Concours de hack, testez mon script de protection

Dacaerin · 01/05/2008, 12h00

[Je n'avais pas compris ; ça a déjà été proposé plus haut. Au temps pour moi.]

Le Vagabond · 01/05/2008, 12h17

si quelqu'un veut récupérer ton image, de toute facon, il la récupèrera.
ca va pas plus loin :x

pour le type lambda, tout ce que tu as deja mis en place l'emmerdera plus qu'autre chose et au final, tu perdras des clients.
pour l'utilisateur avancé, il la récupèrera s'il le veut (si on peut lire, afficher ou autre, on peut copier).

règle numéro 1 de la vente : rendre facile pour les gens de te filer leur fric.
si tu les fait chier, ca passera pas.

et perdre la confiance d'un client est 100x facile que de la gagner.

(ps : l'anti-printscreen, c'est un coup a faire perdre des données a l'éventuel client, et n'est pas efficace contre un outil externe comme sous vista ou en freeware)

Airmed / Ildefonse · 01/05/2008, 12h25

C'est comme les .flv sur les sites de youtube & co où ils ont changes plusieurs fois leur systeme d'appel, mais cela va dans tous les cas dans le cache.
Sinon, avec un soft qui fait du streaming caché dans ton appli swf, mais bon, meme comme ca c'est recuperable, ou tu peux faire passer le flux en https, je crois que les navigateurs ne conservent pas ce type de donnée. (en tout cas opera n'a pas l'air de les sauver)

Dacaerin · 01/05/2008, 12h32

Citation :

Publié par Airmed / Ildefonse

ou tu peux faire passer le flux en https, je crois que les navigateurs ne conservent pas ce type de donnée. (en tout cas opera n'a pas l'air de les sauver)

Ça se configure côté client, donc ça ne change rien.

Par exemple, avec les navigateurs basés sur Gecko (Firefox & co.) : about:config > browser.cache.disk_cache_ssl

Toro · 01/05/2008, 12h41

Je fais ca surtout par curiosité. Personnellement je n'ai rien à y perdre car le site est à un de mes clients et ce client (pas moi) VEUX ABSOLUMENT protéger ses pages. Je lui ai déjà expliqué pas bien, pas internet, pas possible à 100% tout ca, il n'en a rien à faire.
Donc la question du bien fondé de la protection en se pose pas ici.
Comme on dit dans le métier, le client est roi du moment qu'il paye. Dans 3 mois il reviendra me voir pour enlever toutes les protections que j'ai ajouté quand ses clients à lui lui auront dit que ses protections c'est nul.

Donc je le répète, il faut se placer au niveau de l'utilisateur lambda, pas du linuxien !

Mais toutes les méthodes de récup m'intéressent afin d'avoir des cas d'études concrets.

Pour le moment, le seul truc qui m'embête c'est que Vaux est arrivé à capturer l'image avec un Printscreen tout bête sous Vista (que je n'ai pas).
Tu pourrais regarder si quand le pop-up est ouvert, tu arrives à faire un copier/coller tout con de texte ? J'aimerais savoir si c'est le cache qui est protégé par Vista ou si c'est le logiciel de capture de Vista qui passe outre le blocnote.

Le Vagabond · 01/05/2008, 12h48

Citation :

Publié par Toro

Tu pourrais regarder si quand le pop-up est ouvert, tu arrives à faire un copier/coller tout con de texte ? J'aimerais savoir si c'est le cache qui est protégé par Vista ou si c'est le logiciel de capture de Vista qui passe outre le blocnote.

c'est un enregistrement direct de l'aspect de l'écran a un instant t, stocké séparément par le programme lui-même.

la seule parade consiste à utiliser les blocs clignotants dont on t'a parlé plus haut et il suffit de prendre deux screens puis de les joindre pour régler ca.

la protection la plus répandue et au final, la plus efficace consiste à mettre www.monsite.ext en gros et en semi-transparent au milieu de l'écran :x

si le client exige que la photo reste intacte, alors une capture d'écran externe permettra toujours de la récupérer, quoi que tu fasses.

Airmed / Ildefonse · 01/05/2008, 12h49

sinon regarde si tu peux pas detecter le printscreen en JS, ca enlevera deja la possibilite d'imprimer si la fenetre est active (bon ok, c'est bateau mais bon)
Et stock eventuellement les photos directement dans ton .swf

Dacaerin · 01/05/2008, 12h53

Citation :

Publié par Toro

Je fais ca surtout par curiosité. Personnellement je n'ai rien à y perdre car le site est à un de mes clients et ce client (pas moi) VEUX ABSOLUMENT protéger ses pages. Je lui ai déjà expliqué pas bien, pas internet, pas possible à 100% tout ca, il n'en a rien à faire.

