ApsaraVideo VOD:メディアセキュリティ

概要

堅牢なコンテンツ保護メカニズムにより、ホットリンクや不正ダウンロード、動画コンテンツの違法ディストリビューションを防止できます。これらのメカニズムは、特にプレミアムテレビ番組、オンライン教育、金融、企業内トレーニングなど、オンライン著作権が重要な課題となる業界向けのセキュリティ要件を満たします。

ApsaraVideo VOD では、以下のセキュリティメカニズムを提供しています。

アクセスの制御

概要： クラウド上の動画リソースに対してアクセスポリシーを構成することで、基本的な保護レイヤーを提供できます。

一般的な方法は以下のとおりです。

• Referer に基づくアクセスの制御

  この方式では HTTP Referer ヘッダーを使用してリクエスト元をトラッキングします。特定のリファラーをブロックするためのリファラーブラックリスト、または承認済みのリファラーのみを許可するホワイトリストを構成できます。

• User-Agent に基づくアクセスの制御

  この方式では HTTP User-Agent ヘッダーを使用してリクエスト元をトラッキングします。特定のユーザーエージェントをブロックするためのブラックリスト、または承認済みのユーザーエージェントのみを許可するホワイトリストを構成できます。

• IP に基づくアクセスの制御

  x-forwarded-for ヘッダーや直接接続の IP アドレスによって識別されるクライアントの IP アドレスに基づき、リクエストをブロックまたは許可できます。IP アドレスリストまたは CIDR ブロックを使用して、IP アドレスのブラックリストまたはホワイトリストを構成できます。

詳細については、「ブラックリスト／ホワイトリスト」をご参照ください。

URL 署名

背景情報： 静的で変更されない再生 URL は、動画コンテンツが継続的かつ無制限にディストリビューションされる脆弱性を生じさせます。

概要： URL 署名は、動的署名付き URL を生成することで動画リソースを保護します。これらの URL には認証情報と有効期限が含まれており、正当なリクエストと不正なリクエストを区別します。

URL 署名を有効化した後は、以下のように動作します。

• 動画、音声、サムネイル、スナップショットなどのすべてのメディアリソースの URL は署名が必要になります。

• ApsaraVideo Player SDK および再生アドレス取得用の API/SDK は、自動的に有効期限付きの署名付き URL を生成します。手動で署名付き URL を生成する必要がある場合は、「URL 署名」の 認証方法 セクションをご参照ください。

詳細については、「URL 署名」をご参照ください。

リモート認証

背景情報： URL 署名だけでは、高度なホットリンクなどの特定の不正リクエストを識別するのに限界があります。リモート認証は、検証プロセスにビジネスロジックを組み込むことで、より正確な制御を実現し、セキュリティを強化します。

概要： リモート認証では、ApsaraVideo VOD CDN がユーザーのリクエストをカスタム認証センターに転送します。認証センターが各リクエストの正当性を判断し、CDN はその応答に基づいてアクセスを許可または拒否します。

• リモート認証には、独自の認証センターを開発・デプロイする必要があります。認証センターのドメインも CDN でアクセラレーションされている場合、構成されたルールに従って認証結果をキャッシュでき、サーバーへの負荷を軽減できます。

• デフォルトでは、ApsaraVideo VOD CDN はユーザーのリクエストからヘッダーおよび request_uri をカスタム認証センターに渡し、その結果に従って動作します。

• ログイン Cookie や UUID などのユーザー情報を再生リクエストに埋め込むことができます。この情報は認証センターに渡され、ユーザーの認証状態を検証できます。

詳細については、「リモート認証」をご参照ください。

動画暗号化

背景情報： ホットリンク保護により正当なアクセスを保証できますが、有料コンテンツのシナリオにおいては著作権保護には不十分です。ユーザーが一度支払いを行い、有効な再生 URL を取得した後、動画をダウンロードして再配布することが可能です。漏洩した動画ファイルは、有料コンテンツモデルに大きな財務的損失をもたらす可能性があります。

概要： 動画暗号化は、動画データ自体を暗号化することでコンテンツを保護します。動画ファイルがダウンロードされたとしても、暗号化されたままのため再生できません。これにより、不正な再配布およびホットリンクを効果的に防止できます。

• Alibaba Cloud 専用の暗号化

  Alibaba Cloud 専用の暗号化は、独自アルゴリズムと安全な伝達メカニズムを用いて、クラウドからデバイスまでの動画セキュリティソリューションを提供します。そのコアコンポーネントは 暗号化トランスコード および 復号再生 です。

  主なメリット：

  • 各メディアファイルは一意キーで暗号化されます。これにより、単一のキーが漏洩しても大量の資産が暴露されるリスクを回避できます。

  • 暗号文キーとプレーンテキストキー を用いたエンベロープ暗号化を採用しています。暗号文キーのみが保存され、プレーンテキストキーはメモリ上にのみ存在し、使用直後に削除されます。

  • iOS、Android、HTML5、Flash など複数のプラットフォーム向けに安全なプレーヤー SDK を提供しています。これらの SDK は、暗号化コンテンツの復号および再生を自動的に処理します。

