Obfuskointi

Obfuskointi on ohjelmakoodin tai datan muokkaamista siten, että sen toiminnallisuus säilyy mutta ihmisen tai analyysityökalujen ymmärtäminen vaikeutuu. Termi on syntynyt englanninkielisestä sanasta "obfuscation" ja se kattaa erilaisia tekniikoita, joilla poistetaan selkeitä nimiä, muokataan rakenneilmaisua tai piilotetaan merkkijonoja ja loogisia rakenteita.

Obfuskoinnin yleisimpiä käyttötarkoituksia ovat immateriaalioikeuksien suojaaminen, ohjelmistojen uudelleenkäytön estäminen, integraation tai lisenssien valvonta sekä tiettyjen hyökkäyspintojen kaventaminen. Se on yleistä esimerkiksi sulautetuissa sovelluksissa, mobiilisovelluksissa ja verkon puoleisessa JavaScript-koodissa. Obfuskoinnin menetelmät vaihtelevat yksinkertaisista nimien lyhennyksistä ja minifioinnista monimutkaisempiin rakenteiden uudelleenjärjestelyihin ja salauskerroksiin.

Obfuskointi ei ole täydellinen suoja: se lisää usein ylläpidon ja virheenkorjauksen vaikeutta, voi heikentää suorituskykyä ja estää turvallisuusanalyysiä. Lisäksi sitä voidaan käyttää myös haitallisissa tarkoituksissa, minkä vuoksi sen käyttöön liittyy sekä eettisiä että oikeudellisia kysymyksiä. Vastatoimia ovat muun muassa dynaaminen ja staattinen analyysi, deobfuskointi sekä käytännöt kuten koodin allekirjoitus ja avoimuuden sekä auditoitavuuden lisääminen. Obfuskointi on siten kompromissi, jonka hyödyt ja haitat tulee arvioida tapauskohtaisesti.