Можно пример?

А как с нее тогда данные получить?

Выдавать криптостойкие токены с временем жизни и продлевать их, если клиент обновляет лицензию? Этого будет достаточно, если вы обеспечите проверку подлинности подключения и если вас не беспокоит взлом конкретно самого ПО со стороны клиента.

Самый банальный пример: передать токен через query к запросу на json файл. Сервер проверит, существует ли, и если существует, не истёк ли текущий токен. Если всё хорошо, отправить файл, иначе Access Denied.

Спасибо, погуглю про токены!
Взломать ПО на стороне клиента не просто, при наличии обфускатора кода и криптора бинарника.

Тут проще уже пакеты отслеживать

По-моему, мд4 внутри устроен примерно так же, как и мд5 (схема Меркля-Дамгора), так что и атака реализуется похожим образом.

Нашел такой пример реализации, не проверял.

https://github.com/iagox86/hash_extender

привет всем)
изучаю протоколы аутентификации. кто-нибудь может подсказать по односторонней с 2-мя проходами?
Значить, как я это вижу:
1) Боб (проверяющий) отправляет случайное число Алисе
2) Алиса получает число и берёт пароль свой. Дальше делает ХЕШ от суммы пароля и числа.
3) Боб принимает хеш и берёт уже у себя в БД пароль Алисы и делает хеш со своим отправленным случайным числом. Сверяет полученные хеши.
————— Шаги выше мне понятны, но я дальше не понимаю зачем сюда вставлять ЭЦ подпись. Типа на втором шаге можно вычислить подпись от хеша и передать её тоже. А что тогда Бобу проверять + для чего. Не могли бы подсказать?

Обычно такие штуки описывают в агентах Алисы и Боба (https://ru.wikipedia.org/wiki/Алиса_и_Боб ).

> А что тогда серверу проверять + для чего

Такой протокол аутентификации выглядит сомнительно, потому что Мэллори может встать посередине.

если я правильно понимаю , пользователь просто пишет в hosts
1.2.3.4 localhost
и делает какой захочет ответ

без эмуляторов, фаерволов и прочего

единственное что от этого кратковременно поможет - каждому пользователю выдавать свой бинарник зашифрованный и ожидающий свой ответ.

и даже тогда пользователи просто начнут копировать и юзать первый взломанный бинарник

Благодарю. Поменял на более удобные в описании

А что именно Мэллори испортит в таком случае?

Сможет отправлять Бобу любые сообщения от имени Алисы?

Я правильно понимаю, что это может случится когда Алиса отправляет Бобу хэш? Мол, Мэллори перехватит его и сам аутентифицируется?

угу

На сколько я понял Ваш вопрос, то такая аутентификация работает уже внутри зашифрованного https-"канала", когда клиент проверил сертификат сервера. Ваша схема похожа на аутентификацию в GSM-сетях (там, правда, не хеширование используется, а специальное шифрование, но это совсем сейчас не важно).

"какой захочет ответ" не так то просто, если используется защищенный протокол обмена важных данных с применением ассиметричных криптографических алгоритмов.
Например, клиент может для расшифровки полученных от сервера данных использовать жестко заданный публичный ключ. Тогда чтобы имитировать сервер, нужно знать закрытый ключ(это без правки бинарника клиента).
Так же может быть проверка сертификата сайта.

это все имеет смысл только пока бинарник зашифрован.

и это поможет до первой расшифровки бинарника.

Бинарник должен иметь встроенную защиту от модификации.
Расшифрования бинарника еще не поможет, нужно будет еще диассемблировать бинарник и правильно понять назначение данных и функций исполняемого кода, а это не так то просто, даже элементарное определение применяемых в коде алгоритмов шифрования по коду на ассемблере - это довольно таки сложная задача. Даже если хакер это все найдет и разберется где что к чему как шифруется и как храниться, то при изменении программы, она просто не запуститься, из-за срабатывания защиты. Тогда ему придется еще и это изучать а это еще половина работы, если ему хватит терпения.
Естественно, сложно не означает не возможно. Это вечная борьба техник защиты кода и техник его взлома. Потому для защиты используют различные хитрости и усложнение кода, например, с выпуском новой версии программы меняются применяемые алгоритмы и ключи.
При хорошей защите цена взлома будет большая. Сколько стоит например стоимость работы хакера за две недели работы?
Поэтому, во многих случаях дешевле будет легально купить программу.
Альтернатива предложенной защиты - выполнение кода(или части кода) на стороне сервера. В случае с Jeronimo не понятно, какой у него сервис, что делает, и зачем ему данные клиентов отсылать клиенту - не понятно, если можно отсылать данные только этого одного клиента, если программа как то работает с этими данными.