Аудит: что из дистрибутива читается и как защищать знания
Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
This commit is contained in:
zuevav
@@ -0,0 +1,118 @@
|
||||
# Что клиент получает вместе с продуктом и что из этого читается (аудит 18.09.2026)
|
||||
|
||||
Вопрос: клиент получает bj и может отдать его на разбор — человеку или нейросети.
|
||||
Насколько легко по дистрибутиву восстановить, как продукт устроен, и повторить его?
|
||||
Ниже — не рассуждения о концепции, а проверка реальных файлов: `/opt/bj/bj-server`
|
||||
(сборка 18.09), `crypto-service.jar`, архивы кабинета, скрипты, образ установки.
|
||||
|
||||
## Как собирается
|
||||
|
||||
Сборка правильная: `go build -trimpath -ldflags "-s -w"` для всех бинарей — таблица
|
||||
символов и отладочная информация убраны, локальные пути машины сборки не попадают.
|
||||
Но у Go это не даёт того, что даёт у C: **имена функций остаются** в таблице
|
||||
`pclntab`, без них не работают паники и сборщик мусора. В боевом `bj-server`:
|
||||
|
||||
| Что читается прямым `strings` | Сколько |
|
||||
|---|---|
|
||||
| имена функций пакета `lkgateway` | 4 672 |
|
||||
| пути исходников вида `Bridge-and-Join-s/internal/…/файл.go` | 4 931 |
|
||||
| SQL-запросы (`SELECT …`) | 214 |
|
||||
| таблицы учётных систем `OD_*`, `D_B_*`, `FTV_M2M*` | 32 уникальных |
|
||||
| упоминания типов сообщений НРД (M2M01…, ORDXM, MF010, MS010, TransferDecision…) | 173 |
|
||||
| фрагменты HTML-шаблонов | 739 |
|
||||
| русский текст (подсказки, справка, тексты интерфейса) | ≈190 000 символов |
|
||||
|
||||
Имена функций и путей — это готовая карта проекта: `lkgateway.lkArchivePortfolio`,
|
||||
`lkgateway.spectreProceeds`, `lkgateway.ApplyDecision`, `internal/lkgateway/lkflow.go`.
|
||||
С такой картой декомпилятор (Ghidra с Go-плагином) восстанавливает структуру за часы,
|
||||
а нейросети достаточно скормить вывод `strings`.
|
||||
|
||||
## Что именно утекает и насколько это ценно
|
||||
|
||||
**1. Справка внутри бинаря — самая большая дыра.** В `bj-server` вшиты десять страниц
|
||||
`/admin/help/*` общим объёмом ≈150 КБ: «Архитектура: как устроен обмен с НРД» (со
|
||||
схемой контуров и адресами `edog.nsd.ru`/`WslService`), «Для разработчика Fancy»
|
||||
(41 КБ — полное описание протокола событий FTV_M2M, таблиц, идентификаторов и порядка
|
||||
этапов, «согласовано 10.09.2026»), QUIK, база, криптосервис, робот, ручной ввод.
|
||||
Это не код — это проектная документация в чистом виде. Её не нужно даже
|
||||
декомпилировать: `strings bj-server | grep -A50 'Для разработчика Fancy'`.
|
||||
|
||||
**2. SQL к DEPO и SPECTRE.** Все 214 запросов лежат текстом: какие таблицы, какие
|
||||
связи (`OD_RESTS.REG_3 = D_B_CONTRACTS.DOC`, `PART=39`, счета 58.01/58.05, ВЫРУЧКА),
|
||||
какие поля значат что. Это месяцы разбора чужой учётной системы, сложенные в один
|
||||
`grep`. Именно эта часть — знание, которого нет ни в документации Fancy, ни в открытых
|
||||
источниках.
|
||||
|
||||
**3. Форматы НРД.** XML собирается кодом из структур (`encoding/xml`), поэтому готовых
|
||||
шаблонов в бинаре нет, но имена полей и типов сообщений видны все. Сами форматы —
|
||||
публичная документация НРД, здесь утекает не формат, а *знание, какие поля и как
|
||||
заполнять* (префиксы `req:/typ:`, `<package>K</package>`, порядок 16/1 → MS010).
|
||||
|
||||
**4. `crypto-service.jar`** — Java. Байт-код декомпилируется в почти исходник любым
|
||||
JD-GUI/CFR. Наших классов немного (`ru.zetit.bridgeandjoins.crypto.*`, ~15 классов —
|
||||
обёртка над Валидатой и gRPC), остальное — библиотеки. Утечка умеренная: это клей.
|
||||
|
||||
**5. Скрипты и ретранслятор.** Bash-помощники (`bj-keymedia-*`, 510 строк), PHP-ретранслятор
|
||||
кабинета (629 строк), `install.sh`, `bj-firstboot` — исходники по природе. Ценности не
|
||||
несут: тонкие обёртки. Это нормально.
