Independente da linguagem ou plataforma, programas instalados localmente com licença de uso nunca conseguem ter uma segurança completa contra uso indevido. Isso vale até para um software extremamente complexa escrito em linguagem de máquina (vide Windows).
Do meu ponto de vista, toda a questão de segurança pode ser resumida em dificultar a cópia o suficiente para fazer com que ela não valha a pena.
No caso de linguagens dinâmicas como o Ruby, isso pode ser feito ofuscando o código de algumas classes para evitar que um mero "fuçador" possa localizar uma singela linha de código e "hackear" o programa.
A partir desse raciocínio, é possível estabelecer uma séria de estratégias, cuja eficácia dependerá do empenho, conhecimento e até sorte de algum possível "pirata".
Estabeleça o critério de "Original"
Qual o critério utilizado para o seu programa saber se é original?
Fazer a chamada a um Web Service é uma saída, mas pode ser muito trivial. Alguém sem conhecimento algum de Ruby pode monitorar a rede usando um "Network Monitor" e criar um serviço falso para simular o retorno de sucesso.
Não tenho uma resposta definitiva para isso, mas uma saída interessante seria estabelecer um algoritmo que gere códigos baseados na data (mês) atual. Sem a inserção de um código a cada mês o programa para de funcionar.
O programa não geraria o código, mas o recuperaria a partir do Web Service. Isso evita que o usuário possa reaproveitar a licença de meses anteriores.
Verifica a licença várias vezes
Não verifique a validade da licença apenas na inicialização do programa. Certa vez um colega burlou o teste de 30 dias de um programa fazendo um simples .bat
que:
- Alterava a data do sistema
- Abria o programa
- Restaurava a data atual
Além disso, isso vai dificultar a vida se um possível "hacker". A princípio ele pode burlar a classe de inicialização e vai ficar satisfeito. Mas assim que for abrir a primeira tela do programa, ele vai ver outro ponto onde a licença é verificada.
Se a limitação for aplicada em vários pontos importantes do sistema, no mínimo vai diminuir o ânimo do atacante.
Ofusque o código
Nada é mais fácil que localizar conteúdo em texto puro e em diretórios organizados.
Um passo importante para evitar a "quebra" do sistema por leigos é não deixar óbvio o local onde a licença é armazenada ou verificada.
Todos sabemos que segurança por obscuridade em geral não é boa. Mas nesse caso, faça com que seja necessário um esforço maior para isso, faça com que seja necessário conhecer sobre várias tecnologias para descobrir como funciona o seu sistema de licenças.
Por exemplo, criptografar arquivos localmente usando chave simétrica e mantendo a senha hard-coded no programa não dá muita segurança. Mas dá segurança o suficiente para que um curioso não consiga ver as informações e seja necessário vasculhar o programa inteiro para encontrar essa senha.
Fora isso, existem algumas ferramentas que ofuscam o código em algum formato intermediário. Para Ruby, encontrei apenas o rubyencoder. Basicamente ele criptografa seus fontes e depois usa uma extensão nativa em C para decodificar e carregar o código em tempo de execução.
Algo problemático em linguagens dinâmicas, principalmente quando elas usam metaprogramação é que ofuscar certos trechos de código quebram o programa, pois este depende do nome dos parâmetros, atributos e classes. Portanto, sugiro ofuscar apenas classes utilitárias relacionadas ao licenciamento e não as classes principais do sistema.
Não distribua o programa completo
Outra medida para evitar a pirataria é não distribuir versões completas para demonstração e não distribuir o código das funcionalidades pelas quais certo cliente não contratou.
Se fizer um sistema modular, evitará que alguém obtenha desnecessariamente o código completo para então copiar e repassar para outras pessoas.
Monitore
Seu programa pode verificar a licença com certa frequência usando o Web Service, por exemplo, toda semana.
Verifique os IPs e a quantidade de chamadas para encontrar indícios de cópias não autorizadas do programa.
Faça um bom contrato
Não esqueça de colocar todas as informações sobre licenciamento, acesso ao web service e monitoramento num contrato.
Não faça isso de forma escondido, caso contrário algum cliente pode processá-lo por invasão de privacidade ou algo parecido.