Das deutsche Python-Forum

Hallo, ich habe ein kleines Programm für kommerzielle Zwecke geschrieben, jedoch bräuchte ich irgendwie einen Weg, um quasi nur für Nutzer mit einer dementsprechenden Lizenz den Zugang zu ermöglichen. Mir ist natürlich klar, dass ich dafür eine Cloud Lösung brauche, jedoch habe ich keine Ahnung wie ich das integrieren kann, um die Software zu schützen. Wäre für entsprechende Vorschläge dankbar. Ich habe auch vorher mal auf Google danach gesucht, jedoch habe ich nur einen ziemlich teuren Anbieter gefunden.

Kunden bindet man am besten durch guten Service. Der Anteil der Nutzer, die das Programm benutzen wollen aber nur zahlen, wenn sie dazu gezwungen werden, ist sehr gering. Lizenzgängelung und Onlinezwang kann sich ein kleiner Anbieter eigentlich nicht leisten. Investiere die Zeit und das Geld besser in ein gutes Produkt.

Sirius3 hat geschrieben: Donnerstag 25. April 2019, 23:09 Kunden bindet man am besten durch guten Service. Der Anteil der Nutzer, die das Programm benutzen wollen aber nur zahlen, wenn sie dazu gezwungen werden, ist sehr gering. Lizenzgängelung und Onlinezwang kann sich ein kleiner Anbieter eigentlich nicht leisten. Investiere die Zeit und das Geld besser in ein gutes Produkt.

Was genau hat das denn mit dem Thema zu tun? Vor allem kennst du weder das Produkt, noch die Zielgruppe. Was hat denn ein Onlinezwang mit viel Geld zu tun? Ich suche nur nach einer schlauen Lösung, die vielleicht hier jemand durch Erfahrung erworben hat. Zudem hat eine Sicherheitsmaßnahme rein gar nichts mit Service zu tun. Ich habe einfach nur kein Interesse daran, dass jemand meine Bemühungen publiziert. Oder ist das etwa zu dreist?

@Call: Sirius3 ist gedanklich womöglich etwas vorgeprescht. Das du vermutlich eine Server-basierte Lösung brauchst, hast du bereits dargelegt. Warum sich diese Lösung aber auf "einen ziemlich teueren Anbieter" reduziert, erschließt sich mir aus deiner Beschreibung nicht.

Dreist nicht. Mit Python allerdings etwas ungewöhnlich, weil selbst Byte kompiliert leichter zu knacken. Wobei das letztlich genauso bei C++ passiert. Wie zb bei unserem Produkt.

Wenn du sowas selbst bauen willst, hast du die besten Chancen wenn du signifikante Teile deiner Anwendung online laufen lassen kannst. Zb einen Algorithmus der relevant ist. Damit zwingst du die Leute, eine erworbene Lizenz zu nutzen.

Wenn das nicht geht, ist das übliche Vorgehen eine challenge response mit einem hardware-basierten Fingerabdruck. Den schickst du an den Server, und der verschlüsselt den asymmetrisch. Das Ergebnis kommt zurück, und kann mit dem passenden Schlüssel in deiner Software verifiziert werden.

Das aus deinem Programm zu patchen dauert allerdings nur wenige Minuten für fähige Leute. 100%ige Sicherheit gibt’s also nicht.

kbr hat geschrieben: Donnerstag 25. April 2019, 23:33 @Call: Sirius3 ist gedanklich womöglich schon etwas vorgeprescht. Das du vermutlich eine Server-basierte Lösung brauchst, hast du bereits dargelegt. Warum sich diese Lösung aber auf "einen ziemlich teueren Anbieter" reduziert, erschließt sich mir aus deiner Beschreibung nicht.

@kbr Der Anbieter den ich gefunden habe, hatte einen Tarif, bei dem die Nutzer bei jedem Login eine API Request auslösen, wodurch eine Vergütung zustande kommt. Jedoch möchte ich nicht pro API request, sondern viel lieber entweder pro Lizenz zahlen, oder einfach die gesamte Lizenzierung über einen kleinen VPS oder so regeln. Also diese Lösung soll sich nicht auf den teuren Anbieter reduzieren, sondern nur teure Lösungen ausschließen.