  • プレーヤーとクラウド間の通信を独自プロトコルで保護します。プレーンテキストキーは一切送信されないため、傍受を防止できます。

  • 安全なダウンロードをサポートします。ローカルにキャッシュされた動画は再暗号化され、コピーまたは盗難を防止しながらオフライン再生が可能になります。

  重要

  Alibaba Cloud 専用の暗号化には、以下の制限事項があります。

  • HLS フォーマットのみサポートされます。

  • 再生は ApsaraVideo Player のみでサポートされます。

  • Web：専用の暗号化は iOS 17.1 以降でのみネイティブサポートされ、macOS および Windows では完全にサポートされています。HLS 暗号化はすべてのプラットフォームのすべてのブラウザと互換性があります。

  詳細については、「Alibaba Cloud 専用の暗号化」をご参照ください。

• HLS 暗号化

  HLS 暗号化は、HTTP ライブストリーミング (HLS) で定義された標準暗号化スキームに従い、AES-128 を使用して動画コンテンツを暗号化します。HLS に準拠したすべてのプレーヤーと互換性があるため、独自開発またはオープンソースのプレーヤーを使用できます。Alibaba Cloud 専用の暗号化と比較すると、柔軟性は高いものの導入工数が多く、セキュリティレベルは低くなります。

  • トランスコード用の暗号鍵を生成し、再生用の復号鍵を提供するための独自のキー管理サービスを構築および管理する必要があります。Alibaba Cloud KMS を使用してこのサービスを構築することも可能です。

  • 再生クライアントの ID を検証し、復号鍵への不正アクセスを防止するためのトークン発行サービスを提供する必要があります。

  • プレーンテキストキーはプレーヤーとクラウド間で送信されるため、傍受されやすいという弱点があります。

  詳細については、「HLS 暗号化」をご参照ください。

• 商用 DRM

  ハリウッドの大手スタジオなどから提供されるプレミアム動画コンテンツは、多くの場合、コンテンツ権利者から厳しいセキュリティ要件を満たす必要があります。Alibaba Cloud は、FairPlay および Widevine 暗号化をサポートするクラウドベースの DRM ソリューションを提供し、動画暗号化、ライセンス配信、再生をワンストップで実現します。

  詳細については、「DRM」をご参照ください。

機能比較：

• セキュリティレベル：商用 DRM > Alibaba Cloud 専用の暗号化 > HLS 暗号化

  Alibaba Cloud 専用の暗号化のセキュリティは商用 DRM と同等であり、両方とも HLS 暗号化よりもはるかに安全です。

• 使いやすさ：Alibaba Cloud 専用の暗号化 > HLS 暗号化 > 商用 DRM

  • Alibaba Cloud 専用の暗号化はクラウドからデバイスまでのソリューションであり、簡単な構成と ApsaraVideo Player SDK の統合により、シームレスに暗号化機能を導入できます。

  • HLS 暗号化では、独自のキー管理およびトークン発行サービスを構築する必要があります。

  • 商用 DRM では、ライセンスの購入、特定 SDK の統合、カスタムクライアント側ビジネスロジックの開発が必要です。

• 互換性：HLS 暗号化 > 商用 DRM > Alibaba Cloud 専用の暗号化

  • HLS 暗号化は、すべての HLS 再生シナリオと互換性があります。

  • 商用 DRM は、Chrome、Safari、IE、Edge ブラウザおよび Android、iOS デバイスなど、承認されたプラットフォームでのみサポートされます。

  • Alibaba Cloud 専用の暗号化は、ApsaraVideo Player SDK (Android、iOS、HTML5、Flash) のみでサポートされます。

• コスト：Alibaba Cloud 専用の暗号化 = HLS 暗号化 << 商用 DRM

  Alibaba Cloud 専用の暗号化および HLS 暗号化は無料です。商用 DRM には追加のライセンス料金が発生します。

安全なダウンロード (キャッシュ)

背景情報： 動画アプリケーション、特に Android や iOS などのモバイルプラットフォームでは、ユーザーがオフライン視聴のために動画をキャッシュまたはダウンロードできるようにする必要があります。このようなコンテンツは、不正なコピー、再生、ディストリビューションから保護される必要があります。ApsaraVideo Player SDK の安全なダウンロード機能は、ローカルデバイスにダウンロードされた動画コンテンツを効果的に保護します。

概要： 安全なダウンロードは、秘密鍵を使用して動画ファイルに第 2 の暗号化レイヤーを追加します。ダウンロードされた動画は、ApsaraVideo Player SDK 内で復号されます。これにより、バンドル ID またはキーストアで識別される指定されたアプリケーションでのみオフライン動画を再生できるようになります。

主なメリット：

• 動画をダウンロード後、インターネット接続なしで、承認されたアプリケーションでのみオフラインで復号・再生が可能です。

• 秘密鍵ファイルは盗難を防止するために暗号化された状態で保存されます。

• 各動画ファイルには、各アプリケーションごとに一意の秘密鍵が割り当てられます。単一のキーが漏洩しても、他の動画には影響しません。

この機能を使用する前に、ApsaraVideo VOD コンソールで安全なダウンロードを有効化してください。詳細については、「オフラインダウンロードの構成」をご参照ください。