Buenas noches a todos!

Como no sé si esto va en la sección de Ing. Inversa, .NET o seguridad pues me he decantado por la primera.

Estoy preocupado porque programo en .NET y todos sabemos que en nuestros programas, cuando eramos novatillos pues incluiamos información confidencial que no quisieramos que personas ajenas obtuvieran. He probado algun decompilador de .NET (Reflector, DotNet Resolver...) y he podido decompilar todo mi proyecto, ya sean .exe o .dll, ASUSTA! Vengo con los deberes hechos, pues leí algo sobre seguridad aplicada a programas en el blog de Karmany (Packers, métodos alternativos para generación de información sensible..) y lo estudiaré más a fondo cuando tenga que lanzar la aplicación.

Hay plugins para Visual Studio que ofuscan el Source del programa, pero recientemente he encontrado Desofuscadores para distintas versiones conocidas de ofuscadores, por lo que si ofuscase el programa, el código ofuscado lo podría desofuscar y obtendría el original. Es como si cada medida de seguridad tuviera una contramedida

Ya pensé en incluir la información confidencial en .dll, ensamblados cargados en la ejecucción del programa, archivos cifrados, pero ¿Cómo sé que un cracker no pueda descifrar el source para luego acceder a dicha info? ¿Qué métodos puedo emplear para aumentar la seguridad de mis programas?

Gracias por vuestra atención,

Saludos!

La inseguridad se debe a que .NET es interpretado y al generar cualquier aplicación está es traducida a un lenguaje intermedio (MSIL) o bytecode.

Al ejecutar dicha aplicación el CLR, que no es más que un entorno de ejecucción, se encarga de traducir el código intermedio (MSIL) a lenguaje máquina, por lo que nunca tendremos dentro de un ejecutable código máquina sino un lenguaje intermedio lo que hace posible la obtención del Source mediante la interpretación de ese código intermedio.

.NET -> código intermedio -> CLR -> código máquina.

Espero tu respuesta karmany, ya que me preocupa bastante la inseguridad que brindan este tipo de lenguajes.

Saludos!

Si me permites, te daré mi opinión...
La ocultación o el modelo de la "security by obscurity" es el peor modelo que se pueda emplear en programación segura (y no lo solo lo digo yo, es una de las peores practicas que se pueden emplear), en lugar de preocuparte por esconder lo que hace tu programa, aprende programar bien!
Si crees que ocultar el código fuente de un programa lo hace más seguro, toma como ejemplo Microsoft y su familia de productos Windows, en cada nueva versión siempre se encuentran vulnerabilidades que en ocasiones tardan meses en solucionar, ha servido de algo el hecho de que oculten su código? francamente lo dudo. Ahora... mira sistemas como Debian y sobre todo, su "Contrato Social", ellos no ocultan absolutamente nada, ni siquiera los problemas de seguridad y es por ese motivo que es un sistema robusto y muy seguro, porque mucha gente lo intenta mejorar día a día....


En conclusión, te recomendaria que no te centres en "ocultar" lo que haces, en su lugar, centraté en aprender a programar de forma segura, las pautas son practicamente las mismas para .Not como para cualquier otro lenguaje de programación orientada a objetos como Java, Python o Ruby.
Un Saludo.

@karmany: ¿Si aplicase el Control Flow obfuscation no se podria obtener el código MSIL y por lo tanto no se

podria interpretar en su alto nivel (.NET)? Si es así, ¿podrías recomendarme algun escrito sobre como aplicar dicha

protección o en su defecto algun ofuscador que aplique dicha técnica? ¿Se podría desofuscar y obtener el código original?

@MCKSys Argentina -- karmany: Sobre lo que comentabais de traducir directamente el código MSIL a nativo sin tener que depender del CLR suena bastante interesante, ya que si lo tenemos directamente en código nativo la decompilación y el posible descifrado del código serían bastante tediosas y no te cuento si le metemos un par de medidas de seguridad
más. Ya estoy buscando sobre el tema, a ver que tal me va.

@adastra: Estoy de acuerdo contigo en la parte de la implementación de seguridad mediante el código, pues es bien sabido que el mal diseño de un programa puede hacerlo vulnerable. Sin embargo, no me hace ninguna gracia que una plataforma como .NET tenga una pésima seguridad, refiriéndome a la protección de código, ya que puedes decompilar un ejecutable escrito en cualquier lenguaje de dicha plataforma y obtener su código en segundos. Aunque apliques ofuscación al código, éste es fácilmente obtenible por desofuscadores que pueden con casi todo. Realmente Microsoft no hizo los deberes, .NET lo considero un lenguaje inseguro.

Cualquier recomendación que me deis es agradecida.

Saludos!

Lo mismo ocurre en cualquier plataforma y con cualquier lenguaje de programación, es algo inevitable... esto simplemente reafirma lo que he dicho antes, ocultar el código fuente de un programa es INUTIL, un buen atacante siempre va a encontrar formas de comprometer un programa que este mal escrito, con su código fuente o sin él. Así que nuevamente, recomendación: Aprender buenas practicas de programación en lugar de centrarse en "ofuscar" el código.