CN101419652B - 一种软硬件结合的保护程序的方法 - Google Patents

Abstract

本发明提供了一种软硬件结合的保护程序的方法，其包括以下步骤：(1)算出加密密钥；(2)根据所述加密密钥，通过一加解密算法，对所述程序运行单元储存的目标程序进行加密；(3)所述程序运行单元将一文件组中的程序和数据进行组合，生成一新的目标文件；(4)运行所述目标文件；(5)算出解密密钥，并将所述解密密钥传送至一加解密单元；(6)所述加解密单元调用所述解密程序，根据所述解密密钥，通过所述加解密算法，对所述加密后的目标程序进行解密；(7)结束。本发明提供的软硬件结合的保护程序的方法，采用软件和硬件结合的方式对程序进行保护，提高了程序运行的速度，并增加了破解程序的难度。

Description

一种软硬件结合的保护程序的方法

技术领域

本发明涉及软件安全防护领域，尤其涉及一种软硬件结合的保护程序的方法。

背景技术

软件程序经常受到非法的破解、篡改以及意外的伤害，对知识产权和数据及代码安全造成很大损失。传统软件程序防护策略侧重软件算法或硬件分别实现，没有能将软件和硬件有机结合在一起。

当前防止对软件盗版和破解的方法主要有以下几种：

1、对承载软件的介质—光盘进行保护；

2、软件运行时需要序列号，否则为试用期版，通常对功能或可使用时间加以限制；

3、去除程序调试信息，运用软件对程序进行加密；

4、对软件所用数据进行加密，通常是软件实现加密算法；软件实现的安全算法，计算速度慢，成为软件安全保护的瓶颈；

5、对大量数据加密，除使用软件实现加密外，也有硬件实现算法，包括使用单片机实现简单校验，使用FPGA或CPLD实现高速算法，或使用ASIC专用集成电路实现算法；

6、使用加密狗承载加密算法或运行权限证书的介质进行加密，通常使用USB口或并行接口作为硬件接口。

加密狗通常是承载权限证书和加密算法的介质，加解密的速度低，加解密后数据传输的速度也受制于USB接口或并行接口等硬件条件的限制，另外，USB接口或并行接口的通信协议是公开的，容易受到探测监视程序的控制，为非法破解提供了突破的途径。

发明内容

本发明的主要目的在于提供一种软硬件结合的保护程序的方法，采用软件和硬件结合的方式对程序进行保护，提高了程序运行的速度，并增加了破解程序的难度。

为了达到上述目的，本发明提供了一种软硬件结合的保护程序的方法，其包括以下步骤：

(1)一程序运行单元取得其硬件指纹，并根据加密密钥生成参数，通过一密钥生成算法算出加密密钥；所述加密密钥生成参数包括所述硬件指纹和一随机数，所述程序运行单元存储该随机数；

(2)根据所述加密密钥，通过一加解密算法，对所述程序运行单元储存的目标程序进行加密；

(3)所述程序运行单元将一文件组中的程序和数据进行组合，生成一新的目标文件；所述文件组中的程序包括加密后的目标程序、预先存储的采用所述密钥生成算法的解密密钥生成程序、预先存储的采用所述加解密算法的解密程序、预先存储的运行程序和所述随机数；

(4)运行所述目标文件；

(5)所述程序运行单元调用所述解密密钥生成程序，根据解密密钥生成参数，通过所述密钥生成算法算出解密密钥，并将所述解密密钥传送至一加解密单元；所述解密密钥生成参数包括所述程序运行单元中存储的随机数、所述硬件指纹；

