אבטחה לסרטונים ברשת

aaron

איך זה עובד? מאחסנים בS3 את כל הוידאו במצב פרטי, ובעת ביקור של לקוח רשום באתר נוצר לו טוקן (קוד ייחודי זמני), ויותר נכון סדרת טוקנים, שמאפשר לו גישה לזרם הוידאו.

אחסון בS3 וייצור של טוקן זה לעשות חיים קלים למי שירצה להוריד..
3 שניות ויש לך קישור תקין להורדה..

@dovid אמר באבטחה לסרטונים ברשת:

השאלה צריכה להיות מה אחרים עושים.

הפלטפורמות שמכבדות את עצמם מפתחות תהליך הצפנה עצמאי, ע"ע נטפליקס..
כל השאר - בוחרים כנראה בCDN משולב עם הגנה בשם DRM, שבגדול זה (עד כמה שידוע לי) חלוקה של הוידאו לקבצים קטנים, (HLS) והצפנה של כל חלק עם מפתח יחודי.. גם זה לא ממש יעיל, ויש אפשרויות להוריד עם כלים מתאימים..

@חוקר אמר באבטחה לסרטונים ברשת:

והראיה שלי שזה ברמת השרת היא כי כאשר שיניתי את הטוקן הוצגה לי קוד שגיאה של nginx של אין הרשאות (לא זוכר כרגע את קוד השגיאה).

לכאורה מדובר בreverse proxy שמחזיר סטטוס 403 וגורם לnginx להציג לפי זה את הדף ברירת מחדל?

@shraga אמר באבטחה לסרטונים ברשת:

אופציה נוספת היא ליצור וידאו ייחודי לכל לקוח ובפריים כלשהו באמצע לשים את המספר זהות שלו וכדומה, וכך במידה והוידאו מופץ ניתן בנקל לגלות מי האחראי על הפצתו.

זה שיטה מגניבה שמשתמשים בה הרבה להגנה על PDFים וכדומה..
אבל צריך לקחת בחשבון שיש סיכוי שהמרה או משהו דומה תפגע ב"חתימה" הזאת..

nigun

@shraga אמר באבטחה לסרטונים ברשת:

יש אפשרות נוספת של יצירת נגן מאובטח (תוכנה על המחשב) שמונע אפשרות להפעיל ניטור כלשהו על הרשת או לבצע הסרטת מסך, לpracticu יש משהו דומה (אם כי מישהו אמר לי שהצליח לשלוף מהם את כל ההדרכות). מעין התוכנה של רחמים אבל עם גישה מקוונת וללא צורך באונקי.

נשמע מוזר
כי לכאורה לא יכול להיות דרך למנוע האזנה של התעבורה
מקסימום להצפין את התעבורה כשלמאזין אין את המפתח.

חיבור

@dovid אמר באבטחה לסרטונים ברשת:

אכן אפשר להוריד את הוידאו עם כלי הורדה כמו IDM,

זו תוכנה דיי מוכרת. אז לכאורה זה לא מהווה פיתרון.

@shraga אמר באבטחה לסרטונים ברשת:

אולי ל @5566brs יש מידע מורחב בעניין.

איך ניתן להשיג אותו? יש לכם כתובת מייל שלו?

@aaron אמר באבטחה לסרטונים ברשת:

הפלטפורמות שמכבדות את עצמם מפתחות תהליך הצפנה עצמאי, ע"ע נטפליקס..

זה משהו שאני יכול להזמין אצל מתכנת? או שזו המצאה ייחודית של נטפליקס שאחרים לא יודעים לשכפל את זה?

upsilon01

למיטב ידיעתי אין דרך למנוע הורדה לגמרי
מ udemy ניתן להוריד באמצעות תוסף ל chrome
מ vimeo private ניתן להוריד באמצעות תוסף ל chrome
אפילו מנטפליקס ניתן להוריד באמצעות תוכנה ייעודית

מה שניתן לעשות, זה לסבך את ההורדה ככל שניתן
וכן (כמו שהזכירו למעלה) ליצור חתימה ויזואלית יחודית
על גבי הסרטון (דבר שמצריך לפתח\לתחזק שרת סטרימיניג עצמאי)

השאלה היא עסקית
כמה התועלת - מניעה חלקית של הורדה\הפצה
מול הנזק - עלות הפיתוח והתחזוקה

חיבור

@upsilon01 אמר באבטחה לסרטונים ברשת:

השאלה היא עסקית
כמה התועלת - מניעה חלקית של הורדה\הפצה
מול הנזק - עלות הפיתוח והתחזוקה

התועלת רבה מאוד. ויש חשש מהותי לנזק.
אשמח לקבל מכם הצעות מחיר או הפניה לאנשי מקצוע מתאימים.

