Heute Morgen ist beim Besucherverkehr auf unserer Website etwas Ungewöhnliches passiert.
Ein paar Minuten vor 7 Uhr kamen plötzlich Hunderte Besucher aus aller Welt in den Plugin-Katalog von Stillwell Audio. Nach ein wenig Nachforschen fand ich den Grund: Eine Warez-Veröffentlichung des aktuellen Windows-Katalogs war aufgetaucht, als „gepatcht“ beschrieben und mit etwas, das als Keygen beworben wurde.
Tja. Offenbar bin ich zurück.
Es war ein arbeitsreiches Jahr: die Überarbeitung des Katalogs für Version 4, neue Produkte, Linux-Unterstützung, CLAP-Unterstützung und viel weniger sichtbare Arbeit, um diese Plugins weiterzuentwickeln. Dass die Warez-Szene uns wieder bemerkt, ist wohl ein gänzlich inoffizieller Gradmesser dafür, dass wir wieder relevant sind. Keiner, um den ich gebeten hätte, aber nun ist es so.
Ein technischer Punkt verdient Erwähnung: Niemand hat über Nacht Ed25519 geknackt.
Aktuelle Lizenzdateien von Stillwell Audio werden digital signiert, mit separatem Signaturschlüsselmaterial für jedes Produkt. Um eine gültige Lizenz für eine unveränderte offizielle Programmversion zu erzeugen, wäre der entsprechende private Signaturschlüssel erforderlich. Eine unbekannte ausführbare Datei „Keygen“ zu nennen, lässt dieses kryptografische Problem nicht verschwinden.
Die übliche Alternative ist erheblich weniger beeindruckend: Man verändert das Plugin so, dass es Lizenzen nicht mehr korrekt überprüft, und erzeugt dann Daten im Format einer Lizenz, die nur von der veränderten Binärdatei akzeptiert werden. Das ist kein Keygen für das offizielle Produkt. Es ist ein Patch zusammen mit einer weiteren ausführbaren Datei, auf deren Verhalten Sie blind vertrauen sollen.
Bei den offiziellen Dateien gibt es zusätzliche Vertrauensebenen.
Unsere Windows-Installer sind mit einem EV-Zertifikat signiert. Wenn jemand einen davon verändert oder neu verpackt, bleibt diese gültige Signatur nicht erhalten. Wenn Windows einen unbekannten Herausgeber, eine unerwartete SmartScreen-Warnung oder Anweisungen zum Abschalten von Sicherheitssoftware anzeigt, stoppen Sie. Sie führen dann nicht mehr den Installer aus, den wir ausgeliefert haben.
Dasselbe grundsätzliche Problem besteht unter macOS: Wird ein Plugin verändert, wird seine Codesignatur ungültig. Damit fällt es aus der signierten und notarisierten Auslieferungskette heraus, die Gatekeeper überprüft.
AAX ist ein eigener Fall. AAX-Plugins werden über PACE signiert, und Pro Tools überprüft diese Signatur. Wird die Binärdatei verändert, ist die PACE-Signatur nicht mehr gültig, sodass Pro Tools das Laden verweigern sollte. Eine .aaxplugin-Datei in ein Archiv zu legen, ist für sich genommen kein Beleg dafür, dass die gepatchte Version in Pro Tools funktioniert.
Ich habe diese Veröffentlichung weder heruntergeladen noch analysiert, und ich werde keine unbekannte ausführbare Datei starten, nur um meine Neugier zu befriedigen. Sie sollten das auch nicht tun.
Keygens und Cracks eignen sich ungewöhnlich gut dazu, Schadsoftware zu verstecken. Wer so etwas ausführt, rechnet bereits mit Virenscanner-Warnungen, seltsamem Verhalten und Anweisungen, Schutzfunktionen abzuschwächen. Das macht diese Form der Verbreitung zu einem nahezu perfekten trojanischen Pferd. Ein verändertes Plugin läuft außerdem innerhalb Ihrer DAW unter Ihrem Benutzerkonto. Damit vertrauen Sie der Person, die es verändert hat, alles an, worauf dieses Konto zugreifen kann.
Es gibt keinen praktischen Grund, dieses Risiko einzugehen, nur um unsere Plugins auszuprobieren. Jede Testversion von Stillwell Audio ist voll funktionsfähig und unaufdringlich. Es gibt keine Aktivierungsserver, keinen Autorisierungsdienst im Hintergrund und keinen eingeschränkten Audiosignalweg. Laden Sie die Software direkt bei uns herunter, nutzen Sie sie ordnungsgemäß und entfernen Sie sie auf normalem Weg, wenn sie nichts für Sie ist. Zum Deinstallieren braucht man keine Kenntnisse in Computerforensik.
Ist Softwarepiraterie frustrierend? Natürlich. Stillwell Audio ist ein kleines unabhängiges Unternehmen, und die Käufe finanzieren die Entwicklung, Wartung, Unterstützung und kostenlosen Updates hinter der Software. Aber ich bin nicht so naiv zu glauben, dass eine Standpauke jemanden umstimmen wird.
Deshalb belasse ich es dabei: Ich freue mich, dass die Leute bemerkt haben, dass Stillwell Audio wieder aktiv ist. Mir wäre es lieber, wenn dabei niemand die Kontrolle über seinen Studiocomputer einer mysteriösen ausführbaren Datei überlassen würde.
Offenbar bin ich zurück. Und jetzt wieder an die Arbeit.