Kopierschutz in der Theorie [Obj-C IOS SDK IAP]

[Alex]

Aloha...
Ich hab ja seit August ein Projekt laufen. Dabei geht es um ein Magazin auf dem iPad welches 2wöchentlich erscheint.
Leider habe ich im Moment keine Möglichkeit, dieses Magazin ordentlich abzusichern.

Szenario:
User ladet die App gratis runter. Darin finden sich die einzelnen Ausgaben (vergleichbar mit "WIRED") die man (mit IAP - In App Purchase) kaufen kann.
Die erste Ausgabe ist bereits runtergeladen und entpackt sodaß der User diese Ausgabe einfach aufrufen kann.
Weitere Ausgaben kann er - wie gesagt - kaufen. Nach dem Kauf kann er diese Ausgabe runterladen. Sobald geladen, wird die Ausgabe auch wieder entpackt und kann aufgerufen werden.

Nun zur Sicherung:
Ich habe bereits eine Theorie entwickelt, die DownloadURL an sich zu sichern. Neben SSL-Verschlüsselung prüft der Server auch die TransactionID und leitet die Anfrage dann auf das Produkt um welches als TransactionReturn von Apple zurück kommt. Sprich: Egal was der User auf dem iPad manipuliert hat, er kommt hier nicht weiter wenn er keine TransactionID hat. Die kann er auch nicht einfach mal irgendwo her nehmen da die ID ziemlich lang ist und für den User keinen wirklichen Sinn ergibt (so i hope)...

Gut - also runterladen kann er erstmal nichts vom Server.
Aber nun kommts: Das braucht er auch nicht.

Angenommen ein User hat die Ausgabe gekauft und lädt diese irgendwo hoch. Der andere User lädt nun das Paket runter und schiebt es in die Demoausgabe. Nun kann er die Ausgabe einfach lesen ohne es zu kaufen.

Und hier brauche ich Hilfe. Wie stelle ich es an daß der User dies nicht mehr kann ?

[Alex]

hab jetzt den ganzen tag hin und her überlegt, skizzen gemacht, theorien durchprobiert und bin zum entschluss gekommen:
ich speichere die transaction_id in die keychain und jedes mal wenn der user was runterladen will, macht er dies an eine allgemeine URL die dann die jeweilige datei zurück gibt. somit gehe ich zumindest dem traffic aus dem weg der entsteht wenn ein user versucht, die datei runter zu laden.

gut - also die möglichkeit des downloads habe ich somit unterbunden - vorausgesetzt, der keychain-eintrag wird nicht verfälscht (ich weiß noch nicht ob das möglich ist).
aber der user kann doch einfach die bereits gekauften inhalte nehmen und in das demo-verzeichnis legen. er überschreibt die alten daten mit den neuen und é voila - er kann die ausgabe lesen.
und genau hier habe ich absolut keine möglichkeit es zu unterbinden.
jeder affe kann die dateien austauschen und dadurch ohne bezahlung alles lesen... also was tun ?

je länger ich darüber nachdenke, umso weniger ahnung habe ich was zu machen ist...

hab schon soviele tutorials gelesen wie appstore apps zu hacken sind daß ich den wald vor lauter bäumen nicht mehr sehe.

[Stefe Hobs]

man müsste sowas wie ne art meta-info in jede einzelne geladene datei einprägen, die sich aus irgendeiner nummer der verbauten hardware zusammen setzt bzw. diese ausliest, quasi so ne art MAC-adresse . . .

die dinger ham doch bluetooth und da gibts doch auch ne mac oder jedenfalls wäre die dann unique genug auf der welt . . . musste nur noch die soft mit dem buch syncen . . . oder per random funktion ne einzigatrige generieren . . . dann könnte man zwar noch immer kopieren, aber nicht mehr ausführen wenn der zähler ne 0 zurück gibt . . .

aber ich bin kein programmierer und weiß auch nicht ob sowas programmiertechnisch machbar wäre

huch bin ich müde heute

[Andalia]

Wie wäre es wenn diese Unique URL die man durch den AppInKauf für den Download bekommt genau diese eine Ausgabe in der App freischaltet. Du könntest durch ein Skript jede runtergeladene Ausgabe durch geringfügige änderungen eine neue MD5 zuweisen, so das nur genau der die Ausgabe auf genau nur der App lesen kann die durch diese Unique ID und der angepassten MD5 eben dazu berechtigt ist.
Du könntest verlangen das einmalig die Freigeschaltete Unique ID/MD5 paarung online bestätigt werden muss, sonst kann er sie nicht Lesen.
Das wäre sehr viel aufwand, aber ohne gewaltige änderungen an der App selbst sollte es verdammt schwer werden das zu umgehen.

Offen für Kritik!