Zend Encoder e Sicurezza per progetto importante !

[J3njy]

Salve a tutti,

premetto il problema di base che si è venuto a creare :

- Ho sviluppato un e-Commerce personalizzato da 0 per un cliente che si interfaccia al suo Gestionale in negozio che gira su Windows tramite Webservices (SOAP).

- Ho utilizzato PHP5 e MySQL 5 per lo sviluppo del tutto con CSS, XHTML 1.1 e qualche accenno di AJAX.

Problema : essendo l'ecommerce Web un sistema molto utile per evitare al cliente del negozio di effettuare duplici inserimenti prima nel suo gestionale in negozio per le commesse e poi successivamente sul sito, in questo modo si autoaggiorna e si allineano al momento di un acquisto di un prodotto sia che venga fatto in negozio o che venga effettuato sul web.

Siccome non vorrei che qualcuno di turno ... possa prendere il sorgente scaricarlo, modificarlo e rivenderlo sotto il proprio nome visto che comunque oltre al cliente anche il proprietario del gestionale Windows dovrebbe avere accesso all'FTP, mi domandavo se fosse valida l'opzione di Cryptare il tutto con Zend Encoder !

Più che altro mi interessa sapere l'effettiva sicurezza di questa soluzione INDIPENDENTE dal costo o meno visto che comunque il gioco vale la candela !

Non vorrei però che in qualche modo esistessero "procedure" per risalire al sorgente visto che in quel caso non mi servirebbe a nulla e dovrei optare per altre soluzioni (ftp con permessi negati o altro simile).

[andrea.paiola]

beh in realtà il sorgente è sì praticamente illeggibile ma se ti serve paro paro lo copi e non risolvi mica!

sta storia che deve avere l'accesso ftp non mi convince... ne sei proprio sicuro?

[Uno]

beh in realtà il sorgente è sì praticamente illeggibile ma se ti serve paro paro lo copi e non risolvi mica!

Se aggiungi controlli sul dominio....

[J3njy]

Mhhhhhh sto dando un'occhiata in giro e da quel che emerge .... con Zend ci si fa poco in realtà perchè ci sono programmini che ti tirano fuori il sorgente (senza commenti).

Il problema si pone perchè il software gestionale avrà in chiaro il settaggio le credenziali dell'FTP per il caricamento immagini sul server /home/sitoweb.it/public_html/foto/ ed effettuare l'aggiornamento dei prodotti !

Rimane dunque un'unica soluzione ossia creare un utente che abbia come home /home/sitoweb.it/public_html/foto/ ... e dunque sia impossibile per un eventuale client FTP risalire alla directory superiore e prelevare il resto dei file.

Non vedo altre soluzioni fattibili !

[Uno]

Mhhhhhh sto dando un'occhiata in giro e da quel che emerge .... con Zend ci si fa poco in realtà perchè ci sono programmini che ti tirano fuori il sorgente (senza commenti).

Il problema si pone perchè il software gestionale avrà in chiaro il settaggio le credenziali dell'FTP per il caricamento immagini sul server /home/sitoweb.it/public_html/foto/ ed effettuare l'aggiornamento dei prodotti !

Rimane dunque un'unica soluzione ossia creare un utente che abbia come home /home/sitoweb.it/public_html/foto/ ... e dunque sia impossibile per un eventuale client FTP risalire alla directory superiore e prelevare il resto dei file.

Non vedo altre soluzioni fattibili !

Che discorsi... qualsiasi programma compilato o meno può essere disassemblato, però tra un sorgente in php ed uno un pò compilato non c'è paragone.

Comunque se il tuo problema è solo l'ftp ed il cliente non ha accesso diretto al webserver, allora si risparmia i soldi del compilatore (tra l'altro c'è qualcos'altro free in giro).

[guest]

Mhhhhhh sto dando un'occhiata in giro e da quel che emerge .... con Zend ci si fa poco in realtà perchè ci sono programmini che ti tirano fuori il sorgente (senza commenti).

Forse con Ioncube tirar fuori il sorgente potrebbe essere più complicato e per te è sicuramente meglio.
Lo zend sembrerebbe sia facilmente aggirabile (questo è quello che dice google con alcune ricerche)

Alessandro.

[andrea.paiola]

beh si io preferirei di molto evitare che si abbia l'accesso al codice ( compilato o meno )

per caricare le immagini non basta http?

[J3njy]

beh si io preferirei di molto evitare che si abbia l'accesso al codice ( compilato o meno )

per caricare le immagini non basta http?

Decisamente no non basta PHP in quanto appunto nel trasferimento viene traferito un file.txt contenente i nuovi articoli che sara poi elaborato da PHP in cronjob e trasformato in DB Sql, e contemporaneamente saranno caricate tramite FTP in modo automatico anche le foto dei nuovi articoli !

