Newsgroup: it.lavoro.informatica
Titolo: Trovare tester per sistema di licenza di nuova applicazione

Buongiorno a tutti,
 
vorrei farvi una domanda "di concetto" circa un software misto che sto 
sviluppando.
Misto intendo che in parte è un'applicazione tradizionale ed in parte è 
un'applicazione web ma non è questo il centro del discorso.
L'applicazione è già in produzione all'interno di un'azienda quindi nella 
sua parte principale già "gira" ed è apprezzata, solo che al momento non 
sono implementate politiche di licenza. Però ho la convinzione possa avere 
delle buone prospettive di mercato (sono ottimista di natura...)
 
L'applicazione avrà una distribuzione basata su licenza che comprenderà il 
classico periodo di utilizzo in prova, prevedrà una licenza d'uso gratuita 
lifetime per un uso personale, quindi con un singolo utente ed un certo 
costo per utente nelle installazioni con più utenti e costo singolo 
decrescente al crescere dell'installazione.
Avrei avuto l'idea di creare un'applicazione "vuota" che inglobi solo il 
sistema di licenza e di cercare un programmatore che, dietro adeguato 
compenso, effettuasse sia un test di buon funzionamento del sistema di 
rilascio ed attivazione della licenza che anche tentasse di forzare tale 
licenza.
La mia idea era del tipo, ci mettiamo d'accordo per una certa cifra, mi 
testi la gestione della licenza e provi a forzare il sistema. Se ci riesci 
ti riconosco una cifra aggiuntiva che decidiamo assieme.
 
Visto che qua dentro direi che una certa parte di persone si occupa di 
sviluppo di proprie applicazioni, avete effettuato operazioni simili?
Qualche consiglio utile?
 
Grazie,
Michele
 


se il programmatore riesce a forzare il sistema,
dovrai ucciderlo...:-)))))
 
Buona Pasqua !
 
fm 
 
 

Buona Pasqua !
 
Altrettanto, a tutti quanti.
 
Michele 
 


Una volta ho incontrato  una "protezione" veramente
stupida.
 
Si trattava di un lettore di barcode
(all'epoca anche abbastanza  costoso)
collegato ad un registratore di cassa,
tramite  un semplice cavo seriale.
 
Spostato il lettore su un pc, leggeva i barcode
ma  sembrava non funzionare, sulla porta seriale arrivavano
sequenze di caratteri errati.
 
Interpellata l'assistenza del produttore ... dissero che
il barcode reader era un *modello custom* e che *assolutamente*
 non poteva essere utilizzato se non collegato a quella cassa.
 
Invece era praticamente identico ad un modello standard,
di un marchio famoso,
comunemente  venduto sul mercato.
 
Inoltre, osservando meglio la sequenza di caratteri, notai
che erano semplicemente sfasati di un paio di posizioni.
Se leggeva "01234", inviava "23456", se leggeva "abcd",
inviava "cdef" ...etc.
Per poter usare il lettore ... fu sufficiente una banale
routine di conversione.
 
Bah ...
 
 
ciao
fm 
 
 

 riesci ti riconosco una cifra aggiuntiva che decidiamo assieme.
 
Hai gia' trovato a chi affidare tale compito?

news:4f81f995$0$1392$4faf...@reader1.news.tin.it...

No, in realtà no.
Di mie conoscenze dirette non ho persone che abbiano conoscenze sufficienti 
in materia, quindi dovrò cercare per altre vie.
 
Devo dire che il primo istinto che avevo avuto era quello di aprire un nuovo 
thread e chiedere "c'è qualcuno disposto a..."
Poi ho rinunciato perchè spesso qua dentro vedo infiammarsi delle 
discussioni contro qualche poveraccio che magari sta cercando qualcuno che 
gli faccia una qualche applicazione o una consulenza o qualcos'altro.
Allora visto che al momento non sono nelle condizioni di pubblicare un 
annuncio che risponda al 100% ai dettami di legge, diciamo che evito :)
 
Certamente questa persona dovrebbe:
 
-Avere esperienza adeguata di programmazione web (PHP e MySQL) e di 
"spippolamento"
-Essere professionale
-Essere corretta ed onesta. Cioè se trovi una falla di sicurezza, mi 
presenti un report con le problematiche riscontrate e ti pago quanto 
pattuito, non ti tieni l'informazione per poi craccarmi il software appena 
esce :)
 
Purtroppo le ultime due sono condizioni molto aleatorie e difficilmente 
valutabili a priori...
 
Diciamo che ne dovrei aver bisogno tra un mesetto o poco più.
 
Magari ti interessa?
 
Michele
 

routine di conversione.
 
Proprio questo vorrei evitare.
Si vede che quelli si ritenevano così intelligenti da non aver bisogno di 
qualcuno che facesse verifiche di sicurezza, oppure magari in realtà non era 
una vera priorità quella di proteggere il lettore da un uso su altri Pc.
 
Io sono cosciente che puoi avere le migliori idee del mondo e 
contemporaneamente ti possono sfuggire le cose più banali.
Per questo ritengo essenziale che qualcuno con la mente "sgombra" da come 
gira il programma, faccia verifiche di sicurezza ragionando come un utente 
potenziale.
 
Mi interesserebbe sapere se qualcuno ha intrapreso questa strada prima del 
lancio di un prodotto e come è andata a finire.
 
Michele 
 


Ho visto recentemente un applicativo software  protetto
con un  dongle USB.
Si trattava pero' di un'applicazione da desktop.
 
