作者monoceros629 (独角兽)
看板Soft_Job
标题[讨论] 我们与资安的距离
时间Wed Apr 17 04:07:51 2019
最近有一部公视的戏剧叫「我们与恶的距离」，还蛮红的。
上周日刚播完七、八集，让台剧版的人气冲上站上第二，
大约7000人在台剧版吧。
这部戏有在公视+和catchplay上架，每周日晚上九点和公视同时直播。
前两个星期都有造成公视+和catchplay因负载过大，出现当机的情形
我有小研究一下，catchplay的片源是放在Amazon S3，然後有做CDN
可是即使做了CDN也有可能负载过大，所以还需要动态的调整CDN的负载，
这真的很技术。
不过我今天要讲的不是这个问题
两三个星期前，我看完一、二集时
就试着想要破解看看，能不能先看未上架的影片
用网路监控工具就发现会一直从S3下载片段回来，再组合
然後我又发现catchplay的命名规则很简单
稍微改个连结，就下载到了连公视还没播出的资料，
当下确定全部影片都已上传到AWS S3了。
不过最後我卡在对影片格式不熟，也对前端技术不够熟
不过最後我卡在对影片格式不熟，也对前端技术不够熟
所以组起来的mp4，拨放是一片黑，
因为我也不是那麽急，这件事就放着了。
直到今天，公视目前播到第8集，
我竟然在网路上看到完整的第9集。
证明己经被破解了，我认为这件事很严重，
对公视来说，大幅影响首播的人气
对Catchplay来说，付大钱买版权，结果播的比盗版网站还慢。
※ 编辑: monoceros629 (39.12.128.139), 04/17/2019 04:23:49
1F：→ bakedgrass: 想到以前马英九的治国周记...你要领小礼物了吗？04/17 05:53
※ 编辑: monoceros629 (39.12.128.139), 04/17/2019 07:00:25
2F：推 ldkrsi: 很公视的风格XD 04/17 07:18
3F：→ CCWck: 你与违反着作权法的距离只差一点点了 04/17 08:47
4F：→ allenxxx: 你与地板上肥皂的距离? 04/17 08:51
5F：推 hooll111: 抓资安漏洞 Amazon应该奖励他 04/17 08:54
6F：→ vi000246: 这篇要低调一点 虽然我连7.8集都还没看 04/17 09:02
7F：推 fhsh810305: 这又不是Amazon的漏洞.... 我们离资安的距离真的很远 04/17 09:16
8F：推 polonine: 影片DRM加密是在Codec上做加密，再封装成fMP4,方便透过c 04/17 09:25
9F：→ polonine: dn发布，你没解密Key也没用,不怕你下载 04/17 09:25
10F：→ alog: 这个问题在提早有影音档可以看 而不是DRM 04/17 09:32
11F：推 alog: 听原po的描述 我猜在 Cloudfront 那段没做更细致的权限控制 04/17 09:34
13F：推 alog: 另外一个问题是 如果你想抓盗版 必须期望 当初在建这个CDN 04/17 09:36
14F：→ alog: 分发时有先记得开一组Log Bucket 04/17 09:36
15F：推 lovebridget: 放了告到爽啊 顺便炒知名度 04/17 09:38
16F：推 alog: 不然上CDN 外部存取进来是没有记录的 04/17 09:39
17F：→ lovebridget: 跟专利一样 巴不得你去踩 04/17 09:39
18F：→ alog: 原po有空的话其实可以回报lol 04/17 09:40
19F：推 polonine: 技术本身不一定是外流的主要原因，技术人员本身就要有更 04/17 09:53
20F：→ polonine: 好的道德标准，比平常人更容易接触到原始资料或大众的个 04/17 09:53
21F：→ polonine: 资 04/17 09:53
22F：推 crossdunk: 冰与火之歌前几季才刚出第一集後面都有了= = 04/17 10:13
23F：推 a0960330: 原po不要回报，在台湾回报资安漏洞只会被关而已 04/17 10:54
