Kopierschutz-Effizienz

[Krishty]

Ich soll einer Middleware einen Kopierschutz verpassen. Jetzt weiß ich nur nicht, wie viel Aufwand sich rechnet (Bloß ein Schlüssel? Oder gegen Keygens eine Online-Aktivierung? Sogar ein Dongle?).

[Meine persönliche Meinung ist, scheiß auf Kopierschutz. Aber das kann ich nicht einfach unbegründet entscheiden.]

Hat jemand belastbare Zahlen zur Wirkung einzelner Kopierschutzmechanismen? À la „Seit Microsoft die Online-Aktivierung einführte, sank die Quote illegaler Kopien um X Prozent“? Oder „Als ich den Kopierschutz von unserem Spiel entfernt habe, stiegen illegale Kopien um Y %“?

Das einzige, was ich gefunden habe, ist der Jahresbericht der Business Software Alliance -- einer Mafia-ähnlichen Organisation aus Adobe, Microsoft, usw. Die sagen, dass in Deutschland rund ein Viertel der Software illegal ist. Allerdings völlig unabhängig von Kopierschutz, Preisklasse, etc. -- und, wie gesagt, wahrscheinlich stark durch deren Interessen verzerrt.

Autodesk hatte auf einer Präsentation mal eine Grafik, wie sich ihre illegalen Kopien über die Jahre entwickelt haben. Sowas würde mir auch schon nutzen.

Gibt’s Studien dazu? Hier sind doch viele Leute aus universitärem Umfeld unterwegs?

Schonmal danke!

[Zudomon]

„Als ich den Kopierschutz von unserem Spiel entfernt habe, stiegen illegale Kopien um Y %“

Was ist denn, wenn seit dem der Kopierschutz entfernt wurde, die illegalen Kopien um Y% gestiegen sind, aber die Verkäufe auch um Z%. Hab mal gehört, das wohl einige auch auf sowas bauen um den Bekanntheitsgrad zu erhöhen.
Ein Kopierschutz wäre in sofern vielleicht sinnvoll, weil man den nicht umgehen darf. Ist das Produkt nicht geschützt dann darf man sich ja rechtlich gesehen (zumindest ist mir das so im Gedächtnis) eine Sicherheitskopie anfertigen.

[Krishty]

Ja, was ist dann? Dafür möchte ich ja gern Zahlen haben …

Du darfst deine Sicherheitskopie auch mit Kopierschutz anfertigen (in den USA aber nicht, DMCA verbietet das AFAIK).

[Alexander Kornrumpf]

Da das offensichtlich für einen Job ist, schlage ich vor nach dem "niemand wird gefeuert, weil er IBM gekauft hat"-Prinzip vorzugehen und irgendwas von der Stange zu nehmen. In deren Marketing-Material werden sich sicher auch schöne Zahlen finden, die du wem auch immer hier von dir Zahlen verlangt präsentieren kannst.

Ich mein, das ist einfach kein Thema bei dem sich die bekannte Krishty-Gründlichkeit rechnen kann. Erstens, weil wir alle schon wissen, dass Kopierschutz prinzipbedingt nicht funktionieren kann, zweitens weil du dann im besten Fall am Ende eine Lösung hast, die genau dassselbe macht, was die Lösungen von der Stange auch machen, nur halt mit den zusätzlichen 20% Krishty-Perfektion. Was toll ist, wenn du vorhast ins Kopierschutz Business (google sagt mir, sie bevorzugen den Euphemismus "licensing") einzusteigen, aber ökonomisch dumm, wenn du es dann nur in genau eine Software einbaust.

[Chromanoid]

Ich bin zwar nicht mehr universitär unterwegs, suche aber gerne Paper. Scheint einige Paper dazu zu geben... Ich habe nur mal kurz nach "software copy protection effect acm" bei Google gesucht.

Das hier sieht ganz interessant aus, obwohl es alt ist (2005) denke ich die Ergebnisse sind noch relevant. Wenn ist die Datenbasis eher ein Problem...
http://www.mtm.uni-koeln.de/team-loebbe ... ection.pdf

In brief, our work finds that
(1) Neither hardware nor software based protection fully avoids piracy.
(2) Stronger technical copy protection does not necessarily result in lower piracy rates.
(3) A low level of protection does not necessarily lead to high piracy rates.
(4) The use of legal or pirated software mainly depends on personal income, the use of the Software for business purposes and the intensity of the software usage.
(5) Intense use of P2P and chat networks, but not the internet in general, fosters piracy.
(6) P2P- and Chat-networks are used to access 'cracked' software copies.

