DE4103173C2 - Vorrichtung zum Schutz gegen unautorisierte Benutzung von Software - Google Patents

Description

Die Erfindung bezieht sich auf Vorrichtungen zum Schutz gegen unautorisierte Benutzung von Software nach dem Ober­ begriff des Patentanspruchs 1.

Ein möglicher Schutz gegen die unautorisierte Benutzung von Software besteht darin, daß der Käufer eines Program­ mes zugleich ein Hardware-Bauteil, z. B. ein Steckerbau­ teil, mit erwirbt, das mit dem Rechner verbunden werden muß, damit das Programm genutzt werden kann. In einem einfachen Fall fragt der Rechner ab, ob das Hardware-Teil vorhanden ist. Falls nicht, wird der Programmablauf ge­ stört. Als Hardware-Bauteil kann nach einer bekannten Vor­ richtung ein externer Datengenerator verwendet werden.

Aus der DE-PS 39 14 233 und US-PS 4 446 519 ist ein Schutz bekannt, der verhindert, daß durch relativ einfache Modi­ fikation im Programm die Abfrage des Hardware-Bauteils entfernt oder umgangen werden kann. Eine Konsistenzprüf­ stufe bildet mit einer Rechengröße des Programms und den Daten eines externen Datengenerators eine erste Ver­ knüpfungsfunktion bzw. mit den Daten eines zweiten Daten­ generators eine zweite Verknüpfungsfunktion, die eine Um­ kehrfunktion der ersten ist, wobei anschließend beide Funktionen über eine dritte Funktion verknüpft werden und das Ergebnis mit der ursprünglich zugrunde gelegten Rechengröße verglichen wird. Stimmt das Ergebnis der­ dritten Funktion nicht mit der Rechengröße überein, wird das Rechensystem in einen Fehlerzustand gebracht. Diese Vorrichtung macht eine Umgehung des Kopierschutzes sehr schwierig, sofern die Funktion des Steckerbauteils nicht bekannt ist. Diese ist z. B. ohne Kenntnis der Baupläne nicht zu verstehen. Die Funktion des Steckerbauteils bzw. ­ des Datengenerators kann aber auch ohne Schaltpläne analysiert werden, indem eine Analyse des Ein-/Ausgabever­ haltens des Datengenerators vorgenommen wird.

Das erfaßte Ein-/Ausgabeverhalten kann mit Hilfe von Logik-Minimierungsverfahren auf einfache Logikfunktionen reduziert werden. Diese Logik-Minimierungsverfahren können aufgrund ihrer ständigen Verbesserung schon relativ große Tabellen verarbeiten.

Ein zweites Verfahren zur Analyse der Funktion eines Da­ tengenerators kommt aus dem Bereich der künstlichen In­ telligenz. Nach dem Modellbildungsverfahren wird eine Ta­ belle aus zunächst wenigen, zufälligen Eingaben und den dazugehörigen Ausgaben erstellt, mit der ein erstes Modell des Datengenerators gebildet wird. Tritt nun zwischen Da­ tengenerator und Modell bei einer weiteren Ein- und Aus­ gabe ein Unterschied auf, wird diese Ein-/Ausgabe in die Tabelle aufgenommen und ein verbessertes Modell gebildet.

Die bekannten Schutzvorrichtungen gegen unautorisierte Be­ nutzung von Software haben somit den Nachteil, daß die Funktion des Datengenerators analysiert werden kann. Ist dessen Funktion bekannt, kann z. B. durch entsprechende Modifikation im Programm ein ohne Steckerbauteil lauf­ fähiges Programm erstellt werden, wobei das Abfragen des Steckerbauteils durch Aufruf einer Hilfsroutine ersetzt wird, welche das Steckerbauteil simuliert. Andererseits könnte das analysierte Steckerbauteil nachgebaut werden.

Die DE-A1 33 47 483 betrifft die Sicherung geheimer Infor­ mationen im elektronischen Speichermedium. Dabei sollen geheime Daten vor dem Zugriff unbefugter Personen ge­ schützt werden. Dafür ist das Gehäuse des Speichermediums mittels mindestens eines Detektorelements vor unbefugtem Zugriff gesichert. Der Schutz von Programmen gegen un­ autorisierte Benutzung ist von dieser Druckschrift nicht angesprochen.

