android - 这个软件激活/许可证验证方案(在密码学上、技术上)有多可靠？

Question

我今天听到有人就他们正在销售的框架进行营销宣传，以防止应用程序盗版(我知道，你不能)。这是高级概述:

注册流程:

• 手机使用服务器的公钥加密:手机的 IMEI 号码和安装的应用程序的唯一 ID(由应用程序开发人员分配)到服务器，即

  Reg_request = Encrypt(Server_PublicKey, (IMEI||AppID))

• 服务使用解密函数和自己的私钥解密Reg_request以提取IMEI和AppID

• 然后服务会要求用户付款。付款后，服务会根据 IMEI||AppID
生成一个激活 序列号
• 服务然后使用智能手机的公钥加密生成的序列号，然后将其发送给用户。
• 收到此消息后，应用程序使用解密函数和存储在智能手机上的私钥对其进行解密，以获得序列号。
• 为了激活，应用程序将 IMEI||AppID 传递给它自己的哈希函数以获得临时验证序列号。
• 如果此号码与从服务器收到的序列号匹配，则激活成功。

我对加密知之甚少，但这对我来说看起来像是传统的公钥加密。这种方法有多可靠，或者更确切地说，攻击者要破解它有多困难？而且，传统的基于桌面的软件是否使用更复杂的方法？

Answer 1

您描述的方案没有什么特别之处，事实上，如果您用 HTTPS 之类的东西替换所有公钥加密，语义根本不会改变。

我的猜测是，这是经典案例的一个实例，在该案例中，管理人员指示开发人员向产品添加密码技术以使其更安全，或者仅仅是因为听起来很酷，但他们实际上都不熟悉密码学。