Man könnte sich vielleicht von da aus über die Zitate zu aktuellerer Literatur vorarbeiten.

Hört sich für mich so an, dass ein simpler Schutz wohl schon recht effizient sein sollte.

[Krishty]

@Chromanoid: Super Paper; danke!

@Alexander Kornrumpf: Selber implementieren oder einkaufen ist nicht der Diskussionspunkt :) Ich persönlich möchte den Aufwand für die User (Schlüssel eintippen, Online-Zwang, mit Windows 11 hört alles auf zu funktionieren …?) und den Code-Umfang unsererseits (egal ob zugekauft oder selbstgemacht) minimieren, und brauche Zahlen, um das zu begründen. Mit „das kann prinzipbedingt nicht funktionieren“ komme ich nicht weit; mit „der Job ist für’n Arsch, also kaufen wir jetzt StarForce“ rette ich zwar meinen Hintern, will das aber den Usern nicht zumuten ;)

[Alexander Kornrumpf]

Ich persönlich möchte den Aufwand für die User (Schlüssel eintippen, Online-Zwang, mit Windows 11 hört alles auf zu funktionieren …?) und den Code-Umfang unsererseits (egal ob zugekauft oder selbstgemacht) minimieren,

Die triviale Lösung für dieses optimierungsproblem ist "gar kein Kopierschutz". Ich vermute, das hast du auch gemeint.

und brauche Zahlen, um das zu begründen. Mit „das kann prinzipbedingt nicht funktionieren“ komme ich nicht weit;

Also suchst du Zahlen, die belegen, dass Kopierschutz nichts bringt? Sorry, das hatte ich nicht auf Anhieb verstanden. Ich dachte die Entscheidung ob überhaupt sei gefallen und die Zahlen sollten bei der Wahl der Mittel helfen.

mit „der Job ist für’n Arsch, also kaufen wir jetzt StarForce“ rette ich zwar meinen Hintern, will das aber den Usern nicht zumuten ;)

Das habe ich nicht so negativ gemeint, wie ich es zugegeben formuliert habe. Ich bin tatsächlich überzeugt, dass wenn man das - warum auch immer - haben will und nicht gerade Adobe ist, eine zugekaufte Lösung, und da scheint es mehr als StarForce zu geben, besser ist. Du pflegst halt das Image lieber alles selbst zu machen, aber wahrscheinlich tue ich dir da im professionellen Kontext Unrecht, sorry.

Vielleicht habe ich auch ganz falsch verstanden was die Ausgangslage ist, und ihr habt die komplette Licensing-Infrastruktur sowieso schon da stehen und es geht nur noch um Kopierschutz im engeren Sinne, a la StarForce, dann vergiss einfach, dass ich überhaupt was gesagt habe.

[Krishty]

Also suchst du Zahlen, die belegen, dass Kopierschutz nichts bringt? Sorry, das hatte ich nicht auf Anhieb verstanden. Ich dachte die Entscheidung ob überhaupt sei gefallen und die Zahlen sollten bei der Wahl der Mittel helfen.

Naja; noch ist viel offen. Wenn ich ordentlich argumentieren kann, ist auch „kein Kopierschutz“ drin.

Ich bin tatsächlich überzeugt, dass wenn man das - warum auch immer - haben will und nicht gerade Adobe ist, eine zugekaufte Lösung, und da scheint es mehr als StarForce zu geben, besser ist. Du pflegst halt das Image lieber alles selbst zu machen, aber wahrscheinlich tue ich dir da im professionellen Kontext Unrecht, sorry.

Vielleicht habe ich auch ganz falsch verstanden was die Ausgangslage ist, und ihr habt die komplette Licensing-Infrastruktur sowieso schon da stehen und es geht nur noch um Kopierschutz im engeren Sinne, a la StarForce, dann vergiss einfach, dass ich überhaupt was gesagt habe.

Das mit der Infrastruktur ist komplex. Wir dürfen die eines Partnerprogramms nutzen, aber die ist quasi Javascript. Also ziehe ich pauschal 100 Punkte gegenüber professionellen Produkten ab. Und die wiederum bedeuten Abhängigkeiten, und wir wissen ja, wie oft Kopierschutz durch Windows-Updates kaputtgeht. Wenn ich dann Support leisten muss, puuuh.

[Tiles]

Schwieriges Kapitel das. Kopierschutz ja, aber er sollte imho nie zu komplex werden. Damit ärgerst du eh nur die User. Wer an die Daten will der kommt immer ran. Wichtig ist die psychologische Grenze dass du Aufwand betreiben musst. Dass du merkst dass du da was tust das so nicht gedacht ist. Online Produkt Registrierung ist eigentlich inzwischen die akzeptierte Lösung mit der sowohl User als auch Hersteller gut leben können.

