-03 |accessdate=2013-11-25}}</ref><ref>{{cite web|url=http://www.dmoz.org/Computers/Programming/Languages/PHP/Development_Tools/Obfuscation_and_Encryption/ |title=Open Directory - Computers: Programming: Languages: PHP: Development Tools: Obfuscation and Encryption |publisher=Dmoz.org |date=2013-09-19 |accessdate=2013-11-25}}</ref>, oder für Plattformen erhältlich, deren Quellcode ohne den Einsatz von Obfuskatoren leicht zugänglich wäre, etwa durch die Verwendung einer Bytecode-ähnlichen Zwischensprache vor der Ausführung. Es gibt allerdings auch Obfuskatoren, die Programme verschleiern, die in Programmiersprachen geschrieben wurden, die direkt in ausführbaren Code kompilieren.

=== C / C++ ===
Folgende Obfuskatoren für C/C++ werden aktiv gewartet: Stunnix C++ Obfuscator,<ref>{{Internetquelle |url=http://stunnix.com/prod/cxxo/ |titel=C/C++ Obfuscator |hrsg=Stunnix |sprache=en |abruf=2024-02-20}}</ref> StarForce C++ Obfuscate,<ref>{{Internetquelle |url=https://www.star-force.com/products/starforce-obfuscator/index.php |titel=StarForce C++ Obfuscator |werk=Star Force |hrsg=Protection Technology, LLC |sprache=en |abruf=2024-02-20}}</ref> Morpher C/C++ Obfuscator,<ref>{{Internetquelle |url=http://morpher.com/ |titel=C/C++/ObjC/ObjC++, Android, iOS Obfuscation Service |datum=2015-02-14 |abruf=2024-02-20 |archiv-url=https://web.archive.org/web/20150214064125/http://morpher.com/ |archiv-datum=2015-02-14 |offline= |archiv-bot=2024-04-03 14:27:20 InternetArchiveBot }}</ref> Semantic Design C und C++ Obfuscators.<ref>{{Internetquelle |url=http://www.semdesigns.com/Products/Obfuscators/CObfuscator.html |titel=Semantic Designs: C Source Code Obfuscator |abruf=2024-02-20}}</ref><ref>{{Internetquelle |url=http://www.semdesigns.com/Products/Obfuscators/CppObfuscator.html |titel=Semantic Designs: C++ Source Code Obfuscator |abruf=2024-02-20}}</ref>

=== Windows Script Encoder ===
Um verschiedene Skripte wie [[JScript]]-, [[VBScript]]- und insbesondere [[Active Server Pages|ASP]]-Dateien zu verschleiern, empfiehlt Microsoft, den Windows Script Encoder zu benutzen. Im Falle einer [[Technische Kompromittierung|Kompromittierung]] des [[Webserver]]s soll der Angreifer nicht in der Lage sein, zu verstehen, wie die ASP-Anwendung funktioniert. Mittlerweile gibt es jedoch [[Decoder]], um die Verschleierung rückgängig zu machen.

=== Java-Bytecode und MSIL ===
Für das Verschleiern von Java-[[Bytecode]] und der ''[[Common Intermediate Language]]'' von .NET gibt es eine Reihe von proprietären und Open-Source-Obfuskatoren.<ref>{{Internetquelle |url=http://www.java2s.com/Product/Java/Byte-Source-Code/Obfuscator.htm |titel=Obfuscator |titelerg=Byte Source Code |werk=java2s.com |abruf=2024-02-20}}</ref><ref>{{Internetquelle |url=https://www.guardsquare.com/proguard |titel=Java Obfuscator and Android App Optimizer {{!}} ProGuard |sprache=en |abruf=2024-02-20}}</ref><ref>{{Internetquelle |autor=Mr Roux |url=https://github.com/XenocodeRCE/neo-ConfuserEx |titel=XenocodeRCE/neo-ConfuserEx |datum=2024-02-17 |abruf=2024-02-20}}</ref>

