License offline an toàn: token có ký, TTL ngắn, đồng hồ không đáng tin

Token, không phải cờ

Đừng lưu "đã kích hoạt = true". Lưu một token có ký chứa license, khoá thiết bị, thời điểm cấp và thời điểm hết hạn. Phần mềm kiểm tra chữ ký bằng khoá công khai, không cần mạng.

Hạn ngắn

Token sống vài ngày, không phải vài tháng. Mỗi lần online, phần mềm nhận token mới. License bị thu hồi sẽ dừng khi token cũ hết hạn.

Đồng hồ máy khách nói dối

Người dùng có thể lùi giờ để kéo dài token. Phòng thủ:

• Từ chối token có thời điểm cấp ở tương lai so với đồng hồ hiện tại.
• Ghi nhớ thời điểm muộn nhất từng thấy; nếu giờ hiện tại lùi xa hơn mức cho phép, đòi kết nối lại.
• Báo về server khi phát hiện lùi giờ để chấm điểm rủi ro.

Gắn với thiết bị

Token chỉ hợp lệ trên máy có đúng khoá thiết bị. Chép token sang máy khác là vô dụng.

Áp dụng với ClavisAUH

Token offline có ký, gắn thiết bị, theo TTL của gói: đó là Offline license có chữ ký, đặt trong gói license và cần Premium. Ở Bảo vệ Advanced, bật Chế độ chỉ online khi bạn cần mọi lệnh thu hồi có hiệu lực ở lần kết nối kế tiếp.