ライブストリーミングの設定、コンテンツ制作、ストリームインジェスト、再生の全プロセスを保護するために、ApsaraVideo Live は包括的なコンテンツセキュリティ保護システムを提供します。このシステムは、ライブコンテンツをホットリンク、不正ダウンロード、不正配信から保護します。このトピックでは、ライブストリーミングのセキュリティ対策について説明します。
ライブストリーミングのセキュリティ
次の図は、ApsaraVideo Live が提供するセキュリティ対策を示しています。
ApsaraVideo Live が提供するセキュリティメカニズムは以下の通りです：
セキュリティメカニズム | 機能 | 説明 | セキュリティレベル | しきい値 |
RAM ユーザー | ポリシーを設定することで、RAM ユーザーに権限を付与できます。 | 比較的低い | 低い。クラウドでの設定のみが必要です。 | |
HTTPS セキュアアクセラレーション | HTTPS は、ネットワーク上で安全な通信を行うために使用されるプロトコルです。HTTPS は、Secure Sockets Layer (SSL) またはトランスポート層セキュリティ (TLS) プロトコルを使用して HTTP データをカプセル化し、セキュリティを確保します。 | 高い | 低い。クラウドでの設定のみが必要です。 | |
Referer ベースのホットリンク保護 | この機能は HTTP ヘッダーに基づいてソースを追跡しますが、ヘッダーは偽造されやすいです。 | 低い | 低い。クラウドでの設定のみが必要です。 | |
IP ホワイトリストおよびブラックリスト | この機能は、特定の IP アドレスから送信されたアクセスリクエストのみを拒否または許可します。この機能は、多数のユーザーにコンテンツを配信するには適していません。 | 比較的低い | 低い。クラウドでの設定のみが必要です。 | |
ストリームインジェストと再生の URL 署名 | この機能は、カスタム認証キーと有効期限をサポートし、動的な署名付き URL を生成することもできます。 | 中 | 比較的低い。署名付き URL を生成するためのスクリプトが用意されています。 | |
認証センターでのユーザーリクエストの認証 | カスタムリクエスト情報を追加し、独自の認証センターを使用してリクエストを検証します。これにより、正当なリクエストをより正確に識別できます。 | 高い | 比較的高い。認証センターをデプロイし、その高可用性を確保する必要があります。 | |
Alibaba Cloud 独自の暗号化 | 独自の暗号化アルゴリズムを使用してビデオストリーム伝送のセキュリティを確保する、クラウドとデバイスを統合したビデオ暗号化ソリューションです。 | 高い | 比較的低い。簡単な設定と ApsaraVideo Player SDK の統合のみが必要です。 | |
DRM 暗号化 | この機能は、Apple FairPlayとGoogle Widevineをサポートしています。DRMは高いセキュリティを提供し、大規模な著作権コンテンツプロバイダーの要件を満たします。 | 高い | 比較的高い。ライセンスコールの数に基づいて課金されます。ApsaraVideo Player SDK の統合のみが必要です。 | |
自動審査 | この機能は、ライブストリーム内の音声およびビデオコンテンツの違反を自動的に検出します。 | 高い | 低い。クラウドでの設定のみが必要です。 | |
ライブストリームの無効化 | 不適切なコンテンツを含むライブストリームのストリームインジェストを無効にし、カスタム期間を指定できます。 | 高い | 低い。クラウドでの設定のみが必要です。 |
アカウントの権限付与
背景情報： Alibaba Cloud アカウントの AccessKey ペアは完全な権限を持ち、AccessKey ペアが漏洩した場合、データ漏洩の高いリスクがあります。
はじめに： ApsaraVideo Live は AccessKey ペアに基づいて、リクエストを開始したユーザーの ID を認証し、ユーザーが必要な権限を持っているかどうかを判断します。ApsaraVideo Live はアカウント認証をサポートしており、システムポリシーを提供しています。さらに、カスタムポリシーを作成することもできます。詳細については、「権限管理の概要」をご参照ください。
HTTPS セキュアアクセラレーション
背景情報： HTTP はデータを暗号化せず、平文で送信します。
はじめに： HTTPS (Hypertext Transfer Protocol Secure) は、ネットワーク上で安全な通信を行うために使用されるプロトコルです。HTTP のセキュアバージョンとして、HTTPS は SSL またはトランスポート層セキュリティ (TLS) プロトコルを使用して HTTP データをカプセル化し、セキュリティを確保します。詳細については、「HTTPS セキュアアクセラレーション」をご参照ください。
アクセス制御
クラウドでアクセス制御ポリシーを設定して、ライブストリーミングの基本的な保護を行うことができます。
以下の一般的なアクセス制御ポリシーが用意されています：
Referer ベースのホットリンク保護
HTTP リクエストの Referer ヘッダーを使用して、リクエストの送信元を追跡および識別できます。Referer ベースのブラックリストまたはホワイトリストを設定して、ビデオソースへのアクセスを制御できます。
IP ホワイトリストおよびブラックリスト
IP アドレスのブラックリストまたはホワイトリストを設定して、ユーザーを識別およびフィルタリングできます。これにより、ライブストリームリソースへのアクセスを制御し、ライブストリームのセキュリティを向上させることができます。
詳細については、「アクセス制御」をご参照ください。
ストリームインジェストと再生の URL 署名
背景情報： 固定のストリーミング URL を使用すると、不正なビデオ配信が発生し、制御できなくなる可能性があります。
はじめに： ApsaraVideo Live は URL 署名機能を提供します。この機能は、権限検証や有効期間などの情報を含む動的な署名付き URL を生成し、正当なリクエストを区別することでビデオソースを保護します。
URL 署名を有効にすると、次のようになります：
インジェスト URL とストリーミング URL の両方が署名されます。
ApsaraVideo Player SDK および ApsaraVideo Live が提供するストリーミング URL を取得するための API または SDK は、有効期間付きのストリーミング URL を自動的に生成します。動的な署名付き URL を手動で生成する方法については、「署名付きインジェストおよびストリーミング URL」で説明されている認証方法をご参照ください。
詳細については、「署名付きインジェストおよびストリーミング URL」をご参照ください。
リモート認証
背景情報： ApsaraVideo Live の URL 署名機能では、ホットリンクによるリクエストなど、すべての不正なリクエストを検出できるわけではありません。リモート認証を使用すると、ビジネスリクエストを認証できるため、認証がより正確になります。
はじめに： リモート認証モードでは、CDN はユーザーリクエストを認証センターに渡し、リクエストが正当かどうかを判断させます。CDN は、認証結果に基づいてリクエストを許可または拒否します。
リモート認証を実装するには、認証センターを開発およびデプロイする必要があります。認証センターのドメイン名が CDN でアクセラレーションされている場合、CDN は認証結果をキャッシュできます。これにより、認証センターへの負荷が軽減されます。
デフォルトでは、CDN はユーザーリクエストのヘッダーと request_uri フィールドを認証センターに渡し、認証センターから返された認証結果に基づいて操作を実行します。
再生リクエストでユーザーのログオン Cookie または汎用一意識別子 (UUID) を非表示にし、再生リクエストを認証センターに渡すことができます。これにより、ユーザーが正当なユーザーであるかどうかを判断できます。
リモート認証は、比較的しきい値が高くなります。独自の認証センターを開発およびデプロイする必要があります。リモート認証を有効にして設定するには、チケットを送信して Alibaba Cloud テクニカルサポートにお問い合わせください。詳細については、「お問い合わせ」をご参照ください。
ビデオセキュリティ