Folgende Obfuskatoren für Java Bytecode werden aktiv gewartet: DashO,<ref>{{Internetquelle |url=https://www.preemptive.com/products/dasho/ |titel=DashO {{!}} PreEmptive |datum=2020-10-26 |sprache=en-US |abruf=2024-02-20}}</ref> JavaGuard,<ref>{{Internetquelle |url=https://sourceforge.net/projects/javaguard/ |titel=JavaGuard |datum=2016-02-26 |sprache=en |abruf=2024-02-20}}</ref> [[ProGuard]], yGuard<ref>{{Internetquelle |autor=yWorks, the diagramming experts |url=https://www.yworks.com/products/yguard |titel=yGuard - Java Bytecode Obfuscator and Shrinker |sprache=en |abruf=2024-02-20}}</ref> und Zelix Klassmaster.<ref>{{Internetquelle |url=http://www.zelix.com/klassmaster/index.html |titel=Java Obfuscator - Zelix KlassMaster™ |abruf=2024-02-20}}</ref> ''ProGuard'' wird von Google für die Obfuskation von [[Android (Betriebssystem)|Android-Programmen]] empfohlen.<ref>{{Internetquelle |url=https://developer.android.com/build/shrink-code |titel=Shrink, obfuscate, and optimize your app {{!}} Android Studio |werk=developer.android.com |hrsg=google |sprache=en |abruf=2024-02-20}}</ref>

=== JavaScript ===
Für das Verschleiern von [[JavaScript]]-Code gibt es eine große Anzahl an Obfuskatoren. Ein Großteil dieser Obfuskatoren unterstützt auch die Verkleinerung des Codes, bzw. es gibt viele Minimizer, die auch Obfuskationstechniken enthalten. Die folgende Liste an JavaScript-Obfuskatoren sind Programme, deren Hauptmerkmal die Obfuskation von JavaScript-Code ist: JScrambler,<ref>{{Webarchiv|url=https://jscrambler.com/en/ |wayback=20150320193817 |text=JScrambler Homepage }}</ref> JSObfuscator,<ref>{{Internetquelle |url=https://www.cleancss.com/javascript-obfuscate/ |titel=Javascript Obfuscate and Encoder |sprache=en |abruf=2024-02-20}}</ref> Javascript Obfuscator,<ref>{{Internetquelle |url=https://www.javascriptobfuscator.com/Default.aspx |titel=Javascript Obfuscator - Protects JavaScript code from stealing and shrinks size - 100% Free |abruf=2024-02-20}}</ref> UglifyJS,<ref>{{Internetquelle |url=http://marijnhaverbeke.nl/uglifyjs |titel=UglifyJS JavaScript minification |datum=2016-04-01 |abruf=2024-02-20 |archiv-url=https://web.archive.org/web/20160401001340/http://marijnhaverbeke.nl/uglifyjs |archiv-datum=2016-04-01 |offline= |archiv-bot=2024-04-03 14:27:20 InternetArchiveBot }}</ref> Compressor and Minimizer,<ref>{{Internetquelle |url=http://javascript-source.com/ |titel=Javascript Obfuscator - Stop theft of your JavaScript sources! |abruf=2024-02-20}}</ref> Stunnix,<ref>{{Internetquelle |url=http://stunnix.com/prod/jo/ |titel=JavaScript Obfuscator |hrsg=stunnix |sprache=en |abruf=2024-02-20}}</ref> Jasob.<ref>{{Internetquelle |url=https://jasob.com/ |titel=JavaScript Obfuscator - Protect your JavaScript Code |abruf=2024-02-20}}</ref>

== Nachteile von Obfuskation ==
Obfuskation kann [[Reverse Engineering]] eines Programms erschweren bzw. zeitaufwändiger werden lassen, aber nicht notwendigerweise unmöglich machen.<ref>{{cite web |url=http://www.math.ias.edu/~boaz/Papers/obf_informal.html |title="Can We Obfuscate Programs?" by Boaz Barak |publisher=Math.ias.edu |accessdate=2013-11-25 |archiveurl=https://web.archive.org/web/20140810172640/http://www.math.ias.edu/~boaz/Papers/obf_informal.html |archivedate=2014-08-10 |offline=yes }}</ref> Darüber hinaus beschränkt es die Anwendungsmöglichkeiten der [[Reflexion (Programmierung)|Reflexion]] auf verschleierten Code.