|
||||
|
||||
**6. Схема нашей базы** (`migrations/m2m-core/*.sql`, 12 КБ) — вшита. Мелочь.
|
||||
|
||||
**Что клиенту НЕ уходит и правильно:** сервер лицензий (код, ключи подписи релизов и
|
||||
лицензий), портал, артефактория. Кабинет клиента в варианте В — образец правильного
|
||||
устройства: на хостинг уходит ретранслятор без логики, всё содержимое собирает ядро.
|
||||
|
||||
## Лицензия как защита
|
||||
|
||||
Ключ подписан Ed25519, проверяется внутри бинаря; признаки модулей спрашиваются в
|
||||
9 местах (`moduleAllowed`). Ядро без лицензии продолжает работать (решение 16.09:
|
||||
переводы не должны встать из-за оплаты). Это значит: лицензия сегодня управляет
|
||||
*удобством* (модули, обновления), а не *возможностью* работать. Обойти проверку в
|
||||
Go-бинаре — поменять один условный переход; сервер об этом не узнает, потому что
|
||||
единственное, что требует токен на сервере, — скачивание обновлений.
|
||||
|
||||
## Модульность — про что она
|
||||
|
||||
Разделение на bj-server / bj-npr / bj-quikexport / bj-lk сделано для лицензирования и
|
||||
раздельного обновления. **Защитой знаний оно не является:** каждый бинарь несёт своё
|
||||
ноу-хау в том же читаемом виде, а ядро — ещё и разделы интерфейса всех модулей.
|
||||
Ожидать от модульности защиты не нужно; защищать надо содержимое бинарей.
|
||||
|
||||
## Честная оценка риска
|
||||
|
||||
Полностью закрыться нельзя: продукт работает у клиента, на его машине, с его базами —
|
||||
всё, что исполняется там, в принципе читаемо. Конкурент с доступом к Fancy и документам
|
||||
НРД повторит продукт и без нашего бинаря, вопрос только времени. Поэтому цель защиты —
|
||||
**не сделать невозможным, а сделать дорогим и доказуемым**: чтобы `strings` не выдавал
|
||||
проектную документацию, чтобы декомпиляция стоила недель, а не часов, и чтобы факт
|
||||
разбора был нарушением договора с понятными последствиями.
|
||||
|
||||
## Что делать — по отдаче на вложенное
|
||||
|
||||
1. **Вынести справку из клиентской сборки** (день). Страницы `/admin/help/*` собирать
|
||||
только в сборку для нас (build tag `dev`) либо отдавать с портала по лицензии.
|
||||
Убирает самую крупную и самую дешёвую утечку. Риска для клиентов нет: справка нужна
|
||||
внедренцу, а не оператору.
|
||||
2. **Обфускация Go-сборок garble** (день с прогоном тестов). `garble -literals -tiny build`:
|
||||
имена функций и пакетов заменяются на случайные, строковые литералы (SQL, тексты)
|
||||
шифруются и расшифровываются только при выполнении — `strings` перестаёт что-либо
|
||||
давать, декомпилятор получает безымянную кашу. Seed храним у себя (`~/keys`), паники
|
||||
с клиента разворачиваем `garble reverse`. Цена: сборка медленнее, трассы с клиента
|
||||
нечитаемы без seed.
|
||||
3. **Договор.** Лицензионное соглашение: запрет декомпиляции, реверса, передачи третьим
|
||||
лицам и загрузки в сторонние сервисы (включая ИИ), ноу-хау как коммерческая тайна,
|
||||
неустойка. Принятие — галочкой на портале перед скачиванием, с записью кто/когда/что
|
||||
скачал. Это единственное, что работает *после* утечки.
|
||||
4. **Метка сборки.** Портал уже знает лицензию скачивающего: при выдаче дистрибутива
|
||||
кабинета и пакетов обновления вшивать идентификатор лицензии в архив/бинарь
|
||||
(`-X` при сборке или запись в служебный раздел). Утёкший файл указывает на источник.
|
||||
Для общих релизов из артефактории — подпись манифеста уже привязана к токену, добавить
|
||||
журнал выдачи достаточно.
|
||||
5. **Java-сервис**: ProGuard/R8 для своих классов (полдня) — либо в перспективе перенести
|
||||
подпись в Go, служба маленькая.
|
||||
6. **Не делать:** переносить логику работы с DEPO/НРД «в облако» — продукт обязан
|
||||
работать в закрытом контуре без нас; это его свойство, а не недостаток. Не искать
|
||||
защиты в модульности и в лицензии: они про деньги и удобство, не про секреты.
|
||||
|
||||
Пункты 1–2 закрывают то, что находится за минуты. Пункт 3 — то, что нельзя закрыть
|
||||
технически. Остальное — по мере сил.
|
||||
Reference in New Issue
Block a user