口頭でのチャレンジ/レスポンス戦略について: このアプローチを使用して、世界中の 5,000 台のワークステーションで 10 年以上にわたってニッチなアプリケーションのライセンスを取得しました。私たちのサポート チームは、古い映画で見られる古典的なミサイル発射認証プロセスに類似しているため、これを「ミサイル発射コード」と呼びました。
これは、プログラムを保護するための非常に時間のかかる方法です。スタッフと顧客は、ユーザーとの間でコードを読み取るために膨大な時間を費やしました。彼らは皆それを嫌っていました。
あなたの状況/コンテキストは異なる場合があります。おそらく、私たちほど頻繁に使用することはないでしょう。しかし、ここにいくつかの提案があります：
コードの長さと内容を慎重に検討してください。ほとんどのユーザー (およびサポート スタッフ) は、大量の文字を入力することに不満を感じています。多くのユーザーはタイピングが下手です。追加されたセキュリティの量と比較して、句読点や大文字と小文字の区別を含む長い文字列が過度に負担になるかどうかを検討してください。
口頭でのチャレンジ/レスポンスの実装を何年も使用した後、(フォールバックとして) そのままにしましたが、単純な自動化システムを追加しました。より洗練された Web アプローチではなく FTP を使用することを選択したため、社内サーバーでソフトウェアを実行する必要はありません (または、IT スタッフに対処する必要もありません!)。
基本的に、以前は電話で行われていた交換を FTP ファイルを使用して行います。サーバーは、チャレンジ フレーズを含むファイルを FTP サーバーに配置します。ファイル名はお客様の名前です。当社のサポート スタッフは、ftp サイトにこのファイルを自動的に作成するプログラムを持っています。
顧客は、FTP ファイルを読み取って認証し、応答ファイルをサーバーに戻すホット キーを押すようにスタッフから指示されます。
当社のサポート スタッフのソフトウェアは、お客様のソフトウェアが応答ファイルを作成するのを待ってポーリングしています。ファイルを見ると、ダウンロードして内容を確認し、サーバーから削除します。
もちろん、この交換は、目標を達成するために、特定のセッションで必要な回数だけどちらの方向にも発生させることができます.
ファイル内のデータには、口頭で使用するのと同じ MD5 キーを使用できるため、必要なだけ安全です。
このシステムの弱点は、ユーザーが FTP アクセスを持っている必要があることです。大多数のユーザー (すべての企業) が FTP アクセスを利用できることがわかりました。(もちろん、あなたの顧客ベースはそうではないかもしれません...) 現場のアプリケーションが FTP サイトにアクセスできない場合、問題が明確に通知されるため、顧客は IT スタッフにアクセスを開くように要求できます。その間、私たちは口頭のコードに戻ります。
プレーンなバニラ Indy FTP ツールを問題なく使用しました。
このアプローチにはいくつかの弱点があることは間違いありません (おそらく、私たちが考えもしなかったものも含まれます)。私たちのサポートスタッフと顧客はそれを気に入っています。
これがあなたに関係ない場合は申し訳ありません。これがあなたに役立つことを願っています。