Уважаемые господа, предлагаю обсудить статью, касающуюся прежде всего защиты программного обеспечения электронными ключами. В ней я пытаюсь проанализировать все плюсы и минусы аутсорсинга защиты и понять, что же действительно лучше для потенциальных клинетов, создавать защиту внутри компании или отдавать ее создание стороннему разработчику. В ней я привожу аргументы за и против. Возможно, Вы будете несогласны с ними и прежде всего мне было бы интересно услышать Ваше мнение.




Аутсорсинг защиты ПО : За и против.

Проблема создания защиты от копирования так или иначе возникает у всех производителей программного обеспечения прежде всего из за того, что масштабы пиратства в мире в целом и в нашей стране в частности огромны и затрагивают практически каждого более менее серьезного игрока на рынке. 
Инициатива создания защиты всегда идет от менеджмента организации, который назначает ответственных исполнителей. При этом, ответственность за создание решения полностью ложится на плечи исполнителя, а надежность системы целиком зависит от его компетенции в области защиты ПО от пиратства. Очевидно, что предметная область науки защиты от копирования велика и включает в себя криптографию, теорию защиты кода и знания в области электронных ключей. Такой объем знаний нельзя освоить за несколько недель и даже месяц, а на создание решений, отвечающих современным требованиям, могут уйти многие месяцы. В итоге инвестиции в создание собственной эффективной системы защиты могут быть слишком большими, и при этом результат не будет гарантирован. Именно поэтому мы начали предлагать такую услугу как аутсорсинг защиты, то есть разработка системы мер, направленных на защиту от копирования согласно требованиям заказчика.

Стоит выделить три основных направления в защите ПО: административные меры, организационные меры и технические меры. 

Все три направления способны дать результат, но требуют разных затрат. Например, для привлечения к ответственности лиц, уличенных в пиратстве необходимо быть готовым к затяжному судебному процессу, организационные меры, и в первую очередь техническая поддержка и частые обновления требуют постоянных вложений в доработку ПО. Технические меры в современных условиях являются самыми эффективными. 

Создание эффективной системы защиты – это всегда баланс между надежностью и удобством, и найти оптимальное решение не всегда просто.  Необходимо принять в расчет множество факторов таких как:
- Надежность системы защиты в теории. То есть, существуют ли способы взломать систему защиты и если да, то каких ресурсов они требуют.
- Надежность системы защиты на практике. Насколько сложно будет произвести взлом защиты и сколько времени это займет, и сколько будет стоить.
- Удобство интеграции системы в бизнес-процесс предприятия. То есть, насколько удобно менеджменту организации осуществлять и контролировать  продажи.
- Удобство конечного пользователя. Это, прежде всего, то, насколько система защиты гарантирует конечному пользователю возможность работы с ПО без привлечения дополнительных ресурсов. Главное в этом, чтобы система защиты не была фактором снижающим привлекательность продукта и не приводила к выбору продукта-конкурента. 
- Стоимость разработки системы защиты. Безусловно, создание системы защиты должно быть экономически оправданным. 
- Дополнительные возможности системы защиты. 

Надежность системы защиты в теории. 
Существую мнение, что любую защиту от копирования можно взломать и оно в большей части верно. Вопрос в том, сколько времени это займет, и сколько денег будет стоить.  
Приведем пример: дилер-злоумышленник  хочет создавать лицензии к программе и продавать нелегальные копии. В теории можно создавать лицензии с помощью асимметричных алгоритмов шифрования, взлом которых невозможен при имеющемся уровне технологий. В результате, единственный выход – это модификация кода приложения, что несет определенный риск, так как официальные обновления не будет работать с предыдущими лицензиями. 
Надежность системы на практике.
В настоящее время существует множество методов защиты от копирования и множество методов взлома этих систем. Только осознание того, как может быть взломана программа дает возможность правильно выбрать систему защиты и тут необходимо брать в расчет не субъективное мнение, а реальную оценку ситуации и прогноз ее развития. 
Удобство интеграции  системы в бизнес-процесс.
Очень важно, чтобы система защиты не препятствовала бизнесу организации, а лучше - содействовала ему. Так, например, необходимо осознавать, что система лицензирования должна позволять быстро и удобно осуществлять продажи и передавать лицензии конечному пользователю по различным каналам связи, как то интернет, телефон или факс.  Менеджмент должен иметь возможность оперативно осуществлять и контролировать продажи независимо от программистов компании. 
Удобство конечного пользователя.
Если система защиты неудобна конечному пользователю, требует дополнительных усилий на ее настройку и поддержание или не гарантирует безопасность его инвестиций, это может стать серьезным аргументом в пользу выбора другого поставщика программного обеспечения. 
Например, если при защите электронным ключом его утрата ведет к необходимости покупки новой копии за полную цену, это служит серьезным аргументом в пользу отказа от продукта. 