Plusieurs choses.
Pourquoi chercher à éprouver ta sécurité quand tu dis savoir que rien n'est fiable à 100%, et dire quand on arrive à percer cette sécurité, d'ailleurs très relative : « Oui, mais non, l'utilisateur lambda ne va pas se faire chier à ça. » ?
Ensuite, si ton client te demande quelque-chose de techniquement impossible, que tu lui dis, et qu'il s'en fout, c'est juste qu'il est con. Ça, je comprends que tu ne le lui dises pas.

Citation :

Publié par Toro

il faut se placer au niveau de l'utilisateur lambda, pas du linuxien !

Il y a des utilisateurs « lambda » sous Linux.

Sangrifeld · 01/05/2008, 13h12

Citation :

Publié par Toro

Pour le moment, le seul truc qui m'embête c'est que Vaux est arrivé à capturer l'image avec un Printscreen tout bête sous Vista (que je n'ai pas).
Tu pourrais regarder si quand le pop-up est ouvert, tu arrives à faire un copier/coller tout con de texte ? J'aimerais savoir si c'est le cache qui est protégé par Vista ou si c'est le logiciel de capture de Vista qui passe outre le blocnote.

Il parle de ça, pas d'un Printscreen à proprement parler:
http://www.laboratoire-microsoft.org...n-2-clics.html

(La touche Impr Ecran Syst effectivement est bloquée

mais sa méthode marche, je viens de tester.)

Toro · 01/05/2008, 13h13

Il est évident que je n'arriverai pas à contourner toutes les protections. Mais j'aimerais bien intellectuellement, faire une liste exhaustive de toutes les techniques possibles.

Actuellement il y a les protections suivantes :

- empêcher d'envoyer à l'imprimante
- désactiver la touche printscreen
- obscurcir l'appel à la photo dans le code source

A l'étude :

- rendre inutilisable les données gardées dans le cache par le navigateur en appelant les photos dans le flash en plusieurs fichiers binaires morcelés. En théorie si Flash n'appelle plus une image mais 2 fichiers binaires avec ajout de caractères parasites, on ne devrait plus pouvoir récupérer ni même reconstruire l'image à partir du cache.

- morceller l'affichage de l'image pour qu'à un instant t, un logiciel de capture ne récupère pas l'intégralité de la photo. La difficulté ici est de rendre l'affichage agréable. Je sens que je vais bien m'amuser

- il y a peut-être des techniques à mettre en place en htaccess, bien que je ne vois pas trop ce qui pourrait être fait si j'arrive à masquer complètement le chemin réel de la photo avec le PHP+Flash.

Au final, je vous libérerais l'intégralité du code. En 12 heures j'ai déjà appris beaucoup de choses !

Airmed / Ildefonse · 01/05/2008, 13h18

pour le parametre stockage de donnée, pourquoi tu ne fais pas ton propre format d'image ?
Quand l'utilisateur l'UL, tu le convertis, et tu codes une appli .swf qui ne sais lire que ce format d'image, ca te permet de virer le probleme de cache.
Ou plus simple, tu inseres des chr en debut, ca va niquer l'header et ca sera illisible.
Te reste plus que le probleme de l'impression, mais avec un calque comme dit plus haut, il y a pas mieux. En tout cas, c'est ce qu'utilises tout ceux qui vendent des photos/images. Donc en pratique, c'est qu'ils ont pas du trouve mieux.

Pervx · 01/05/2008, 13h35

Ca marche l'anti "print screen" sous XP malgré ce qu'on l'air de dire les gens plus haut .
La fenetre de la photo se ferme et il n'y a rien a copier dans paint ensuite

.

Dacaerin · 01/05/2008, 13h38

Citation :

Publié par Pervx

Ca marche l'anti "print screen" sous XP malgré ce qu'on l'air de dire les gens plus haut .

Nan, mais personne n'a parlé de Windows XP. Il n'a été question que de Linux et de Windows Vista.

Kiranos · 01/05/2008, 14h32

Citation :

Publié par Moine Gourmand

en passant par le cache de Firefox (about:cache), on obtient l'URL de l'image : http://www.a2bel.com/test_protection/photos/L96351a.JPG

Avec Ad-block on obtient l'url aussi.

Dacaerin · 01/05/2008, 14h45

Et à la livraison du produit à ton client, tu lui diras : « Alors voilà ce que j'ai fait. Non seulement ça surcharge considérablement la simple visualisation d'une simple photo côté client, ça rend la navigation pénible et sans vraie garantie de fonctionnement chez tous les visiteurs de votre site, ça peut leur poser certains problèmes d'utilisation de leur ordinateur (à cause du vidage du presse-papier), mais en plus la protection n'est pas vraiment fiable et ne peut pas l'être. » ?

