在 i 设备上永久存储许可证密钥的最佳方式

Question

我有一个 woocommerce 商店，其中包含一个生成许可证密钥的插件。

这个想法是我的应用程序的用户将输入一个许可证密钥，该密钥将与服务器进行检查。如果它是正确的，那么应用程序将以某种方式创建一个特殊的文件/持久标志。

一旦激活，用户可以重置设备或其他任何东西，应用程序将简单地检查这个持久性文件/标志是否存在。

我的问题是：

1. 是否有专门用于此类事情的库？
2. 如果不是，那么执行此操作的最佳/标准方法是什么，以便无法将文件复制到其他设备以伪造激活？
3. 我是否可以在应用程序包中使用不可触摸的东西而不是文件来执行此操作？

谢谢大家，一些指导或建议会很棒。

Answer 1

执行此操作的“标准”方法是让 Apple 通过应用内购买或订阅为您管理许可，它们提供了一种安全的实施方式来检查是否已付费，但这可能不是您的选择.

如果您需要自己滚动，则需要使用非对称加密，在服务器上使用任何人都无法访问（除了您）的私钥和在应用程序中分发的公钥。您还需要设备上的 [UIDevice currentDevice].identifierForVendor.UUIDString 值，这是该设备独有的值，用户无法更改（除非他们越狱）。

服务器对2014-03-23,purchased-three-month-license,<device-identifier-for-vendor>,<long-random-number>等一些数据进行加密，并将加密后的数据作为许可密钥提供给设备。

设备拥有公钥，并使用它来解密许可证密钥。然后它检查结果，看日期是否在最近三个月，设备标识符与设备的实际标识符匹配，并验证长随机数是否存在，并且至少有 10 位数字或其他东西（不管是什么随机数是，它只需要在那里）。

任何越狱的人仍然可以绕过您的安全措施。没有办法阻止这种情况。但这需要用户做很多工作，他们可能会直接付费。

加密所需的所有库都是内置的，但它们是低级 API，使用起来有点复杂，而且很容易搞砸。我推荐 RNCryptor 作为它们周围的高级包装器。

另外请注意，如果用户卸载您的应用程序，然后重新安装它（或者有时当 Xcode 安装新版本时）identifierForVendor 将更改为新值。 Apple 强制执行此操作以保护用户隐私，这是没有办法的。您将需要让服务器根据新标识符重新生成新的许可证密钥......也许通过要求用户输入电子邮件地址和密码。您可以通过监控特定电子邮件地址的使用次数来防止盗版。如果他们在 30 天内生成了 5 次许可证密钥，那么您可以将他们标记为盗版。

“woocommerce 商店插件”生成的任何许可证密钥都不起作用，因为它不会使用[UIDevice currentDevice].identifierForVendor.UUIDString 作为许可证密钥生成的一部分。没有这个价值，任何人盗版你的软件都是小菜一碟。

没有“应用程序包中不可触及的东西”之类的东西。唯一这样的事情是苹果硬件中的Secure Enclave。并且为了保护用户隐私，不允许应用开发者直接使用。 identifierForVendor 是唯一的选择。

在旧版本的 iOS 中，有更多的选择，但它们被跟踪苹果客户的广告公司滥用，因此苹果多年来一直在阻止访问。