Стоимость разработки системы защиты
Стоимость разработки, как правило, ложится на плечи конечного пользователя, увеличивая стоимость продукта на рынке. Таким образом затраты на защиту ПО не должны препятствовать снижению спроса.  Считается, что  инвестиции в защиту должны составлять 10% от стоимости ПО. Мы считаем, что инвестиции в защиту должны составлять ровно столько, сколько требуется для комфортного и безопасного функционирования системы. Существуют два вида затрат: постоянные, это затраты на разработку, и переменные – затраты на защиту одной копии.  Первые, в пересчете на одну проданную копию  снижаются с ростом объема продаж, а вторые, к которым, прежде всего, относятся электронные ключи, составляют около 25 долларов за ключ. То есть сумма в десять процентов от стоимости копии, мягко говоря, завышена в несколько раз. 


Аутсорсинг защиты: мнения,  проблемы и решения:

Мнение или проблема: Любую защиту могут взломать.
Внутреннее решение: Да, это так, вопрос в том, как, сколько это стоит и кому это нужно.  Если вы не готовы ответить для себя на эти вопросы, не приступайте к созданию защиты сами.
Решение для аутсорсинга:  Аутсорсер должен гарантировать создание защиты,  взламывать которые, по меньшей мере, не выгодно, и, как правило, технически невозможно при имеющемся уровне технологий.

Мнение или проблема: Разработчик защиты имеет возможность легко ее взломать
Внутреннее решение:  Всегда есть шанс, что разработчик системы защиты либо уйдет в другую фирму, либо будет иметь возможность лицензировать продукты в обход компании. 
Решение для аутсорсинга: Это неверно. Профессиональный подход гарантирует невозможность взлома системы даже ее разработчиками. Так, например, при создании системы лицензирования ключи шифрования и аутентификации назначаются клиентом уже после передачи ему системы и неизвестны компании разработчику.

Мнение или проблема: Сотрудники компании могут  создавать лицензии бесконтрольно
Внутреннее решение: Создавайте систему лицензировании так, чтобы в будущем иметь возможность ее контролировать.
Решение для аутсорсинга: Мы предлагаем использовать электронные мастер-ключи при создании лицензий. В дальнейшем, все записи о производимых операциях можно будет просмотреть.

Мнение или проблема: Лицензионная информация слишком длинная, а ее сокращение ведет к ненадежности системы в теории
Внутреннее решение: Используйте систему цифровой подписи с использованием эллиптических кривых. Она дает наилучший результат при асимметричном алгоритме цифровой подписи.
Решение для аутсорсинга: Существуют различные решения, позволяющие активировать лицензии удаленно с использованием коротких лицензий или даже пятизначных PIN-кодов.

Мнение или проблема: Все электронные ключи одинаково ненадежны
Внутреннее решение: При выборе электронных ключей необходимо иметь представление о методах защиты и взлома электронных ключей. И если в вашей компании бытует такое мнение, это еще одно свидетельство о недостаточной информированности сотрудников.
Решение для аутсорсинга: Это неправда. Есть электронные ключи которые используют не только абсолютно надежный в теории метод защиты, но и имеют защищенный по наивысшему стандарту электронный чип на основе смарт-карт.

Мнение или проблема: Если пользователь теряет электронный ключ, он должен купить новую копию программы.
Внутреннее решение: К сожалению, без специальных технических решений это так. Иначе процент потерянных ключей в скором будущем станет слишком велик.
Решение для аутсорсинга: Можно использовать электронные ключи со встроенным таймером, которые могут ограничивать срок действия лицензии. Таким образом, потеряв электронный ключ, вы теряете лишь небольшой отрезок времени, на который распространяется лицензия.

Мнение или проблема: Электронный ключ требует сложных настроек на стороне пользователя
Внутреннее решение: Это не всегда верно. Как правило, все, что нужно для работы – это драйвер ключа и администраторские привилегии для их установки.
Решение для аутсорсинга: Существуют электронные ключи, которые могут работать даже без установки дополнительных драйверов.

Мнение или проблема: Нет возможности контролировать дилеров
Внутреннее решение: Как правило, это так. Даже если вы защищаете ПО электронными ключами и продаете лицензии, это еще не гарантирует, что Ваш дилер не умеет лицензировать ПО сам.
Решение для аутсорсинга: При использовании системы лицензирования Вы всегда знаете, сколько лицензий продает ваши дилер.  Функцию лицензирования можно передавать и дилерам при использовании электронного ключа с особой прошивкой дилера.

Мнение или проблема: Каждый раз, когда происходит продажа, мы должны напрягать программистов
Внутреннее решение: Эта система крайне неэффективна и свидетельствует о том, что Ваш бизнес-процесс далек от оптимального.
Решение для аутсорсинга: Это не так. Закажите такую систему лицензирования, при которой отделу продаж будет достаточно создать лицензию.