Einige [[Antivirusprogramm|Antivirus]]-Programme, wie etwa [[AVG Antivirus|AVG]],<ref>[http://www.avgthreatlabs.com/virus-and-malware-information/info/javascript-obfuscation/ AVG ThreatLabs (Virendatenbank) über verschleiertes JavaScript], abgerufen am 1. März 2015</ref> alarmieren den Benutzer beim Besuch einer Website mit verschleiertem JavaScript-Code, da Obfuskation auch dazu benutzt werden kann, schädlichen Code zu verbergen.<ref>{{Internetquelle |autor=Chris Wysopal |url=http://www.securityfocus.com/columnists/498 |titel=Good Obfuscation, Bad Code |werk=SecurityFocus |datum=2009-04-17 |sprache=en |abruf=2024-02-20 |archiv-url=https://web.archive.org/web/20160303204801/http://www.securityfocus.com/columnists/498 |archiv-datum=2016-03-03 |offline= |archiv-bot=2024-04-03 14:27:20 InternetArchiveBot }}</ref>

Obfuskation erschwert es, aussagekräftige Fehlermeldungen zu erstellen, da Standard-Fehlermeldungen wie beispielsweise Stack-Traces kaum noch Aussagekraft besitzen und den Entwicklern keine Rückschlüsse auf die betroffene Sourcecodestelle ermöglichen.

== Obfuskation und die Copyleft-Lizenz ==
Ob es legal ist, eine [[Copyleft]]-Softwarelizenz zu umgehen, indem verschleierter Quelltext herausgegeben wird, war Gegenstand von Debatten innerhalb der [[Open Source|Open-Source]]-Community. Diese Art der Umgehung kommt vor, wenn der Autor wenig gewillt ist, den Quelltext des eigenen Programms zu veröffentlichen, durch die Lizenz des ursprünglichen Programms jedoch dazu gezwungen wird. Die Thematik wird in der [[GNU General Public License]] behandelt, indem sie Quellcode als die ''bevorzugte'' Version von veröffentlichtem Code bezeichnet.<ref>{{Internetquelle |url=https://lwn.net/Articles/431651/ |titel=Reasoning behind the "preferred form" language in the GPL |werk=LWN.net |datum=2011-03 |sprache=en |abruf=2013-11-25}}</ref> Die [[GNU]]-Website teilt mit, dass verschleierter Quellcode kein echter Quellcode ist und nicht als Quellcode zählt, womit die Anwendung von Obfuskatoren auf GPL-geschützten Quellcode in den Augen des GNU-Projekts eine Lizenzverletzung darstellt.<ref>[https://www.gnu.org/philosophy/free-sw.html Freie-Software-Definition - www.gnu.org]</ref>

== Siehe auch ==
* [[Obfuskation (kryptografisch)|Kryptografische Obfuskation]]
Es gibt [[Programmierwettbewerb]]e für kreativ verschleierte Programm-Quelltexte, was jedoch nur für Skriptsprachen einer Obfuskation entspricht:
* International Obfuscated Ruby Code Contest – Programmiersprache [[Ruby (Programmiersprache)|Ruby]]
* [[Obfuscated Erlang/OTP Competition]] – Programmiersprache [[Erlang (Programmiersprache)|Erlang]]
* [[Obfuscated Perl Contest]] – Programmiersprache [[Perl (Programmiersprache)|Perl]]
* [[IOCCC]], der ''International Obfuscated C Code Contest'' – Programmiersprache [[C (Programmiersprache)|C]]

== Weblinks ==
* {{Webarchiv|url=http://www.cs.arizona.edu/~collberg/Research/Publications/CollbergThomborsonLow97a/ | wayback=20120116175137 | text=Eine Taxonomie der Obfuscation}} (englisch)
* Erica Klarreich: [https://www.wired.com/2014/02/cryptography-breakthrough/ ''Cryptography Breakthrough Could Make Software Unhackable''.] (englisch)

== Einzelnachweise ==
<references />

[[Kategorie:Anti-Pattern]]
[[Kategorie:Programmierwerkzeug]]

Obfuskation (Software) - Versionsgeschichte

imported>Megatherium: /* Sonstiges */