.NETアプリケーションのリバースエンジニアリングや不正改造からアプリを守るためには、「難読化」だけでなく「デバッグ検知」が重要です。Dotfuscatorのデバッグ検知機能を使えば、攻撃者のデバッグ行為を検知し、不正解析を阻止できます。この記事ではその重要性と導入方法について解説します。

なぜデバッグが脅威になるのか

デバッガを用いた解析・改造によって起こる被害には以下のようなものがあります。

ライセンス回避・海賊版作成
- ライセンスチェックを回避し、不正に無料利用される。
- 改変版が配布され、ライセンス収入の減少やブランド毀損を招く。
機能の不正利用・機密データ盗難
- 有料機能の無料利用や、メモリ内の暗号鍵・個人情報を盗まれる。

これらの脅威を防ぐ手段としてDotfuscatorのデバッグ検知機能を紹介します。

Dotfuscatorのデバッグ検知機能

Dotfuscatorは.NETアプリの実行バイナリに、デバッガ接続をリアルタイムで検知するコードを挿入できます。これにより、攻撃者がデバッガで解析を試みると即座に検出し、指定したアクションを発動できます。

主な特長は以下の通りです。

プリビルドのロジック: コード記述不要で簡単に設定可能。
多層防御: 難読化と組み合わせて、静的解析と動的解析の両面から保護。
攻撃者を妨害: 検知時にアプリ終了や例外発生で解析を妨害可能。

設定手順

Dotfuscatorでデバッグ検知を設定する基本的な手順を紹介します。¹

デバッグチェックの追加
「デバッグチェックの追加...」から、チェックしたいメソッド（ライセンス検証や重要機能の入口など）を選択します。
アクション設定
Actionプロパティを「Exception（異常終了）」に設定すると、デバッガを検知した時点でアプリを強制終了できます。
通知設定（任意）
デバッグ検知時に、指定メソッドに通知を送れます（アプリケーション通知機能）。これを使えば、独自の対応やログ記録が可能です。
発動確率の調整（Professional版のみ）
攻撃者を惑わせるために、発動確率を設定可能。例えば30%に設定すると、検知時にランダムに動作を変えられます。

実際の動作例¹

例えば、シンプルなログイン画面を持つアプリがあるとします。通常時、ボタンをクリックすると「ログインしました」と表示されます。

しかしDotfuscatorでデバッグ検知を組み込むと、デバッガが接続された状態で同じ操作を行った場合、「ログインしました」という通常のメッセージの代わりに、突然予期しない例外が発生し、アプリが強制終了します。

設定のポイントと攻撃者を惑わせる工夫²

Dotfuscatorのデバッグ検知機能は、単純な検出にとどまらず、攻撃者を混乱させ時間や労力を浪費させる工夫が可能です。ここでは、攻撃者を惑わせるための効果的な設定方法をさらに深掘りします。

チェック挿入箇所の分散配置

デバッグ検知を行う「Debugging Check」は、指定されたメソッドが呼ばれた時点でのみ実行されます。つまり、検知ポイントが少ないと、攻撃者が検知をすり抜ける可能性が高まります。この問題を防ぐには、ログイン処理やライセンスチェック、重要機能の入口など、アプリの複数の重要な箇所にチェックを配置することが効果的です。

発動タイミングのランダム化

Dotfuscator Professional版では、デバッグ検知時のアクション実行確率を調整できます。例えば、発動確率を50%に設定すると、デバッガを検知した場合でも半分の確率でアクションを実行せず、攻撃者がパターンを特定しにくくなります。

こうした挙動の差異により、攻撃者は解析が困難になり、アプリケーションを効果的に保護できます。

Dotfuscatorの評価版で試してみよう

Dotfuscator Professionalには無料評価版が用意されているので、実際のアプリに適用してデバッグ検知の効果を試してみてください。
https://www.agtech.co.jp/preemptive/dotfuscator/trial/

参考文献

.NETアプリの逆コンパイル対策、その具体的な方法とは？（難読化の実例付） ↩ ↩²
.NET用の難読化ツール | PreEmptive Protection Dotfuscator Professional ↩