امنیت ioncuber: شفاف و قابل بررسی
در این صفحه می‌گوییم چه چیزی محافظت می‌شود، چه چیزی محافظت نمی‌شود، و چطور خودتان بدون اعتماد به حرف ما تأییدش کنید.
۱. لایه‌های حفاظت
محافظت سورس
سورس با AES-256-GCM رمز می‌شود و فقط داخل حافظهٔ لودر باز می‌شود؛ گارد زمان اجرا جلوی ابزارهایی که کامپایلر PHP را دست‌کاری می‌کنند را می‌گیرد و بافر رمزگشایی‌شده پاک می‌شود.
محافظت کد (بدون سورس)
در حالت پیش‌فرض، فایل در زمان محافظت با همان نسخهٔ PHP سرور مقصد کامپایل می‌شود. روی سرور مشتری هیچ متن سورسی وجود ندارد و کامپایلر برای این فایل‌ها صدا زده نمی‌شود.
مبهم‌سازی داخل بسته
داخل بستهٔ کد، رشته‌ها، اپکدها و چیدمان بلاک‌های توابع با کلید تصادفی همان بسته دگرگون می‌شوند؛ دو بسته از یک فایل هیچ‌وقت یکسان نیستند. جزئیات الگوریتم منتشر نمی‌شود.
اجرای کنترل‌شده
قفل دامنه و لایسنس امضاشده (دامنه + انقضا + مهلت) که لودر کاملاً آفلاین بررسی می‌کند؛ بدون تماس شبکه‌ای در هر درخواست. لودر اختصاصی هر مشتری هم فقط فایل‌های همان مشتری را باز می‌کند.
۲. چه چیزی امروز فعال است
این فهرست از خودِ سرویس خوانده می‌شود و با هر استقرار به‌روز می‌ماند.
۳. خودتان تأیید کنید
هیچ‌کدام از این بررسی‌ها نیاز به اعتماد به ما ندارد؛ همه روی سرور خودتان یا با فایل‌های عمومی سایت انجام می‌شود.
| وضعیت لودر روی سرور شما | php ioncuber-check.php |
| تنظیمات و کلیدهای فعال لودر | php -r "print_r(ioncuber_loader_info());" |
| وضعیت لایسنس (دامنه، انقضا، مهلت) | php -r "print_r(ioncuber_licence_info());" |
| تطبیق فایل دانلودشدهٔ لودر | sha256sum ioncuber-php8.2.34-x64-nts-linux.so |
| تست خروجی پیش از تحویل | اجرای نسخهٔ محافظت‌شده روی همان نسخهٔ PHP سرور مقصد و مقایسهٔ خروجی با سورس |
| روش سنجش مقاومت | یک افزونهٔ تستی که مثل مهاجم کامپایل سورس را ضبط می‌کند؛ روی خروجی محافظت‌شده صفر بایت برمی‌گرداند (۸.۱–۸.۴ و ویندوز ۸.۲) |
کد هارنس حمله و جزئیات فنی داخلی منتشر نمی‌شود؛ همان چیزی که به مهاجم کمک می‌کند به مشتری کمک نمی‌کند.
۴. محدودیت‌ها (صادقانه)
- هر کدی که روی سروری اجرا شود که در کنترل کامل مشتری است، در نهایت قابل استخراج است. کار ما بالا بردن هزینهٔ مهندسی معکوس است، نه ادعای شکست‌ناپذیری.
- کلید رمز داخل خود لودر قرار دارد؛ اگر سرور مشتری کاملاً در اختیار مهاجم باشد، استخراج کلید ممکن است. به همین دلیل چرخش کلید و لودر اختصاصی وجود دارد.
- لودرهای عمومی سایت کلیدهای پلتفرم را دارند. برای پروژه‌های حساس، لودر اختصاصی بسازید تا فایل‌های شما فقط با لودر خودتان اجرا شوند.
- قفل دامنه و لایسنس جلوی استفادهٔ خارج از قرارداد را می‌گیرد، ولی جایگزین رمزنگاری نیست.
- لودر اختصاصی فعلاً فقط برای لینوکس ۶۴بیتی ساخته می‌شود؛ نسخهٔ ویندوزی نیاز به زنجیرهٔ ساخت مایکروسافت دارد.
- عمق مبهم‌سازی برای هر تابع بر اساس ساختار همان کد تعیین می‌شود؛ ما هرگز صحت اجرا را فدای ابهام بیشتر نمی‌کنیم.
۵. کلیدها، عملیات و پاسخ‌گویی
- چرخش کلید از پنل پلتفرم انجام می‌شود؛ فایل‌های محافظت‌شدهٔ قبلی با کلید قدیمی کار می‌کنند و لودرها کلیدهای لازم را در خود دارند.
- کلید اختصاصی هر مشتری جدا از کلیدهای عمومی نگهداری می‌شود و هرگز در فایل کلید عمومی قرار نمی‌گیرد.
- همهٔ اقدامات مدیریتی (ساخت/تمدید/تعلیق لایسنس، تعلیق مستأجر، تغییر پلن، بازیابی سورس) در گزارش رویدادها ثبت می‌شود.
- بازیابی سورس فقط با نقش مدیر پلتفرم، با ثبت دلیل و به‌صورت پیش‌فرض با تأیید دوگانه ممکن است.
- از خروجی محافظت‌شده و از فایل کلید پلتفرم بکاپ بگیرید؛ بعد از چرخش کلید، لودرها را به‌روز کنید.
۶. تغییرات امنیتی
- لودر ۱.۲.۰: گزارش وضعیت کامل در
ioncuber_loader_info()(نسخه، کلیدها، گارد، وضعیت لایسنس) و پیام روشن برای بسته‌های قدیمی‌تر. - خودآزمایی هر واحد در زمان محافظت؛ اگر فایلی از آزمون رد شود، به‌جای ریسک روی سرور مشتری با حفاظت سورس تحویل می‌شود.
- پشتیبانی از attributeها، تریت‌ها و عبارت‌های زمان کامپایل در حالت کد کامپایل‌شده.
- مبهم‌سازی داخلی بسته (رشته‌ها، اپکدها، چیدمان بلاک‌ها) با کلید تصادفی هر بسته.
- لایسنس آنلاین امضاشده با قفل دامنه و انقضا، و لودر اختصاصی هر مشتری.
۷. گزارش آسیب‌پذیری
اگر ایراد امنیتی در سرویس، لودر یا پنل پیدا کردید، پیش از انتشار عمومی به ما اطلاع دهید. تلاش می‌کنیم در اولین فرصت کاری پاسخ دهیم و در صورت تأیید، در همین صفحه از شما تشکر می‌کنیم.
خارج از دامنه: حمله به سرور خودِ مشتری، استخراج کلید از سروری که در اختیار مهاجم است، و حملات از کار انداختن سرویس (DoS).
برای گزارش: از فرم تماس سایت یا ایمیل پشتیبانی استفاده کنید و در صورت امکان نسخهٔ لودر، نسخهٔ PHP و مراحل بازتولید را بنویسید.