ApsaraVideo VOD:Sécurité des médias

Introduction

Les mécanismes de protection du contenu protègent contre le hotlinking, les téléchargements non autorisés et la distribution illégale de contenu vidéo. Ces mécanismes sont particulièrement cruciaux dans les secteurs où le respect du droit d'auteur en ligne est une préoccupation majeure, tels que les émissions de télévision premium, l'éducation en ligne, la finance et la formation professionnelle.

ApsaraVideo VOD propose les mécanismes de sécurité suivants :

Contrôle d'accès

Introduction : Configurez des politiques d'accès pour vos ressources vidéo dans le cloud afin de fournir une couche de protection de base.

Les méthodes courantes incluent :

• Contrôle d'accès basé sur le Referer

  Utilise l'en-tête HTTP Referer pour identifier l'origine des requêtes. Vous pouvez configurer une liste noire de Referer pour bloquer certains referers ou une liste blanche pour n'autoriser que les referers approuvés.

• Contrôle d'accès basé sur le User-Agent

  Utilise l'en-tête HTTP User-Agent pour identifier l'origine des requêtes. Vous pouvez configurer une liste noire de User-Agent pour bloquer certains agents utilisateur ou une liste blanche pour n'autoriser que les agents utilisateur approuvés.

• Contrôle d'accès basé sur l'IP

  Vous pouvez bloquer ou autoriser les requêtes en fonction de l'adresse IP du client, identifiée par l'en-tête x-forwarded-for ou l'adresse IP de connexion directe. Vous pouvez configurer une liste noire ou une liste blanche d'adresses IP en utilisant une liste d'adresses IP ou des blocs CIDR.

Pour plus d'informations, consultez la section liste noire/liste blanche.

Signature d'URL

Contexte : Les URL de lecture statiques et immuables rendent votre contenu vidéo vulnérable à une distribution persistante et non contrôlée.

Introduction : La signature d'URL protège les ressources vidéo en générant des URL dynamiques signées. Ces URL contiennent des informations d'authentification et un délai d'expiration pour distinguer les requêtes légitimes des requêtes non autorisées.

Après avoir activé la signature d'URL :

• Les URL de toutes les ressources multimédias, telles que les vidéos, l'audio, les vignettes et les snapshots, doivent être signées.

• Le SDK ApsaraVideo Player et les API/SDK pour récupérer les adresses de lecture génèrent automatiquement des URL signées avec un délai d'expiration. Si vous devez générer manuellement des URL signées, consultez la section Authentication method dans Signature d'URL.

Pour plus d'informations, consultez la section Signature d'URL.

Authentification distante

Contexte : La signature d'URL seule ne peut pas identifier certains types de requêtes non autorisées, comme le hotlinking sophistiqué. L'authentification distante renforce la sécurité en intégrant votre logique métier dans le processus de vérification pour un contrôle plus précis.

Introduction : Avec l'authentification distante, le CDN ApsaraVideo VOD transfère les requêtes utilisateur vers votre centre d'authentification personnalisé. Votre service détermine si chaque requête est légitime, et le CDN accorde ou refuse l'accès en fonction de la réponse de votre centre.

• L'authentification distante nécessite que vous développiez et déployiez votre propre centre d'authentification. Si le domaine de votre centre d'authentification est également accéléré par un CDN, les résultats d'authentification peuvent être mis en cache pour réduire la charge sur votre serveur.

• Par défaut, le CDN ApsaraVideo VOD transmet les en-têtes et le request_uri de la requête de l'utilisateur à votre centre d'authentification et agit en fonction du résultat.

• Vous pouvez intégrer des informations utilisateur, telles qu'un cookie de connexion ou un UUID, dans la requête de lecture. Ces informations sont transmises à votre centre d'authentification pour une autorisation au niveau de l'utilisateur.

Pour plus d'informations, consultez la section authentification distante.

Chiffrement vidéo

Contexte : La protection contre le hotlinking aide à garantir un accès autorisé, mais elle est insuffisante pour protéger les droits d'auteur vidéo dans les scénarios de contenu payant. Un utilisateur peut effectuer un seul paiement, obtenir une URL de lecture valide, télécharger la vidéo et la redistribuer. Les fuites de fichiers vidéo peuvent entraîner des pertes financières importantes pour les modèles de contenu payant.

Introduction : Le chiffrement vidéo protège le contenu en chiffrant les données vidéo elles-mêmes. Même si un fichier vidéo est téléchargé, il reste chiffré et ne peut pas être lu, ce qui empêche efficacement la redistribution non autorisée et le hotlinking.

• Cryptographie propriétaire Alibaba Cloud

  La cryptographie propriétaire Alibaba Cloud utilise un algorithme propriétaire et un mécanisme de transmission sécurisé pour offrir une solution de sécurité vidéo cloud-to-device. Ses composants principaux sont le transcodage chiffré et la lecture déchiffrée.

  Principaux avantages :

  • Chaque fichier multimédia est chiffré avec une clé unique, empêchant qu'une seule clé compromise n'expose un grand nombre de ressources.

  • Utilise le chiffrement sous enveloppe avec une clé chiffrée et une clé en clair. Seule la clé chiffrée est stockée. La clé en clair existe uniquement en mémoire et est détruite après utilisation.

  • Des SDK de lecteur sécurisés sont disponibles pour plusieurs plateformes, y compris iOS, Android, HTML5 et Flash. Ces SDK gèrent automatiquement le déchiffrement et la lecture du contenu chiffré.

  • Un protocole propriétaire sécurise la communication entre le lecteur et le cloud. Les clés en clair ne sont jamais transmises, ce qui empêche l'interception.

