Внедрение проверки лицензии с помощью RSA

Тот, кому нужно ваше программное обеспечение достаточно сильно, просто декомпилирует его и удалит часть кода, которая звонит домой при запуске.

Если бы вы добавили контрольную сумму в приложение, которое проверяет, был ли изменен код, кто-нибудь может просто изменить контрольную сумму, по которой проверяется программа (или полностью удалить проверку).

Люди, которым нужно ваше приложение, найдут способы обойти любой тип защиты, который вы можете себе представить. Вам лучше придерживаться чего-то простого, иметь продукт, за который стоит платить (и легко), и убедиться, что он стоит той цены, которую вы запрашиваете.

ИЗМЕНИТЬ

Учитывая важность защиты, тот факт, что у пользователей будет выполняться код на их машинах, является риском, которого можно избежать. Если у пользователей нет кода, они не могут его взломать. Они не могут скопировать его и поделиться им.

Теперь это может не относиться к приложению, которое вы собираетесь написать, но вам следует подумать о написании веб-приложения, приложения Flash или Silverlight вместо обычного клиентского приложения. Таким образом, вам не нужно распространять код среди клиентов. Все, что вам нужно сделать, это управлять учетными данными в приложении, что должно быть намного проще, чем ваша круговая система RSA.

Также проще распространять новые версии программного обеспечения в централизованной модели, и вам вообще не придется беспокоиться о краже. Конечно, нагрузка станет проблемой, когда ее не было раньше. И не все приложения можно легко (или вообще) централизовать. Я просто предлагаю это, чтобы убедиться, что вы обдумаете это, потому что это действительное решение вашей проблемы.

Веб-приложение будет иметь те же проблемы, что и ваше приложение (т. е. оно будет недоступно, когда пользователь не в сети, когда сеть не работает, когда ваш сервер не работает и т. д.). Так что нет никакого дополнительного риска в этом отношении.

Подходит ли для этого RSA?

Я не думаю, что RSA - ваш лучший выбор.

Одна из возможностей PKE (шифрование с открытым ключом) заключается в том, что оно позволяет общаться друг с другом тем, кто ранее никогда не обменивался информацией (например, с незнакомцами).

Я не вижу, чтобы это применимо к вашему случаю. Ваше программное обеспечение хорошо знает ваш сервер. Они не «чужие».

Вместо этого рассмотрите шифрование с общим секретным ключом, когда каждая копия распространяемого вами программного обеспечения получает уникальный секретный ключ, и ваш сервер также знает секретный ключ каждого пользователя. Ключи никогда не отправляются и должны быть защищены, но их можно использовать для шифрования, подписи и проверки сообщений.

Изменить После рассмотрения комментариев и других ответов.

Любой, кому нужно ваше программное обеспечение достаточно сильно, сможет полностью обойти аутентификацию. RSA ничего не делает, чтобы предотвратить это.

Реальный вопрос: делает ли нарушение одной лицензии все лицензии уязвимыми/бесполезными. В обоих случаях (RSA и секретный ключ) ответ — нет. Только потому, что одна копия программного обеспечения была взломана и ее ключ был раскрыт, или система лицензий была обойдена, другие копии больше не подвергаются воздействию. PKE и SSE кажутся мне равными в этом отношении.

Поскольку общий секретный ключ легче реализовать и выполнить быстрее в вычислительном отношении, я думаю, что в данном случае он предпочтительнее, чем RSA/PKE. Это не значит, что RSA «неправильный». Он сделает то, что вам нужно, в той же степени, что и SSE (ни больше, ни меньше). Но я думаю, что SSE - более разумный выбор.