در دنیای توسعه نرم‌افزار، محافظت از کد در برابر کپی‌برداری و سوءاستفاده‌های احتمالی از اهمیت بالایی برخوردار است، به‌ویژه زمانی که یک برنامه با ارزش تجاری ایجاد می‌شود. کدهای پایتون به دلیل ماهیت اسکریپتی و تفسیر مستقیم آن‌ها، در مقایسه با زبان‌های کامپایل‌شده‌ای مانند C++ یا جاوا، آسیب‌پذیرتر هستند. با این حال، روش‌ها و استراتژی‌های مختلفی برای محافظت از کدهای پایتون وجود دارد که می‌تواند سطح امنیت کد را به طور قابل توجهی افزایش دهد. این راهکارها می‌توانند از دسترسی غیرمجاز جلوگیری کرده و اطمینان حاصل کنند که کد شما بدون مجوز استفاده نمی‌شود.

 اهمیت محافظت از کد پایتون

محافظت از کد در برابر کپی شدن دلایل متعددی دارد:

• حفظ مالکیت فکری: اگر کد شما بدون اجازه کپی شود، ممکن است از نظر قانونی یا تجاری به ضرر شما تمام شود.
• حفظ مزیت رقابتی: اگر کد شما ارزش تجاری یا رقابتی دارد، دسترسی دیگران به آن می‌تواند به از دست دادن موقعیت شما منجر شود.
• جلوگیری از سوءاستفاده: بدون محافظت مناسب، دیگران ممکن است از کد شما بدون پرداخت لایسنس یا اعتبار استفاده کنند.

چندین روش برای محافظت از کد پایتون وجود دارد. بسته به نیاز شما، می‌توانید از یک یا چند روش زیر استفاده کنید:

1. استفاده از Obfuscation (کد مبهم‌سازی)

Obfuscation (مبهم‌سازی) فرآیندی است که کد منبع را به صورتی تغییر می‌دهد که برای انسان‌ها دشوار خواندن یا فهمیدن شود، اما همچنان توسط ماشین قابل تفسیر است. این روش از تکنیک‌های محبوب برای محافظت از کد پایتون است.

نحوه انجام Obfuscation:

کتابخانه‌های موجود: کتابخانه‌هایی مانند pyarmor و pyobfuscate ابزارهایی قدرتمند برای مبهم‌سازی کد پایتون هستند. این ابزارها به طور خودکار متغیرها، توابع و ساختار کد را تغییر داده و کد را به شکل غیرقابل خواندن درمی‌آورند.

نصب PyArmor:

pip install pyarmor

اجرای Obfuscation: پس از نصب pyarmor، می‌توانید با استفاده از دستورات زیر کد پایتون را مبهم‌سازی کنید:

pyarmor obfuscate your_script.py

مزایا:

• این روش کد را برای مهاجمین سخت‌تر می‌کند.

معایب:

• با این حال، این روش به طور کامل مانع دسترسی به کد نمی‌شود و با تحلیل دقیق می‌توان کد را بازیابی کرد.

از اینجا می توانید مستندات کامل pyarmor را مطالعه نمایید.

2. کامپایل کردن به Bytecode

پایتون به جای کامپایل شدن به زبان ماشین، کد را به بایت‌کد (Bytecode) کامپایل می‌کند. شما می‌توانید با استفاده از این روش فایل‌های .pyc را ایجاد کرده و فایل اصلی .py خود را مخفی کنید.

نحوه کامپایل به Bytecode:

استفاده از دستور py_compile: شما می‌توانید فایل‌های پایتون را به بایت‌کد کامپایل کنید:

python -m py_compile your_script.py

استفاده از ابزار Cython: برای افزایش حفاظت، می‌توانید از Cython استفاده کنید که کد پایتون را به فایل‌های C تبدیل می‌کند و آن را به باینری کامپایل می‌کند.

pip install cython

مثال کامل برای Cython

فرض کنید یک کد ساده پایتون به نام example.py دارید:

# example.py
print("Hello, Cython!")

پس از نصب Cython کد پایتون را به C تبدیل کنید:

cython --embed -o example.c example.py

حالا فایل C را به باینری کامپایل کنید (باید کامپایلر  gcc روی سیستم شما نصب باید) :

gcc -o example example.c $(python3-config --cflags --ldflags)

پس از کامپایل، می‌توانید فایل باینری تولید شده (example در لینوکس یا example.exe در ویندوز) را اجرا کنید

./example   # در لینوکس
example.exe # در ویندوز

نکات مهم

• وابستگی‌ها: دقت کنید که فایل باینری ممکن است به پایتون و برخی از کتابخانه‌های آن وابسته باشد. این وابستگی‌ها باید در سیستمی که فایل باینری اجرا می‌شود، موجود باشند.
• کد محافظت شده: اگرچه کد به باینری تبدیل شده است، اما هنوز برخی ابزارها می‌توانند با تلاش زیادی آن را دوباره به دست آورند. بنابراین بهتر است این روش را با سایر روش‌های امنیتی ترکیب کنید.

