Avvecklingsläge

Beskriver hur Privera kan fortsätta fungera utan licensservern om Itha AB upphör eller slutar med Privera: åtagandet, hur mekanismen fungerar och i vilken ordning ett avvecklingsbesked utfärdas.

1. Åtagande

Om Itha AB upphör med verksamheten, försätts i konkurs eller slutar tillhandahålla Privera får kunderna en slutversion av programmet som fungerar utan licensservern. Det gäller även kunder vars abonnemang redan är uppsagt. Åtagandet står också i Livscykel och support.

2. Läget

3. Hur det fungerar

Två nycklar, med flit

Licensservern signerar licensbevis med en nyckel som finns i licensservern. Ett licensbevis gäller i högst 14 dagar.

Ett avvecklingsbesked gäller utan tidsgräns och på varje dator som får det. Det signeras därför med en egen Ed25519-nyckel, avvecklingsnyckeln, som är skild från licensservern och inte finns där. Den som tar över licensservern kan alltså inte utfärda ett besked som programmet godtar. Bygget stoppas om avvecklingsnyckeln är samma som licensserverns nyckel.

Beskedets format

PRVA1.<base64url(JSON)>.<base64url(ed25519-signatur)>

Signaturen täcker PRVA1.<base64url(JSON)>, alltså även prefixet. Ett licensbevis (prefix PRVL1) kan därför inte läsas som ett avvecklingsbesked. Nyttolasten:

{ "v": 1, "typ": "avveckling", "utfardat": <unix-s>, "giltigFran": <unix-s>,
  "meddelande": "<text till kunderna, högst 2000 tecken>" }

Beskedet är inte knutet till någon kund eller dator. Det är ett offentligt besked till alla kunder och skyddas av signaturen, inte av att hållas hemligt.

Vad programmet gör

• Verifiering. Signaturen prövas mot den publika avvecklingsnyckeln som är inbyggd i programmet. Programmet avvisar ett besked med fel nyckel, ändrat innehåll, ändrad signatur, fel typ, fel version, saknade fält eller fel prefix.
• Två vägar in.
  1. Från licensservern. När programmet ändå ska förnya licensen frågar det först licensservern efter ett besked. Anropet har ingen kropp, ingen licensnyckel och inget maskin-id, och sker bara vid förnyelser, så det blir inga nya kontakttillfällen. Licensservern visar bara upp beskedet; programmet prövar signaturen själv.
  2. Från fil. Användaren väljer "Läs in avvecklingsbesked" under Inställningar, Licens, eller på licensskärmen om programmet redan har låst sig. En fil över 64 KB läses inte. Filen får innehålla förklarande text runt beskedet; bara den signerade raden räknas.
• Lagring. Ett godkänt besked sparas i programmets datamapp. Signaturen prövas igen vid varje start. Ändras eller byts filen ut blir svaret "inget besked", inte ett fel.
• När beskedet gäller (från giltigFran):
  • Programmet får köra, oavsett licensbevis, dator och klocka.
  • Programmet gör inga licensanrop. Förnyelse, aktivering, frånkoppling och kundportalen avböjs lokalt med ett besked på svenska.
  • Programmet gör ingen uppdateringskontroll. Det kommer inga fler versioner, och domänen kan en dag hamna hos någon annan.
  • Inställningar visar att Privera körs i avvecklingsläge och fungerar utan licensserver, och visar Itha AB:s meddelande.
• Innan beskedet gäller fungerar licensen som vanligt, och Inställningar visar när beskedet börjar gälla. En klocka som ställs bakåt efter giltighetsdagen slår inte av läget. Att ställa klockan framåt för att nå läget tidigare ger bara det som Itha AB redan har lovat ut.

4. Ordningen när beskedet utfärdas

Itha AB åtar sig att följa ordningen nedan. Om åtagandet också binder en konkursförvaltare är inte juridiskt bedömt; rutinen är skriven så att en förvaltare kan följa den. Beskedet publiceras och slutversionen läggs ut innan abonnemangen avslutas. Sägs abonnemangen upp först nekar licensservern nästa förnyelse, och programmet slutar bearbeta dokument direkt i stället för efter 14 dagar.

