Recientemente para ayudar a un cliente para hacer frente al problema del robo de la cadena de v\u00eddeo, realmente estaba bastante echado a perder. La otra parte utiliza una peque\u00f1a f\u00e1brica de CDN, antirrobo cadena simplemente abrir un cheque Referer, los resultados del tr\u00e1fico al d\u00eda siguiente como de costumbre se cepill\u00f3 r\u00e1faga. Una comprobaci\u00f3n del registro, buen tipo, el atacante directamente forjado Referer cabeza, f\u00e1cilmente arrastrado los recursos a la parte inferior del cielo. En estos d\u00edas, incluso el CDN tiene que \u201canti-teammates\u201d, confiando en la configuraci\u00f3n b\u00e1sica realmente no puede superar ah.<\/p>\n
De hecho, el robo de cadenas de v\u00eddeo no es nada nuevo desde hace tiempo, pero en los dos \u00faltimos a\u00f1os se ha vuelto cada vez m\u00e1s rampante. Las bandas de extorsionadores incluso se dedican a utilizar herramientas automatizadas, especializadas en escanear sitios en busca de vulnerabilidades contra el robo de cadenas. Hice pruebas y descubr\u00ed que los sitios que se basan \u00fanicamente en la autenticaci\u00f3n Referer, 90% o m\u00e1s pueden ser eludidos - despu\u00e9s de todo, lo del encabezado HTTP, en el cliente es una chiquillada para vestir. Lo que es peor, algunos rastreadores simular directamente el comportamiento del navegador, incluso Referer se generan para usted de acuerdo con la especificaci\u00f3n, no puede ser defendido.<\/p>\n
Una defensa realmente eficaz tiene que ser multicapa; la autenticaci\u00f3n de referencias es la base, pero tiene que ir unida al cifrado de URL y a tokens din\u00e1micos. No veas estos dos trucos anticuados, usados correctamente pueden soportar la mayor\u00eda de los ataques. Especialmente el token de tiempo, yo sol\u00eda usar SHA256 como firma, la IP del cliente, las marcas de tiempo, las rutas de recursos se mezclan encriptadas, el tiempo de expiraci\u00f3n se establece para ser m\u00e1s corto, incluso si es interceptado, ser\u00e1 invalidado muy r\u00e1pidamente.<\/p>\n
No creas a los que dicen \u201cHTTPS cadena natural antirrobo\u201d tonter\u00edas, HTTPS s\u00f3lo puede evitar que el intermediario fisgoneo, pero despu\u00e9s de la autorizaci\u00f3n de la solicitud para ser robado como robado. El a\u00f1o pasado, hubo un caso, una plataforma educativa de v\u00eddeo fue rastrillado limpio, es debido a la utilizaci\u00f3n de tokens est\u00e1ticos en el JS, la gente directamente F12 al rev\u00e9s.<\/p>\n
En la elecci\u00f3n de los proveedores de servicios CDN, compar\u00e9 tres: CDN5, CDN07 y 08Host. configuraci\u00f3n de la cadena antirrobo de CDN5 es el m\u00e1s flexible, el apoyo a la costumbre de cifrado variable, pero el precio es alto; interfaz de CDN07 es infalible, adecuado para los principiantes, pero las caracter\u00edsticas avanzadas tienen que aumentar el dinero; 08Host relaci\u00f3n precio-rendimiento de los mejores, con la integraci\u00f3n WAF, pero tambi\u00e9n se puede configurar de acuerdo a la regi\u00f3n de la pol\u00edtica de la cadena antirrobo diferentes, I Manejado por los proyectos peque\u00f1os y medianos ochenta por ciento con \u00e9l.<\/p>\n
Hay un problema que hay que tener en cuenta a la hora de desplegar: \u00a1no utilices par\u00e1metros expl\u00edcitos en la URL para la comprobaci\u00f3n de permisos! He visto a gente que introduc\u00eda el userId directamente en la URL, y el resultado es que todos los v\u00eddeos de los usuarios son rastreados. El enfoque correcto es colocar la l\u00f3gica de verificaci\u00f3n en el borde del nodo CDN, utilizando relaciones de mapeo de variables. Por ejemplo, el fondo de configuraci\u00f3n de CDN07 puede establecer la funci\u00f3n de borde para verificar directamente la validez del token:<\/p>\n
Otro consejo: el troceado de v\u00eddeo es m\u00e1s seguro con los forenses. Divida los archivos grandes en segmentos y autorice cada segmento individualmente. Aunque a\u00f1ade un poco de retraso, el factor de seguridad se duplica. Una vez que un cliente fue robado cadena, debido a la utilizaci\u00f3n de slicing + token din\u00e1mico, el atacante s\u00f3lo arrastr\u00f3 5 minutos de contenido fue detenido por el mecanismo de fallo de token, la p\u00e9rdida se controla directamente dentro del umbral.<\/p>\n
Por \u00faltimo, la industria es un caos. Algunos proveedores de CDN para el robo de anti-cadena b\u00e1sica volado por las nubes, de hecho, incluso los ataques de repetici\u00f3n de marca de tiempo no se puede prevenir. Si realmente quieres hacer alta defensa, usted tiene que ver si el proveedor de servicios soporta la rotaci\u00f3n de claves, ya sea para proporcionar monitoreo en tiempo real del robo de la cadena. 08Host en esta pieza de trabajo es muy real, el fondo puede ver directamente el intento de robar el mapa de la cadena, e incluso la fuente del n\u00famero AS ataque est\u00e1n marcados para usted.<\/p>\n
Para ser sincero, no existe una soluci\u00f3n \u00fanica para la seguridad. Semanalmente he comprobado los registros de los enlaces antirrobo del sitio web del cliente, y efectivamente, he encontrado unas cuantas peticiones an\u00f3malas: algunas utilizando IPs proxy extranjeras, y otras escogiendo las primeras horas de la ma\u00f1ana para probarlo. Ahora simplemente escribi\u00f3 un script para tirar autom\u00e1ticamente de la anomal\u00eda negro Patr\u00f3n, combinado con la actualizaci\u00f3n en tiempo real de la API CDN5 lista negra. Este conjunto de golpes combinados hacia abajo, los \u00faltimos seis meses y luego no hay casos exitosos de robo de cadena.<\/p>\n
En resumen, el robo de cadenas es como el juego del gato y el rat\u00f3n, la idea central es aumentar el coste del ataque. la autenticaci\u00f3n de referenciadores es la primera puerta, el cifrado de URLs es la segunda, el token din\u00e1mico es la tercera. Las tres l\u00edneas de defensa se superponen + ajustes regulares de estrategia, para que los ladrones de cadenas sientan que royendo este trozo de hueso es mejor ir a buscar un caqui m\u00e1s blando. Despu\u00e9s de todo, los derechos de autor de v\u00eddeo es dinero real para comprar, fue despojado desnudo, pero incluso los pantalones no se dejan.<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente para ayudar a un cliente para hacer frente al problema del robo de la cadena de v\u00eddeo, realmente estaba bastante echado a perder. La otra parte utiliza una peque\u00f1a f\u00e1brica de CDN, antirrobo cadena simplemente abrir un cheque Referer, los resultados del tr\u00e1fico al d\u00eda siguiente como de costumbre se cepill\u00f3 r\u00e1faga. Una comprobaci\u00f3n del registro, buen tipo, el atacante directamente forjado Referer cabeza, f\u00e1cilmente arrastrado los recursos a la parte inferior del cielo. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d, s\u00f3lo se basan en la configuraci\u00f3n b\u00e1sica realmente no puede superar ah. De hecho, el robo de la cadena de v\u00eddeo ha sido durante mucho tiempo nada nuevo, pero en los \u00faltimos dos a\u00f1os cada vez m\u00e1s rampante. Bandas de chantaje incluso han comenzado las herramientas automatizadas, que se especializa en el escaneo de sitios en busca de vulnerabilidades de la cadena anti-robo. He encontrado que la prueba real, simplemente se basan en Referer sitio de autenticaci\u00f3n, 90% o m\u00e1s puede ser eludida - despu\u00e9s de todo, encabezado HTTP esta cosa, en el cliente es dejar que la gente vestir a la ni\u00f1a. Lo que es peor.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1007","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1007","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1007"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1007\/revisions"}],"predecessor-version":[{"id":1118,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1007\/revisions\/1118"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1007"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1007"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1007"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1007"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}