способы защиты контента от несанкционированного скачивания

undefined · 03.03.2015, 12:24

Доброго дня ув. сообщество.Есть флэшка, активно качающая джипеги с сервера.Эти джипеги - это фотографии за которые были заплачены деньги.Поэтому держать их на сервере на фиксированных адресах не вариант. Поэтому решено было делать следующую защиту:
- Для каждого джипега бэкенд генерит уникальный url.
-Флэшка шлет туда запрос-пустышку.
-Серв в ответ генерит проверочную строку и скармливает её флэшке
- Флэшка строку шифрует с помошью ключа-секрета
- Серер делает тоже самое и сравнивает свой результат со строкой от флэшки.Если совпадают - отдает джипег с выставленным no-cache.
Тут смущает необходимость хранить секрет в коде флэшки в явном виде, что делает защиту уязвимой перед декомпилом.Как тут можно извернуться чтоб убрать секрет из кода?

Ну или более общО:какие еще существуют методы защиты контента, чтоб качать его могла только конкретная флэшка, лежащая на конкретном url?

alatar · 03.03.2015, 15:08

И от кого вы таким образом защититесь? Вам саму картинку шифровать надо, а не способ ее получения.

undefined · 03.03.2015, 15:24

Картинки достаточно увесистые боюсь флэш загнется на дешифровке.Задача стоит защитить картинки именно от скачивания левыми клиентами. По крайней мере заказчик так сформулировал.
UPD:Ну и даже если шифровать картинки.Снова надо откуда-то ключ для дешифровки брать.

Zebestov · 03.03.2015, 15:37

Цитата:

Сообщение от undefined

Картинки достаточно увесистые боюсь флэш загнется на дешифровке.

Не надо бояться. Flash позволяет с нормальным fps в каждом кадре весь экран попиксельно зарисовывать, попутно производя над каждым пикселем необходимые операции. А уж пробежаться по ByteArray какого-то изображения 4096x4096 (например) и дешифровать их тем же XOR-ом — ну никак не задача на полчаса.

Цитата:

Сообщение от undefined

Ну и даже если шифровать картинки.Снова надо откуда-то ключ для дешифровки брать.

Ключ будет вшит во приложение.

undefined · 03.03.2015, 17:17

Цитата:

Ключ будет вшит во приложение.

Как это?

Zebestov · 03.03.2015, 17:27

Ну как-как. Ключ знает сервер (туда условно фиг доберешься) и приложение (доступ в известной степени затруднен). Сервер посылает изображение, предварительно заXORенное тем же ключом, что будет использован при восстановлении в приложении.

undefined · 03.03.2015, 17:35

Ну так в том-то и вопрос что для восстановления изображения приложение должно знать этот ключ.Это по сути тоже самое что и в первом посте предлагается. Вопрос в том, как можно избавиться от ключа в коде приложения, т.к. после декомпила он будет как на ладони.

Zebestov · 03.03.2015, 17:39

Никак.

undefined · 03.03.2015, 17:46

Ну тогда более общий вопрос. Как вообще можно на сервере идентифицировать, что это правильная флэшка запрашивает ресурсы?

alatar · 03.03.2015, 17:49

Хранить на сервере SHA1 хэш флешки, флешка считает свой хэш и посылает его с запросом.

Добавлено через 4 минуты
Но это не спасает от кражи ресурсов, если уже есть официальная флешка, которая загружает изображения. В случае шифрования изображений, можно также использовать хэш для шифрования. Тогда злоумышленнику необходимо будет знать еще и алгоритм шифрования.