보안 개요
Microsoft eCDN은 M365 규격 서비스입니다. 즉, 다른 M365 서비스에서 유지 관리하는 모든 동일한 보안 표준을 따릅니다.
이 문서에서는 비디오 스트리밍 배달에 적용되는 보안과 관련된 몇 가지 문서를 강조 표시합니다.
Microsoft eCDN은 하이브리드 솔루션입니다. 즉, Microsoft eCDN은 기존 HTTP 서버와 함께 사용되며 이미 있는 기존 보안 인프라(토큰, 키, 쿠키 등)를 활용합니다.
통신 측면에서는 두 가지 기본 통신 채널이 있습니다.
피어 간; 피어는 DTLS 암호화를 통해 SCTP 프로토콜을 사용하는 보안 터널인 WebRTC 데이터 채널을 통해 서로 연결됩니다.
TLS 암호화를 사용하는 보안 WebSocket 연결을 통해 각 뷰어와 Microsoft eCDN 백 엔드 간에.
두 채널 모두 업계 표준 네트워크 보안 프로토콜을 사용하므로 두 뷰어 간에 전송된 데이터나 각 뷰어와 서비스의 백 엔드 간에 전송된 메타데이터가 손상될 수 없습니다.
위의 기능 외에도 서비스에는 아래에 설명된 개별 요구 사항에 따라 사용하도록 설정할 수 있는 추가 보안 기능이 있습니다.
뷰어 인증
일반적으로 모든 뷰어는 Microsoft eCDN 백 엔드에 연결하고 P2P 네트워크에 참여할 수 있습니다. 이는 대부분의 사용 사례에서 허용되지만 일부 고객은 서비스에 연결할 수 있는 뷰어를 제한하는 것을 선호할 수 있습니다.
이러한 경우 백 엔드는 콘텐츠 공급자 쪽에 이미 있을 수 있는 인증 메커니즘 외에도 뷰어를 직접 인증할 수 있습니다. Microsoft eCDN의 인증 메커니즘은 권한 없는 뷰어의 콘텐츠 및 피어 투 피어 네트워크에 존재하는 메타데이터에 액세스하지 못하도록 합니다.
도메인 허용 목록
대부분의 원치 않는 뷰어의 피어링 참여를 차단하는 가장 빠르고 쉬운 방법은 뷰어에서 서비스의 백 엔드에 연결할 수 있는 특정 도메인을 명시적으로 허용 목록에 추가하는 것입니다. 즉, 허용 목록에 없는 다른 도메인에서 서비스에 연결하려는 뷰어는 차단됩니다.
단계별 가이드:
관리 콘솔 타사 플랫폼 구성 페이지로 이동합니다.
아래와 같이 "웹 사이트 허용 목록" 상자에 도메인(서비스 스크립트가 로드되는 도메인)을 추가합니다.
모두 완료되었습니다. 나열되지 않은 도메인의 테넌트 ID를 사용하여 서비스에 연결하려는 모든 뷰어는 차단됩니다.
최종 사용자-IP 허용 목록
관리자가 원치 않는 뷰어의 피어링 참여를 차단할 수 있는 또 다른 방법은 미리 정의된 공용 IP 목록에서 서비스에 대한 액세스만 허용하는 것입니다. 이는 위의 "도메인 허용 목록" 기능과 유사하지만 이번에는 뷰어의 공용 IP를 허용 목록에 추가합니다.
단계별 가이드:
관리 콘솔 보안 구성 페이지로 이동합니다.
아래와 같이 지원되는 형식 중 하나로 "최종 사용자 IP 허용 목록" 상자에 원하는 공용 IP 또는 IP 범위를 추가합니다.
모두 완료되었습니다. 허용되지 않는 IP를 사용하여 테넌트 ID를 사용하여 서비스에 연결하려는 모든 뷰어는 차단됩니다.
지원되는 형식:
단일 IP - 각 IP를 새 줄에 입력하거나 각각 "IP 추가" 단추를 클릭하여 하나씩 추가합니다. 예: 1.1.1.1
CIDR - 허용 목록에 포함하려는 IP 범위를 나타내는 CIDR을 입력합니다. 예: 1.1.1.1/24
JSON을 제외한 모든 형식(자체적으로 추가해야 합니다)은 새 줄로 구분하여 혼합하고 일치시킬 수 있습니다.
