Меры и средства защиты программного обеспечения 
и показатели их оценки

Середа С.А. (serge_sereda@hotmail.com)
Аспирант МЭСИ

	Несанкционированное распространение программных продуктов (ППр) является одной из актуальных проблем современного информационного бизнеса. Возникновение этой проблемы было вызвано появлением и распространением персональных компьютеров единой архитектуры (x86), обострение – развитием глобальных сетей передачи данных (CompuServe, FidoNet, UseNet, InterNet и т.п.) [9]. Несанкционированное распространение и использование программного обеспечения (ПО) стало причиной создания и дальнейшего развития отрасли защиты ПО. В её рамках были разработано и продолжают разрабатываться стратегии, методики, приёмы защиты коммерческих интересов производителей программных продуктов [1, 2, 3, 5, 6, 11, 12, 13, 14, 15].
С точки зрения организационного подхода можно выделить меры и средства защиты программного обеспечения. При этом под мерами защиты ПО понимается определенный образ действий по достижению необходимой цели, а под средствами защиты – программно-технический инструментарий для осуществления указанных действий.
	Применяемые  сегодня меры по защите ПО можно подразделить на следующие виды:
1. 	Юридические: привлечение нарушителей к ответственности, борьба за более полное использование законодательства, разработка и лоббирование новых законодательных актов, ужесточающих ответственность агентов теневого рынка ПО [1, 7, 9, 14].
2. 	Организационные: индивидуальное распространение ПО ("из рук в руки"), борьба с источниками распространения "пиратских" копий ПО и средств «взлома» и копирования программ, оперативное распространение обновленных версий с улучшенными средствами защиты, учёт пользователей, выявление нарушителей лицензионных соглашений, предоставление денежного вознаграждения за информацию о "пиратах" [6, 7, 9, 11, 13].
3. 	Экономические: повышение качества ПО, снижение цен на ПО, предоставление высококачественной документации и сервиса, предоставление легальным пользователям скидок при приобретении новых версий ПО, проведение маркетинговых мероприятий, предоставление гарантий на ПО [7, 11, 12].
4. 	Психологические: запугивание потенциальных нарушителей, создание мифов о "неломаемости" систем программной защиты ПО, воззвания к совести, обман, замена денежной формы оплаты косвенной в виде обязательного просмотра рекламы, пропаганда аморальности исследования и депроектирования ПО и "пиратства", адресный подкуп "пиратов" или "взломщиков" [15].
5. 	Технические: разработка специализированных замкнутых аппаратных или программных платформ, для которых в дальнейшем будет создаваться ПО, создание программно-аппаратных комплексов, сдача ПО в аренду (ASP), применение технических средств защиты ПО, применение «цифровых средств управления правами» (DRM) [1, 2, 3, 5, 9, 10, 12, 13].
6. 	Карательные: "охота" на конкретных "взломщиков" или "группы взломщиков", "закрытие" неугодных сайтов Интернет (даже не имеющих отношения к "пиратству"), подача в суд направленных исков, публикация "открытых обращений" и т.п., составление в защищаемых продуктах "черных" списков с именами взломщиков.

В силу природы перечисленных мер, программные средства для их реализации применимы лишь в рамках организационной и технической защиты ПО.
	Средства защиты программного обеспечения по функциональной направленности можно разделить на следующие категории:
1. 	Средства криптографического закрытия информации. Они могут использоваться для шифрования критической информации, а также дистрибутивных пакетов ПО.
2. 	Средства разделения доступа и мониторинга в локальных вычислительных сетях. Данный вид средств используется для предотвращения и выявления несанкционированного использования ПО в корпоративных сетях.
3. 	Средства программной (алгоритмической) защиты ПО. Основная цель - динамическая защита ПО во время его функционирования.
4. 	Средства комплектования и защиты дистрибутивов. При их помощи производитель создает автоматический дистрибутив, облегчая его установку для пользователя и затрудняя его копирование и использование для злоумышленника.
5. 	Средства глобального сетевого поиска и мониторинга. Эти средства необходимы для обнаружения нелегальных копий ППр, информации о "взломе", источников распространения копий и средств "взлома".
6. 	Средства информационной защиты сервера глобальной сети. Эти средства защищают производителя или распространителя ПО от сетевых атак с целью незаконного завладения ПО.
7. 	Средства учета и контроля пользователей. Они позволяют оперативно реагировать на запросы легальных пользователей, а также отслеживать недобросовестных пользователей и злоумышленников.
8. 	Средства оперативного распространения ПО. Указанные средства позволяют быстро обновлять дистрибутивы ПО при внесении в него изменений, а также смене системы его программной защиты.

