如何为我的 C# 应用程序创建产品密钥？

Question

如何为我的 C# 应用程序创建产品密钥？

我需要创建每年更新的产品（或许可证）密钥。 此外，我需要创建一个试用版。

相关：

• 如何最好地混淆我的 C# 产品许可证验证代码？
• 如何保护您的软件免遭非法分发？

Answer 1

您可以执行一些操作，例如创建一条记录，其中包含您想要向应用程序进行身份验证的数据。 这可以包括您想要的任何内容 - 例如要启用的程序功能、到期日期、用户名称（如果您想将其绑定到用户）。 然后使用某种带有固定密钥的加密算法对其进行加密或对其进行散列。 然后您只需在程序中验证它即可。 分发许可证文件（在 Windows 上）的一种方法是将其作为更新注册表的文件提供（用户不必键入它）。

但要小心错误的安全感 - 迟早有人会简单地修补您的程序以跳过该检查，并分发修补后的版本。 或者，他们将制定一个通过所有检查的密钥并分发该密钥，或者回溯时钟等。无论您制定的计划多么复杂，您为此所做的任何事情最终都将通过默默无闻来实现安全，并且他们将永远能够做到这一点。 即使他们不能，也会有人会，并且会分发黑客版本。 即使您提供了加密狗，同样适用 - 如果有人愿意，他们也可以修补该检查。 对代码进行数字签名不会有帮助，他们可以删除该签名，或放弃它。

您可以通过使用技术来阻止程序在调试器等中运行，从而使问题变得复杂一些，但即使这样也不是万无一失的。 所以你应该让它变得足够困难，这样诚实的用户就不会忘记付款。 还要非常小心，不要让您的方案对付费用户造成干扰 - 最好有一些盗版副本，而不是让您的付费客户无法使用他们已付费的产品。

另一种选择是进行在线检查——只需为用户提供唯一的ID，并在线检查该ID应具有哪些功能，并将其缓存一段时间。 但所有同样的警告仍然适用——人们可以避开这样的事情。

还要考虑必须处理忘记密钥的用户等的支持成本。

编辑：我只是想补充一点，不要在这方面投入太多时间，或者认为您的复杂方案会有所不同，并且无法破解的。 只要人们控制程序运行的硬件和操作系统，就不会也不可能。 开发人员一直试图为此提出更复杂的方案，认为如果他们为此开发自己的系统，那么只有他们自己知道，因此“更安全”。 但这实际上相当于尝试构建永动机的编程。 :-)

Answer 2

你信任谁？

我一直认为这个领域太重要了，以至于不能信任第三方来管理应用程序的运行时安全性。 一旦某个应用程序的该组件被破解，所有应用程序的该组件也会被破解。 一旦他们采用第三方许可解决方案谨慎 href="https://en.wikipedia.org/wiki/Autodesk_3ds_Max" rel="nofollow noreferrer">3ds Max 年前...美好时光！

说真的，考虑一下自己动手来完全控制你的算法。 如果这样做，请考虑在密钥中使用以下组件：

• 许可证名称 - 您正在许可的客户端（如果有）的名称。 对于管理公司部署很有用 - 让他们觉得在您提供给他们的许可证信息中拥有“个性化”名称很特别。
• 许可证到期日期
• 在同一许可证下运行的用户数量。 这假设您有一种方法以服务器式的方式跟踪整个站点上正在运行的实例
• 功能代码 - 让您可以跨多个功能和多个产品使用相同的许可系统。 当然，如果一种产品被破解，那么所有产品都会被破解。

然后对它们进行校验和，并添加您想要的任何（可逆）加密，以使其更难破解。

要制作试用许可证密钥，只需设置上述值（翻译为“试用模式”）即可。

由于这现在可​​能是您的应用程序/公司中最重要的代码，因此除了混淆之外，考虑将解密例程放入本机 DLL 文件中，然后简单地 P/Invoke 到它。

我工作过的几家公司为此采用了通用方法并取得了巨大成功。 或者也许这些产品不值得破解；）

Answer 3

如果您询问可以输入的密钥（例如 Windows 产品密钥），那么它们是基于一些检查的。 如果您谈论的是必须复制粘贴的密钥，那么它们是基于数字签名（私钥加密）的。

一个简单的产品密钥逻辑可以首先说明产品密钥由四个 5 位数字组组成，例如 abcde-fghij-kljmo-pqrst，然后继续指定内部关系，例如 f+ k+p 应等于 a，这意味着 2、3 和 4 组的第一位数字总计应为 a。 这意味着 8xxxx-2xxxx-4xxxx-2xxxx 有效，8xxxx-1xxxx-0xxxx-7xxxx 也是有效的。 当然，还会有其他关系，包括复杂的关系，例如，如果第一组的第二位数字是奇数，那么最后一组的最后一位数字也应该是奇数。 这样就会有产品密钥的生成器，并且产品密钥的验证将简单地检查它是否符合所有规则。