L'Ecommerce praticamente vende da solo ! Senza nessun backend o altro ! Viene integrato totalmente col software di boutique del negozio !

[guest]

Decisamente no non basta PHP in quanto appunto nel trasferimento viene traferito un file.txt contenente i nuovi articoli che sara poi elaborato da PHP in cronjob e trasformato in DB Sql, e contemporaneamente saranno caricate tramite FTP in modo automatico anche le foto dei nuovi articoli !

L'Ecommerce praticamente vende da solo ! Senza nessun backend o altro ! Viene integrato totalmente col software di boutique del negozio !

Be, allora crea un FTP separato dal resto del commerce no?
Poi dai a PHP la possibilità di lavorare *anche* nella directory FTP di upload.

Questa è sicuramente una operazione sensata al tuo scopo.
Poi partendo da questo, eventualmente puoi fare altri ragionamenti, ma di certo, l'FTP *DEVE* essere separato dal resto del sito. (in questo caso)

Alessandro

[andrea.paiola]

Be, allora crea un FTP separato dal resto del commerce no?
Poi dai a PHP la possibilità di lavorare *anche* nella directory FTP di upload.

Questa è sicuramente una operazione sensata al tuo scopo.
Poi partendo da questo, eventualmente puoi fare altri ragionamenti, ma di certo, l'FTP *DEVE* essere separato dal resto del sito. (in questo caso)

Alessandro

soprattutto vedendo come vengono conservate le password dalla gente, hai tutto il mio appoggio

[Rebel]

riesumo un attimo perchè interessa pure a me. quindi è ufficiale che non è possibile in alcun modo codificare ed offuscare del codice php?

[J3njy]

Offuscare si è possibile, ma non codificare !!!!

E' sempre possibile (in particolar modo con i prodotti Zend) risalire al codice sorgente PHP !!!!!!

Bisogna EVITARE assolutamente di affidarsi a soluzioni del genere con la convinzione che siano la soluzione ai problemi di pirateria ve lo decodificano in 3 secondi netti !!!

PhpCOW ne è un chiarissimo esempio ! ;D

[guest]

riesumo un attimo perchè interessa pure a me. quindi è ufficiale che non è possibile in alcun modo codificare ed offuscare del codice php?

Come ti ha già detto J3njy, purtroppo non è possibile offuscare in maniera affidabile del codice PHP.

I prodotti Zend si decriptano in pochissimo tempo (esiste un tool apposito per windows dove basta fare drag&drop del file cifrato per avere l'equivalente in chiaro.

Se vuoi tutelare del tuo codice bisognerebbe studiare applicazioni client-server dove il server ed il grosso del programma sta da te al sicuro, mentre sul client tieni poco o niente.

Ad esempio (la butto li su due piedi) potresti fare una applicazione client che incorpora dei file remoti mediante include. I file remoti conterranno il 99% del codice mentre l'applicazione client conterrà il minimo indispensabile.

Potresti 'remotizzare' una funzione in stile C, ad esempio:

http://www.tuodominio.com/script.php:

<?php
function main() [
   echo "Ciao mondo";
]
?>
---

Client:

<?php
include("http://www.tuodominio.com/script.php");
main();
?>

(non riesco a fare le graffe, quindi ho usato volutamente le quadre)

[Siggy]

Potresti 'remotizzare' una funzione in stile C, ad esempio:

... cut ...

L'approccio e' interessante ma con i normali ambienti non e' possibile in quanto se fai un'include di una url, o il testo da includere e' in chiaro (tipo txt), oppure se e' un php viene processato dal server web presente sul server centrale.
Hai mai usato un approccio del genere in un contesto reale?

[guest]

L'approccio e' interessante ma con i normali ambienti non e' possibile in quanto se fai un'include di una url, o il testo da includere e' in chiaro (tipo txt), oppure se e' un php viene processato dal server web presente sul server centrale.
Hai mai usato un approccio del genere in un contesto reale?

No, mai usato. Mi è venuta in mente così...
Comunque si, hai ragione. Se includo un php remoto, esso dovrebbe essere processato in remoto.
Però:
1) potrei disattivare il parsing PHP in remoto in modo da far includere del testo da processare in locale con eval (però in tal caso, l'utente anzichè eval potrebbe fare un banale echo ed ecco il codice)
2) se gli include remoti fossero processati dal server remoto, che problemi di sicurezza ci sarebbero a tenerli abilitati? Una delle prime cose da fare su un server è disabilitare gli include remoti, ma a che pro quindi? Tanto il codice malevole presente sul server remoto non sarà eseguito in locale. Sicuro che sia come dici te?