Questa mattina è successo qualcosa di insolito al traffico del nostro sito.
Pochi minuti prima delle 7, centinaia di visitatori da tutto il mondo sono arrivati all’improvviso sul catalogo di plugin Stillwell Audio. Dopo qualche ricerca ho scoperto il motivo: era comparsa una distribuzione warez dell’attuale catalogo Windows, descritta come “patchata” e accompagnata da quello che veniva pubblicizzato come un keygen.
Be’. A quanto pare, sono tornato.
È stato un anno intenso: il rifacimento del catalogo per la Versione 4, nuovi prodotti, supporto per Linux e CLAP e tanto lavoro meno visibile per portare avanti questi plugin. Suppongo che essere notati di nuovo dalla comunità warez sia un indicatore del tutto ufficioso di rinnovata rilevanza. Non l’avevo chiesto, ma tant’è.
Vale la pena chiarire un punto tecnico: nessuno ha violato Ed25519 da un giorno all’altro.
Gli attuali file di licenza Stillwell Audio sono firmati digitalmente, con materiale crittografico di firma separato per ogni prodotto. Per produrre una licenza valida per una versione ufficiale non modificata servirebbe la corrispondente chiave privata di firma. Chiamare “keygen” un eseguibile sconosciuto non fa sparire quel problema crittografico.
L’alternativa abituale è decisamente meno impressionante: modificare il plugin in modo che non verifichi più correttamente le licenze, poi generare dati con la struttura di una licenza che solo il binario modificato accetta. Quello non è un keygen per il prodotto ufficiale. È una patch abbinata a un altro eseguibile, sul cui comportamento vi viene chiesto di fidarvi alla cieca.
I file ufficiali hanno ulteriori livelli di garanzia di autenticità.
I nostri installer per Windows sono firmati con un certificato EV. Se qualcuno ne modifica o riconfeziona uno, quella firma valida non rimane tale. Se Windows mostra un autore sconosciuto, un avviso SmartScreen inatteso o istruzioni che chiedono di disattivare il software di sicurezza, fermatevi. Non state più eseguendo l’installer che abbiamo distribuito.
Lo stesso problema di fondo esiste su macOS: alterare un plugin ne invalida la firma del codice e lo porta fuori dalla catena di distribuzione firmata e notarizzata che Gatekeeper valuta.
AAX è un caso a parte. I plugin AAX vengono firmati tramite PACE e Pro Tools verifica quella firma. Modificando il binario, la firma PACE non è più valida, quindi Pro Tools dovrebbe rifiutarsi di caricarlo. La semplice presenza di un file .aaxplugin in un archivio non dimostra che la versione patchata funzioni in Pro Tools.
Non ho scaricato né analizzato questa distribuzione e non eseguirò un programma sconosciuto solo per soddisfare la mia curiosità. Non dovreste farlo neanche voi.
Keygen e crack sono posti particolarmente comodi per nascondere malware. Chi ne esegue uno si aspetta già avvisi dell’antivirus, comportamenti strani e istruzioni per indebolire le protezioni di sicurezza. Questo li rende un cavallo di Troia quasi perfetto. Un plugin modificato viene inoltre eseguito all’interno della vostra DAW con il vostro account utente: state affidando alla persona che lo ha alterato tutto ciò a cui quell’account può accedere.
Non c’è alcun motivo pratico per correre questo rischio solo per valutare i nostri plugin. Ogni versione di valutazione Stillwell Audio è pienamente funzionante e discreta. Non ci sono server di attivazione, servizi di autorizzazione in background o un percorso audio limitato. Scaricatela direttamente da noi, usatela correttamente e rimuovetela normalmente se non fa per voi. Non servono competenze di informatica forense per disinstallarla.
La pirateria è frustrante? Certo. Stillwell Audio è una piccola azienda indipendente e gli acquisti finanziano lo sviluppo, la manutenzione, l’assistenza e gli aggiornamenti gratuiti che stanno dietro al software. Ma non sono così ingenuo da pensare che una predica farà cambiare idea a qualcuno.
Quindi mi fermo qui: sono contento che ci si sia accorti che Stillwell Audio è di nuovo attiva. Preferirei che, nel frattempo, nessuno consegnasse il controllo del computer del proprio studio a un eseguibile misterioso.
A quanto pare, sono tornato. Ora, di nuovo al lavoro.