加密通常是有关使用私钥加密的许可证信息字符串（==数字签名）并转换为 Base64。 公钥随应用程序一起分发。 当 Base64 字符串到达​​时，将通过公钥对其进行验证（==解密），如果发现有效，则激活产品。

Answer 4

无论它是微不足道的还是难以破解的，我不确定它是否真的有很大的不同。

您的应用程序被破解的可能性与其实用性成正比，而不是与产品密钥处理的强度成正比。

就我个人而言，我认为有两类用户。 那些付钱的人。 那些不这样做的人。 那些这样做的人很可能会在采取最微不足道的保护措施的情况下这样做。 那些不这样做的人会等待裂缝或寻找其他地方。 不管怎样，它不会给你带来更多的钱。

Answer 5

我不得不承认我会做一些相当疯狂的事情。

1. 找到 CPU 瓶颈并将其提取到 P/Invokeable DLL 文件。
2. 作为构建后操作，使用 XOR 加密 DLL 文件的一部分
   加密密钥。
3. 选择公钥/私钥方案，将公钥包含在 DLL 文件中
4. ，以便解密产品密钥并对两者进行异或
   将其减半得到 DLL 的加密密钥。
5. 在DLL的DllMain代码中，禁用保护（PAGE_EXECUTE_READWRITE）
   并用密钥解密。
6. 创建一个 LicenseCheck() 方法来对
   许可证密钥和参数，然后对整个 DLL 文件进行校验和，抛出
   任何一方都违反许可证。 哦，还有一些其他的初始化
   这里。

当他们找到并删除 LicenseCheck 后，接下来会发生什么有趣的事情
当 DLL 启动分段错误时。

Answer 6

还有Microsoft 软件许可和保护 (SLP) 服务选项。 读完后我真的希望我能使用它。

我真的很喜欢根据许可证阻止部分代码的想法。 热门内容，对于 .NET 来说是最安全的。 即使您不使用它，读起来也很有趣！

Microsoft® 软件许可和
保护 (SLP) 服务是
软件激活服务
使独立软件供应商
(ISV) 采用灵活的许可
为他们的客户提供的条款。 微软
SLP 服务采用独特的
有助于保护的保护方法
您的申请和许可
信息让您能够到达
市场增长速度更快
客户合规性。

注意：这是我发布具有敏感代码（例如有价值的算法）的产品的唯一方法。

Answer 7

如果您想要一个简单的解决方案来创建和验证序列号，请尝试 Ellipter。 它使用椭圆曲线加密技术并具有“到期日期”功能，因此您可以创建试用版本或有时限的注册密钥。

Answer 8

另一种用于产品密钥和激活的廉价工具是名为 InstallKey 的产品。 看看 www.lomacons.com

Answer 9

一种简单的方法是使用全局唯一标识符 (GUID)。 GUID 通常存储为 128 位值，并且通常显示为 32 个十六进制数字，各组之间用连字符分隔，例如 {21EC2020-3AEA-4069-A2DD-08002B30309D}。

通过 System.Guid.NewGuid() 在 C# 中使用以下代码。

getKey = System.Guid.NewGuid().ToString().Substring(0, 8).ToUpper(); //Will generate a random 8 digit hexadecimal string.

_key = Convert.ToString(Regex.Replace(getKey, ".{4}", "$0/")); // And use this to separate every four digits with a "/".

我希望它有帮助。

Answer 10

诀窍是拥有一个只有您知道的算法（以便可以在另一端对其进行解码）。

有一些简单的事情，例如“选择一个质数并为其添加一个幻数”，也

有更复杂的选项，例如对一组二进制数据（可能包括唯一标识符、版本号等）使用非对称加密并分发加密的数据数据作为关键。

也可能值得阅读这个问题的回复

Answer 11

有一些可用的工具和 API。 但是，我认为您不会免费找到一个；）

例如，有 OLicense 套件：
http://www.olicense.de/index.php?lang=en

Answer 12

请检查这个答案： https://stackoverflow.com/a/38598174/1275924

这个想法是使用 Cryptolens 作为许可证服务器。 下面是一个分步示例（使用 C# 和 VB.NET）。 我还在下面附加了用于密钥验证的代码片段（用 C# 编写）：

var licenseKey = "GEBNC-WZZJD-VJIHG-GCMVD";
var RSAPubKey = "{enter the RSA Public key here}";

var auth = "{access token with permission to access the activate method}";
var result = Key.Activate(token: auth, parameters: new ActivateModel()
{
    Key = licenseKey,
    ProductId = 3349,
    Sign = true,
    MachineCode = Helpers.GetMachineCode()
});

if (result == null || result.Result == ResultType.Error ||
    !result.LicenseKey.HasValidSignature(RSAPubKey).IsValid())
{
    // an error occurred or the key is invalid or it cannot be activated
    // (eg. the limit of activated devices was achieved)
    Console.WriteLine("The license does not work.");
}
else
{
    // everything went fine if we are here!
    Console.WriteLine("The license is valid!");
}