Le client est roi, toussa… Je veux bien un peu, mais là ça me semble carrément déraisonnable.
Il y perdra certainement plus qu'il n'y gagnera.
Montres lui ce fil de discussion qu'il rigole jaune un peu.

Vraiment, la seule vraie méthode fiable de conserver une photo, ça reste le watermarking.

Noumenon · 01/05/2008, 14h59

Accessoirement, le script qui vide régulierement le presse papier, c'est relativement chiant :>

Sangrifeld · 01/05/2008, 15h34

+1, c'est le genre de détail qui t'incite à clore un site, peu importe la qualité de son contenu.

(Le pc n'est pas utilisé exclusivement pour consulter une annonce)

01/05/2008, 15h47

Fait défiler une bande noir sur la photo, elle perdra en luminosité mais ça me parait la solution la moins chiante.

Toro · 01/05/2008, 16h03

Citation :

Publié par Dacaerin

Et à la livraison du produit à ton client, tu lui diras : « Alors voilà ce que j'ai fait. Non seulement ça surcharge considérablement la simple visualisation de la photo côté client, ça rend la navigation pénible et sans vraie garantie de fonctionnement chez tous les visiteurs de votre site, ça peut leur poser certains problèmes d'utilisation de leur ordinateur (à cause du vidage du presse-papier), mais en plus la protection n'est pas vraiment fiable et ne peut pas l'être. » ?

Déjà précisé tous ces points auparavant au client mais il veut quand même sa protection. Il est a ranger dans la même catégorie que les clients :

qui veulent un splashscreen avec vidéo en flash de 2 Mo qui bouge mais n'apporte rien à l'entrée du site ni par rapport à la concurrence.
qui veulent que tout le site bouge en flash de partout mais une accessibilité maximale, une validation W3C et un très bon référencement
qui s'aperçoivent à la première livraison des éléments beta qu'ils ont commandé pour 8000 euros de site PHP+MySQL alors que leur serveur interne ne tourne que sur Crosoft+MSSQL. Ben vi, c'est bien connu que les spécifications techniques en début de devis n'ont pas vraiment d'importance et sont là juste pour décorer. Et là, le responsable réseau refuse d'installer du libre (vécu avec une administration, facture x 2 pour tout recoder).
qui veulent de l'Ajax parce que c'est à la mode alors qu'ils en ont déjà dans leur site.
qui veulent un blog sur leur site alors que personne dans la boîte ne sait ce que sait et que personne ne prendra jamais la peine d'écrire quoi que ce soit dedans et surtout que tout le monde s'en tape de lire un blog sur une boite qui vend des petits pois.

Alors pour ces clients là, on négocie, on résiste, on fait même mine d'oublier mais devant la charge continue on est quand même obligé d'y passer...

Dacaerin · 01/05/2008, 16h07

Citation :

Publié par Toro

Alors pour ces clients là, on négocie, on résiste, on fait même mine d'oublier mais devant la charge continue on est quand même obligé d'y passer...

Bon, je vais juste te souhaiter bon courage finalement, quoi…

Web de merde…

Au fait, je me demande comment réagirait Blacky--- face à ça.

Votre pseudo ici · 01/05/2008, 16h45

Citation :

Publié par Toro

Alors pour ces clients là, on négocie, on résiste, on fait même mine d'oublier mais devant la charge continue on est quand même obligé d'y passer...

Ca n'atteint quand même pas le niveau du client qui commande un site à 5000€ et qui finalement ne l'achète pas. Tant pis pour son acompte mais tant pis pour le temps perdu surtout (en tribunaux aussi)

Tekmatok · 01/05/2008, 17h31

En même temps vu la qualité de l'image je ne vois pas qui voudrait la "voler"
On trouve 100 fois mieux gratuitement et légalement.

Shibal · 01/05/2008, 17h40

Citation :

Publié par Tekmatok

En même temps vu la qualité de l'image je ne vois pas qui voudrait la "voler"
On trouve 100 fois mieux gratuitement et légalement.

Site d'une agence immobilière. On peut présumer que le client voudra imprimer la photo de la maison qui l'intéresse.

01/05/2008, 18h00

Citation :

Publié par Tekmatok

En même temps vu la qualité de l'image je ne vois pas qui voudrait la "voler"
On trouve 100 fois mieux gratuitement et légalement.

C'est plutôt une image lambda pour tester le code, non?

baai · 01/05/2008, 19h07

Citation :

Publié par Toro

Vous pourriez essayer le printscreen avant de dire que c'est imparable !