Und vor allem sollte der Kopierschutz nicht zu erfolgreich sein. Illegale Kopien sind eine gute Werbung.

Es gab auch mal eine Konsole namens Sega Saturn. Die hatte deutlich mehr Power als ihr Konkurent Playstation 1. Und die CD's waren, anders als bei der PS 1, quasi nicht zu kopieren. Das war ein Spezialformat mit einem eigenen Sektor den es so nicht im CD Standard gibt. Also konntest du die CD auch nicht auf einem PC kopieren. End vom Lied, die User haben lieber die PS1 genutzt. Weil man sich dafür die ganzen Spiele rippen und brennen konnte. Und Sega hat irgendwann nur noch Spiele produziert ...

[Alexander Kornrumpf]

Und die wiederum bedeuten Abhängigkeiten, und wir wissen ja, wie oft Kopierschutz durch Windows-Updates kaputtgeht. Wenn ich dann Support leisten muss, puuuh.

Aber die Idee beim Zukaufen ist ja gerade, dass ein anderer den Support leistet?! Irgendwo in dem Vertrag wird doch sicher stehen, dass der Anbieter Schadenersatz leistet, wenn sein Produkt Windows-Update nicht überlebt und er nicht in $Zeit einen Fix hat. Vielleicht bin ich auch naiv.

[Krishty]

Falls die Firma dann überhaupt noch existiert. Letztens hatten wir Probleme mit einem Dienstleister für Zahlungsabwicklung. Als es so weit war, dass wir auf Schadenersatz klagten, hat der konkurs angemeldet. Falls die anderen Gläubiger was übrig lassen, kriegen wir vielleicht irgendwann ein paar Prozent des Schadens zurück :roll:

[Alexander Kornrumpf]

Klar kann passieren. Ich würde ja jetzt pragmatisch vorschlagen, es so einzubauen, dass du es in diesem Notfall ohne Aufwand aus deinem Zeug wieder rauspatchen kannst, was das Risiko dann darauf begrenzt, _wenn_ der Dienstleister mal über den Jordan geht, keinen Kopierschutz zu haben, was ja nur der Anfangszustand ist ... aber schön ist jedenfalls anderes, gebe ich dir Recht.

[scheichs]

Wir hatten das für unsere AI-Middleware damals eingesetzt
https://sentinel.gemalto.com/software-m ... tinel-ldk/

Das war ziemlich flexibel von den Lizenzoptionen. Und auch die Protection ist einfach. .NET Anwendungen kann man mit externer Anwendung protecten. Native geht über lib.
Hab leider ned selber damit gearbeitet, kann deswegen nichts über Kosten sagen. Ich glaube man braucht selber ne MasterServer-Lizenz zum Erzeugen der Keys und zusätzlich wird pro Key abgerechnet.

Is wohl nicht das billigste, aber die Lösung war recht problemfrei und wurde auch fix geupdatet.

[NytroX]

Falls das Thema noch aktuell ist, hier ein vielleicht interessanter Link:
https://www.heise.de/newsticker/meldung ... 33071.html

- Wegen der Nutzerfreundlichkeit planen sogar Spieleentwickler im Voraus Updates ein, die nach x Tagen/Wochen den Kopierschutz entfernen
- Ein moderner Kopierschutz, der als schwer zu cracken gilt, wird innerhalb von Tagen ausgehebelt
- Kopierschutz kann die Performance beeinträchtigen

Ich glaube, es spricht viel dafür, ggf. einen eher einfachen Kopierschutz oder notfalls einen Key mit Online-Zwang zu verwenden.
Oder gleich weglassen, nicht erst nach einem Update.
Alles andere macht eigentlich kaum Sinn heutzutage.

[Krishty]

Danke!

Ich habe das Problem nun komplett vermieden, indem wir unser Programm als Plug-In für eine größere CAD-Suite ausliefern, mit der wir verpartnert sind. Wir verlassen uns komplett auf deren Kopierschutz.

Nichts hält den User davon ab, unser Plugin auf den Rechner seines Kollegen zu kopieren, der ebenfalls die CAD-Suite installiert hat. Aber:

(4) The use of legal or pirated software mainly depends on personal income, the use of the Software for business purposes and the intensity of the software usage.

Unser 150-€-Plug-In wird wohl kaum illegal kopiert, wenn die User bereits die n-tausend € für die umgebende CAD-Suite ausgegeben haben.

Deren Chef hat übrigens auch gesagt, dass der Preis das wichtigste Instrument ist und in Russland all Bets off sind.