Указанные меры и средства защиты ПО могут использоваться в рамках конкретной стратегии, определяемой в процессе планирования защиты ПО. Планирование защиты ПО включает в себя такие этапы как: определение множества возможных угроз [4, 6, 8]; выделение подмножества вероятных угроз; определение потенциального ущерба по каждой угрозе; формирование подмножества адекватных контрмер; разработка общей стратегии защиты в условиях риска; и применение оптимальных для определённой стратегии мер и средств защиты [6]. 
Для выбора той или иной «антипиратской» меры или средства защиты ПО из существующего подмножества необходимо иметь возможность сравнить их между собой [5]. Тогда лицо, принимающее решения, будет способно обоснованно выбрать оптимальный из имеющихся в наличии вариантов. Чтобы обеспечить указанную возможность, требуется наличие ряда критериев и ограничений, позволяющих оценивать и сравнивать между собой меры и средства защиты программного обеспечения, определяя выбор, оптимальный для условий, в которых принимается решение. В настоящее время подобные критерии существуют лишь в разрозненном, неформализованном виде, что, к сожалению, не способствует рациональному выбору адекватных мер и средств по борьбе с "пиратами". С другой стороны определение, группировка и классификация подобных критериев позволят в значительной мере упростить и уточнить процесс оценки стратегий производителя ПО.
	По нашему мнению, как к мерам, так и к средствам защиты ПО необходимо применять четыре типа требований (ограничений):

•	законность;
•	эффективность;
•	доступность по стоимости;
•	отсутствие побочных эффектов.

В рамках оценки мер защиты ПО, скорее всего, будут преобладать качественные критерии, в то время как на уровне средств защиты ПО возможно довольно широкое использование количественных критериев. Часть показателей оценки мер и средств защиты ПО представляют собой отсекающие ограничения, другая же часть рассматривается как критерии оценки. Как правило, критерии "законности" и "доступности по стоимости" служат для сокращения множества потенциальных стратегий на этапе первичного анализа предметной области. Что же касается критериев "эффективности" и "отсутствия побочных эффектов", они могут быть отнесены к ограничениям либо к как таковым критериям лишь в контексте конкретной предметной области. 
	По нашему мнению все критерии оценки мер и средств защиты ПО можно подразделить на ряд групп, в частности на следующие: экономические показатели, организационные показатели  и технические показатели.
Первые две группы критериев являются универсальными и применимы как к оценке различных «антипиратских» мер, так и средств их реализации. Последняя же группа носит специализированный характер и позволяет сравнивать лишь совместимые по критериям меры и средства.

Экономические показатели:

–	оценка возможного штрафа при использовании меры/средства защиты;
–	соотношение потерь от пиратства и общего объёма прибыли;
–	соотношение потерь от пиратства и затрат на контрмеру;
–	критерий «затраты /ожидаемая добавочная прибыль»;
–	критерий «затраты /цена защищаемого ПО»;
–	соответствие затрат на контрмеру поставленным целям;
–	оценка возможности проявления побочных эффектов; 
–	соотношение затрат пользователя до и после применения меры/средства;
–	оценка возможных потерь продаж при использовании меры/средства защиты.

Организационные:

–	соответствие меры/средства законодательству;
–	оценка возможных нарушений прав потребителя;
–	соответствие меры/средства «правилам игры» в отрасли;
–	оценка распространённости и популярности ПО;
–	оценка условий распространения и использования ПО;
–	вероятность превращения пользователя в злоумышленника;
–	оценка роли документации и поддержки при использовании ПО.
–	оценка возможности проявления побочных эффектов;
–	оценка глубины изменений в процедуре производства/реализации ППр;
–	оценка влияния меры/средства защиты на другие реализуемые ППр;
–	оценка дополнительных неудобств, причиняемых конечному пользователю;

Технические:

–	соответствие требованиям по сложности преодоления/обхода;
–	соответствие требованиям по надёжности средства защиты;
–	соответствие функциональным требованиям производителя ПО;
–	соответствие функциональной направленности ПО;
–	соответствие системным требованиям ПО;
–	соответствие типовой конфигурации пользовательского ПК;
–	привлекательность относительно используемой защиты конкурентных продуктов;
–	оценка возможности проявления побочных эффектов.