Console.ReadLine();

Answer 13

您可以查看LicenseSpot。 它提供：

• 免费许可组件
• 在线激活
• API，用于集成您的应用程序和在线商店
• 序列号生成
• 撤销许可证
• 订阅管理

Answer 14

我将借鉴 @frankodwyer 的精彩答案，并更深入地研究基于在线的许可。 我是 Keygen 的创始人，这是一个为开发人员构建的许可 REST API。

由于您提到您的应用程序需要两种“类型”的许可证，即“完整版”和“试用版”，我们可以简化这一点并使用功能许可证模型，您可以在其中许可特定功能您的应用程序（在本例中，有一个“完整”功能集和一个“试用”功能集）。

首先，我们可以创建 2 个许可证类型（在注册机中称为策略），每当用户注册帐户时，您都可以生成一个“试用”许可证供他们开始使用（“试用”许可证实现我们的“试用”功能政策），您可以使用它在应用程序内进行各种检查，例如用户是否可以使用Trial-Feature-A和试用功能-B。

在此基础上，每当用户购买您的应用（无论您使用的是 PayPal、Stripe 等），您都可以生成一个实现“完整”功能策略的许可证，并将其与用户的应用程序关联起来。 帐户。 现在，在您的应用程序中，您可以检查用户是否拥有可以执行 Pro-Feature-X 和 Pro-Feature-Y 操作的“完整”许可证（通过执行类似 代码>user.HasLicenseFor(FEATURE_POLICY_ID))。

我提到允许您的用户创建用户帐户 - 我的意思是什么？ 我已在 a 中详细介绍了这一点其他几个答案，但快速概述一下为什么我认为这是验证和识别用户的更好方法：

1. 用户帐户允许您关联多个许可证和多台计算机< /em> 面向单个用户，让您深入了解客户的行为并提示他们进行“应用内购买”，即购买“完整”版本（类似于如移动应用程序）。
2. 我们不应该要求客户输入很长的许可证密钥，这些密钥输入起来既繁琐又难以跟踪，即很容易丢失。 （尝试在 Twitter 上搜索“丢失的许可证密钥”！）
3. 客户习惯使用电子邮件/密码； 我认为我们应该做人们习惯做的事情，这样我们才能提供良好的用户体验（UX）。

当然，如果您不想想要处理用户帐户并且您希望您的用户输入许可证密钥，那完全没问题（以及 Keygen 也支持这样做）。 我只是提供另一种方法来处理许可方面的问题，并希望为您的客户提供良好的用户体验。

最后，由于您还提到您希望每年更新这些许可证，因此您可以在策略上设置一个持续时间，以便“完整”许可证将在一年后到期，而“试用”许可证将在最后两周到期，要求您的用户在到期后购买新的许可证。

我可以深入研究，将机器与用户相关联以及类似的事情，但我想我应该尽量简短地回答这个问题，并专注于向用户简单地许可功能。

Answer 15

您可以使用 HMAC 来完成此操作。 使用 HMAC，当您对某些内容进行哈希处理时，您还可以使用密钥，这可以帮助您验证消息/序列密钥的完整性和真实性。 这意味着您验证许可证密钥是否真实，并且是您使用秘密字符串生成的。

HMAC 很酷，因为它超级简单。 它不像公钥加密。 它是对称的，这意味着您所需要做的就是生成一个秘密字符串，并且该密钥既可用于生成哈希值，也可用于稍后验证它们。 这正是您创建产品密钥时所需要的。

首先，您需要生成一个密钥：

string secretKey = "mySecr3tKey!"

然后您将生成一个序列号/产品密钥。 对于密钥，我将把它分成 5 个字符的组。 序列密钥的长度为 15 个字符，HMAC 的长度也为 15 个字符。 我们将把它们结合在一起。

为了生成序列密钥，我将使用 GUID，如下所示：

var serialKey = Guid.NewGuid().ToString().ToUpper().Replace("-", "").Substring(0, 15);
// Example Output = 9F1264CB63D54C9

获得序列密钥后，您将使用只有您知道的密钥生成序列的 HMAC 哈希值。 像这样：

var hmacToStore = CalculateHmac(serialKey, secretKey);
// Example Output = EE12A29DA5F2500

现在我们有了序列号/产品密钥和 HMAC，我们将它们组合起来创建完整的序列号。 例如：

Generated Serial Key = 9F1264CB63D54C9
Generated HMAC       = EE12A29DA5F2500
Full Serial Key      = 9F126-4CB63-D54C9-EE12A-29DA5-F2500