[Laney]

Ich denke nicht, dass es Zahlen zu Microsoft oder co. gibt. Das sind meistens sensible Firmenstatistiken. Ob Kopierschutz echt was bringt ist fraglich. Es gibt schließlich immer einen Weg es zu umgehen.

[Goderion]

Ich glaube das Kopierschutz schon etwas bringt, man sollte es aber nicht übertreiben.

Sollte ich mal soweit sein und ein eigenes Programm/Spiel kommerziell vertreiben, habe ich mir folgenden Kopierschutzmechanismus überlegt:
- Schlüssel, der aufgrund einer mathematischen Logik offline überprüft werden kann, ob es ein "echter" Schlüssel ist.
- Ist der Schlüssel nicht "echt", wird das Programm beendet.
- Kann eine Verbindung zu einer bestimmten Internetadresse/IP aufgebaut werden, wird dort versucht, den Schlüssel anhand einer Datenbank genauer zu prüfen.
- Die online-Prüfung kann den Schlüssel verweigern und das Programm damit beenden.
- Kann keine Verbindung zu einer bestimmten Internetadresse/IP aufgebaut werden oder antwortet der Server nicht korrekt, wird das Programm fortgesetzt.

Dieser Kopierschutz lässt sich natürlich leicht umgehen, sofern man einen echten Schlüssel hat.
Netzwerk deaktivieren oder nötige IP durch Firewall blocken und schon kann man mit einem "echten" Schlüssel das Programm nutzen, auch wenn der Schlüssel eigentlich nicht gültig ist, da er z.B. durch zu viele Aktivierungen in einem bestimmten Zeitraum als ungültig definiert wurde.

Ich möchte erreichen, dass ein Nutzer bewusst handeln muss, um das Programm "illegal" zu nutzen.
Ich möchte aber auch erreichen, dass die legalen Nutzer selbst bei Internetproblemen, oder wenn der "Schlüssel-Validierungs-Server" nicht korrekt arbeitet, das Programm weiterhin problemlos nutzen können.

[xq]

Finde ich eine gute Lösung, solange man natürlich erlaubt, die Schlüssel zu reaktivieren, wenn man sich (manuell) beim Support meldet. Offline-Funktionalität schätze ich auch sehr, da man nicht immer Internet hat und vorallem auch haben kann

[Goderion]

Finde ich eine gute Lösung, solange man natürlich erlaubt, die Schlüssel zu reaktivieren, wenn man sich (manuell) beim Support meldet.

Da muss ich noch überlegen, wie das genau funktionieren soll, also wie und wann ein Schlüssel gesperrt wird.
Man könnte in einer Datenbank den Schlüssel, die Hardware-Identifizierung und das Datum, mit dem zuletzt der Schlüssel in Kombination mit der Hardware genutzt wurde, speichern.
Befindet sich der Schlüssel und die Hardware-Id unter den letzten 10 Nutzern, wird das Datum aktualisiert und das Programm fortgesetzt.
Ist man nicht unter den 10 letzten Nutzern zu finden, wird geguckt, wie viele verschiedene Nutzer es in den letzten 60 Tagen gab.
Sind es weniger als 10, wird der eigene Schlüssel und Hardware-Id mit Datum erfasst und das Programm wird fortgesetzt.
Gibt es bereits 10 oder mehr Nutzer mit den Schlüssel in den letzten 60 Tagen, wird das Programm beendet.

Das sollte das "Massennutzen" eines Schlüssels unterbinden, aber nicht gleich zu einer Sperrung führen, weil man das Programm z.B. zuhause auf 4 verschiedenen Geräten nutzen möchte.

Das Unterbinden vom gleichzeitigen Ausführen der Anwendung mit gleichem Schlüssel könnte man auch noch implementieren.

[Krishty]

… und genau da wären wir beim Thema: Viel Implementierungsaufwand; vieles, das beim Anwender schief gehen kann. Wie viele zusätzliche zahlende Kunden bringt dir das am Ende? Chromanoids Studie nach: Nichts. Es macht sicher Spaß, das zu implementieren, aber für viel mehr ist es dann wohl nicht gut.

[Goderion]

… und genau da wären wir beim Thema: Viel Implementierungsaufwand; vieles, das beim Anwender schief gehen kann.

Der Aufwand für die Implementierung hält sich hier aber sehr in Grenzen. Das Ganze ist extrem simpel strukturiert und sollte locker mit weniger als 1000 Zeilen Code realisierbar sein. Die Logik ist so einfach, was soll da schief gehen? Und wie gesagt, wenn der Server nicht korrekt antwortet, warum auch immer, wird das Programm fortgesetzt. Der Server muss aktiv einen bestimmten Befehl an den Client senden, damit dieser sich beendet. Es ist nicht so, dass der Client auf eine Freigabe wartet oder ähnliches, das wäre wieder gefährlich.

