如何生成和验证软件许可证密钥？

Question

我目前正在开发一个产品（用 C# 开发），该产品可以免费下载和安装，但版本非常有限。 要访问所有功能，用户必须支付许可费并获得密钥。 然后将该密钥输入到应用程序中以“解锁”完整版本。

由于使用这样的许可证密钥很常见，我想知道：

1. 这通常是如何解决的？
2. 如何生成密钥以及应用程序如何验证它？
3. 我怎样才能避免密钥在互联网上发布并被未支付许可证费用的其他人使用（密钥基本上不是“他们的”）。

我想我还应该以某种方式将密钥与应用程序的版本联系起来，这样就可以对功能版本中的新密钥进行收费。

在这种情况下我还应该考虑什么？

Answer 1

警告：您无法阻止用户盗版，而只能让诚实的用户更容易做正确的事情。

假设您不想为每个用户进行特殊构建，则：

• 为产品自己生成一个密钥
• 获取用户名 将用户
• 名、密钥和哈希值与（例如）SHA1
• 连接起来 将 SHA1 哈希值解压为字母数字字符串。 这是个人用户的“产品密钥”
• 在程序内，执行相同的哈希，并与产品密钥进行比较。 如果相等就OK。

但是，我再说一遍：这不会防止盗版

---

我最近读到，这种方法在密码学上并不是很可靠。 但这个解决方案已经很弱了（因为软件本身必须在某个地方包含密钥），所以我不认为这一发现会使该解决方案失效。

只是觉得我真的应该提一下这一点； 如果您打算从中获得其他东西，请小心。

Answer 2

生成许可证密钥的方法有很多，但真正安全的方法很少。 这很遗憾，因为对于公司来说，许可证密钥几乎与真正的现金具有相同的价值。

理想情况下，您希望您的许可证密钥具有以下属性：

1. 只有您的公司才能为您的产品生成许可证密钥，即使有人对您的产品进行完全逆向工程（根据我的经验，这种情况将会发生）。 如果您认真控制许可，那么在软件中混淆算法或隐藏加密密钥确实是不可能的。 如果您的产品成功，有人将在发布后几天内制作密钥生成器。

2. 许可证密钥应该只能在一台计算机上使用（或者至少您应该能够非常严格地控制它）

3. 许可证密钥应该简短且易于通过电话键入或口述。 您不希望每个客户都致电技术支持，因为他们不明白密钥中是否包含“l”或“1”。 您的支持部门会为此向您表示感谢，并且您在这方面的成本将会降低。

那么您如何解决这些挑战呢？

1. 答案很简单，但在技术上具有挑战性：使用公钥加密技术的数字签名。 您的许可证密钥实际上应该是签名的“文档”，其中包含一些有用的数据，并使用您公司的私钥签名。 签名应该是许可证密钥的一部分。 产品应使用相应的公钥验证许可证密钥。 这样，即使有人可以完全访问您的产品逻辑，他们也无法生成许可证密钥，因为他们没有私钥。 许可证密钥如下所示： BASE32(CONCAT(DATA, PRIVATE_KEY_ENCRYPTED(HASH(DATA))))
   这里最大的挑战是经典的公钥算法具有很大的签名大小。 RSA512 具有 1024 位签名。 您不希望您的许可证密钥有数百个字符。
   最强大的方法之一是使用椭圆曲线加密技术（仔细实施以避免现有专利）。 对于相同的强度，ECC 密钥比 RSA 密钥短 6 倍。 您可以使用 Schnorr 数字签名算法（专利于 2008 年过期 - 好:)）等算法进一步减小签名大小

2. 这可以通过产品激活来实现（Windows 就是一个很好的例子）。 基本上，对于拥有有效许可证密钥的客户，您需要生成一些“激活数据”，这是一条嵌入计算机硬件 ID 作为签名数据的签名消息。 这通常通过互联网完成，但仅一次：产品将许可证密钥和计算机硬件 ID 发送到激活服务器，激活服务器发回签名消息（该消息也可以变得简短且易于通过电话）。 从那时起，产品在启动时不再检查许可证密钥，而是检查激活数据，这需要计算机相同才能验证（否则，DATA将不同，数字签名将无法验证）。 请注意，激活数据检查不需要通过 Internet 进行验证：使用已嵌入产品中的公钥来验证激活数据的数字签名就足够了。

