Vérifier que la date du système est correcte

Version imprimable

20/02/2020, 12h56
tssvano

Vérifier que la date du système est correcte

Bonjour à toutes et à tous. J'ai un soucis en Java au niveau des dates. Apparemment quand on utilise la fonction date() de Java.util.date, Java nous donne la date courante du système. S'il-vous-plaît Comment alors vérifier que l'utilisateur n'a pas changé la date de sa machine en locale ?

Salut,
tu pourrais chercher la TimeZone de l'utilisateur, puis faire une comparaison entre l'heure que l'utilisateur t'envoie et l'heure qu'on devrait avoir dans sa TimeZone. Si la différence est large, tu sais quelle conclusion tirer.
Concrètement tu peux faire:
Code:

1 2 3 4 5 6 TimeZone tz = TimeZone.getTimeZone("Africa/Lubumbashi"); //Tmezone de la ville de Lubumbashi en Afrique GregorianCalendar cal = new GregorianCalendar(tz); Date dateCourante = cal.getTime(); SimpleDateFormat formatter = new SimpleDateFormat("hh:mm:ss"); formatter.setTimeZone(tz); System.out.println("La date courante est: "+formatter.format(dateCourante));
puis tu compares avec celle de ton utilisateur et le tour est joué!

21/02/2020, 08h33
joel.drigo

Salut,

Citation:

Envoyé par VitalK

[...]

Oui, m'enfin, peu importe la timezone, c'est la même date, celle du système qui est obtenue !

Pour tester que la date du système est la bonne date, pas d'autres solutions que de se référer à un site Internet de référence, via une API.

Par exemple, par l'URL "http://worldtimeapi.org/api/timezone/"+ZoneId.systemDefault(); (on obtient un json qu'on parse pour récupérer la date UTC et on compare avec la date obtenue par java.time.LocalDate.now() (il est préférable de passer par java.time plutôt que par java.util.Date).

Mais là aussi, l'utilisateur pourrait également modifier sa timezone système. L'API fournit également un endpoint qui utilise l'adresse ip (http://worldtimeapi.org/api/ip), on peut obtenir la date et heure de référence.
Si le contrôle doit être fait par une appli web, dans le serveur, on peut obtenir l'ip externe dans la request, et utiliser l'url"http://worldtimeapi.org/api/ip/"+ getRemoteIp(request)(), avec getRemoteIp(HttpServletRequest) une méthode qui récupère le header X-FORWARDED-FOR, ou s'il n'existe pas, request.getRemoteAddr(). On peut aussi obtenir l'ip externe depuis une application locale/desktop via une URI, comme http://checkip.amazonaws.com par exemple).

Mais là aussi, il y a toujours des moyens de contourner.
21/02/2020, 16h27
tssvano

Bonsoir et merci pour vos réponses.
Vitalk la timezone retourne la même date que le système d'exploitation.
Joel.drigo l'application est une application de bureau, donc pas d'accès Internet
21/02/2020, 16h38
tssvano

J'ai déjà pourtant vu une application de bureau développée en VBA Excel qui détecte quand la date ou l'heure de l'ordinateur n'est pas correcte
21/02/2020, 18h00
joel.drigo
Citation:

Envoyé par tssvano

Joel.drigo l'application est une application de bureau, donc pas d'accès Internet

Travailler avec une application desktop n'a jamais empêché d'avoir accès à Internet. C'est ne pas avoir un accès Internet qui empêche d’accéder à Internet. Par exemple mon IDE Eclipse est une application desktop qui utilise Internet pour faire ses mises à jours, sauf quand mon Internet est coupé.
Après, on peut mettre en place des solutions qui tolère des coupures Internet et qui fait la vérification quand Internet est accessible. La tolérance dit que si on ne s'est pas connecté depuis plus de x temps, on impose à l'utilisateur de le faire.

