• IT-Karriere:
  • Services:

Interview: Die Zukunft von PHP-Beschleunigern

Golem.de: IonCube hat sich zunächst auf einen Encoder konzentriert, der es erlaubt, PHP-Scripte zu veröffentlichen, ohne deren Quelltext herauszugeben. Wie ist der aktuelle Status dieser Bemühungen?

Stellenmarkt
  1. ESG Elektroniksystem- und Logistik-GmbH, Donauwörth
  2. BAM Bundesanstalt für Materialforschung u. -prüfung Personalreferat Z.3, Berlin-Steglitz

Nick Lindridge: IonCube ist einer der Marktführer im Bereich von Encoding-Technologien für PHP. IonCube wurde im Jahr 2002 gegründet, um der Nachfrage nach einer bezahlbaren und qualitativ hochwertigen Encoding-Lösung nachzukommen. IonCube hat den Markt seitdem zunächst mit einem innovativen und einzigartigen Online-Encoding-Dienst angeführt und kurze Zeit später ein eigenständiges Encoding-Werkzeug veröffentlicht. Seit der ersten Version im Winter 2002 hat der eigenständige Encoder einen neuen Standard für Encoding-Software gesetzt. Bevor ionCube auf den Markt trat, gab es nur eine sehr teure, unzuverlässige Encoding-Software, die viele wirklich notwendige Funktionen vermissen ließ. Der ionCube Encoder hingegen wurde zu einem bezahlbaren Preis angeboten und mit nützlichen Funktionen ausgestattet, die funktionieren. Sicherheit ist eines der fundamentalen Design-Ziele von Encoding-Werkzeugen. Bei den meisten PHP-Encoding-Tools, die derzeit auf dem Markt sind, geht es vor allem darum, den Quelltext zu kodieren und während der Ausführung wieder zu dekodieren, um diesen dann mit Hilfe des eval()-Ausdrucks von PHP ausführen zu lassen. Zwar bieten diese Tools einen deutlichen Kostenvorteil gegenüber den teuersten Alternativen, allerdings darf man eben nicht nur diesen Kostenvorteil betrachten, da sie kaum oder gar keine Sicherheit bieten. Es mag einige Leser überraschen, aber der Mangel an Sicherheit von solchen Quelltext-basierten Produkten liegt vor allem daran, wie einfach es ist, die PHP-Engine dazu zu bringen, den wiederhergestellten Quelltext wieder sichtbar zu machen, wenn er kompiliert werden soll. Eine zusätzliche Zeile C in der PHP-Engine reicht aus, um den Quelltext bei diesen Produkten wiederherzustellen, was wir als großes Problem ansehen.

Unsere Encoding-Werkzeuge hingegen verwenden einerseits einen optimierten kompilierten Code, bei dem der Quelltext eliminiert wird noch bevor das Encoding stattfindet, zum anderen eine spezielle Ausführungseinheit innerhalb des Loader. Dies führt dazu, dass die kodierten Dateien nur in Form von Binärdaten, nicht als Quelltext wiederhergestellt und dann innerhalb des Loader ausgeführt werden statt in der Open-Source-Ausführungsroutine von PHP. Auch wenn kein System immun gegen Angriffe von Hackern ist, stellt dies doch eine signifikant größere Hürde für ein Reverse Engineering dar.

Golem.de: Könnten Sie sich ein allgemeines Framework vorstellen, das in die offizielle PHP-Distribution integriert verschiedene Encoder unterstützt und somit die Hürde eliminiert, zunächst einen Loader installieren zu müssen?

Nick Lindridge: Zunächst einmal ist es wichtig zu erkennen, dass es letztendlich aus Sicherheitsgründen notwendig ist, einen Closed-Source-Loader zu haben. Ein "One-Loader-Fits-All-Produkt" ist technisch möglich, aber es ist realistisch gesehen unwahrscheinlich, dass so etwas passiert. Ein Ansatz wäre aber, die Loader-Komponenten der wichtigsten Anbieter standardmäßig mit jeder PHP-Distribution auszuliefern, einschließlich der offiziellen Distribution der PHP-Group. Es gäbe zwar einige kleine logistische Herausforderungen, um dies umzusetzen, aber prinzipiell wäre dies ein gangbarer Ansatz, der der PHP-Community zugute kommen würde.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Interview: Die Zukunft von PHP-Beschleunigern
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Spiele-Angebote
  1. 3,61€
  2. 4,99€
  3. (-70%) 4,50€

Holger 20. Jan 2004

DES asyncron ??? Mal lieber etwas informieren und nicht nur sinnlosen Müll posten.

LH 20. Jan 2004

Ja, kurzum: Es ist garnicht möglich. War es nie, ist es nicht und wird es nie. Nichtmal...

Johannes Schlüter 19. Jan 2004

Bei einem anderen Ansatz würden die unverschlüsselten OpCodes der ZE zur Verfügung...

UloPe 19. Jan 2004

Diese Vorgehensweise nennt man auch "Security by obscurity" und das war noch nie ein gute...

Johannes Schlüter 19. Jan 2004

Interessenten gibt es schnell. Aber wieviele bleiben wirklich dabei? Um das Projekt...


Folgen Sie uns
       


Oneplus 7T - Fazit

Das Oneplus 7T ist der Nachfolger des Oneplus 7 - und hat einige interessante Hardware-Upgrades bekommen. Im Test von Golem.de schneidet das Smartphone entsprechend gut ab.

Oneplus 7T - Fazit Video aufrufen
Power-to-X: Sprit aus Ökostrom, Luft und Wasser
Power-to-X
Sprit aus Ökostrom, Luft und Wasser

Die Energiewende ist ohne synthetische Treibstoffe nicht zu schaffen. In Karlsruhe ist eine Anlage in Betrieb gegangen, die das mithilfe von teilweise völlig neuen Techniken schafft.
Ein Bericht von Wolfgang Kempkens

  1. The Ocean Cleanup Interceptor fischt Plastikmüll aus Flüssen
  2. The Ocean Cleanup Überarbeiteter Müllfänger sammelt Plastikteile im Pazifik

Red Dead Redemption 2 für PC angespielt: Schusswechsel mit Startschwierigkeiten
Red Dead Redemption 2 für PC angespielt
Schusswechsel mit Startschwierigkeiten

Die PC-Version von Red Dead Redemption 2 bietet schönere Grafik als die Konsolenfassung - aber nach der Installation dauert es ganz schön lange bis zum ersten Feuergefecht in den Weiten des Wilden Westens.

  1. Rockstar Games Red Dead Redemption 2 belegt 150 GByte auf PC-Festplatte
  2. Rockstar Games Red Dead Redemption 2 erscheint für Windows-PC und Stadia
  3. Rockstar Games Red Dead Online wird zum Rollenspiel

Nitrokey und Somu im Test: Zwei Fido-Sticks für alle Fälle
Nitrokey und Somu im Test
Zwei Fido-Sticks für alle Fälle

Sie sind winzig und groß, sorgen für mehr Sicherheit bei der Anmeldung per Webauthn und können gepatcht werden: Die in Kürze erscheinenden Fido-Sticks von Nitrokey und Solokeys machen so manches besser als die Konkurrenz von Google und Yubico. Golem.de konnte bereits vorab zwei Prototypen testen.
Ein Test von Moritz Tremmel

  1. iOS 13 iPhone bekommt Webauthn per NFC
  2. Webauthn unter Android ausprobiert Dropbox kann, was andere nicht können

    •  /