Мнение или проблема: Аутсорсинг защиты - это дорого.
Внутреннее решение: Для создания собственной системы защиты потребуются усилия собственных программистом, которым платят заработную плату.  На изучение вопроса и реализацию могут уйти месяцы, а результат не гарантируется.
Решение для аутсорсинга: Это не так. При аутсорсинге, вы покупаете готовые решения, которые лишь требуют определенной настройки у сторонней компании с большим опытом работы.  По нашему мнению по соотношению цена/качество аутсорсинг  значительно превосходит внутреннюю разработку системы защиты.

Мнение или проблема: Инвестирование средств в систему защиты неэффективно.
Внутреннее решение: Экономическая безопасность и дальнейшее процветание компании напрямую зависят от того, будет ли продаваться продукт. Если система защиты взломана – это, приводит к снижению объема продаж, и в конечном счете, к необходимости выпускать новые версии  ПО и менять систему защиты.
Решение для аутсорсинга: При создании эффективной и надежной системы защиты ПО с использованием лицензирования и удаленного обновления у производителей появляется возможность использовать  новые формы продаж, такие как продажа различных комплектаций ПО, продажа в лизинг, использование дилерских сетей без возможности обмана и так далее. Эффективная защита – это рыночный инструмент, способный не только гарантировать безопасность компании в будущем, но и увеличить продажи, сократив при этом расходы на поддержку.

Мнение или проблема:  После создания защиты мы не можем быть уверены, что ее не взломают
Внутреннее решение: Любая защита может быть взломана. Это вопрос времени и денег. Другой вопрос, что с одинаковыми затратами можно сделать как удобную и надежную защиту, так и абсолютно бесполезную и ненадежную. Это вопрос компетенции и квалификации ее разработчиков.
Решение для аутсорсинга: Компания-аутсорсер отвечает своим именем за надежность системы, предоставляя определенные гарантии на свои решения. Профессионалы могут создать не просто надежные защиты, взламывать которые не просто невыгодно, а практически невозможно при существующем сегодня уровне технологий, а также осуществлять мониторинг движений вокруг взлома защиты.

Мнение или проблема: Мы используем автоматическую защиту и не тратим денег на разработку.
Внутреннее решение: При защите ПО использование навесных конвертов  не может гарантировать устойчивости к взлому. Никогда не применяйте только конверты, всегда используйте внутреннюю работу с ключом.
Решение для аутсорсинга: В теории такая утилита ненадежна, на практике ее применение ведет к тому, что производитель отказывается от надежного в теории метода защиты.

Мнение или проблема: Мы не можем отдавать защиту на аутсорсинг, так как участки кода имеют коммерческую ценность.
Внутреннее решение: Не стоит забывать, что при разработке системы защиты внутри фирмы также существует опасность того, что код защиты может быть украден либо взломщиками, либо недовольным сотрудником.
Решение для аутсорсинга: При разработке всей системы защиты не обязательно передавать код вашего приложения. Возможна разработка интерфейса системы защиты и интеграция в него модулей лицензирования и удаленного обновления, и передача исходного кода заказчику.  Останется только установить ключи шифрования и вставить необходимые процедуры.

Мнение или проблема: Мы не можем выносить часть кода программы в ключ и использовать аутсорсинг, так как нам необходимо самим иметь возможность менять систему защиты в следующих версиях.
Внутреннее решение: Вынос части кода приложения в ключ – единственный на сегодняшний день эффективный и надежный в теории метод защиты. Он легок в применении и гарантирует отличный результат. Пренебрегать им нельзя. Система удаленного обновления легко может решить проблему обновления защиты к ключах клиентов.
Решение для аутсорсинга: В случае, если аутсорсинг осуществляется с предоставлением заказчику исходных кодов такая проблема не стоит.  Система удаленного обновления безопасно поменяет содержание ключей у клиентов.

неосилил - прочитал статью по диагонали: понял что ты отдаёшь предпочтение аутсорсингу: а это и правильно, на современном этапе разработки ПО, держать в компании бригаду программистов, которые будут заниматся разработкой систем защиты экономически не выгодно, так что обращатся к сторонним разработчикам (фирмам ) - это вполне закономерное решение.
Правда ты не чего не написал про то что , для того что-бы подтвердить надёжность такой защиты существует гос. экспертиза, которая очень жёсткая но зато если где то что то не так разработчика потом из под земли достанут  .

Я очень извиняюсь, но как-то не в курсе про гос. экспертизу. Я имею ввиду именно защиту программ от копирования и пиратства, а не защиту гос. тайны. На сколько мне известно экпертиза, а точнее лицензирование и сертификация применяется только для компаний осуществляющих деятельность в области создания сиситем защиты информации для гос. нужд.

угу , я имел ввиду вцелом аутсорсинг разработок средств защиты ... вы же в названии статьи не специфицируетесь на средствах защиты от копирования ;)