Zend Guard пролетел...

С этого года наша компания предоставляет своим клиентам полностью открытый исходный код движков. Задолбались =)

Начну статью издалека, для тех кто не в курсе. Есть такая хитрая заокеанская компания Zend, известная тем что является разработчиком языка PHP, на основе своего Zend Engine. Сам язык PHP — проповедует обратную совместимость, т. е. код написанный для ранних версий языка запуститься и на более поздних, а версия для более поздней версии языка, де-юре, запуститься на языке с той же главной версией. Однако сам язык является интерпретируемым, т. е. не имеет возможности быть скомпилирован в запускаемое приложение. Что приводит, по сути, к тому, что весь код написанный на PHP — в какой-то степени открыт. Конечно компания Zend понимает, что многие компании захотят делать свой, написанный на PHP, коммерческий продукт закрытым, даже для владельца лицензии. В качестве какого-то решения, компания использует продукт под названием Zend Guard (и Zend Optimizer на серверной части). Суть продукта в том, что он может обфусцировать ваш скрипт, оптимизировать его и частично переводить в машинный код. Алгоритм обфускации и кодирования отличается у разных версий Zend Guard, но по сути вполне поддаётся декомпилированию. Статьи с примерами можно найти например в журнале Хакер, либо поискать на китайских форумах версию программы Dezender для требуемой версии.

Проблема в том, что обратная совместимость закодированного Guard’ом кода, была утрачена в версии PHP 5.3. Код скомпилированный последними версиями гварда должен быть скомпилирован для абсолютно конкретной версии PHP. В случае с последней версией 5.3 на сервер необходимо ставить обновлённый Zend Optimizer — сейчас он называется Zend Loader. Это привело к тому что сейчас в интернете повсеместно распространена версия 5.2, которая прекратила поддерживаться 16 декабря 2010 (пруфлинк). При этом уже спустя небольшое время в ней были найдены уязвимости и компания Zend была таки вынуждена выпустить обновление (пруфлинк). Знакомые владельцы крупных хостингов пока не знают как переносить клиентов на версию 5.3, которая поддерживается в настоящий момент, и выходит уже два года как. Некоторые хостеры ставят её только на новые сервера, только для новых клиентов.

Сам Zend Guard для версии PHP 5.2 работает довольно нестабильно. Он может от раза к разу по разному сжимать одинаковый код (даже если отключить обфускацию и оптимизирование), который может то читаться сервером, то нет. Один и тот же код может запускаться или нет в зависимости от малой версии PHP или даже операционной системы (бывали разные результаты на фёдоре, убунте и freebsd)!

Поэтому, ввиду апгрейда операционной системы на рабочем сервере, было принято решение ставить самый последний PHP из родного репозитория и отказываться от шифрования. Мы даже отказались от штатного скрипта обфускации, стало намного проще жить.

Чего и вам желаем товарищи =).