Ваше приложение работает на устройствах, которые вы не контролируете. Злоумышленники вносят патчи, внедряют код и автоматизируют атаки.

  Традиционные «анти-хакерские» меры ухудшают производительность, нарушают отладку или требуют доверия (доступ к исходному коду, агенты, драйверы).

Наше решение: trust-minimized, release-only pipeline, который делает вас слишком дорогой целью для атаки.

Результаты, а не обещания.

  Диверсификация сборки: каждый релиз компилируется в различные, но эквивалентные двоичные файлы. Предыдущие заметки и скрипты RE становятся неприменимы.

  Более 100 сценариев компоновки по дизайну: ротация по 6 рычагам (CFG shape, call-graph, instruction variants, import thunks, data encoding, link/layout) дает сотни действительных перестановок из одной кодовой базы.

  Нулевое влияние на разработку: сборки Dev/QA остаются читаемыми и доступными для отладки; защита включается лишь для релиза.

  Не требуется доступ к коду: мы никогда не видим ваш код или CI. Вы запускаете все сами; мы предоставляем открытые, поддающиеся аудиту инструкции и чек-листы.

  Авторитет сервера + сигналы риска: ваш бэкэнд остается источником правды; подозрительные сессии плавно деградируют (карантин/задержка), защищая обычных пользователей.

1. Инструкции, а не доступ. Мы предоставляем только текстовые настройки сборки, связывания и упаковки, и дополнительные скрипты с открытым исходным кодом. Вы копируете, адаптируете и применяете для своего CI.

2. Один источник на каждый релиз. FENCE_SEED для каждого релиза детерминировано преобразует код и данные; RE (Reverse Engineers) должны будут начинать работу заново после каждого обновления.

3. Выборочная защита. Серьёзные преобразования для критических мест (проверка лицензий и цепочек прав доступа).

4. Доказательство, а не доверие. Вы проверяете с помощью стандартных инструментов (dumpbin, readelf, codesign и т. д.) и — по желанию — прикрепляете аттестаты SLSA/in-toto, подписанные вашими ключами CI.

Изоморфизмы CFG: перегруппировка базовых блоков (BBR, Basic Block Reordering), легкое уплощение (CFF, Control Flow Flattening), непрозрачные предикаты (OP, Opaque Predicates) (только критические точки).

  Настройки графа вызовов: выборочное встраивание/выделение, объединение/разделение функций.

  Разнообразие инструкций: допустимые замены (LEA/ADD, CMOV/branch), различное выравнивание/заполнение.

  Импорт хуков: таблицы API перемешиваются при каждой сборке — скрипты, перехватывающие импорты, перестают работать.

  Ротация кодирования данных: ключи для строк/констант для каждой сборки; перестановки индексов таблиц.

  Перемешивание ссылок/макетов: рандомизация порядка разделов/функций; разделение горячих/холодных участков.

Даже при самом консервативном подходе из одного и того же кода автоматически получается более 200 уникальных бинарных файлов.

  Разработка/QA остаются читаемыми: символы, пошаговая отладка, профилировщики — все как обычно.

  Защита только для релиза: включается в CI; накладные расходы на выполнение строго соответствуют SLO (обычно ≤1–3% для защищённых «горячих точек»).

  Аварийные выключатели: позволяют временно отключать трансформации для диагностики.

Ощутимые результаты

  Руководство по повышению безопасности (понятные тексты и готовые однострочные команды для быстрой проверки результата).

  Наборы для укрепления CI/CD (сниппеты для GitHub/Azure/GitLab/Jenkins с комментариями и возможностью аудита).

  Планировщик диверсификации (инициализируемый, детерминированный; вы запускаете — вы владеете результатом).

  Контрольные списки для проверки (стандартные инструменты ОС; критерии прохождения/непрохождения).

  Карточка результативности руководителя (KPI: снижение мошенничества, защита доходов, ложные срабатывания < 0,5%).

  Руководства по проведению атак Red-Team (сценарии для самостоятельного моделирования атак: DLL injection, reflective loads, hollowing и прочие проверки).

  Вы добавите код в наше приложение?

Нет. Ничто из того, что мы делаем, не попадает в вашу среду выполнения. Вы создаете свой код с помощью своего набора инструментов.

  Вам нужен доступ к нашему исходному коду или CI?

Нет. Мы предоставляем инструкции и чек-листы; вы запускаете и проверяете их локально.

  Сможете ли вы остановить всех злоумышленников?

Никто не сможет. Мы делаем атаки дорогостоящими, неустойчивыми и кратковременными, требующими переработки каждого релиза.

  Что насчет производительности и стабильности?

Преобразования затрагивают только небольшие критические участки; накладные расходы строго контролируются, а аварийные выключатели обеспечивают безопасную диагностику.

Начните с оценки только на основе бинарных файлов, без доступа к исходному коду, и получите набор для усиления безопасности релизов для одной платформы. Это позволит быстро запустить детерминированный pipeline диверсификации, который заставит злоумышленников начинать с нуля при каждом обновлении — при этом разработчики не почувствуют разницы.