مزایا:

• کد قابل فهم برای انسان حذف می‌شود.

معایب:

• باز هم می‌توان این بایت‌کد را decompile کرد و روش خوبی نیست .

3. استفاده از بسته‌بندی به صورت Executable

برای محافظت از کد پایتون، می‌توانید آن را به یک فایل اجرایی (Executable) تبدیل کنید. این روش امکان دسترسی مستقیم به کد منبع را محدود می‌کند.

نحوه تبدیل به فایل اجرایی:

استفاده از PyInstaller: این ابزار به شما کمک می‌کند تا یک فایل اجرایی از کد پایتون خود بسازید.

pip install pyinstaller
pyinstaller --onefile your_script.py

خروجی: این روش یک فایل اجرایی تک ایجاد می‌کند که حاوی تمامی وابستگی‌ها و کد منبع است.

مزایا:

• دسترسی به کد منبع دشوارتر می‌شود.

معایب:

• ابزارهایی برای استخراج کد از فایل‌های اجرایی وجود دارد و روش صد در صد امنی نیست.

4. رمزنگاری کد منبع

یکی از روش‌های پیشرفته‌تر برای محافظت از کد، رمزنگاری کد منبع است. با استفاده از تکنیک‌های رمزنگاری، می‌توانید کد خود را فقط برای کسانی که کلید رمزگشایی دارند قابل اجرا کنید.

نحوه رمزنگاری کد منبع:

1. استفاده از AES یا RSA: شما می‌توانید از الگوریتم‌های رمزنگاری مثل AES یا RSA برای رمزنگاری کد استفاده کنید.
2. رمزگشایی در زمان اجرا: در زمان اجرا، کد باید رمزگشایی شده و سپس تفسیر شود. این فرآیند نیاز به دقت زیادی دارد تا عملکرد نرم‌افزار را کاهش ندهد.

1.  نصب کتابخانه‌های لازم

برای رمزنگاری با استفاده از AES، از کتابخانه pycryptodome استفاده می‌کنیم که جایگزینی برای pycrypto است و به روزتر و پایدارتر است. برای نصب این کتابخانه، از دستور زیر استفاده کنید:

pip install pycryptodome

2.  رمزنگاری کد منبع

ابتدا باید کد پایتون خود را به‌عنوان یک رشته رمزنگاری کنید. کد پایتون شما به‌عنوان یک فایل متنی در نظر گرفته می‌شود و با استفاده از کلید AES رمزنگاری می‌شود.

مثال کد برای رمزنگاری:

from Crypto.Cipher import AES
import base64
import os

# -------------------------------------------------------------------
# Programmer       : Ebrahim Shafiei (EbraSha)
# Email                     : [email protected]
# -------------------------------------------------------------------

# AES key must be either 16, 24, or 32 bytes long
key = os.urandom(16)  # Generate a random key
cipher = AES.new(key, AES.MODE_EAX)

# Reading the Python file as a binary string
with open('example.py', 'rb') as file:
    code = file.read()

# Encrypting the code
nonce = cipher.nonce
ciphertext, tag = cipher.encrypt_and_digest(code)

# Saving the encrypted data and nonce to a file
with open('encrypted_code.bin', 'wb') as enc_file:
    enc_file.write(nonce + ciphertext)

# You must also store the key securely for decryption (store it in a safe place)
with open('key.bin', 'wb') as key_file:
    key_file.write(key)

این کد فایل example.py را می‌خواند و آن را با استفاده از AES رمزنگاری می‌کند. داده‌های رمزنگاری‌شده در فایل encrypted_code.bin ذخیره می‌شود و کلید در فایل key.bin ذخیره می‌شود.

3.  رمزگشایی در زمان اجرا

در زمان اجرا، شما باید فایل رمزنگاری‌شده را رمزگشایی کرده و سپس آن را به‌صورت پویا اجرا کنید. برای این کار از exec() استفاده می‌کنیم که به شما اجازه می‌دهد کد پایتون را از یک رشته اجرا کنید.

