Prevenire l'attacco di contraffazione della richiesta

La tecnica di "mantenere l'applicazione lontana dall'utente" è fondamentalmente un'oscurità e dovrebbe essere aggiunta solo come livello e non come vera misura di sicurezza.

Un modo per gestirlo sarebbe aggiungere un componente aggiuntivo che richiede la convalida con il server, come un token di licenza o un nome, prodotto da una sorta di processo legittimo come una registrazione web, che è quindi parte del processo di attivazione.

Questo può ancora essere giocato, ma è molto più facile da rilevare sul lato server quando sono presenti entrambi i componenti. Inoltre, è possibile inserire un controllo di convalida sul lato server in base a un numero di variabili acquisite durante l'attivazione, ad esempio: indirizzo IP di origine, sistema operativo, ecc. Quindi se si sono verificate 10.000 attivazioni da un paese imprevisto all'improvviso , o qualche altro modello, potresti disabilitare le attivazioni future da quella posizione.

Questa è un'altra variante del classico problema di trust-the-client. È necessario fornire al computer client informazioni sufficienti per generare la firma, a quel punto se l'utente malintenzionato ha accesso a quella macchina che si perde. RSA non ti aiuterà lì.

Per farlo funzionare è necessario assicurarsi che gli operatori dei computer di destinazione non abbiano accesso all'applicazione. vale a dire: non sono amministratori, l'applicazione viene installata da un altro utente come tale Sistema locale e la chiave condivisa (o chiave pubblica per RSA) non viene lasciata in giro da qualche parte in cui possono vederla quando l'applicazione è pronta per l'uso. p>     

L'unico modo per garantire che solo il tuo codice non modificato venga eseguito sul lato client è quello di integrare la cooperazione di hardware resistente alla manomissione e incorruttibile - ad es. un TPM . In larga misura, questo è il modello di sicurezza delle console di gioco come PS3 (l'hardware speciale è quindi integrato in la CPU a banda larga del computer ). Quando Sony non funziona, questo funziona abbastanza bene (cioè Sony ne ricava ancora molti soldi, la pirateria del software e le applicazioni modificate rimangono a basso impatto finanziario).

Non puoi contare sull'esistenza di tale hardware su PC o smartphone oggi. Nessuna quantità di RSA può sostituirla.