Die DE-A1 33 15 992 befaßt sich ebenfalls nicht mit der unautorisierten Benutzung von Programmen auf frei kopier­ baren Datenträgern. Vielmehr betrifft sie die Sicherung von Programmen gegen das unbefugte Lesen aus einem Speicher. Der vorbekannte Speicher ist verhältnismäßig einfach analysierbar: Die Ausgabe hängt lediglich von den beiden letzten Eingaben ab, so daß für jedes Ausgabebit eine Funktion der beiden letzten Adressen in Form einer Logik-Tabelle aufstellen läßt. Die Tabelle läßt sich mit Hilfe bekannter Logikminimierungsverfahren analysieren.

Der Erfindung liegt daher die Aufgabe zugrunde, eine Vor­ richtung zum Schutz gegen eine unautorisierte Benutzung von Software zu schaffen, die eine Analyse der Funktion des Datengenerators anhand seiner Ein- und Ausgaben bzw. nur seiner Ausgaben äußerst erschwert.

Diese Aufgabe wird gelöst durch die Patentansprüche 1, 4, 5 oder 15.

Die erfindungsgemäße Vorrichtung bezieht sich auf einen Datengenerator, der Manipulationsversuche erkennt, worauf nach einem oder mehreren solcher Versuche der Datengenera­ tor keine oder fehlerhafte Daten ausgibt. Damit ist eine weitergehende Analyse der Funktion des Datengenerators ausgeschlossen. Eine Manipulation kann z. B. bei Empfang nicht vorgesehener Daten oder Datenfolgen oder Öffnung eines Gehäuses des Datengenerators erkannt werden. Neben der Ausgabe von fehlerhaften Daten oder der Nichtausgabe von Daten überhaupt bei erkannter Manipulation, kann fer­ ner die Benutzungsautorisierung eingeschränkt werden, so daß z. B. keine weitere Zugriffsmöglichkeit mehr besteht. Eine weitere Erschwerung der Funktionsanalyse des Daten­ generators wird dadurch erreicht, daß die Ausgabe von Da­ ten abhängig gemacht wird von im Datengenerator gespei­ cherten Daten. Hierzu gibt es zahlreiche Möglichkeiten, die weiter unten erläutert werden.

Eine Möglichkeit zur Erfassung von Manipulationsversuchen ist nach einer Ausgestaltung der Erfindung dann gegeben, wenn nur bestimmte Daten oder Datenfolgen zugelassen sind bzw. Daten oder Datenfolgen nur in bestimmten Zeitinter­ vallen. Die Analyseverfahren erzeugen zufällige oder iterative Folgen von Eingaben für den Datengenerator. Empfängt der Datengenerator solche zufälligen Daten, kann der Inhalt eines Speichers im Datengenerator so verändert werden, daß der Datengenerator keine oder fehlerhafte Daten erzeugt, so daß alle weiteren Ausgaben, die die Analyseverfahren verlangen, fehlerhaft sind.

Manipulationsversuche, die ein Öffnen des Gehäuses des Datengenerators betreffen, können dadurch erkannt werden, daß z. B. die Stromversorgung durch das Öffnen des Gehäuses unterbrochen wird, so daß der Speicher des Datengenerators gelöscht wird.

Nach einer Alternativen der Erfindung, die - wie die ande­ ren Alternativen - zugleich mit mindestens einer weiteren Alternativen verwirklicht werden kann, weisen die vom Datengenerator erzeugten Ausgangsdaten eine nicht-deter­ ministisch erzeugte Redundanz auf. Die z. B. mit einem Zu­ fallszahlengenerator oder durch wahlfreien Zugriff auf einen integrierten Timer erzeugte Redundanz erhöht erheb­ lich die Rechenzeit der Analyseverfahren. Damit bietet diese erfindungsgemäße Vorrichtung insbesondere einen Schutz gegen Analyse der durch das zu schützende Programm regulär erzeugten Eingaben und der entsprechenden Aus­ gaben, die sich relativ leicht an den Signaleingängen und Ausgängen des Rechensystems beobachten lassen.