Probabilmente  per una protezione leggera,
(ossia per  ladri di polli ),
puo' bastare e non costa molto.
 
 
ciao
fm
 
 
 
 
 
 


 
Ma vuoi testare la sicurezza di un sito oppure la protezione  di un 
software?
 

 riesci ti riconosco una cifra aggiuntiva che decidiamo assieme.
 
se non ho capito male tu vorresti avere un programma che distribuisci in 
unica versione completa di tutte le funzionalità, a runtime decide se 
attivare o meno certe funzionalità in base ad un sistema di licenze più o 
meno fai-da-te e tu vorresti testare la robustezza di questo sistema. 
giusto?
 
sfortunatamente questo tipo di programmi non vengono crackati in questo 
modo, di solito il malintenzionato si arma di debugger e modifica il 
compilato in modo da bypassare direttamente i controlli. ovvero l'impegno 
necessario è praticamente indipendente dalla complessità del sistema di 
controlli che introduci a runtime. quindi a mio modesto avviso ha ben 
poco senso il test che vorresti fare: o prendi atto che non è da tutti ma 
qualcuno in grado di crackare ci sarà sempre, oppure cambi strategia con 
una che non preveda di distribuire il codice completo.  

 software?
 
In realtà qua l'ho solo accennato. L'applicazione in realtà è un'applicazione web (LAMP) e la parte di applicazione "tradizionale" è molto semplice e di basso valore che funge da viewer solo un po' arricchito, percui quello che verrà protetto da licenza ed encodato, sarà la parte Web appunto.
Volevo quindi trovare qualcuno che testasse sia il corretto funzionamento del sistema di licenza che anche la robustezza dello stesso.
 
Non esiste, ovviamente, un sistema inattaccabile ma non è quello il problema, basta che sia abbastanza sicuro da non valere la pena forzarlo rispetto al tirare fuori 100 Euro per la licenza.
Tutto qua.
 
Michele

 Volevo quindi trovare qualcuno che testasse sia il corretto funzionamento del sistema di licenza che anche la robustezza dello stesso.
 
E' una  modalitą di fruzione di tipo  saas o intendi licenziare 
l'applicativo  e installarņo presso server di terzi di cui non hai il 
controllo?

 robustezza dello stesso.
 
ma la parte web non deve essere protetta da nessuna "licenza encodata": 
sarà protetta da un sistema di autenticazione e autorizzazione, come fa 
tutto il resto del mondo, senza nessun bisogno di inventarsi nessun 
modello alternativo. 
immagino che sarà una applicazione basata su restful web services; avrai 
degli account i cui livelli di accesso li gestisci tu dal backend (o dal 
sistema di pagamento, se e quando vorrai sbatterti a metterlo su); per 
quanto riguarda il sistema di autenticazione applicativo anche qui non 
c'è da inventarsi nulla sono certo che anche in php di librerie che 
implementano un oauth server ce ne siano a sfare (come di consumer in 
qualsiasi linguaggio).
 
più o meno tutto il mondo fa così (vedi le app sui mobile), perché 
reinventarsi l'acqua calda con pure la necessità di domandarsi se è 
venuta abbastanza calda?
 

news:4f83ec25$0$1390$4faf...@reader2.news.tin.it... >

La soluzione tipo SaaS la prevedo come offerta per un uso a singolo utente, 
dove non puoi richiedere un setup di un ambiente locale o per consentire un 
setup in pochi minuti di un ambiente dove effettuare una valutazione 
dell'applicazione.
Per un ambiente in produzione, tipicamente in ambito aziendale, con un certo 
numero di client, la soluzione SaaS non credo possa garantire prestazioni 
adeguate, oltre che un discorso legato alla riservatezza di alcuni dati 
inseriti nel sistema che potrebbero non essere archiviabili in un server 
esterno gestito da "non si sa chi".
 
Per questo licenziando l'applicativo e consentendone l'istallazione 
localmente, una forma di protezione quantomeno anti ladri di polli deve 
essere prevista.
Anche se la soluzione SaaS risultasse praticabile per prestazioni, 
l'installazione standalone deve quantomeno essere sempre un'opzione a 
disposizione del cliente.
 
D'altronde per chi lo conosce č quello che fa Kayako con la sua ottima suite 
di tool di assistenza che vende, bontą sua, in tutto il mondo sia come SaaS 
che ad installazione locale.
 
Michele
 
 

news:4f84159f$0$1374$4faf...@reader1.news.tin.it...
 
Scusate il cambio di nome...
Cambio di Pc ci fu...
 
Michele
 

venuta abbastanza calda?
 
Vero anche che ci sono realtà di un certo successo (facevo  più sopra 
l'esemoio di Kayako), dove la soluzione ad installazione standalone come la 
prevedo io si affianca alla soluzione SaaS, a discrezione del cliente.
Magari, veramente in delle situazioni le informazioni non posso essere 
memorizzate in un servizio esterno.
 
Michele
 

compilato in modo da bypassare direttamente i controlli. ovvero l'impegno
 
In questo caso vedo in genere che ci sono servizi di deoffuscamento degli 
script encodati, però comunque qualcosa devi spendere per farteli 
decodificare (non ho provato se funzionano o meno tali servizi) e quindi 
potrebbe non valer la pena sbattersi tre giorni e pagare 30 Euro per 
risparmiarne 70.
 
 
Michele 
 

 risparmiarne 70.
 
Se il costo del licensing e' basso l'offuscamento associato a qualche 
schema  di attivazione tramite codici legati alla macchina dove viene 
installato il software  dovrebbero essere misure adeguate.