dasdingo

Hallo zusammen,

sicher ein leidiges Thema, aber nach langem Googlen mach ich dann jetzt doch mal einen Thread auf.

Es wäre toll, wenn jemand ein paar Ansätze ect. für mich hat (keine Codes oder fertige Systeme)

Also folgendes hab ich mir vorgestellt:
- Ein CMS soll mit einem Lizenzsystem geschützt werden.
- Das Lizenzsystem und alle Dateien in die es includiert wird, werden mit ioncube Verschlüsselt.
- Das Lizenzsyszem schickt bei JEDEM Aufrufen / pageview mittels file_get_contents() den Lizenzkey UND die Domain per _GET an einen Lizenzserver.
- Der Lizenzserver prüft, ob die Key / Domain Kombination übereinstimmt und print()et verschiedene Informationen aus (Lizenznehmer, Gültigkeitsdatum usw.)
- Diese Informationen werden dann im CMS verarbeitet.

Soweit bis jetzt.

Mir stellen sich jetzt aber folgende Probleme / Fragen:
1. Das CMS überprüft bei jedem Seitenaufruf die Lizenz. Ist diese ungültig, oder ist der Server nicht erreichbar, gibts einen die().
Problem: Performance?? & wenn der Lizenzserver mal einen kurzen Ausfall hat, sind in der Zeit alle anderen Seiten down.

2. Die Funktion file_get_contents() ist bei manchen Hostern mittels "allow_url_fopen" gesperrt (zB 1und1).
Problem: Der Kunde müsste das umstellen oder eine eigene php.ini erstellen. Machbar, aber schön ist das nicht.
(Punkt2 gelöst)

Meine Frage jetzt, ob es für die beiden "Problempunkte" andere Lösungsansätze gibt?
Ein Lösungsansatz für 1. wäre noch, dass man das Lizenzsyszem deaktiviert, wenn der Lizenzserver down ist. Das heißt in der Zeit hat jedes CMS vollen Zugriff. Was aber nicht schlimm wäre, weil das maximal ein paar min-Std im Jahr sind (wenn überhaupt).
Das Problem ist dann aber wieder, wenn "allow_url_fopen" auf OFF steht, gibt es ständig keine Verbindung zum Server und das Lizenzsystem wäre damit ausgehebelt.
Kann man das irgendwie im PHP-Code erzwingen?


Ich bin über jede Hilfe dankbar!

Liebe Grüße

Mister Ad

Chriz

Lies doch bitte erstmal die bereits bestehenden Threads. Oder welche Fragen wurden da nicht beantwortet? Sehe zumindest keine in diesem Posting ...

__________________
"Nuschel ich?" - "Was?"

dasdingo

Wie gesagt, habe ich mich bereits lange mit dem Thema Beschäftigt.
Und mit Hilfe von Google und diesem Forum konnte ich meine anderen ~20 Fragen schon selbst beantworten.
Diese beiden allerdings nicht so speziell...

Könntest du mir dann bitte die Links zu der Beantwortung meiner Fragen schicken? Du scheinst sie ja zu kennen.
Das wäre super!

eisenhans

Das sind zwei Fälle:
1.Lizenz ungültig => die();
2.Server nicht erreichbar => Lizenz ist gültig ...

Also nicht die Annahme, daß das System nach Prüfung auf Lizenz läuft, sondern daß das System bei Prüfung auf Ungültigkeit nicht mehr läuft.

Ich hoffe Du verstehst den Unterschied.
Anstatt file_get_contents kannst Du auch eine andere Funktionalität (API,Rest ) benutzen ...

__________________
Webstammtisch Oldenburg

hausl

= Unschuldig bis die Schuld bewiesen wurde

LG

__________________
Keine Zahl != ein Zeichen das keine Zahl ist

fab

Die Verbindung zu deinem Server lässt sich auf unterschiedlichste Arten blockieren, da hast du letztendlich gar keinen Einfluss drauf.

Wenn du andererseits die Verbindung unbedingt erforderlich machst, bekommst du möglicherweise schon bei kurzen Down-Zeiten Probleme mit der Produkthaftung - aber das Problem ist dir wahrscheinlich bewusst, sonst würdest du nicht fragen.

Wie wäre es mit einem anderen Überprüfungsansatz: Anstatt das Skript bei jedem Seitenaufruf nach Hause telefonieren zu lassen überprüfst du die Lizenz nur bei bestimmten administrativen Aktionen, z.B. bei der Installation und bei Updates. Dabei ist die Verbindung dann unbedingt erforderlich, ansonsten lässt sich das System gar nicht erst einrichten. Bzw. kannst du bei laufendem System aber nicht erfolgreicher Überprüfung der Lizenz zurückverfolgen, wo die nicht lizensierte Installation liegt und entsprechende Schritte einleiten.

__________________
PHP Blog + Library
CSS Effects + Tools

Dark Guardian

Oder so: Das System bekommt einen Lizenztoken vom Server zugewiesen (bei der Erstinstallation meinetwegen). Dieser wird an den Server bei der Lizenzprüfung übertragen. Der Token bleibt solange gültig bis der Server ihn als ungültig deklariert. Nachdem der Server das getan hat bekommt das System einen neuen Token.

Problem: Du musst sicherstellen das die Generierung des Tokens nicht "erkannt" werden kann. Davon ab kannst du Verfolgen wann sich welches System wie lange nicht mehr "gemeldet" hat.

cURL wäre eine Alternative zu allen Funktionen die allow_url_fopen vorraussetzen.
Ggf. helfen dir auch die Streamfunktionen wenn beides nicht verfügbar ist. Diese werden aber von open_basedir beeinflusst.

__________________
"Alles im Universum funktioniert, wenn du nur weißt wie du es anwenden musst".

dasdingo

Hallo

Danke erstmal für die Antworten.
@eisenhans: Ich sperre bei Ungültigkeit nur die Frontend, der Adminbereich ist weiterhin voll verfügbar... Falls du das damit sagen willst.

Problem 2 ist meiner Meinung nach gelöst.
Ich habe jetzt ein if/else abfrage erstellt. Entweder curl oder allow_url_fopen
eins von beidem wird ja wohl vorhanden sein, wenn nicht muss man es halt doch nach installieren. Aber ich glaube so hab ich einen Großteil der Hoster mit drin.

Zu Punkt 1:
Da sich durch die Lizenzprüfung außerdem die ParseTime um ca 100ms erhöht und wie schon erwähnt ein Serverausfall mir Probleme bringen kann, würde es auch reichen wenn die Lizenz nur 1x am Tag geprüft wird.

Um das zu erreichen muss ich aber irgendeine Information auf dem Server oder in der DB hinterlegen, welche die Gültigkeit speichert...
Problem ist hier wieder, wenn diese Information gefunden wird, kann sie umgangen werden.... (selbe Problem wie bei Dark Guardian)

Also ich kann keinesfalls hingehen und bei jedem Pageview die Lizenz prüfen lassen =\

@fab
Das Skript sollte schon 1x am Tag geprüft werden, da es zB auch zeitlich begrenzte Lizenzen gibt. Die würden ja dann ewig weiterlaufen, wenn man solche Aktionen nicht ausführt.
Aber auch hier ist das Problem, dass ich irgendwo auf dem Server die Information speichern muss.. IST Gültig
Nur wie, ohne dass es manipulierbar ist???

Lg

nikosch

Fazit: Geht nicht oder nur mit entsprechenden Servererweiterungen. Das haben auch alle anderen Threads zum Thema ergeben. Ich schließ hier mal ab mit Verweis auf die Forensuche.

[MOD: Thread geschlossen]

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--