Ein guter Schutz gegen Analyseverfahren wird ferner mit einer alternativen Vorrichtung erzielt, in der der Daten­ generator zwei Zustände besitzen kann. Der Datengenerator kann aus einem Zustand A in einen Zustand B übergehen durch aufeinanderfolgendes Annehmen von mindestens fünf weiteren Zuständen C. Wesentlich dabei ist, daß die vom Datengenerator ausgegebenen Daten nicht von den Zuständen C abhängen. Damit lassen sich über mehrere Eingaben hinweg keine direkten Schlüsse über die Zustände des Datengenera­ tors ziehen, was z. B. eine Tabelle zur Verarbeitung mit einem Logik-Minimierungsprogramm sehr groß werden läßt, da viele mögliche Zustände in Betracht gezogen werden müssen. Die dafür erforderliche Speicherkapazität ist auf den meisten Personal-Computern nicht verfügbar.

Nach einer weiteren Alternativen der Erfindung ist vorge­ sehen, verschiedene Autorisierungsdaten zu speichern, die z. B. den Zugriff auf Programme oder Programmteile steuern, die Anwendung eines bestimmten Rechensystems vorschreiben oder andere Rechensystemtypen ausschließen. Der Zugriff auf Programme kann zeitlich begrenzt werden, so daß nach bestimmten Zeitintervallen ein Benutzer neue Codewörter zur Veränderung der Autorisierungsdaten eingeben kann, die er z. B. beim Hersteller des Programmes erfragen kann. Die Daten über die Autorisierung zur Benutzung der Software sind nach weiteren Ausgestaltungen der Erfindung veränder­ bar und werden ggfs. über die Signalleitung verändert.

Bei erkannten Manipulationsversuchen kann der Datengenera­ tor auch so geschaltet werden, daß er Autorisierungen ein­ schränkt, z. B. zeitlich, indem während einer gewissen Zeit nach Erkennen eines Manipulationsversuches keine oder feh­ lerhafte Daten ausgegeben werden, oder überhaupt keine Nutzung des Programms mehr möglich ist. Nach einer zeitli­ chen Blockierung oder nach Eingabe neuer Autorisierungs­ daten ist der Datengenerator wieder funktionsfähig, so daß z. B. Datenübertragungsfehler, die als Manipulationsversu­ che interpretiert werden, nicht zu einer dauernden Funk­ tionsuntüchtigkeit der erfindungsgemäßen Vorrichtung füh­ ren.

Die Speicherung von unterschiedlichen Autorisierungen mit einem Datengenerator führt zu einem stark erhöhten Schutz gegen Analyseprogramme, weil es wesentlich schwieriger ist, einen Datengenerator mit mehreren Autorisierungs­ funktionen zu analysieren, als mehrere physikalisch ge­ trennte Datengeneratoren mit einfachen Autorisierungs­ funktionen. Diese Ausgestaltung der Erfindung ist auch verkaufstechnisch akzeptabel, da die Autorisierungen er­ weitert oder eingeschränkt werden können, was z. B. bei einem Benutzerwechsel notwendig ist. So können z. B. be­ nutzerspezifische Codewörter nach Erfragung beim Herstel­ ler neu angegeben werden.

Eine im Datengenerator gespeicherte Benutzer-Identifika­ tion und/oder Seriennummer gemäß einer weiteren Ausgestal­ tung, von der die Ausgaben des Datengenerators abhängen, dürften einen Raubkopierer abschrecken, Kopien des Daten­ generators bzw. Simulationen zu erstellen bzw. zu verbrei­ ten.

Ein weiterer äußerst wirksamer Schutz gegen die Analyse der Funktion eines Datengenerators besteht darin, eine Vorrichtung zu schaffen, bei der die Daten von einem von- Neumann-Rechner erzeugt werden, d. h. durch einen Algo­ rithmus. Dieser läßt sich nicht durch rein sequentielle, minimierte Logikfunktionen darstellen.

Generell gilt, daß ein Schutz gegen Analyseprogramme mit steigender Anzahl der möglichen Zustände des Datengenera­ tors wirksamer wird. Die Zahl solcher Zustände wird we­ sentlich erhöht, wenn der Inhalt eines im Datengenerator enthaltenen Speichers, z. B. eines RAM (Random Access Memory), erhalten wird. Da die äußere Stromversorgung des Datengenerators unterbrochen werden kann, ist der Inhalt des Speichers nur durch eine eigene Stromversorgung auf­ recht zu erhalten. Eine solche eigene Stromversorgung ist nach einer weiteren Alternativen der Erfindung im Datenge­ nerator angeordnet und erhöht somit den Schutz gegen Ana­ lyseverfahren.