Citation:

Envoyé par tssvano

J'ai déjà pourtant vu une application de bureau développée en VBA Excel qui détecte quand la date ou l'heure de l'ordinateur n'est pas correcte

Il y'a plusieurs techniques qui peuvent être utilisées mais qui sont toutes contournables :
1. consulter le log de Windows. Pour une application Excel c'est relativement facile, sous Windows. Pour une application Java, on peut utiliser JNI/JNA pour accéder aux fonctions système sur Windows. Ensuite, il faut pouvoir reconnaître une action de modification de la date ou heure. Et un log ça peut se supprimer. D'ailleurs, il doit y avoir des logiciels qui font ça automatiquement pour libérer de la place sur le disque.
2. on peut écrire/lire un fichier, régulièrement, avec la date et l'heure dedans, et comparer la date qu'on écrit dedans et la date que le système donne pour ce fichier : s'il y a une différence (supérieure à un certain seuil), on peut estimer que la date à été modifiée. Mais n'importe qui peut supprimer le fichier (on peut essayer de le cacher, mais le trouver n'est pas très compliqué). Éventuellement, tu peux considérer que la suppression du fichier est une opération malveillante cherchant à contourner ton système de contrôle de date. Mais on peut modifier le fichier et mettre la date qu'on veut. Éventuellement, tu peux chiffrer le fichier, mais pour déchiffrer, il faut une clef. Même avec un chiffrement asymétrique (clef de chiffrement et clef de déchiffrement différentes), elles seront forcément toutes les deux dans ton programme, donc quelqu'un qui veut pourra les retrouver et faire ce qu'il veut avec le fichier, donc tromper ton contrôle. Ou alors il faut que cette opération soit faite avec un serveur. Sur Internet par exemple. Donc on revient à la solution de référence.
3. A noter que la vérification par Internet est également contournable (on peut rediriger vers un serveur local, qui produit le json qu'on veut).
C'est pourquoi faire au juste ?
23/02/2020, 05h59
tssvano

Bonjour à toutes et à tous.
Merci pour vos propositions Joel.drigo,
Je voulais en fait gérer la licence d'un logiciel
23/02/2020, 11h22
joel.drigo
1. Il est utopique de gérer une licence avec une limite de date dans le cadre général. D'ailleurs, pour les DRM l'idée a été abandonnée rapidement.
  
  On peut le faire. Il faut juste compter sur le fait que la plupart des utilisateurs n'ont pas forcément les compétences pour contourner le problème. L'écriture d'un petit fichier dans le dossier de données applicatives suffit. Changer la date de son pc est facile pour la plupart des utilisateurs (cependant, ça n'est pas sans conséquence, ça peut être gênant). Trouver un fichier, deviner à quoi il sert (on peut s'arranger pour que son nom et son contenu ne donne pas sa fonction de manière évidente), le modifier pour contourner sa fonction, c'est plus compliqué. Tu n'empêcheras pas quelqu'un qui veut vraiment le faire de contourner la protection, mais pour la plupart des gens ça sera suffisant. Pour les programmes ou autres moyens de contournement de protection qu'on peut trouver sur le net et qui permettent de contourner les protections logiciels pour des personnes qui n'ont pas les compétences pour le faire eux-mêmes, il faut compter sur la notoriété et l'utilité du logiciel.
2. Éthiquement, je trouve contestable de limiter dans le temps l'utilisation d'un logiciel. La notion de licence est tout d'abord une notion de droit, et pour la plupart des gens c'est suffisant. Bien sûr, il y'a aussi des gens qui se foutent des lois et des droits. Il y a d'autres moyens de gérer ça.
  1. Le service
    Un logiciel qui nécessite une licence nécessite normalement du service. Et ça ça peut se limiter dans le temps. Si le logiciel est vraiment important, sans service, on est vite ennuyé. Le service peut comprendre les mises à jour (correction de bugs, évolutions), les interventions pour régler des problèmes de blocages ou pertes de données, etc. Sans ces actions, l'usage du logiciel peut devenir compliqué et obligera celui qui en vraiment besoin de renouveler sa licence. Il faut compter également sur les évolutions de l'os, de Java, des logiciels tiers, etc : ton logiciel peut devenir inutilisable par incompatibilité, obligeant une mise à jour. Il est donc quelque part forcément limité dans le temps.
  2. Les fonctionnalités.
    Pour une version d'essai du logiciel, on peut fournir un nombre de fonctions limitées. A commencer par la possibilité de sauvegarder. Limiter la taille des fichiers, ou le nombre (contournable aussi, mais plus difficile).
  3. Internet
    Il faut aussi compter sur le fait qu'Internet se généralise partout et qu'obliger à être connecté pour utiliser un logiciel est une bonne manière de le protéger, ou au moins à se connecter régulièrement. Bien sûr ça dépend du logiciel. Si un logiciel mérite une protection, c'est qu'il est suffisamment indispensable pour imposer de telles conditions.