Php Kod Gizleme (encoding / obfuscating)

Php, web programlama işleri için tartışmasız en popüler ve pratik dillerden birisidir. Bunun bir çok sebebi var, ancak tabi ki bazı eksikleri de yok değil. Kaynak kodunu gizleme konusu bunlardan birisi. Aslında bunun bir eksik olmadığını ve açık kaynak felsefesi gereği böyle olması gerektiğini savunan çok büyük bir çoğunluk mevcut. Ama ben buna katılmıyorum. Şahsen programcının kodunu gizleme ya da açık bırakma seçimini yapabilme özgürlüğüne sahip olması gerektiğine inanıyorum. Bunu da programlama dilinin kendi mekanizmaları içinde yapabilmeli. İşin biraz felsefesine kaçan bu hususu bir kenarıya bırakıp, kod gizleme konusuna girelim.

Öncelikle hiçbir kod gizleme aracı ve yöntemi ile yüzde yüz güvenli bir çözüm elde etmek mümkün olmadığını belirtmek gerekir.

Php kodlarını gizleme temel olarak iki yaklaşımla yapılmakta.

1. Yaklaşım – Encoding: Bu yöntemde, kodlar, bytekode, opcode vs gibi terimlerlerle adlandırılan ara koda çevrilir. Bu kodları çalıştırabilmek için genellikle sunucuda bazı ek modüllerin yüklü olması gerekmektedir. Örneğin Zend guard, Ioncube bu yöntemleri kullanır.  Zend guard ile encode edilen kodların sunucuda çalışabilmesi için Zend optimizer ‘in sunucuda yüklü olması gerekir. Aynı durum ioncube içinde geçerlidir.  Bu araçların (özellikle Zend guard) oldukça yüksek fiyatlara satıldığını belirtmek isterim. Belli bir bedel ödenmesi gerektiğini tabi ki kabul etmek lazım ama böyle bir araç içinde 700 dolar ödemek biraz saçmalık açıkçası. Ayrıca sunucuda ek modüllerin yüklenmesinin her zaman mümkün olmadğını da unutmamak gerekiyor. Ücretsiz ve açık kaynak alternatif olarak Turck MMCache for PHP, incelenebilir. Bu araçlarla ilgili güzel haber ise encoding yapmasının yanında, kodları optimize etmesi ve hızlandırması gibi bir takım ek faydalarının da olmasıdır. Kişisel tavsiyem ise 200 dolar gibi makul bir fiyatı ve gerçekten güvenli encoding yapması nedeni ile Ioncube ‘dür.

2. Yaklaşım – Obfuscating: Bu yöntemde yapılan, temel olarak kodların okunmasını zorlaştıracak şekilde, görsel olarak kodları karıştırma işleminden ibarettir. Php ‘nin kendi fonksiyonları ile dahi yapmak mümkündür. Amatör saldırganlardan korunmak için uygun oalbilir ancak biraz konuya hakim bir kişi kodlarınızı çok kısa sürede çözebilecektir.  Phpclasses.org ‘da oldukça başarlılı örnekler bulmak mümkün. Bu yöntemi kullacaksanız en azından kendi algoritmanızı kullanmanızı öneririm.

Bu yöntemlerden hangisini kullanacağına, bütçe ve ihtiyaçlarına göre programcı karar verektir. Yanlız dikkat edilmesi gereken şu ki, bu konu programcıyı paronayak hale getirmemelidir. İnternette yayınlanan hiçbirşeyin yüzde yüz güvenli olmadığını gerçeğini akıldan çıkarmamak lazım. Yani programcı ihtiyaclarına göre bir kod gizleme yöntemi seçemli ve gerisini fazla düşünmemelidir. Ayrıca eğer kodlarınız bir gün kırılır ve kaynak kodlarınız internette yayınlanmaya başlarsa, zaten o aşamada köşeyi çoktan dönmüşsünüz demektir.

Son olarak şunu söylemek isterim ki, kodları kapatmak demek, onları parayla satacak olmak demek anlamına gelmez. Kodunuzu kapatıyor olabilirsiniz ama yine de ücresiz dağıtıyor ve sunacağınız hizmetten gelir elde etmeyi hedefliyor olabilirsiniz. Gelecek yazılarımda yazılım sektörünedeki bazı değişik iş modellerine de değineceğim. Zira artık yavaş yavaş yazılım satışından ziyade sağlanan hizmetten gelir elde eden bazı ciddi şirketler adından sıkça söz ettirmeye başladı.

Sağlıcakla kalın….