Software Obfuscation: Theory and Practice

Software Obfuscation: Theory and Practice explora la tarea de ocultar el código fuente de un programa de forma criptográfica, también conocido como ofuscación, enfocándose en sus fundamentos teóricos y aplicaciones prácticas. Inicialmente, la tesis proporciona una visión general de cómo y por qué se usa la ofuscación en el software hoy en día, determinando las razones de su importancia y proporcionando información sobre su historia. Se presentan aplicaciones de la ofuscación de software en la vida real y se explica que organizaciones reconocidas como Google, Microsoft o Apple las utilizan en su software. Después, la tesis explora el panorama teórico de la ofuscación. Se define la ofuscación, así como algunos de los principios que debe seguir para ser funcional, mientras se explican los conceptos fundamentales de la complejidad de circuitos y sus distintas clases. La tesis proporciona varios ejemplos gráficos mientras se definen estos conceptos. Se introduce la clase de complejidad NC1, ya que es importante para los siguientes capítulos de la tesis. Luego se explora la posibilidad del concepto conocido como cajas negras virtuales perfectas, analizando el trabajo On the (Im)possibility of Obfuscating Programs. Para concluir el capítulo, la tesis ofrece una visión general de alto nivel de la construcción de Indistinguishability Obfuscation (iO), que es una primitiva criptográfica capaz de ofuscar circuitos NC1 bajo ciertas suposiciones de complejidad. Esto se examina a través del trabajo Candidate Indistinguishability Obfuscation and Functional Encryption for all circuits. El siguiente capítulo presenta los principales retos que se proponen en la ofuscación práctica en software real. Se usa una sección para explorar diferentes transformaciones de código con la intención de oscurecer el software y detener a los actores malintencionados de entender su estructura interna. Se muestran, comparan y contrastan muchos ejemplos de código de alto y bajo nivel para demostrar el nivel de ofuscación que proporciona cada transformación. Posteriormente, se explica la VM-based obfuscation, que se utiliza ampliamente en el mundo de la ofuscación práctica. La tesis también proporciona código para una implementación simple de una Máquina Virtual que intenta ofuscar operaciones aritméticas básicas. En el capítulo final, discutimos los aspectos beneficiosos y adversos de la ofuscación de software. Determinamos que tiene muchos casos beneficiosos para organizaciones, la seguridad y la propiedad intelectual, pero que los actores malintencionados también pueden abusar de ella para evadir software antivirus y otros productos de seguridad. Finalmente, examinamos el futuro de los aspectos teóricos y prácticos de la ofuscación de software. Abstract: Software Obfuscation: Theory and Practice explores the task of cryptographically hiding the source code of a program, also known as obfuscation, with a focus on its theoretical foundations and practical applications. Initially, the thesis gives an overview of how and why obfuscation is used in Software nowadays, determining the reasons behind its importance, as well as providing some historical background. We present real life applications of software obfuscation and explain that well-known organizations such as Google, Microsoft or Apple use them in their software. Then, the thesis explores the theoretical landscape of obfuscation. We define obfuscation, as well as some of the principles it must follow to be functional, while explaining the foundational concepts of circuit complexity and its classes. The thesis provides several graphical examples through these concepts. The complexity class NC1 is introduced, as it is important for the following chapters of the thesis. We then discuss the possibility of a concept known as perfect virtual black boxes, analyzing the work On the (Im)possibility of Obfuscating Programs. Concluding the chapter, the thesis provides a high-level overview of the construction of Indistinguishability Obfuscation (iO), which is a cryptographic primitive that is known to obfuscate NC1 circuits under some complexity assumptions. This is examined through the work Candidate Indistinguishability Obfuscation and Functional Encryption for all circuits. The following chapter introduces the main challenges faced in practical obfuscation in real software. A section is allocated to explore different code transformations that attempt to obscure software in an attempt to stop malicious actors from understanding its inner structure. Many high and low level code examples are shown, compared and contrasted to prove the level of obfuscation that each transformation provides. Subsequently, VM-based obfuscation is explained, which is widely used in the world of practical obfuscation. The thesis also provides code for a simple implementation of a Virtual Machine that attempts to obfuscate basic arithmetic operations. In the final chapter, we discuss the beneficial and adverse aspects of software obfuscation. We determine that it has many good use cases for organizations, security and intellectual property, but that malicious actors can also abuse it to evade Anti-Virus softwares and other security products. Lastly, we examine the future of both the theoretical and practical aspects of software obfuscation