Таким образом, применив метод экспертных оценок к качественным показателям и определив значения количественных, лицо, принимающее решения, получает возможность выбрать оптимальное сочетание мер и средств защиты ПО, соответствующее выявленным на этапе анализа рисков угрозам.
Литература:

1.	Защита программного обеспечения / Под ред. Д. Гроувера: Пер с англ. - М.: Мир, 1992.
2.	Семьянов П.В., Зегжда Д.П. Анализ средств противодействия исследованию программного обеспечения и методы их преодоления. // КомпьютерПресс. - 1993. №11. - Режим доступа к электрон. дан.: http://www.password-crackers.com/publications/research.txt .
3.	Расторгуев С.П., Дмитриевский Н.Н. Искусство защиты и раздевания программ. - М.: Совмаркет, 1991. - 94 с.
4.	Середа С.А. Анализ средств преодоления систем защиты программного обеспечения. // ИНФОРМОСТ: Радиоэлектроника и Телекоммуникации. - 2002. №4(22). С. 11-16. - Режим доступа к электрон. дан.: http://consumer.nm.ru/hacktool.htm .
5.	Середа С.А. Оценка эффективности систем защиты программного обеспечения. // КомпьюЛог. - 2000. №2. - Режим доступа к электрон. дан.: http://consumer.nm.ru/sps_eval.htm .
6.	Середа С.А. Управление жизненным циклом программных продуктов как фактор сокращения теневого рынка программного обеспечения: Тез. межд. конф. BiT+ "INFORMATION TECHNOLOGIES – 2003", Кишинёв. 2003. - Режим доступа к электрон. дан.: http://consumer.nm.ru/bitplus.htm
7.	Середа С.А. Экономический анализ поведения участников рынка программного обеспечения // ИНФОРМОСТ: Радиоэлектроника и Телекоммуникации. - 2002. №6(24). С. 4-9. - Режим доступа к электрон. дан.: http://consumer.nm.ru/ec_model.htm .
8.	Середа С.А. Этапы преодоления систем защиты программного обеспечения. // ИНФОРМОСТ: Радиоэлектроника и Телекоммуникации. - 2003. №6(30). С. 26-30. - Режим доступа к электрон. дан.: http://consumer.nm.ru/crksteps.htm .
9.	Biddle P., England P., Peinado M., Willman B. The Darknet and the Future of Content Distribution // Microsoft Corporation, 2002. - Режим доступа к электрон. дан.: http://crypto.stanford.edu/DRM2002/darknet5.doc .
10.	Bjones R., Hoeben S. Vulnerabilities in pure software security systems // Utimaco Software AG, 2000. - Режим доступа к электрон. дан.: http://www.utimaco.com/eng/content_pdf/whitepaper_vulnerabilities.pdf .
11.	Devanbu P.T., Stubblebine S. Software Engineering for Security: a Roadmap // ICSE 2000. - Режим доступа к электрон. дан.: http://www.cs.ucl.ac.uk/staff/A.Finkelstein/fose/finaldevanbu.pdf .
12.	G. Hachez. A Comparative Study of Software Protection Tools Suited for E‑Commerce with Contributions to Software Watermarking and Smart Cards: Thèse sountenue en vue de l’obtention du grade de Docteur en Sciences Applicuées. Louvain-la-Neuve: Université Catholique de Louvain, Belgique. 2003. – 159 p.
13.	M. Jakobsson and M.K. Reiter. Discouraging software piracy using software aging. In Proc. 1st ACM Workshop on Digital Rights Management (DRM 2001), pages 1-12. Springer LNCS 2320, 2002. - Режим доступа к электрон. дан.: http://www.ece.cmu.edu/~reiter/papers/2002/DRM.pdf .
14.	Shy, O. and Thisse, J. F. (1999) “A Strategic Approach to Software Protection”. Journal of Economics and Management Science, Vol. 8, No.2, 163-190. - Режим доступа к электрон. дан.: http://netec.wustl.edu/BibEc/data/tprjemstrv_8_y_1999_i_2_p_163-90.html .
15.	D.S. Wallach. Copy protection technology is doomed. IEEE Computer, 34(10):48-49, October 2001. - Режим доступа к электрон. дан.: http://www.cs.rice.edu/~dwallach/pub/copy-protection.pdf .