Ferner kann bei einer anderen Lösung beim Öffnen des Gehäuses ein Signal an den Datengenerator ergehen, der dadurch in einen Zustand gebracht wird, in dem keine oder fehlerhafte Daten erzeugt werden.

Für die erfindungsgemäße Vorrichtung kann ferner min­ destens ein zweiter Datengenerator vorgesehen sein, der über Signaleingänge und -ausgänge mit dem ersten Daten­ generator verbindbar ist.

Eine weitere Alternative sieht vor, daß die Ausgabe des Datengenerators und ggfs. die Eingabe in den Datengenera­ tor über eine MIDI-Schnittstelle erfolgt. Eine MIDI (Musical instrumental digital interface)-Schnittstelle dient normalerweise der Übertragung von Daten an Musikge­ räte und ist an vielen Computern vorhanden. Bei Datenüber­ tragung über diese Schnittstelle können Daten an bzw. aus dem Datengenerator unter andere Daten gemischt sein, wo­ durch eine Analyse erschwert ist. Andererseits ist die Verwirklichung des Software-Schutzes hardwaremäßig ver­ einfacht. Diese Variante kommt besonders für den Schutz von Musikprogrammen in Betracht. Gemäß einer praktischen Weiterbildung kann der Datengenerator für den Anschluß eines Musikinstrumentes oder eines zusätzlichen Datengene­ rators eine weitere MIDI-Schnittstelle aufweisen.

Ein Ausführungsbeispiel der Erfindung wird nachfolgend an­ hand einer Zeichnung näher läutert.

Die einzige Figur zeigt ein Blockschaltbild einer Vorrich­ tung nach der Erfindung.

Ein Rechensystem 10 ist mit einem Datengenerator 11 über eine Datenleitung 12 verbunden, wobei der Datengenerator 11 an einen Signaleingang 13 des Rechensystems 10 ange­ schlossen ist. In dem Datengenerator ist eine Benutzer­ identifikation oder eine Seriennummer und ggfs. Autorisie­ rungsdaten gespeichert, wobei sich die Autorisierungsdaten verändern lassen und somit die Autorisierung erweiterbar oder einschränkbar ist. Bei einem Manipulationsversuch, der durch den Empfang einer nicht vorgesehenen Datenfolge oder durch Öffnen eines Gehäuses des Datengenerators 11 erkannt wird, wird der Datengenerator in einen Zustand gebracht, in dem er nur fehlerhafte Daten erzeugt. Dieser Zustand ist zeitlich begrenzt. Ferner kann der Datengene­ rator zwei Zustände A und B annehmen, wobei er durch auf­ einanderfolgendes Annehmen von fünf weiteren Zuständen C aus dem Zustand A in den Zustand B gebracht wird. Die vom Datengenerator 11 ausgegebenen Daten sind nicht von den Zuständen C abhängig, so daß sich über mehrere Eingaben hinweg keine direkten Schlüsse über die Zustände des Da­ tengenerators ziehen lassen.

Damit ist ein sehr guter Schutz gegen Analyseverfahren ge­ geben, da viele Zustände in Betracht gezogen werden müs­ sen, eine Tabelle zur Verarbeitung mit einem Logik-Mini­ mierungsprogramm sehr groß werden muß, wodurch eine Spei­ cherkapazität verlangt ist, die auf den meisten Personal- Computern nicht verfügbar ist.

Claims (16)

1. Vorrichtung zum Schutz gegen unautorisierte Benutzung von Software, bei der mindestens ein mit einem Signal­ eingang eines Rechensystems (10) verbindbarer externer Datengenerator (11) Daten erzeugt, wobei die vom Da­ tengenerator (11) ausgegebenen Daten von empfangenen Daten aus dem Rechensystem (10) abhängig sind und das Rechensystem in einen Fehlerzustand gebracht wird oder die Software im Rechensystem nicht zweckmäßig arbei­ tet, wenn das Rechensystem keine oder fehlerhafte Da­ ten über den Signaleingang (13) empfängt, dadurch ge­ kennzeichnet, daß der Datengenerator (11) Manipula­ tionsversuche an den empfangenen Daten erkennt, der Datengenerator (11) bei erkannter Manipulation den In­ halt eines Speichers ändert und in­ folgedessen beim Empfang weiterer Daten keine oder fehlerhafte Daten ausgibt und/oder eine Benutzungs­ autorisierung verändert.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Datengenerator (11) einen Manipulationsversuch an nicht vorgesehenen Daten oder Datenfolgen und/oder zeitlich nicht vorgesehenen Daten oder Datenfolgen er­ kennt.