__deets__ hat geschrieben: Donnerstag 25. April 2019, 23:38 Dreist nicht. Mit Python allerdings etwas ungewöhnlich, weil selbst Byte kompiliert leichter zu knacken. Wobei das letztlich genauso bei C++ passiert. Wie zb bei unserem Produkt.

Wenn du sowas selbst bauen willst, hast du die besten Chancen wenn du signifikante Teile deiner Anwendung online laufen lassen kannst. Zb einen Algorithmus der relevant ist. Damit zwingst du die Leute, eine erworbene Lizenz zu nutzen.

Wenn das nicht geht, ist das übliche Vorgehen eine challenge response mit einem hardware-basierten Fingerabdruck. Den schickst du an den Server, und der verschlüsselt den asymmetrisch. Das Ergebnis kommt zurück, und kann mit dem passenden Schlüssel in deiner Software verifiziert werden.

Das aus deinem Programm zu patchen dauert allerdings nur wenige Minuten für fähige Leute. 100%ige Sicherheit gibt’s also nicht.

Gäbe es vielleicht noch die Möglichkeit, das Programm zu "ummanteln" mit etwa einem schwer knackbarem System? Denn die Algorithmen kann ich aus bestimmten Gründen nicht über einen Server laufen lassen. Und mich lässt es bedenken, dass eben keine 100%ige Sicherheit gibt mit der genannten Lösung.

Je eher du dich damit abfindest, desto besser: es geht nicht 100%ig. Wenn du Code auf fremder Leute Rechner ausführst, können die daran. Alle und jede Systeme, erst recht wenn auf normalen OS laufend, sind geknackt worden. Das einzige, was du tun kannst, ist es dem gelegenheitsuser schwer zu machen. Wenn milliardenschwere unternehmen wie Sony das nicht hinbiegen, bekommst du es auch nicht hin.

Call hat geschrieben: Donnerstag 25. April 2019, 23:53 Gäbe es vielleicht noch die Möglichkeit, das Programm zu "ummanteln" mit etwa einem schwer knackbarem System? Denn die Algorithmen kann ich aus bestimmten Gründen nicht über einen Server laufen lassen. Und mich lässt es bedenken, dass eben keine 100%ige Sicherheit gibt mit der genannten Lösung.

Ja und den Mantel ummantelst du dann wieder mit einem Mantel etc etc etc...
Deine Naivität läßt viele hier schmunzeln und das ist kein Diss oder Hate.
Kannst ja mal hier über den bislang super tollsten absolut unknackbarsten Kopierschutz der Welt nachlesen.
https://de.wikipedia.org/wiki/Denuvo

Call hat geschrieben: Donnerstag 25. April 2019, 23:53Und mich lässt es bedenken, dass eben keine 100%ige Sicherheit gibt mit der genannten Lösung.

Du musst nur die Stelle in einem Programm finden wo der Lizenz Check gemacht wird und diese entfernen oder einen Befehl davor schieben der den Check überspringt. Das geht auch ohne den Code zu verändern indem man den binärcode patcht.

Konzeptionell spielt es also gar keine Rolle was der Lizenz Check macht, ein Check kann also auch nicht wesentlich sicherer als ein anderer sein. Unterschiedliche Checks unterscheiden sich primär darin wieviel Geld dafür in den Sand gesetzt wurde.

Dazu kommt dass anders als die Fenster in deiner Wohnung, die selbstverständlich auch keine 100% Sicherheit bieten, es keinen nennenswerten sozialen oder moralischen Druck gibt Lizenz Checks zu umgehen. Du hast also auch kein "keeping honest people honest" Effekt auf den du dich verlassen kannst.

Entweder du gehst in Richtung SaaS, vertraust darauf dass genug Kunden zu faul/inkompetent sind einen nutzlosen Check zu umgehen oder du vertreibst Software im Enterprise Bereich für richtig viel Geld. Letzteres kommt dann in der Regel mit Support Veträgen und teilweise der Möglichkeit Audits auszuführen, da spielt das umgehen von Lizenz Checks dann keine Rolle mehr.