(6)所述加解密单元调用所述解密程序，根据所述解密密钥，通过所述加解密算法，对所述加密后的目标程序进行解密；

(7)结束。

优选的，在步骤(2)中，所述加密操作由所述程序运行单元执行。

优选的，在步骤(2)中，所述加密操作由一加解密单元执行，所述加密密钥由所述程序运行单元传送至所述加解密单元。

优选的，所述加密密钥生成参数还包括用户口令，所述解密密钥生成参数还包括用户输入的口令。

优选的，在步骤(1)中，所述随机数由一真随机数发生器生成。

优选的，所述文件组中的程序还包括权限判断程序；

在步骤(4)和步骤(5)之间，还包括步骤(41)：

所述程序运行单元调用所述权限判断程序，根据一权限判断单元中***的介质，判断所述目标程序是否具有运行权限；

如果有，转至步骤(5)；

否则，转至步骤(7)。

优选的，本发明所述方法在步骤(1)前还包括以下步骤：

(11)去除一程序运行单元中的目标程序中的冗余信息和调试信息。

优选的，在步骤(11)和步骤(1)之间还包括以下步骤：

(12)对一程序运行单元中的目标程序进行混淆处理。

与现有技术相比，本发明提供的软硬件结合的保护程序的方法，采用软件和硬件结合的方式对程序进行保护，提高了程序运行的速度，并增加了破解程序的难度。

附图说明

图1是本发明实施例所述的软硬件结合的保护程序的方法基于的***的结构图；

图2是本发明所述的软硬件结合的保护程序的方法的一种具体实施的流程图；

图3是本发明所述的软硬件结合的保护程序的方法的另一种具体实施的流程图。

具体实施方式

以下结合附图，对本发明上述和另外的技术特征和优点作更详细的说明。

本发明所述的软硬件结合的保护程序的方法，是基于一种保护程序的***的，如图1所示，所述***包括程序运行单元11、权限判断单元12和加解密单元13，其中，

所述程序运行单元11，与所述权限判断单元12和所述加解密单元13连接，用于储存并运行目标程序(需被保护的程序)；

所述程序运行单元11包括CPU、存储器(NORFLASH)和网卡；

所述权限判断单元12，其中***的介质，是判断所述程序运行单元11中存储的目标程序是否具有运行权限的依据；

根据一种具体实施方式，所述权限判断单元12是IC卡读卡机，其中***的IC卡，是判断所述目标程序是否具有运行权限的依据；

根据另一种具体实施方式，所述权限判断单元12是USB接口，其中***的USBkey，是判断所述目标程序是否具有运行权限的依据；

所述加解密单元13，用于对所述程序运行单元11中存储的目标程序进行加密和解密。

根据另一种具体实施方式，所述加密操作可以由所述程序运行单元11执行，而非由所述加解密单元13执行。

所述加解密单元13可以是高速加解密芯片，所述高速加解密芯片采用的算法可以为SCB2、SSF33、DES、AES等对称密钥算法，也可以是RSA等非对称密钥算法；所述高速加解密芯片采用高速FPGA或专用ASIC芯片完成，具有防破解等安全机制。

如图2所示，本发明所述的软硬件结合的保护程序的方法的一种具体实施包括以下步骤：

步骤21，所述程序运行单元11取得其硬件指纹，并根据所述硬件指纹、一随机数，通过SHA1算法算出加密密钥；所述程序运行单元11存储该随机数；

所述硬件指纹包括CPU的ID号、存储器的ID号、网卡的MAC(介质访问控制)地址；

所述随机数由一随机数发生器生成，所述随机数发生器可以为真随机数发生器芯片，由于真随机数的作用，使得每次算出的加密密钥不同，增加了破解的难度；

SHA1算法将任意长的数据转换为固定长度的数据，不同的输入数据运算后的结果不同；

步骤22，根据所述加密密钥，通过一加解密算法，对所述程序运行单元11中存储的目标程序进行加密；

在本实施例中，所述加解密算法为AES算法；

优选的，所述加解密算法可以为SCB2、SSF33或DES等对称密钥算法，也可以为RSA等非对称密钥算法；

根据一种具体实施方式，所述加密操作由所述程序运行单元11执行；

根据另一种具体实施方式，所述加密操作是由所述加解密单元13执行，由所述程序运行单元11将所述加密密钥传送至所述加解密单元13；

步骤23、所述程序运行单元11将其中存储的一文件组中的程序和数据进行组合，生成一新的目标文件；所述文件组中的程序和数据包括加密后的目标程序、预先存储的采用所述密钥生成算法的解密密钥生成程序、预先存储的采用所述加解密算法的解密程序、预先存储的运行程序和所述随机数；

步骤24，运行所述目标文件时，

首先，所述程序运行单元11调用所述运行程序，所述运行程序提供运行所述目标文件的入口，控制先后调用所述解密密钥生成程序、所述解密程序；

然后，所述程序运行单元11调用所述解密密钥生成程序，根据解密密钥生成参数，通过所述密钥生成算法算出解密密钥，并将所述解密密钥传送至所述加解密单元13；所述解密密钥生成参数包括所述程序运行单元中存储的随机数和所述硬件指纹；

最后，所述加解密单元13调用所述解密程序，根据所述解密密钥，通过所述加解密算法通过对所述加密后的目标程序进行解密；

所述加解密单元13可以是高速加解密芯片。

如图3所示，本发明所述的软硬件结合的保护程序的方法的另一种具体实施包括以下步骤：

步骤31，去除所述程序运行单元11中的目标程序中的冗余信息和调试信息；

此步骤将所述目标程序中的冗余信息和调试信息去除，可以减小对所述目标程序反汇编后的可读性；

步骤32，对所述目标程序，使用混淆技术，即在所述目标程序中，错乱函数名，以及函数在编译后程序中的位置，增加复杂调转，增加破解难度；

此步骤对所述目标程序进行混淆，同样增加了破解程序的难度；

步骤33，所述程序运行单元11取得其硬件指纹，并根据所述硬件指纹、预先设定的用户口令、一随机数，通过SHA1算法算出加密密钥，并将所述加密密钥传送至所述加解密单元13；所述程序运行单元11存储该随机数；