3. 好吧，只需从键中删除“1”、“l”、“0”、“o”等冗余字符即可。 将许可证密钥字符串拆分为字符组。

Answer 3

答案很简单——无论你使用什么方案，它都可以被破解。

不要用旨在防止黑客的系统来惩罚诚实的客户，因为黑客无论如何都会破解它。

与他们的电子邮件或类似内容相关联的简单散列代码可能就足够了。 当人们需要重新安装或更新硬件时，基于硬件的 ID 总是成为一个问题。

关于这个问题的好线索：
http://discuss .joelonsoftware.com/default.asp?biz.5.82298.34

Answer 4

生成密钥时，不要忘记将版本和内部版本号连接到计算哈希值的字符串。 这样就不会有一把钥匙可以解锁您发布的所有内容。

当你发现 astalavista.box.sk 中漂浮着一些密钥或补丁后，你就会知道你成功地让某些东西流行起来足以让有人费心去破解。 麾！

Answer 5

我是 Cryptolens 软件许可平台的开发人员之一，从 14 岁起就一直致力于许可系统的开发。在这个答案中，我根据多年来获得的经验提供了一些提示。

解决此问题的最佳方法是设置一个许可证密钥服务器，应用程序的每个实例都将调用该服务器来验证许可证密钥。

许可证密钥服务器的优点

许可证密钥服务器的优点是：

1. 您始终可以立即更新或阻止许可证密钥。
2. 每个许可证密钥可以锁定到一定数量的计算机（这有助于防止用户在线发布许可证密钥供其他人使用）。

注意事项

虽然在线验证许可证可以让您更好地控制应用程序的每个实例，但互联网连接并不总是存在（特别是如果您的目标是大型企业），因此我们需要另一种方法来执行许可证密钥验证。

解决方案是始终使用公钥加密系统（例如 RSA 或 ECC）对来自服务器的许可证密钥响应进行签名（如果您计划在嵌入式系统上运行，可能会更好）。 您的应用程序应该仅具有公钥来验证许可证密钥响应。

因此，如果没有互联网连接，您可以使用以前的许可证密钥响应。 确保在响应中存储日期和机器标识符，并检查它是否太旧（例如，您允许用户最多离线 30 天等） ）并且许可证密钥响应属于正确的设备。

注意您应该始终检查许可证密钥响应的证书，即使您已连接到互联网），以确保它自离开服务器以来没有被更改（这仍然是即使您的许可证密钥服务器 API 使用 https，也必须执行此操作）

保护秘密算法

大多数 .NET 应用程序都可以很容易地进行逆向工程（微软提供了一个反汇编程序来获取 IL 代码，一些商业产品甚至可以检索源代码）例如 C#）。 当然，您始终可以混淆代码，但它永远不是 100% 安全的。

在大多数情况下，任何软件许可解决方案的目的都是帮助诚实的人诚实（即愿意付费的诚实用户不要忘记在试用期满后付费等）。

但是，您可能仍然拥有一些您绝对不想泄露给公众的代码（例如预测股票价格的算法等）。 在这种情况下，唯一的方法是创建一个 API 端点，您的应用程序将在每次执行该方法时调用该端点。 它需要互联网连接，但它确保您的秘密代码永远不会被客户端计算机执行。

实现

如果您不想自己实现所有内容，我建议您查看本教程< /a> （Cryptolens 的一部分）

Answer 6

除了已经陈述过的内容之外……

由于中间语言问题，.NET 应用程序的任何使用本质上都是脆弱的。 .NET 代码的简单反汇编将向任何人开放您的产品。 那时他们可以轻松绕过您的许可代码。

您甚至不能再使用硬件值来创建密钥。 虚拟机现在允许某人创建“许可”机器的映像并在他们选择的任何平台上运行它。

如果它是昂贵的软件，还有其他解决方案。 如果不是，那么就让普通黑客变得足够困难即可。 并接受这样一个事实：最终将会出现未经许可的副本。

如果您的产品很复杂，固有的支持问题将为您提供一些保护。

Answer 7

我们用于生成许可证密钥的 C# / .NET 引擎现在作为开源维护：

https ://github.com/appsoftware/.NET-Licence-Key-Generator。

它基于“部分密钥验证”系统，这意味着只需将用于生成密钥的密钥的子集编译到可分发文件中。 您可以自行创建密钥，因此许可证实施对于您的软件来说是唯一的。

如上所述，如果您的代码可以被反编译，那么绕过大多数许可系统就相对容易。

Answer 8

我坚信，只有基于公钥加密的许可系统才是正确的方法，因为您不必将许可证生成所需的基本信息包含到源代码中。

过去，我曾多次使用Treek 的许可库，因为它满足了这一点要求并提供非常优惠的价格。 它对最终用户和自身使用相同的许可证保护，直到现在还没有人破解它。 您还可以在网站上找到避免盗版和破解的好提示。

Answer 9

我不知道你想要多详细，

但我相信.net 可以访问硬盘驱动器序列号。

您可以让程序向您发送该信息和一些其他信息（例如网卡的用户名和 MAC 地址），

您可以根据该信息计算代码，然后通过电子邮件将密钥发回给他们。

他们会阻止他们在拿到钥匙后开关机器。

Answer 10

您可以使用免费的第三方解决方案来为您处理此问题，例如 Quantum-Key.Net 它是免费的，可以通过为您创建的 Web 销售页面通过 PayPal 处理付款，通过电子邮件发放密钥，并将密钥使用锁定到特定计算机防止盗版。

您还应该注意混淆/加密您的代码，否则可以使用 De4dot 和 .NetReflector 等软件轻松对其进行逆向工程。 ConfuserEx 是一个很好的免费代码混淆器，它快速且易于使用，并且比昂贵的替代品更有效。