کد برای رمزگشایی و اجرای کد:

from Crypto.Cipher import AES

# -------------------------------------------------------------------
# Programmer       : Ebrahim Shafiei (EbraSha)
# Email                     : [email protected]
# -------------------------------------------------------------------

# Reading the key from the file
with open('key.bin', 'rb') as key_file:
    key = key_file.read()

# Reading the encrypted code
with open('encrypted_code.bin', 'rb') as enc_file:
    nonce = enc_file.read(16)  # nonce is 16 bytes long
    ciphertext = enc_file.read()

# Decrypting the code
cipher = AES.new(key, AES.MODE_EAX, nonce=nonce)
decrypted_code = cipher.decrypt(ciphertext)

# Executing the decrypted code
exec(decrypted_code.decode('utf-8'))

در این کد، ابتدا کلید و داده رمزنگاری‌شده خوانده می‌شوند، سپس با استفاده از همان کلید AES کد رمزگشایی می‌شود. در نهایت، از exec() برای اجرای کد رمزگشایی‌شده استفاده می‌شود.

4. امنیت کلید رمزنگاری

مهمترین نکته در این روش، امنیت کلید رمزنگاری است. شما باید به دقت کلید را ذخیره کنید، مثلاً:

• ذخیره‌سازی در یک سرور امن: کلید می‌تواند به صورت رمزنگاری‌شده در سرور ذخیره شود و فقط در زمان‌های لازم به برنامه ارسال شود.
• استفاده از HSM (Hardware Security Module): در موارد حساس‌تر، از سخت‌افزارهای امنیتی برای نگهداری و مدیریت کلیدها استفاده کنید.

5. بررسی عملکرد

از آنجایی که رمزنگاری و رمزگشایی به زمان نیاز دارند، مطمئن شوید که این فرآیندها تأثیر زیادی بر کارایی برنامه شما نداشته باشند. در صورت نیاز، می‌توانید از تکنیک‌های بهینه‌سازی استفاده کنید تا زمان رمزنگاری و رمزگشایی به حداقل برسد.

نکات مهم:

• پنهان‌سازی کلید رمزنگاری: کلید نباید در کد به‌صورت عمومی در دسترس باشد. آن را در محیط‌های امن مثل فایل‌های محیطی (Environment Variables) یا سیستم‌های مدیریت کلید ذخیره کنید.
• حفظ امنیت: از روش‌های پیچیده‌تر مثل ترکیب AES و RSA استفاده کنید. برای مثال، می‌توانید کلید AES را با استفاده از RSA رمزنگاری کرده و سپس RSA را برای محافظت استفاده کنید.

مزایا:

• حفاظت بسیار بالا.

معایب:

• پیاده‌سازی پیچیده و نیاز به مدیریت کلیدهای رمزنگاری.

5. استفاده از لایسنس نرم‌افزار

یکی از روش‌های موثر برای محافظت از کد، استفاده از سیستم‌های لایسنس نرم‌افزار است. با این کار، کاربران فقط با داشتن مجوز معتبر می‌توانند از کد استفاده کنند.

نحوه پیاده‌سازی لایسنس:

1. تولید کلید لایسنس: شما می‌توانید سیستم‌هایی را پیاده‌سازی کنید که بر اساس کلیدهای خاص، کد شما فعال شود.
2. اعتبارسنجی در زمان اجرا: در هر بار اجرای نرم‌افزار، اعتبار لایسنس باید بررسی شود.

مزایا:

• امکان کنترل دقیق دسترسی کاربران.

معایب:

• اگر مهاجمان سیستم لایسنس را هک کنند، کد شما آسیب‌پذیر می‌شود.

6. به‌کارگیری سخت‌افزار برای محافظت (Hardware Key)

در برخی موارد، می‌توانید از سخت‌افزار برای محافظت از کد استفاده کنید. به عنوان مثال، استفاده از دانگل‌های سخت‌افزاری که برای اجرای نرم‌افزار لازم هستند، می‌تواند سطح امنیت را افزایش دهد.

نحوه پیاده‌سازی:

1. تهیه دانگل: از سخت‌افزارهای محافظتی خاص استفاده کنید که تنها در صورت اتصال به سیستم، اجازه اجرای کد را بدهند.
2. پیاده‌سازی در کد: باید نرم‌افزار طوری طراحی شود که تنها در صورت شناسایی دانگل، عملکرد اصلی را اجرا کند.

مزایا:

• سطح بالایی از امنیت.

معایب:

• هزینه بالای پیاده‌سازی و سخت‌افزار.