所述硬件指纹包括CPU的ID号、存储器的ID号、网卡的MAC(介质访问控制)地址；

所述随机数由一随机数发生器生成，所述随机数发生器可以为真随机数发生器芯片，由于真随机数的作用，使得每次算出的加密密钥不同，增加了破解的难度；

SHA1算法将任意长的数据转换为固定长度的数据，不同的输入数据运算后的结果不同；

步骤34，所述加解密单元13根据所述加密密钥，调用AES算法对所述目标程序进行加密；

根据另一种具体实施方式，所述加密操作也可以由所述程序运行单元11执行，所述程序运行单元12采用AES算法，根据所述加密密钥，对所述目标程序进行加密；

步骤35，所述程序运行单元将一文件组中的程序和数据进行组合，生成一新的目标文件；所述文件组中的程序包括加密后的目标程序、预先存储的采用所述SHA1算法的解密密钥生成程序、预先存储的采用AES算法的解密程序、预先存储的运行程序、所述随机数、预先存储的权限判断程序、加载程序到内存空间的加载器代码，以及目标文件加载动态库时对加载动态库的调整代码组合在一起，生成一个新的目标文件；

在目标文件中，将AES算法解密程序和随机数分开存储，这样也可以增加破解目标程序的难度。

步骤36，运行所述目标文件，所述程序运行单元11调用所述运行程序，所述运行程序提供运行所述目标文件的入口，控制首先调用所述权限判断程序，当判断到用户具有运行权限时，继续调用解密密钥生成程序、解密程序、加载程序到内存空间的加载器代码，以及目标文件加载动态库时对加载动态库的调整代码；

步骤37，所述程序运行单元11调用所述权限判断程序，根据所述权限判断单元11中***的介质，判断所述目标程序是否具有运行权限；

如果具有，转至步骤38；

否则，转至步骤311；

当所述权限判断单元12为IC卡读卡机时，判断其中是否***IC卡，如***则进一步判断该IC卡是否为具有运行权限的IC卡，而判断所述目标程序是否具有运行权限；

当所述权限判断单元12为USB接口时，其判断其中是否***USBkey，如***则进一步判断该USBkey是否为具有运行权限的USBkey，而判断所述目标程序是否具有运行权限；

所述权限判断单元12判断其中***的介质是否具有运行权限的方法是内外部认证的数据交换方法，例如：***规范中所描述的金融接口设备与银行IC卡或Key的权限判断机制；

步骤38，所述程序运行单元11调用所述解密密钥生成程序，根据所述硬件指纹，用户输入的口令，所存储的随机数，通过SHA1算法算出解密密钥，并将所述解密密钥传送至所述加解密单元13；

步骤39，所述加解密单元13调用所述解密程序，根据所述解密密钥，调用AES算法对所述目标程序进行解密；

由于AES算法为对称密钥算法，因此当所述解密密钥和所述加密密钥相同时，目标程序可成功运行；

当加密后的目标程序在其他硬件平台上运行时，即使该硬件平台与所述程序运行单元11的配置相同，但是由于该硬件平台与所述程序运行单元11的硬件指纹不同，因此算出的解密密钥与所述加密密钥不同，无法成功运行目标程序；

当用于输入的口令与所述预定的用户口令不同时，算出的解密密钥与所述加密密钥不同，无法成功运行程序；

步骤310：所述程序运行单元11调用加载程序到内存空间的加载器代码，以及目标文件加载动态库时对加载动态库的调整代码，加载程序到内存空间的加载器，并调整动态库；

步骤311：结束。

其中，所述加载程序到内存空间的加载器，实现的具体步骤如下：

当在LINUX操作***下时，检查动态库的有效性，查看动态库数据的ELF头和程序头(在WINDOWS操作***下时，查看动态库数据的DOS头和PE头)；进行校验，防止由于存储介质损耗或被恶意篡改而带来的错误；