3. Vorrichtung nach Anspruch 1 oder 2, dadurch gekenn­ zeichnet, daß der Datengenerator (11) sich in einem Gehäuse befindet und die Stromversorgung des Datenge­ nerators durch Öffnen des Gehäuses unterbrochen wird, so daß der Speicher des Datengenerators gelöscht wird.

4. Vorrichtung nach dem Oberbegriff des Anspruchs 1, ins­ besondere in Verbindung mit dem Kennzeichen des An­ spruchs 1, 2 und/oder 3, dadurch gekennzeichnet, daß die vom Datengenerator (11) generierten Daten eine nicht-deterministisch erzeugte Redundanz aufweisen.

5. Vorrichtung nach dem Oberbegriff des Anspruchs 1, ins­ besondere in Verbindung mit dem Kennzeichen des An­ spruchs 1, 2, 3 und/oder 4, dadurch gekennzeichnet, daß der Datengenerator (11) zwei Zustände A und B be­ sitzt, von deren Annahme die vom Datengenerator ausge­ gebenen Daten abhängen, der Datengenerator aus dem Zu­ stand A in den Zustand B nur durch mindestens fünf aufeinanderfolgende weitere Zustände C gebracht werden kann, die aufgrund empfangener Daten angenommen wer­ den, und die vom Datengenerator ausgegebenen Daten nicht von den Zuständen C abhängen.

6. Vorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß im Datengenerator (11) Daten über die Autorisierung zur Benutzung der Software gespei­ chert sind und die Autorisierungsdaten den Zugriff auf bestimmte Programme und/oder Programmteile steuern, und/oder den Typ des Rechensystems (10) festlegen oder mindestens einen Typ ausschließen, und/oder den Zu­ griff zeitlich begrenzen, und/oder den Zugriff quanti­ tativ steuern.

7. Vorrichtung nach Anspruch 6, dadurch gekennzeichnet, daß die gespeicherten Daten über die Autorisierung zur Benutzung der Software veränderbar sind.

8. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß die gespeicherten Daten über die Autorisierung in Abhängigkeit von Daten, die über die Signalleitung (12) des Datengenerators (11) empfangen werden, verän­ dert werden können.

9. Vorrichtung nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß der Datengenerator (11) die Auto­ risierung einschränkt oder vollständig aufhebt, wobei dies zeitlich befristet sein kann, wenn nicht vorge­ sehene Daten oder Datenfolgen und/oder zeitlich nicht vorgesehene Daten oder Datenfolgen von dem Datengene­ rator (11) empfangen werden.

10. Vorrichtung nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß im Datengenerator (11) eine Benut­ zeridentifikation und/oder eine Seriennummer gespei­ chert ist.

11. Vorrichtung nach einem der Ansprüche 1 bis 10, dadurch dadurch gekennzeichnet, daß der Datengenerator (11) ein Re­ chensystem enthält, das nach dem von-Neumann-Prinzip arbeitet.

12. Vorrichtung nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, daß der Datengenerator (11) eine eige­ ne Stromversorgung enthält zur Aufrechterhaltung eines Inhalts eines das Ein-/Ausgabeverhalten beeinflussen­ den flüchtigen Speichers.

13. Vorrichtung nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, daß der Datengenerator (11) sich in einem Gehäuse befindet und durch Öffnen des Gehäuses ein Signal an den Datengenerator (11) gegeben wird, so daß der Datengenerator in einen Fehlerzustand gebracht wird, in dem er keine oder fehlerhafte Daten erzeugt.

14. Vorrichtung nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, daß mindestens ein zweiter Datengene­ rator über Signaleingänge und Signalausgänge mit dem Datengenerator (11) verbindbar ist.

15. Vorrichtung nach dem Oberbegriff des Anspruches 1, insbesondere in Verbindung mit dem Kennzeichen des Anspruches 1 bis 13 und/oder 14, dadurch gekennzeich­ net, daß die Ausgabe des Datengenerators (11) und ggfs. die Eingabe in den Datengenerator über eine MIDI-Schnittstelle erfolgt.

16. Vorrichtung nach Anspruch 15, dadurch gekennzeichnet, daß der Datengenerator (11) eine weitere MIDI-Schnitt­ stelle aufweist.