콘텐츠 보호
대부분의 플랫폼에는 원치 않는 뷰어에 대한 액세스를 방지하여 스트림을 보호하는 여러 가지 방법이 있습니다. Microsoft eCDN은 이를 인식하므로 기존 콘텐츠 보호 메커니즘을 변경하지 않습니다.
Microsoft eCDN 없이 발생하는 것처럼 각 사용자는 서버에 대해 자신을 인증해야 하며, 인증된 경우에만 서버가 뷰어에 매니페스트 파일을 보내 스트림을 재생하도록 세그먼트를 요청하기 시작합니다.
다음은 가장 일반적인 보호 체계 목록입니다.
세션 시작 시 인증
이 경우 모든 세션은 서버에서 뷰어에게 자격 증명을 요청하는 것으로 시작합니다. 이러한 자격 증명이 유효한 경우 서버는 뷰어에 매니페스트 파일을 보내고 비디오 플레이어는 HTTP 서버에서 세그먼트 및 추가 매니페스트를 요청하기 시작합니다. Microsoft eCDN은 이 유효성 검사 프로세스에 자신을 삽입하지 않으며, 뷰어는 Microsoft eCDN이 배포되었는지 여부에 관계없이 동일한 인증 게이트를 통과해야 합니다. 특정 스트림을 watch 권한이 있는 뷰어만 해당 스트림에 대한 P2P 공유에 참여할 수 있으며 실제로 스트림을 시청하는 동안에만 공유할 수 있습니다.
매니페스트 URI 토큰화
Microsoft eCDN은 매니페스트 수준에 존재하는 기존 URI 토큰화 메커니즘도 준수합니다.
Microsoft eCDN을 사용하면 모든 매니페스트 요청이 HTTP 서버로 직접 전송되므로 동일한 방식으로 플랫폼 백 엔드에서 유효성 검사가 수행됩니다.
URI 시간 제한 토큰화
이 경우 매니페스트 URL에는 뷰어의 사용자 에이전트(IP 주소, 만료 시간 등)에 대한 세부 정보를 인코딩하는 추가 토큰이 있습니다. 악의적인 사용자는 권한이 없는 뷰어에게 매니페스트 URL을 배포할 수 있지만, 매니페스트 URL이 토큰화되고 HTTP 서버가 IP 주소 또는 다른 사용자 에이전트 불일치 또는 시간 만료로 인해 유효성 검사 시도를 거부하므로 해당 뷰어는 스트림에 액세스할 수 없습니다. Microsoft eCDN을 사용하면 모든 매니페스트 요청이 HTTP 서버로 직접 전송되므로 유효성 검사를 손상할 수 없습니다.
암호화
콘텐츠 암호화를 사용하면 사용자가 기존 인증을 진행하여 암호 해독 키에 액세스해야 합니다. Microsoft eCDN은 암호 해독 키에 액세스할 수 없으며 분산 및 보호 방식을 변경하지 않습니다. Microsoft eCDN은 다양한 콘텐츠 보호 체계에 구애받지 않으며 AES-128과 같은 표준을 지원합니다.
예를 들어 AES-128 암호화로 보호되는 HLS 스트림이 있는 경우 권한 없는 뷰어는 암호 해독 키에 액세스할 수 없으므로 스트림을 watch 수 없습니다.
매니페스트를 통해, 페이지와 번들로 묶이거나, 사용자 지정 코드로 동적으로 요청하는 등 다양한 방법으로 최종 사용자에게 키를 보낼 수 있습니다.
Microsoft eCDN은 이 프로세스에 자신을 삽입하지 않으며 Microsoft eCDN 배포 여부에 관계없이 동일한 메커니즘을 사용하여 비디오 플레이어에게 키를 전달합니다.
Drm
DRM 사용 사례는 암호화 사용 사례와 유사합니다. 유일한 차이점은 라이선스와 키가 브로드캐스터가 아닌 DRM 메커니즘에 의해 배포된다는 것입니다. 여기서도 Microsoft eCDN은 라이선스 또는 키의 배포를 방해하지 않으므로 손상되지 않습니다.