Скрытие активности реестра

Question

Проект: В настоящее время я занимаюсь разработкой системы безопасности, и система опирается на реестр для поддержки.

Проблема: Если кому-то удастся найти ключ реестра, который я использую, он сможет обойти систему. Мне нужно избегать мониторов реестра и другого программного обеспечения, чтобы операции с разделом реестра были скрыты.

Кто-нибудь знает, как это сделать, или есть лучший метод, который я мог бы использовать для этой цели?

Спасибо.

Answer 1

Почему вы пытаетесь скрыть свое программное обеспечение от администраторов? Администратор владеет машиной, и обычно только вредоносная программа пытается скрыться от владельцев машины.

Существуют методы типа руткитов, которые будут работать против большинства попыток обнаружения. Но если вам придется прибегнуть к такому типу техники, ваше программное обеспечение будет похоже на настоящий руткит. Обычно это плохо - на самом деле некоторые AV (и такие инструменты, как RootkitRevealer) найдут ваше программное обеспечение и убьют его. Вы уверены, что хотите участвовать в битве такого типа?

Трудно посоветовать подходящую альтернативу, не зная, что вы пытаетесь защитить или предотвратить. Ваше первое действие должно состоять в создании модели угрозы . Тогда вы можете захотеть взглянуть на методы, включающие цифровой сертификат , чтобы сохранить вашу личную информацию в секрете и избежать необнаружимых подделок. Ваше приложение может законно установить свой собственный цифровой сертификат, даже если ваш клиент никогда не узнает об этом.

Редактировать : В ответ на ваш комментарий лучший способ обеспечить обнаружение удаления сертификата - это "позвонить домой" во время установки с помощью хэша идентификации устройства. Хеш идентифицирует машину однозначно, не давая вам никакой информации о машине. Существуют схемы лицензирования, которые сделают все это для вас, например Система лицензирования Desaware .

Answer 2

Правильно, что нужно сделать, это спроектировать систему, которую нельзя обойти, просто зная используемые ключи реестра.

Answer 3

Не является надежным в любом случае, но вы можете найти наиболее распространенные (например, RegMon, Process Explorer и т. Д.), И если вы обнаружите, что они отключены, вы можете открыть диалоговое окно, сообщающее пользователю, что он должен отключить ихбудет разрешено продолжить.Однако вам придется проверять их, чтобы он не запустил их после начала установки.Я думаю, что это то, что делает защита от копирования для некоторых игр.

Хотя я думал, что пользователь может просто экспортировать большинство / все разделы реестра в текстовом формате перед установкой, а затем снова после и просто сравнитьпоэтому даже если бы вы могли убедиться, что ничего не запущено, вы все равно не смогли бы убедиться, что ваши изменения не могут быть найдены.