9

Estou desenvolvendo uma aplicação (Desktop) que requer renovação de licença periodicamente, seguindo um modelo SaaS.

O modelo da licença deverá funcionar da seguinte forma:

  • A licença será baixada de um serviço Web. Isto requer que o usuário esteja conectado à internet no primeiro uso do produto;
  • A licença será atualizada periodicamente por um processo background automático, conectando ao serviço e renovando a data de expiração;
  • Se o usuário em questão romper a assinatura (deixar de pagar) ou não se conectar mais ao servidor de licenciamento, poderá usar o produto até uma data determinada (data de validade da última licença baixada).

Neste caso, como lidar com adulterações na data/hora local da máquina, de modo que o usuário seja impedido de usar o produto mesmo retroagindo o relógio do seu computador?

1
  • Se o seu sistema for totalmente offline, tem um misto de técnicas. Uma delas é você armazenar a quantidade de uso do sistema, vinculada a algum dado recém inserido. Mesmo que a data seja alterada, não tem como voltar atrás com as "horas consumidas". Se seu sistema for online, basta consultar a data e hora externamente, de preferência de um servidor seu, com alguma chave para fazer checksum da requisição.
    – Largato
    Commented 29/02/2016 às 20:12

3 Respostas 3

6

Se o usuário em questão romper a assinatura (deixar de pagar) ou não se conectar mais ao servidor de licenciamento, poderá usar o produto até uma data determinada (data de validade da última licença baixada).

Não utilize datas determinadas. Utilize número de dias. Por exemplo, cada pagamento mensal dá direito ao uso por 28-31 dias.

A cada boot-up do seu serviço:

  • valide o momento da última atualização versus o momento atual.

    • Se a data for diferente (passado ou futuro, tanto faz) remova um dia.
    • Se a hora do sistema for inferior (o relógio foi manipulado), remova um dia.
  • Armazene o momento atual, para que esta possa ser validado no próximo boot-up.

Assim, tentativas de burlar o contador sempre contarão contra o usuário malicioso, porém sem prejudicar o usuário honesto.

Como @Bacco originalmente mencionou em seu comentário (o crédito é seu, Bacco!), é interessante que você valide esta estrutura contra alguma outra fonte para evitar a reinicialização do arquivo contendo o momento da última avaliação. A solução que ele apresenta (armazenando no arquivo encriptado o último ID de uma tabela conhecida e frequentemente utilizada para operações de escrita do banco de dados, por exemplo) é simples, robusta e de fácil implementação.

Soluções como um servidor remoto NTP (hora da rede) ou um endpoint que retorne a data atual de maneira encriptada (e que deve necessariamente ser acessível ou o usuário perde acesso imediato) são viáveis e dependem do modelo que você deseja utilizar.

0
3

Tem diversas formas de fazer.

Uma que eu recomendo é que você marque a data e hora de entrada e de saída do seu sistema. Se ele voltar mais de duas horas do que o último horário de saída, você pede pra ele reconectar para voltar a validar a licença e sem isso bloqueia o acesso.

O pior caso desse método é ele conseguir utilizar por 30 dias contínuos (gerenciando suporte bem a data e hora do sistema todas as vezes e tendo um trabalhão extra).

Uma outra opção é varrer o sistema e olhar data e hora de um ou diversos arquivos do sistema operacional e do seu programa pra dar uma olhada se há alguma inconsistência.

2

Você pode comparar com a base de dados da própria aplicação verificando se não existe registros com data e hora mais recente do que a data configurada no computador local. Pois se a data foi adulterada uma hora as datas dos registros da base começarão a dar divergências.

Exemplo:

Vamos supor que a data adulterada foi fixada em 29/02/2016. Em determinada tabela gerou os seguintes registros:

29/02/2016 08:00:00, 29/02/2016 09:00:00, 29/02/2016 13:00:00 e 29/02/2016 18:37:00

Amanhã ao ser utilizada a aplicação a data continuara sendo 29/02/2016 (ou alguma data menor). Vamos supor que foram gerados novos registros nesta tabela:

29/02/2016 10:30:00

Percebe a inconsistência? Como que estou inserindo um registro no dia 29/02/2016 as 10:30 se eu já tenho registros neste mesmo dia com horários superiores. Neste caso esta detectada a inconsistência e você pode dar um crash na aplicação pois é sinal que estão tentando burlar o sistema de licença.

Você pode ter uma tabela na aplicação só para registrar as horas a cada hora e criar uma rotina para detectar a inconsistência ou pode utilizar até mesmo alguma tabela já existente que tenha data e hora e gere registros com certa frequência.

Outra opção pode ser também comparar com os logs de eventos de aplicação do windows (Event Viewer) ao invés de usar sua base.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .