Discussion :

[tssvano]

Bonjour à toutes et à tous. J'ai un soucis en Java au niveau des dates. Apparemment quand on utilise la fonction date() de Java.util.date, Java nous donne la date courante du système. S'il-vous-plaît Comment alors vérifier que l'utilisateur n'a pas changé la date de sa machine en locale ?

[VitalK]

Salut,
tu pourrais chercher la TimeZone de l'utilisateur, puis faire une comparaison entre l'heure que l'utilisateur t'envoie et l'heure qu'on devrait avoir dans sa TimeZone. Si la différence est large, tu sais quelle conclusion tirer.
Concrètement tu peux faire:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
TimeZone tz = TimeZone.getTimeZone("Africa/Lubumbashi"); //Tmezone de la ville de Lubumbashi en Afrique
GregorianCalendar cal = new GregorianCalendar(tz);
Date dateCourante = cal.getTime();
SimpleDateFormat formatter = new SimpleDateFormat("hh:mm:ss");
formatter.setTimeZone(tz);
System.out.println("La date courante est: "+formatter.format(dateCourante));

puis tu compares avec celle de ton utilisateur et le tour est joué!

[joel.drigo]

Salut,

[...]

Oui, m'enfin, peu importe la timezone, c'est la même date, celle du système qui est obtenue !

Pour tester que la date du système est la bonne date, pas d'autres solutions que de se référer à un site Internet de référence, via une API.

Par exemple, par l'URL "http://worldtimeapi.org/api/timezone/"+ZoneId.systemDefault(); (on obtient un json qu'on parse pour récupérer la date UTC et on compare avec la date obtenue par java.time.LocalDate.now() (il est préférable de passer par java.time plutôt que par java.util.Date).

Mais là aussi, l'utilisateur pourrait également modifier sa timezone système. L'API fournit également un endpoint qui utilise l'adresse ip (http://worldtimeapi.org/api/ip), on peut obtenir la date et heure de référence.
Si le contrôle doit être fait par une appli web, dans le serveur, on peut obtenir l'ip externe dans la request, et utiliser l'url"http://worldtimeapi.org/api/ip/"+ getRemoteIp(request)(), avec getRemoteIp(HttpServletRequest) une méthode qui récupère le header X-FORWARDED-FOR, ou s'il n'existe pas, request.getRemoteAddr(). On peut aussi obtenir l'ip externe depuis une application locale/desktop via une URI, comme http://checkip.amazonaws.com par exemple).

Mais là aussi, il y a toujours des moyens de contourner.

[tssvano]

Bonsoir et merci pour vos réponses.
Vitalk la timezone retourne la même date que le système d'exploitation.
Joel.drigo l'application est une application de bureau, donc pas d'accès Internet

[tssvano]

J'ai déjà pourtant vu une application de bureau développée en VBA Excel qui détecte quand la date ou l'heure de l'ordinateur n'est pas correcte

[joel.drigo]

Joel.drigo l'application est une application de bureau, donc pas d'accès Internet

Travailler avec une application desktop n'a jamais empêché d'avoir accès à Internet. C'est ne pas avoir un accès Internet qui empêche d’accéder à Internet. Par exemple mon IDE Eclipse est une application desktop qui utilise Internet pour faire ses mises à jours, sauf quand mon Internet est coupé.
Après, on peut mettre en place des solutions qui tolère des coupures Internet et qui fait la vérification quand Internet est accessible. La tolérance dit que si on ne s'est pas connecté depuis plus de x temps, on impose à l'utilisateur de le faire.

J'ai déjà pourtant vu une application de bureau développée en VBA Excel qui détecte quand la date ou l'heure de l'ordinateur n'est pas correcte

Il y'a plusieurs techniques qui peuvent être utilisées mais qui sont toutes contournables :

1. consulter le log de Windows. Pour une application Excel c'est relativement facile, sous Windows. Pour une application Java, on peut utiliser JNI/JNA pour accéder aux fonctions système sur Windows. Ensuite, il faut pouvoir reconnaître une action de modification de la date ou heure. Et un log ça peut se supprimer. D'ailleurs, il doit y avoir des logiciels qui font ça automatiquement pour libérer de la place sur le disque.
2. on peut écrire/lire un fichier, régulièrement, avec la date et l'heure dedans, et comparer la date qu'on écrit dedans et la date que le système donne pour ce fichier : s'il y a une différence (supérieure à un certain seuil), on peut estimer que la date à été modifiée. Mais n'importe qui peut supprimer le fichier (on peut essayer de le cacher, mais le trouver n'est pas très compliqué). Éventuellement, tu peux considérer que la suppression du fichier est une opération malveillante cherchant à contourner ton système de contrôle de date. Mais on peut modifier le fichier et mettre la date qu'on veut. Éventuellement, tu peux chiffrer le fichier, mais pour déchiffrer, il faut une clef. Même avec un chiffrement asymétrique (clef de chiffrement et clef de déchiffrement différentes), elles seront forcément toutes les deux dans ton programme, donc quelqu'un qui veut pourra les retrouver et faire ce qu'il veut avec le fichier, donc tromper ton contrôle. Ou alors il faut que cette opération soit faite avec un serveur. Sur Internet par exemple. Donc on revient à la solution de référence.
3. A noter que la vérification par Internet est également contournable (on peut rediriger vers un serveur local, qui produit le json qu'on veut).

C'est pourquoi faire au juste ?