  • Prend en charge le téléchargement sécurisé. Les vidéos mises en cache localement sont rechiffrées, permettant la lecture hors ligne tout en empêchant la copie ou le vol.

  Important

  Les limitations suivantes s'appliquent à la cryptographie propriétaire Alibaba Cloud :

  • Seul le format HLS est pris en charge.

  • La lecture est prise en charge uniquement par ApsaraVideo Player.

  • Web : La cryptographie propriétaire est prise en charge nativement uniquement sur iOS 17.1 et versions ultérieures, et est entièrement prise en charge sur macOS et Windows. Le chiffrement HLS est compatible avec tous les navigateurs sur toutes les plateformes.

  Pour plus d'informations, consultez la section Cryptographie propriétaire Alibaba Cloud.

• Chiffrement HLS

  Le chiffrement HLS suit le schéma de chiffrement standard défini dans HTTP Live Streaming. Il utilise AES-128 pour chiffrer le contenu vidéo et est compatible avec tout lecteur conforme HLS, vous permettant ainsi d'utiliser un lecteur développé en interne ou open source. Par rapport à la cryptographie propriétaire Alibaba Cloud, le chiffrement HLS offre une plus grande flexibilité mais nécessite plus d'efforts d'implémentation et fournit un niveau de sécurité inférieur.

  • Vous devez mettre en place et gérer votre propre service de gestion des clés pour générer des clés de chiffrement pour le transcodage et fournir des clés de déchiffrement pour la lecture. Vous pouvez mettre en place ce service en utilisant Alibaba Cloud KMS.

  • Vous devez fournir un service d'émission de jetons pour vérifier l'identité des clients de lecture et empêcher l'accès non autorisé aux clés de déchiffrement.

  • La clé en clair est transmise entre le lecteur et le cloud, ce qui la rend vulnérable à l'interception.

  Pour plus d'informations, consultez la section Chiffrement HLS.

• DRM commercial

  Le contenu vidéo premium de fournisseurs tels que les grands studios hollywoodiens doit souvent répondre à des exigences de sécurité strictes de la part des détenteurs de droits de contenu. Alibaba Cloud propose une solution DRM basée sur le cloud qui prend en charge le chiffrement FairPlay et Widevine, offrant un service tout-en-un pour le chiffrement vidéo, la livraison de licences et la lecture.

  Pour plus d'informations, consultez la section DRM.

Comparaison des fonctionnalités :

• Niveau de sécurité : DRM commercial > Cryptographie propriétaire Alibaba Cloud > Chiffrement HLS.

  La sécurité de la cryptographie propriétaire Alibaba Cloud est comparable à celle du DRM commercial. Les deux sont significativement plus sécurisés que le chiffrement HLS.

• Facilité d'utilisation : Cryptographie propriétaire Alibaba Cloud > Chiffrement HLS > DRM commercial.

  • La cryptographie propriétaire Alibaba Cloud est une solution cloud-to-device qui vous permet d'intégrer des capacités de chiffrement grâce à une configuration simple et à l'intégration du SDK ApsaraVideo Player.

  • Le chiffrement HLS nécessite que vous mettiez en place vos propres services de gestion des clés et d'émission de jetons.

  • Le DRM commercial nécessite l'achat de licences, l'intégration de SDK spécifiques et le développement d'une logique métier personnalisée côté client.

• Compatibilité : Chiffrement HLS > DRM commercial > Cryptographie propriétaire Alibaba Cloud.

  • Le chiffrement HLS est compatible avec tous les scénarios de lecture HLS.

  • Le DRM commercial est pris en charge uniquement sur les plateformes autorisées, telles que les navigateurs Chrome, Safari, IE et Edge, et sur les appareils Android et iOS.

  • La cryptographie propriétaire Alibaba Cloud est prise en charge uniquement par les SDK ApsaraVideo Player (Android, iOS, HTML5 et Flash).

• Coût : Cryptographie propriétaire Alibaba Cloud = Chiffrement HLS << DRM commercial.

  La cryptographie propriétaire Alibaba Cloud et le chiffrement HLS sont gratuits. Le DRM commercial nécessite des frais de licence supplémentaires.

Téléchargement sécurisé (mise en cache)

Contexte : Les applications vidéo, en particulier sur les plateformes mobiles comme Android et iOS, doivent souvent permettre aux utilisateurs de mettre en cache ou de télécharger des vidéos pour une visualisation hors ligne. Ce contenu doit être protégé contre la copie, la lecture ou la distribution non autorisées. La fonctionnalité de téléchargement sécurisé du SDK ApsaraVideo Player protège le contenu vidéo téléchargé sur les appareils locaux.

Introduction : Le téléchargement sécurisé ajoute une seconde couche de chiffrement aux fichiers vidéo à l'aide d'une clé privée. La vidéo téléchargée est déchiffrée au sein du SDK ApsaraVideo Player, garantissant que les vidéos hors ligne ne peuvent être lues que par l'application désignée, identifiée par son bundle ID ou son keystore.

Principaux avantages :

• Après le téléchargement, la vidéo peut être déchiffrée et lue hors ligne sans connexion Internet, exclusivement par l'application autorisée.

• Le fichier de clé privée est chiffré pour empêcher le vol.

• Chaque fichier vidéo possède une clé privée unique par application. Si une seule clé est compromise, les autres vidéos ne sont pas affectées.

Avant d'utiliser cette fonctionnalité, activez le téléchargement sécurisé sur la console ApsaraVideo VOD. Pour plus d'informations, consultez la section Configurer le téléchargement hors ligne.