nigun

@חיבור
השאלה היא מי מנסה להעתיק, וכמה הוא משקיע בזה.
אתה יכול להשקיע 5K ש"ח לדוגמה, ואז לפורץ מתחיל יהיה קשה ולמיומן יהיה קל.
אתה יכול להשקיע 15K (לדוגמה), ואז גם פורץ מיומן יצטרך לעבוד כמה שעות טובות כדי לבנות כלי חדש שיצליח להוריד את הסרטון.
אתה יכול להשקיע 30K (לדוגמה) ואז כדי לפרוץ זה ידרוש הבנה יותר עמוקה של רשתות תקשורת וכו'
ולפורץ לא יהיה שווה להשקיע את הכסף/זמן .

nigun

הכיוון שנראה לי הכי מוגן, הוא לתת ללקוח תוכנה על המחשב
עם מפתח הצפנה מובנה בתוך התוכנה, ושהתוכנה תוריד את הסרטונים מאתר כשהם מוצפנים.
וכך לא יוכלו להאזין לתעבורה.
וכדי למנוע צילום מסך אפשר לשים מזהה יחודי על מסך התוכנה.
אבל הלקוח יכול להסריט את המסך ובעריכה לטשטש את המזהה
אז תצטרך לעשות גם מזהה קולי שישמיע ברקע (בשקט ) את המזהה באופן אקראי.
ואם מישהו באמת באמת רוצה הוא יכול לעשות סינון רעשים ולמצוא את ההקראות של המזהה
ובקיצור אין לדבר סוף.

A0533057932

@nigun אמר באבטחה לסרטונים ברשת:

הכיוון שנראה לי הכי מוגן, הוא לתת ללקוח תוכנה על המחשב
עם מפתח הצפנה מובנה בתוך התוכנה, ושהתוכנה תוריד את הסרטונים מאתר כשהם מוצפנים.
וכך לא יוכלו להאזין לתעבורה.

סטייל נטפליקס?

nigun

@a0533057932 אמר באבטחה לסרטונים ברשת:

@nigun אמר באבטחה לסרטונים ברשת:

הכיוון שנראה לי הכי מוגן, הוא לתת ללקוח תוכנה על המחשב
עם מפתח הצפנה מובנה בתוך התוכנה, ושהתוכנה תוריד את הסרטונים מאתר כשהם מוצפנים.
וכך לא יוכלו להאזין לתעבורה.

סטייל נטפליקס?

לא יודע איך הם עובדים.

A0533057932

@nigun בדיוק מה שאמרת
תוכנה המורידה למחשב קובץ
שרק היא יודעת לקרוא אותו

nigun

@a0533057932
אז מה זה התוכנה שהביאו לעיל שאמורה לפרוץ את זה?

A0533057932

@nigun היא לא פורצת את זה
ניתן לצפות גם דרך הדפדפן
והתוכנה את זה מצליחה לפענח

upsilon01

לאמזון יש כלי Elastic Video Transcoder שיכול לשמש להצפנה של הוידיאו
אתה יכול לקרוא על זה כאן (לקראת הסוף)

aaron

@upsilon01 אמר באבטחה לסרטונים ברשת:

לאמזון יש כלי Elastic Video Transcoder שיכול לשמש להצפנה של הוידיאו
אתה יכול לקרוא על זה כאן (לקראת הסוף)

הצפנה לא מגנה על הורדה.
לפחות בפעם האחרונה שבדקתי את החברה הזאת (foliovision) - להוריד היה עניין של דקות..

יש איזה אחסון שפרוג השתמשו בו שנראה לי שווה בדיקה..
(תבדקו את זה עם מישהו מצליח להוריד שיעדכן כמה זה היה מורכב..)

upsilon01

@aaron
אכן, הצפנה לא מגינה מהורדה
אבל היא לא תאפשר לתוספים להוריד

לגבי החברה foliovision הם לא מספקים הגנה
אלא רק web player
הבאתי את הכתבה לא בגלל החברה,
אלא בגלל שזו כתבה טובה

shraga

@aaron אמר באבטחה לסרטונים ברשת:

יש איזה אחסון שפרוג השתמשו בו שנראה לי שווה בדיקה..
(תבדקו את זה עם מישהו מצליח להוריד שיעדכן כמה זה היה מורכב..)

הם משתמשים בspotlightr.

אפשר להוריד את הוידאו הנ"ל עם התוסף הזה במצב Capture, נראה לי שאין וידאו שעומד בפניו...
אמנם לכאורה (לא בדקתי טכנית כיצד זה אכן מתבצע) זה יותר דומה להסרטת מסך מאשר ל"הורדה", אבל המינוח הטכני לא משנה בשביל אותו אחד שירצה להוריד...

עריכה: מעניין שבגירסה 1.2 (כעת 1.3.3) היה להם תמיכה בHLS-Encryption (כנראה גם לא דרך מצב Capture):

HLS-Encryption has been disabled; action on this feature is on hold until the Chrome Web Store policy is

עריכה נוספת: השגתי את גירסה 1.2, אבל גם שם יש צורך במצב לכידה, אז מה השתנה מ1.2 ל1.3.3 לגבי HLS-Encryption? לא ברור לי.

תחומים - פורום חרדי מקצועי

אבטחה לסרטונים ברשת