您应该通过 De4Dot 和 .NetReflector 运行您完成的软件，对其进行逆向工程，看看黑客如果做了同样的事情会看到什么，并确保您没有留下任何暴露或未伪装的重要代码。

您的软件仍然是可破解的，但对于休闲破解者来说，这可能足以让他们望而却步，这些简单的步骤也将防止您的代码被提取和重新使用。

https://quantum-key.net

如何使用 ConfuserEx？

https://github.com/ 0xd4d/de4dot

https://www.red- gateway.com/dynamic/products/dotnet-development/reflector/download

Answer 11

我已经在我公司的软件 (C# .net) 上实现了基于 Internet 的一次性激活，该软件需要一个许可证密钥，该许可证密钥引用存储在服务器数据库中的许可证。 该软件使用密钥访问服务器，并获得许可证信息，然后使用客户端计算机上的某些变量（CPUID 和其他不会经常更改的内容的组合）生成的 RSA 密钥在本地进行加密，然后将其存储在注册表。

它需要一些服务器端编码，但它对我们来说非常有效，当我们扩展到基于浏览器的软件时，我能够使用相同的系统。 它还为您的销售人员提供有关软件使用人、地点和时间的重要信息。 任何仅在本地处理的许可系统都非常容易受到攻击，尤其是在 .NET 中进行反射。 但是，正如其他人所说，没有一个系统是完全安全的。

在我看来，如果您不使用基于网络的许可，那么保护软件根本没有任何意义。 DRM 可能会带来令人头疼的问题，这对于真正付费的用户来说是不公平的。

Answer 12

完成您所要求的一切的唯一方法是需要互联网访问和服务器验证。 应用程序需要使用密钥登录服务器，然后需要存储会话详细信息，例如 IP 地址。 这将防止密钥在多台不同的机器上使用。 这通常不受应用程序用户的欢迎，除非这是一个非常昂贵且复杂的应用程序，否则不值得。

您可以只拥有应用程序的许可证密钥，然后检查客户端密钥是否良好，但很容易将此密钥分发给其他用户，并且可以使用反编译器生成新密钥。

Answer 13

我知道这是一个老问题，但当我为我的一个应用程序重写许可流程时，我引用了这个问题。

在阅读了很多意见并依靠过去使用许可证代码的经验后，我想出了这个过程。

public static class LicenseGenerator
{
    private static string validChars = "ACEFHJKMNPRSTUVWXYZ234579";
    private static Random rnd = new Random(Guid.NewGuid().GetHashCode());

    /// <summary>
    /// Generate a license code
    /// </summary>
    /// <param name="length">length of each phrase</param>
    /// <param name="number">number of phrases separated by a '-'</param>
    /// <returns></returns>
    public static string GetNewCode(int length, int number)
    {
        string license = string.Empty;

        for (int numberOfPhrases = 0; numberOfPhrases < number; numberOfPhrases++)
        {
            license += getPhrase(length);
            if (numberOfPhrases < number)
                license += "-";
        }

        return license.TrimEnd('-');
    }

    /// <summary>
    /// generate a phrase
    /// </summary>
    /// <param name="length">length of phrase</param>
    /// <returns></returns>
    private static string getPhrase(int length)
    { 
        string phrase = string.Empty;

        for (int loop = 0; loop < length; loop++)
        {
            phrase += validChars[rnd.Next(validChars.Length)];
        }

        return phrase;
    }
}

您确实不想提供具有相似字母的代码； 当最终用户输入时，它会变得一团糟。像 6 和 G、B 和 8、L、I 和 1 这样的字母。当然，如果您确实需要它们，您可以随时将它们添加回...上面的代码将使用“validChars”中的字符生成类似 xxxx-xxxx-xxxx-xxxx 的许可证。 调用 GetNewCode(4, 4) 将返回类似上面的代码。

我正在使用 Azure 函数来注册然后验证代码。 当我的应用程序注册代码时，它会生成一个加密的哈希值，其中包含安装、设备和/或用户特有的内容。 它提供给注册函数，并与密钥一起存储在 Azure 的数据库中。

验证会重新生成密钥并为其提供许可证代码、IP 地址（在我的情况下不会更改，如果发生更改，则无论如何都需要更新）以及重新生成的哈希，然后如果应用程序是，则 Azure 函数返回领有牌照。 我确实在他们的服务器上存储了一个“临时”密钥，允许应用程序运行一段时间而无需回复。

当然，无论如何，我的应用程序都必须联网才能运行。

因此，最终结果是最终用户输入一个简单的密钥，以及在后端管理许可证的简单过程。 如果需要的话，我还可以使许可证失效。

Answer 14

我通过将程序与不和谐服务器连接来解决这个问题，在特定的聊天中检查用户输入的产品密钥是否存在并且仍然有效。 通过这种方式来接收产品密钥，用户将被迫破解discord，这是非常困难的。