背景情報： ホットリンク保護機能は、コンテンツへの不正アクセスを防ぐことができます。しかし、有料のライブストリーミングシナリオでは、ユーザーはライブストリームに対して1回限りの料金を支払い、ホットリンク保護が設定された正当なストリーミング URL からビデオファイルをダウンロードできます。ビデオファイルがダウンロードされると、ビデオファイルの再配布は制御不能になります。したがって、ビデオの著作権を保護するには、ホットリンク保護だけでは不十分です。ビデオファイルの漏洩は、ビデオ視聴に対してユーザーに課金するビジネスに深刻な経済的損失を与える可能性があります。
はじめに： Alibaba Cloud 独自の暗号化は、ビデオデータを暗号化します。オンプレミスのデバイスにダウンロードされたビデオファイルは暗号化されます。これにより、不正な再配布、ビデオの漏洩、ホットリンクを防ぐことができます。
Alibaba Cloud 独自の暗号化
Alibaba Cloud 独自暗号化は、独自の暗号化アルゴリズムと安全な伝送システムを使用して、クラウドとデバイスを統合したビデオセキュリティソリューションを提供します。 Alibaba Cloud 独自暗号化は、[暗号化トランスコーディング] と [復号後の再生] で構成されています。
利点：
各メディアファイルには専用の暗号化キーがあります。これにより、単一のキーが漏洩した場合に多数のビデオファイルが漏洩するのを防ぎます。
ApsaraVideo Live はエンベロープ暗号化を提供します。暗号文キーのみが保存されます。平文キーはメモリ内でのみ使用され、使用後すぐに破棄されます。
ApsaraVideo Live は、iOS、Android、Flash など、複数のプラットフォーム向けの安全な ApsaraVideo Player SDK を提供します。ApsaraVideo Player SDK は、暗号化されたビデオを自動的に復号して再生できます。
独自の暗号化プロトコルを使用して、プレーヤーとクラウド間で暗号文キーを送信します。平文キーは送信されません。これにより、キーが傍受されるのを防ぐことができます。
ApsaraVideo Live はセキュアダウンロード機能を提供します。オンプレミスのデバイスにキャッシュされたビデオは再度暗号化されます。これにより、ビデオをオフラインで再生でき、ビデオのコピーや再配布を防ぐことができます。
重要Alibaba Cloud 独自の暗号化には、以下の制限があります：
ビデオは HTTP ライブストリーミング (HLS) 形式でのみ生成できます。
Alibaba Cloud 独自の暗号化を使用して暗号化されたビデオの再生は、ApsaraVideo Player でのみ可能です。
Web ページではビデオを再生できません。
詳細については、「Alibaba Cloud ビデオ暗号化」をご参照ください。
DRM 暗号化
スポーツの試合やコンサートなどのハイエンドなビデオプログラムは、コンテンツプロバイダーのセキュリティ要件を満たす必要があります。ApsaraVideo Live は、FairPlay と Widevine の DRM 暗号化をサポートするクラウドベースの DRM ソリューションを提供します。このソリューションは、ビデオ暗号化、ライセンス発行、ビデオ再生機能を統合しています。
詳細については、「DRM 暗号化」をご参照ください。
各ビデオ暗号化ソリューションには長所と短所があります。一般的に、より標準的で汎用的なソリューションは、柔軟性が高い反面、セキュリティは低くなります。ビジネスシナリオに基づいてソリューションを選択してください。
コンテンツセキュリティ
背景情報： ライブストリームはストリーマーによって制作され、ライブストリーミングプラットフォームで視聴者に配信されます。コンテンツモデレーションがないと、ライブストリームが有害でコンプライアンスに違反する情報を拡散し、コンプライアンス上のリスクにつながる可能性があります。
はじめに： ビデオ AI に基づいて、ApsaraVideo Live はビデオ、音声、画像コンテンツを審査する自動審査機能を提供します。また、コンプライアンスに違反するライブストリームのインジェストを無効にすることもできます。
自動審査：この機能は、豊富な注釈付きデータとディープラーニングアルゴリズムに基づいて構築されており、音声、ビデオ、サムネイル、タイトル内の違反メディアコンテンツを正確に検出します。
ライブストリームの無効化: [ストリーム管理] モジュールでは、コンプライアンスに違反するコンテンツやその他の問題があるライブストリームを、恒久的または一時的に無効にできます。
詳細については、「自動審査」をご参照ください。