1. Itha AB bestämmer från vilket datum beskedet ska gälla. Det kan vara samma dag. Datum tolkas som midnatt UTC.
2. Beskedet signeras med avvecklingsnyckeln på en dator som inte är ansluten till nätet, och provas i ett installerat program innan det skickas ut.
3. Den senaste versionen med mekanismen läggs ut som slutversion i uppdateringskanalen och nedladdningen. Kunder på 0.9.0-beta19 eller äldre får mekanismen genom att uppdatera till den.
4. Beskedet publiceras i licensservern. Från och med då:
   • delar licensservern ut beskedet, och program med mekanismen hämtar det vid nästa förnyelse, normalt inom 7 dagar,
   • lämnar uppdateringskanalen och nedladdningen på privera.se/download/ ut slutversionen till varje känd licens, också uppsagda och obetalda. En påhittad nyckel nekas som förut. Det som lämnas ut är programmet, inte rätten att köra det: utan besked eller giltigt licensbevis bearbetar programmet inga dokument,
   • svarar licensservern en licens utan rätt med ett tillfälligt fel i stället för ett definitivt nej vid förnyelse. Programmet behåller då sitt licensbevis tills det går ut, också i 0.9.0-beta19 och äldre, och hinner hämta slutversionen under tiden.
5. Beskedet skickas som fil med e-post till varje kunds registrerade adress och till kontaktpersonen i avtalet, också till kunder som redan har sagt upp, och läggs ut på privera.se så länge domänen finns.
6. Först därefter avslutas abonnemangen, tidigast samma dag som steg 4 och helst efter en vecka, när de flesta program har hunnit fråga.
7. Licensservern hålls kvar i minst 14 dagar efter steg 6, så att program som bara har ett licensbevis kvar hinner hämta slutversionen.

Ett besked kan inte dras tillbaka.

Om ordningen ändå bryts och abonnemangen sägs upp före steg 4: program som redan har låst sig gör ingen ny förnyelse och hämtar därför inte beskedet från servern. Uppdateringskontrollen görs däremot vid varje start med den sparade nyckeln, så när beskedet väl är publicerat hämtar även ett låst program slutversionen. Beskedet läses sedan in som fil från licensskärmen.

5. Risker

6. Byte av nyckel

Den publika avvecklingsnyckeln är inbyggd i programmet. Ett byte kräver en ny version, och äldre versioner godtar fortfarande bara den gamla nyckeln. Den gamla privata nyckeln behålls därför så länge versioner med den kan vara i bruk. Är två nycklar i bruk utfärdas ett besked med vardera nyckeln, i två filer.

7. Tester

Mekanismen är provad i automatiska tester:

• Verifieringen: giltigt besked, fel nyckel, ändrat innehåll, ändrad signatur, fel typ, fel version, saknade fält, licensbevis signerat med samma nyckel, skräp, giltighetsdag och bakåtställd klocka.
• Licensdelen mot riktig disk utan licensserver: programmet låser sig utan besked och fungerar ett år senare med besked, inga nätanrop görs i avvecklingsläge, inläsning från fil överlever omstart, ett felsignerat eller manipulerat besked avvisas, läget väntar in giltighetsdagen, beskedet hämtas från servern vid en förnyelse och ett falskt besked från servern avvisas.
• Ett besked från Itha AB:s skript godtas av programmet, och ett besked med en annan nyckel godtas inte. Byggspärren stoppar en nyckel med fel form och en återanvänd licensnyckel.
• Filinläsningen går via programmets egen fildialog, och en för stor fil läses inte. Frågan efter beskedet har ingen kropp och ingen nyckel.
• Licensservern: inget svar utan besked, beskedet utan krav på nyckel, uppsagda och obetalda licenser nekas uppdateringar och installer utan besked men släpps fram med besked, en okänd nyckel nekas fortfarande, och förnyelsen av en uppsagd licens ger ett tillfälligt fel i stället för ett nej när beskedet är publicerat.

Läget är inte provat i ett installerat program på en ren dator.