分配虚拟内存块：按照动态库自身内存映像地址和镜像大小，分配内存块；

设置内存权限，清除需要清空的内存区域，将程序运行参数、环境变量参数等加载到正确的堆栈地址中；

将程序调转到真正的程序入口点处，完成程序的加载。

所述目标文件加载动态库时对加载动态库的调整，具体的实现步骤如下：

分析程序需要调用动态库的名字和调用的函数方法名，将两者进行比对，如果一致，进行绑定；

将所需动态库文件去除冗余信息，进行编译，生成注入目标程序的动态库二进制文件；

实现对动态库二进制文件的加载(使用加载器加载)、映射和修改工作，具体过程如下：

使用加载器分配虚拟内存块，按照动态库自身内存映像地址和镜像大小，分配内存块。但由于虚拟地址经常被程序或其他动态库占用，所以当无法分配时，可随机分配指定大小的内存块，这种情况下，需要调整动态库的重定位地址，调整重定位指令。

进行加密保护后的程序运行时，程序流为以下过程：

1、判断用户权限；

2、等待用户口令，取得硬件指纹，调用AES解密算法，算出解密密钥；

3、使用所述解密密钥解密目标程序，并加载；

4、判断需调用的动态库，加载动态库；

5、设置环境变量，输入参数，设置堆栈、内存权限，完成程序调转；

6、程序运行。

使用本发明所述的软硬件结合的保护程序的方法，可选采用软件方式或硬件方式对目标程序进行加密，采用硬件方式实现对目标程序的解密，由于结合了软硬件进行加解密，采用了高速的加解密芯片，提升了加解密的速度，增加了破解程序的难度。

另外，本发明所述的软硬件结合的保护程序的方法，对目标程序采取了去除冗余信息、混淆技术，并通过判断目标程序的权限的方式，进一步对目标程序进行保护，加大破解程序的难度。

以上说明对本发明而言只是说明性的，而非限制性的，本领域普通技术人员理解，在不脱离本发明权利要求所限定的精神和范围的情况下，可做出许多修改，变化，或等效，但都将落入本发明的保护范围内。

Claims (8)

1.一种软硬件结合的保护程序的方法，其特征在于，其包括以下步骤：

(1)一程序运行单元取得硬件指纹，并根据加密密钥生成参数，通过一密钥生成算法算出加密密钥；所述加密密钥生成参数包括所述硬件指纹和一随机数，所述程序运行单元存储该随机数；

(2)根据所述加密密钥，通过一加解密算法，对所述程序运行单元储存的目标程序进行加密；

(3)所述程序运行单元将一文件组中的程序和数据进行组合，生成一新的目标文件；所述文件组中的程序包括加密后的目标程序、预先存储的采用所述密钥生成算法的解密密钥生成程序、预先存储的采用所述加解密算法的解密程序、预先存储的运行程序和所述随机数；

(4)运行所述目标文件；

(5)所述程序运行单元调用所述解密密钥生成程序，根据解密密钥生成参数，通过所述密钥生成算法算出解密密钥，并将所述解密密钥传送至一加解密单元；所述解密密钥生成参数包括所述程序运行单元中存储的随机数、所述硬件指纹；

(6)所述加解密单元调用所述解密程序，根据所述解密密钥，通过所述加解密算法，对所述加密后的目标程序进行解密；

(7)结束。

2.根据权利要求1所述的软硬件结合的保护程序的方法，其特征在于，在步骤(2)中，所述加密操作由所述程序运行单元执行。

3.根据权利要求1所述的软硬件结合的保护程序的方法，其特征在于，在步骤(2)中，所述加密操作由一加解密单元执行，所述加密密钥由所述程序运行单元传送至所述加解密单元。

4.根据权利要求1所述的软硬件结合的保护程序的方法，其特征在于，所述加密密钥生成参数还包括用户口令，所述解密密钥生成参数还包括用户输入的口令。

5.根据权利要求1至4中任一权利要求所述的软硬件结合的保护程序的方法，其特征在于，在步骤(1)中，所述随机数由一真随机数发生器生成。

6.根据权利要求1所述的软硬件结合的保护程序的方法，其特征在于，

所述文件组中的程序还包括权限判断程序；

在步骤(4)和步骤(5)之间，还包括步骤(41)：

所述程序运行单元调用所述权限判断程序，根据一权限判断单元中***的介质，判断所述目标程序是否具有运行权限；

如果有，转至步骤(5)；

否则，转至步骤(7)。

7.根据权利要求1所述的软硬件结合的保护程序的方法，其特征在于，其在步骤(1)前还包括以下步骤：

(11)去除一程序运行单元中的目标程序中的冗余信息和调试信息。

8.根据权利要求7所述的软硬件结合的保护程序的方法，其特征在于，其在步骤(11)和步骤(1)之间还包括以下步骤：

(12)对一程序运行单元中的目标程序进行混淆处理。

Images