现在，当用户输入完整的序列号时，为了验证密钥，您可以从 HMAC 中分离序列号。 然后使用我们的秘密私钥从序列号生成一个新的 HMAC。 如果生成的 HMAC 与许可证密钥中的 HMAC 匹配，则您知道其有效。

var isValid = ValidateLicense(userLicense, secretKey);

以下是演示上述内容的完整代码清单：

using System;
using System.Security.Cryptography;
using System.Text;
                
public class Program
{
    public static void Main()
    {
        //var base64Secret = CreatePrivateKey();
        var base64Secret = "ADmDcqb8KQB/OE1/6VM+kJra6UE0VBcw3uRz4dN268Y7M/UsiSz0FuGSsfNkasmDQFAvJIUUEdB2EBzxtrd0tQ==";

        var licenseKey = CreateLicense(base64Secret);

        var isValid = ValidateLicense(licenseKey, base64Secret);
                    
        Console.WriteLine($"Is Licsense Valid = {isValid}");
    }
    
    static string CreatePrivateKey()
    {
        byte[] secretKey = GenerateRandomCryptographicBytes(64);

        // Convert key to base64 so can easily store it on the database.
        // This key should be kept private.
        var base64Secret = Convert.ToBase64String(secretKey );
        
        Console.WriteLine($"Private Key = {base64Secret}");

        return base64Secret;
    }
    
    static string CreateLicense(string secretKey)
    {
        var licenseKey = Guid.NewGuid().ToString().ToUpper().Replace("-", "").Substring(0, 15);

        Console.WriteLine($"licenseKey = {licenseKey}");

        // Generate a Hmac license using secretkey
        var storedHmacOnDB = CalculateHmac(licenseKey, secretKey).ToUpper();
        var HMACTruncated = storedHmacOnDB.Substring(0, 15);

        Console.WriteLine($"HMAC = {HMACTruncated}");

        var licenseAndHMAC = InsertHyphen($"{licenseKey}{HMACTruncated}");

        Console.WriteLine($"Final User Licsense = {licenseAndHMAC}");

        return licenseAndHMAC;
    }
    
    static bool ValidateLicense(string licenseKey, string secretKey)
    {
        var tmp = licenseKey.Split('-');

        var license = $"{tmp[0]}{tmp[1]}{tmp[2]}";
        var licenseHmac = $"{tmp[3]}{tmp[4]}{tmp[5]}";

        string calculatedHmac = CalculateHmac(license, secretKey);
        var HMACTruncated = calculatedHmac.ToUpper().Substring(0, 15);

        bool isValid = licenseHmac.Equals(HMACTruncated, StringComparison.OrdinalIgnoreCase);

        return isValid;
    }
    
    static string InsertHyphen(string input, int everyNthChar = 5)
    {
        var sb = new StringBuilder();
        for (int i = 0; i < input.Length; i++)
        {
            sb.Append(input[i]);
            if ((i + 1) % everyNthChar == 0 && i != input.Length - 1)
            {
                sb.Append("-");
            }
        }
        return sb.ToString();
    }
    
    static byte[] GenerateRandomCryptographicBytes(int keyLength)
    {
        byte[] key = new byte[64];
        using (RandomNumberGenerator rng = RandomNumberGenerator.Create())
        {
            rng.GetBytes(key);
        }
        return key;
    }
    
    static string CalculateHmac(string data, string hashKeyBase64)
    {
        var byteArray = Convert.FromBase64String(hashKeyBase64);
        return CalculateHmac(data, byteArray);
    }

    static string CalculateHmac(string data, byte[] hashKey)
    {
        var hmac = new HMACMD5(hashKey);
        byte[] hashBytes = hmac.ComputeHash(Encoding.UTF8.GetBytes(data));
        return BitConverter.ToString(hashBytes).Replace("-", "").ToLower();
        }
    }
}

上面的代码将生成一个 15 个字符的序列号、一个 15 个字符的 HMAC，然后将它们组合成一个 30 个字符的最终序列号密钥，如下所示：

Serial = A273C22C9FD84DF
HMAC = 301E028243A25B2
Final Serial = A273C-22C9F-D84DF-301E0-28243-A25B2

如果将序列号传递给 ValidateLicense 函数，则会根据您的密钥告诉您其是否有效

var isValid = ValidateLicense("19460-63CC4-BB45F-6F6E6-4A983-DC0B1", base64Secret);

理想情况下，验证函数和您的密钥应该位于服务器端。 客户端应用程序应调用 API 并将产品密钥传递给服务器进行验证。 如果您将秘密存储在应用程序中，恶意用户可能会尝试反汇编代码以窃取您的私钥。