Wie viele zusätzliche zahlende Kunden bringt dir das am Ende? Chromanoids Studie nach: Nichts. Es macht sicher Spaß, das zu implementieren, aber für viel mehr ist es dann wohl nicht gut.

Eine einzige Studie reicht noch lange nicht, um mich zu überzeugen. Ich richte mich da mehr nach dem, was ich selber erlebe oder in Foren dazu lese, denn soweit ich weiß, gibt es keine umfassende ernst zunehmende Studie, die sich mit Kopierschutz und dessen Nutzen befasst.

Ich kenne sehr gut die Situation, wo Leute sich ein DRM freies Spiel runterladen (sind z.B. oft Spiele von gog.com) um es zu "testen" und sich sagen, wenn es gut ist, dann kaufen sie es. Aber es kommt dann nicht selten vor, dass sie es dann nicht kaufen, obwohl sie es gut fanden. Diese Leute hätten z.B. bevor sie zu einem Crack greifen oder jedes mal das Netzwerk deaktivieren, das Spiel eher gekauft. Natürlich ist das meine persönliche Einschätzung der Lage und wie viele zusätzliche zahlenden Kunden es am Ende tatsächlich bringt, kann wohl niemand wirklich sagen.

Vielleicht empfinde ich die Sache/Implementation davon auch als sehr einfach, weil ich vor Jahren sowas ähnliches schon mal programmiert habe. Die Hardware vernünftig zu identifizieren fand ich da am schwierigsten. Ich weiß schon gar nicht mehr, wie ich das damals gemacht habe.

Naja, mal sehen, vielleicht verschätze ich mich auch gerade sehr und es ist am Ende mehr Arbeit als Anfangs gedacht, passiert mir ja eigentlich NIE, niemals nie nicht! ;-)

[Krishty]

Die Logik ist so einfach, was soll da schief gehen?

Bei uns hat z.B. das Fingerprinting ein Dutzend Mal geknallt, als Leute das Windows 10 Creator’s Update installiert haben (da haben sich WMI-Interna geändert). Leute hatten ihre Rechner-Uhren aufs falsche Jahr gestellt. Wenn Leute über ihr Smartphone tethern statt direkt an einer Internetleitung zu hängen, ist das auch immer ganz großes Kino. Und wer sagt, dass eine MAC-Adresse 48 Bits lang sein muss? Warum nicht 160 Bits mit dem Inhalt To Be Filled By OEM?

Letztens hat unser Server gemeldet, ein Key würde -2 Mal verwendet. Wie das passieren kann? Keine Ahnung. Tut es aber.

Ich bin nicht in der Abteilung, und will da auch nicht rein – aber einfach ist es garantiert nicht ;) Was alles schiefgehen kann, weiß man erst hinterher.

[antisteo]

Ich denke nicht, dass es Zahlen zu Microsoft oder co. gibt. Das sind meistens sensible Firmenstatistiken. Ob Kopierschutz echt was bringt ist fraglich. Es gibt schließlich immer einen Weg es zu umgehen.

Unser Security-Prof hat früher in der Spiele-Industrie gearbeitet. Der Grund, warum dort Millionen in Kopierschutz geflossen sind, trotz der prinzipiellen Unmöglichkeit ist folgender:

Die Spieler warten darauf, bis der Crack herauskommt. Dauert das zu lang, kaufen die Spieler (weil z.B. Weihnachten oder der Geburtstag dazwischen liegt oder die Kids das Geld ansparen). - das Verzögern des Cracks um 2 Wochen bringt dem Publisher also Millionen an Einnahmen.

Der Fall CAD-Plugin passt nicht so richtig in die Kategorie, da ihr ja nicht ab Veröffentlichungsdatum groß verkauft, sondern über einen langen Zeitraum die Software weiterentwickelt.

Gewerbliche Raubkopierer sind übrigens nicht auszuschließen. (siehe https://www.computerwoche.de/a/sap-bitt ... se,3329926 - die haben ihr eigenes Frontend gebaut, um Nutzer-Lizenzen zu sparen) - du musst nur den Aufwand fürs Kopieren über den Kaufpreis bringen - bei 150€ ist das sicherlich kein Problem. Bei 5.000 Euro/Arbeitsplatz und 20 Arbeitsplätzen kann man schon mal eine mittelgroße Entwicklung in Auftrag geben, um zu cracken.