24F：推 ktecv2000: 继蚊香社流出後这是是公视流出ㄇ 04/17 10:56
25F：推 mcmj5566: 试了一下的确可以 只是没有字幕XD 但我还是乖乖等周日播 04/17 10:57
26F：→ mcmj5566: 出 支持一下国产作品 04/17 10:57
27F：推 Huffman: 看一下张启元用1元购买统联车票的事件 04/17 12:39
28F：推 es8603: 小心被"解决不了问题只好解决提出问题的人" 04/17 13:57
29F：→ jack10220: 八卦那有贴相关新闻了 04/17 14:08
30F：→ for5566: 查了一下，这应该是内部人员自己流出的，CDN上的都有DRM 04/17 14:08
31F：→ for5566: 加密，实务上也没有需要把未加密的档放在cdn，放在S3上有 04/17 14:08
32F：→ for5566: 可能，但S3权限预设就不公开，也看不出有理由把它设公开 04/17 14:08
33F：→ dreamnook: 请你直接跟公视联络吧O.O 04/17 14:34
34F：推 lisa68: 已上新闻 04/17 14:43
35F：→ TWBilly: 我通知一下在AWS的朋友 04/17 14:53
36F：→ monoceros629: 有DRM的话，我就不知道是内部流出，还是DRM被破解 04/17 15:14
37F：→ monoceros629: 了 04/17 15:14
38F：→ monoceros629: 不过如果小心一点的话，就算有DRM，还是不应该让未 04/17 15:16
39F：→ monoceros629: 上架的影片档能被下载 04/17 15:16
40F：推 SuperCry: catchplay好像给薪不是很大方 04/17 15:40
41F：嘘 andy199113: 阿就不是cdn问题阿 04/17 17:29
42F：推 andy199113: CDN使用亚马逊和阿里云 影片提早上架，有DRM加密 04/17 17:43
43F：→ andy199113: 程式码js没有加密 + DRM可能有漏洞被解出串流影音金钥 04/17 17:45
44F：→ andy199113: 依照国外 应该是播出完後才正式上架 但这OTT直接上架 04/17 17:46
45F：→ andy199113: 应该不是对岸字幕组特地弄字幕 而是官方字幕档也上架 04/17 17:47
46F：推 zaramaru2: 你是ctf大师吧? 04/17 18:46
47F：推 vn509942: 解决不了问题，先解决白帽 04/17 19:00
48F：推 polonine: 我个人还是偏向内部流出的可能性较大，若DRM被破解的话 04/17 19:32
49F：→ polonine: ，不会只有这一部片出问题 04/17 19:32
50F：→ darkMood: 没什麽，如果考虑所有的恶意，人类无法生存，希望有 04/17 20:01
51F：→ darkMood: 恶意的人都被雷劈死，被砂石车辗死，被太阳晒死，哈 04/17 20:01
52F：推 bill750121: 应该就在codec上加密了吧... 04/17 20:12
53F：→ monoceros629: 这好像是catchplay 第一次投资自制剧，所以之前都 04/18 06:04
54F：→ monoceros629: 是直接上架就能看，不像这次是上架但是不给看 04/18 06:04
55F：推 bitcch: 每一集的key应该都是独立的吧 就算影片抓下来也拨不了 04/18 21:35
56F：→ williamtsai: 其实可以直接用 m3u8 载，只要你有 token 就好了，不 04/19 12:11
57F：→ williamtsai: 过他好像有把音轨放在别的地方，我目前是估计他所有 04/19 12:11
58F：→ williamtsai: 集数都共用一个 token，所以只要有合法 token 就可以 04/19 12:11
59F：→ williamtsai: 把还没公布的集数爬下来 04/19 12:11
60F：→ williamtsai: 等，我是用公视+ 不是 catchplay XD 04/19 12:12