Ofuscación (software)

En el desarrollo de software , la ofuscación es el acto de crear código fuente o de máquina que es difícil de entender para los humanos o las computadoras. Al igual que la ofuscación en el lenguaje natural , puede usar expresiones innecesariamente indirectas para componer declaraciones. Los programadores pueden ofuscar deliberadamente el código para ocultar su propósito ( seguridad a través de la oscuridad ) o su lógica o valores implícitos incrustados en él, principalmente, para evitar la manipulación, disuadir la ingeniería inversa o incluso para crear un rompecabezas o un desafío recreativo para alguien que lea el código fuente. Esto se puede hacer manualmente o utilizando una herramienta automatizada, siendo esta última la técnica preferida en la industria. ^[1]

La arquitectura y las características de algunos lenguajes pueden hacer que sean más fáciles de ofuscar que otros. ^{[2] [3]} C , ^[4] C++ , ^{[5] [6]} y el lenguaje de programación Perl ^[7] son ​​algunos ejemplos de lenguajes fáciles de ofuscar. Haskell también es bastante ofuscable ^[8] a pesar de ser bastante diferentes en estructura.

Las propiedades que hacen que un lenguaje sea ofuscable no son inmediatamente obvias.

Esta sección necesita una ampliación que incluya más explicaciones sobre técnicas de ofuscación en general. Puedes ayudar agregándole más cosas. ( Marzo de 2023 )

Los tipos de ofuscación incluyen la simple sustitución de palabras clave, el uso o no uso de espacios en blanco para crear efectos artísticos y programas autogenerados o muy comprimidos.

Según Nick Montfort , las técnicas pueden incluir:

1. ofuscación de nombres, que incluye nombrar variables de una manera sin sentido o engañosa;
2. confusión de datos/código/comentarios, que incluye hacer que algún código real parezca comentarios o confundir la sintaxis con los datos;
3. codificación doble, que puede mostrar código en forma de poesía o formas interesantes. ^[9]

Existe una variedad de herramientas para realizar o ayudar con la ofuscación de código. Estas incluyen herramientas de investigación experimental creadas por académicos, herramientas para aficionados, productos comerciales escritos por profesionales y software de código abierto . También existen herramientas de desofuscación que intentan realizar la transformación inversa.

Aunque la mayoría de las soluciones de ofuscación comerciales funcionan transformando el código fuente del programa o el código de bytes independiente de la plataforma, como el utilizado en Java y .NET , también hay algunas que funcionan directamente en binarios compilados.

• Se pueden encontrar algunos ejemplos de Python en las preguntas frecuentes oficiales de programación de Python y en otros lugares. ^{[10] [11] [12]}
• El compilador C movfuscator para la ISA x86_32 utiliza solo la instrucción mov para ofuscar. ^{[13] [14] [15]}

Escribir y leer código fuente ofuscado puede ser un desafío para la mente . Existen varios concursos de programación que premian el código ofuscado de manera más creativa, como el Concurso Internacional de Código C Ofuscado y el Concurso de Perl Ofuscado .

Se pueden utilizar programas Perl breves y ofuscados en las firmas de los programadores de Perl. Éstos son JAPH (" Just another Perl hacker "). ^[16]

Los criptógrafos han explorado la idea de ofuscar el código de modo que la ingeniería inversa del código sea criptográficamente difícil. Esto se formaliza en las numerosas propuestas de ofuscación de indistinguibilidad , un primitivo criptográfico que, si fuera posible construir de forma segura, permitiría construir muchos otros tipos de criptografía, incluidos tipos completamente nuevos que nadie sabe cómo hacer. (Se sabe que una noción más fuerte, la ofuscación de caja negra , es imposible en general). ^{[17] [18]}

• Si bien la ofuscación puede dificultar y llevar mucho tiempo la lectura, la escritura y la ingeniería inversa de un programa, no necesariamente lo hará imposible. ^[19]
• Agrega tiempo y complejidad al proceso de compilación para los desarrolladores.
• Esto puede hacer que la depuración de problemas después de que el software haya sido ofuscado sea extremadamente difícil.
• Una vez que el código ya no se mantiene, los aficionados pueden querer mantener el programa, agregar modificaciones o comprenderlo mejor. La ofuscación dificulta que los usuarios finales hagan cosas útiles con el código.
• Ciertos tipos de ofuscación (es decir, código que no es solo un binario local y descarga mini binarios de un servidor web según sea necesario) pueden degradar el rendimiento y/o requerir Internet.

Algunos programas antivirus, como AVG AntiVirus ^[20], también alertan a sus usuarios cuando llegan a un sitio web con código que se ha ofuscado manualmente, ya que uno de los propósitos de la ofuscación puede ser ocultar código malicioso. Sin embargo, algunos desarrolladores pueden emplear la ofuscación de código con el fin de reducir el tamaño de archivo o aumentar la seguridad. El usuario promedio puede no esperar que su software antivirus proporcione alertas sobre un fragmento de código que de otro modo sería inofensivo, especialmente de corporaciones confiables, por lo que dicha característica puede en realidad disuadir a los usuarios de usar software legítimo.

Mozilla y Google no permiten extensiones de navegador que contengan código ofuscado en su tienda de complementos. ^{[21] [22]}

Se ha debatido si es ilegal eludir las licencias de software copyleft mediante la publicación del código fuente en forma ofuscada, como en los casos en los que el autor no está dispuesto a ponerlo a disposición. La cuestión se aborda en la Licencia Pública General de GNU al exigir que se ponga a disposición la "forma preferida para realizar modificaciones". ^[23] El sitio web de GNU afirma que "el 'código fuente' ofuscado no es código fuente real y no cuenta como código fuente". ^[24]

Un descompilador puede realizar ingeniería inversa del código fuente de un ejecutable o una biblioteca. La descompilación a veces se denomina ataque man-in-the-end (mite), basado en el ataque criptográfico tradicional conocido como " man-in-the-middle ". Pone el código fuente en manos del usuario, aunque este código fuente suele ser difícil de leer. Es probable que el código fuente tenga nombres de funciones y variables aleatorios, tipos de variables incorrectos y utilice una lógica diferente a la del código fuente original (debido a las optimizaciones del compilador).

La ofuscación de modelos es una técnica para ocultar la estructura interna de un modelo de aprendizaje automático . ^[25] La ofuscación convierte un modelo en una caja negra. Es contraria a la IA explicable . Los modelos de ofuscación también se pueden aplicar a los datos de entrenamiento antes de introducirlos en el modelo para añadir ruido aleatorio. Esto oculta información sensible sobre las propiedades de muestras individuales y grupos de muestras. ^[26]

• Concurso internacional de código C ofuscado
• Protección del código Java mediante la ofuscación de código, ACM Crossroads, edición de primavera de 1998
• ¿Podemos ofuscar programas?
• Yury Lifshits. Notas de la conferencia sobre ofuscación de programas (primavera de 2005)
• c2: Cálculo de caja negra