Capture d'écran sur mac : pomme-maj-4, l'image arrive directement sur le bureau, déjà cadrée.
Conclusion : la capture d'écran basique marche très bien.

Dacaerin [APDW] Alpha & Oméga	[Je n'avais pas compris ; ça a déjà été proposé plus haut. Au temps pour moi.]
01/05/2008, 12h00

Dacaerin [APDW] Alpha & Oméga	Citation : Publié par Airmed / Ildefonse ou tu peux faire passer le flux en https, je crois que les navigateurs ne conservent pas ce type de donnée. (en tout cas opera n'a pas l'air de les sauver) Ça se configure côté client, donc ça ne change rien. Par exemple, avec les navigateurs basés sur Gecko (Firefox & co.) : about:config > browser.cache.disk_cache_ssl
01/05/2008, 12h32

Airmed / Ildefonse Alpha & Oméga	sinon regarde si tu peux pas detecter le printscreen en JS, ca enlevera deja la possibilite d'imprimer si la fenetre est active (bon ok, c'est bateau mais bon) Et stock eventuellement les photos directement dans ton .swf
01/05/2008, 12h49

Pervx Alpha & Oméga	Ca marche l'anti "print screen" sous XP malgré ce qu'on l'air de dire les gens plus haut . La fenetre de la photo se ferme et il n'y a rien a copier dans paint ensuite .
01/05/2008, 13h35

Dacaerin [APDW] Alpha & Oméga	Citation : Publié par Pervx Ca marche l'anti "print screen" sous XP malgré ce qu'on l'air de dire les gens plus haut . Nan, mais personne n'a parlé de Windows XP. Il n'a été question que de Linux et de Windows Vista.
01/05/2008, 13h38

Kiranos Alpha & Oméga	Citation : Publié par Moine Gourmand en passant par le cache de Firefox (about:cache), on obtient l'URL de l'image : http://www.a2bel.com/test_protection/photos/L96351a.JPG Avec Ad-block on obtient l'url aussi.
01/05/2008, 14h32

Noumenon	Accessoirement, le script qui vide régulierement le presse papier, c'est relativement chiant :>
01/05/2008, 14h59

Sangrifeld Alpha & Oméga	+1, c'est le genre de détail qui t'incite à clore un site, peu importe la qualité de son contenu. (Le pc n'est pas utilisé exclusivement pour consulter une annonce)
01/05/2008, 15h34

#66357 Invité	Fait défiler une bande noir sur la photo, elle perdra en luminosité mais ça me parait la solution la moins chiante.
01/05/2008, 15h47

Dacaerin [APDW] Alpha & Oméga	Citation : Publié par Toro Alors pour ces clients là, on négocie, on résiste, on fait même mine d'oublier mais devant la charge continue on est quand même obligé d'y passer... Bon, je vais juste te souhaiter bon courage finalement, quoi… Web de merde… Au fait, je me demande comment réagirait Blacky--- face à ça.
01/05/2008, 16h07

Votre pseudo ici Alpha & Oméga	Citation : Publié par Toro Alors pour ces clients là, on négocie, on résiste, on fait même mine d'oublier mais devant la charge continue on est quand même obligé d'y passer... Ca n'atteint quand même pas le niveau du client qui commande un site à 5000€ et qui finalement ne l'achète pas. Tant pis pour son acompte mais tant pis pour le temps perdu surtout (en tribunaux aussi)
01/05/2008, 16h45

Tekmatok Héros / Héroïne	En même temps vu la qualité de l'image je ne vois pas qui voudrait la "voler" On trouve 100 fois mieux gratuitement et légalement.
01/05/2008, 17h31

Shibal Alpha & Oméga	Citation : Publié par Tekmatok En même temps vu la qualité de l'image je ne vois pas qui voudrait la "voler" On trouve 100 fois mieux gratuitement et légalement. Site d'une agence immobilière. On peut présumer que le client voudra imprimer la photo de la maison qui l'intéresse.
01/05/2008, 17h40

#66357 Invité	Citation : Publié par Tekmatok En même temps vu la qualité de l'image je ne vois pas qui voudrait la "voler" On trouve 100 fois mieux gratuitement et légalement. C'est plutôt une image lambda pour tester le code, non?
01/05/2008, 18h00

baai Alpha & Oméga	Citation : Publié par Toro Vous pourriez essayer le printscreen avant de dire que c'est imparable ! Capture d'écran sur mac : pomme-maj-4, l'image arrive directement sur le bureau, déjà cadrée. Conclusion : la capture d'écran basique marche très bien.
01/05/2008, 19h07

Concours de hack, testez mon script de protection

Connectés sur ce fil