通过

安全性概述

  • 项目

Microsoft eCDN 是符合 M365 标准的服务。 这意味着它遵循任何其他 M365 服务维护的所有相同安全标准。

本文档重点介绍了一些特定于安全性的文章，因为它适用于视频流式传输。

Microsoft eCDN 是一种混合解决方案，这意味着 Microsoft eCDN 与传统 HTTP 服务器结合使用，同时仍利用现有的安全基础结构 (令牌、密钥、cookie 等 ) 。

在通信方面，有两个main信道：

  1. 对等方之间;对等方通过 WebRTC 数据通道相互连接，这是一个通过 DTLS 加密使用 SCTP 协议的安全隧道。

  2. 在每个查看器和 Microsoft eCDN 后端之间通过使用 TLS 加密的安全 WebSocket 连接。

这两个通道都使用行业标准的网络安全协议，因此在两个查看者之间发送的数据以及每个查看者与服务后端之间发送的元数据都不会受到威胁。

除上述功能外，该服务还具有可根据个人要求启用的其他安全功能，如下所述。

查看器身份验证

通常，任何查看者都可以连接到 Microsoft eCDN 后端并参与 P2P 网络。 这在大多数用例中是可以接受的，但某些客户可能倾向于限制哪些查看者可以连接到服务。

在这些情况下，除了内容提供程序端上已存在的任何身份验证机制外，后端还可以直接对查看者进行身份验证。 Microsoft eCDN 的身份验证机制可防止未经授权的查看者访问对等网络上存在的内容和任何元数据。

域允许列表

阻止大多数不需要的观看者参与对等互连的最快速且最简单的方法是显式允许列出查看者可从中连接到服务后端的特定域。 这意味着尝试从其他未加入允许列表的域连接到服务的查看者会被阻止。

分步指南：

  1. 转到管理控制台中的第三方平台配置页。

  2. (“网站允许列表”框中) 加载服务脚本的域添加域，如下所示。

  3. 就是这么简单。 尝试从未列出的域使用租户 ID 连接到服务的任何查看器都会被阻止。

第三方允许列表 UI。

最终用户 IP 允许列表

管理员阻止不需要的查看者参与对等互连的另一种方法是仅允许从预定义的公共 IP 列表访问服务。 这类似于上面的“域允许列表”功能，但这次我们允许将查看者的公共 IP 列入列表。

分步指南：

  1. 转到管理控制台中的“安全配置”页。

  2. 以受支持的格式之一在“最终用户 IP 允许列表”框中添加所需的公共 IP 或 IP 范围，如下所示。

  3. 就是这么简单。 任何尝试使用租户 ID 与不允许的 IP 连接到服务的任何查看器都将被阻止。

支持的格式：

  1. 单个 IP - 在新行中输入每个 IP 或逐个添加 IP，方法是单击每个 IP 后面的“添加 IP”按钮。 示例：1.1.1.1

  2. CIDR - 输入 CIDR，表示要加入允许列表的 IP 范围。 示例：1.1.1.1/24

除 JSON (以外的所有格式（必须单独添加) 可以通过用新行分隔它们来混合和匹配。

IP 允许列表 UI。

内容保护

大多数平台可通过多种方法通过阻止不需要的观看者访问来保护流。 Microsoft eCDN 会识别这一点，因此不会更改任何现有的内容保护机制。

与没有 Microsoft eCDN 的情况一样，每个用户必须针对服务器进行身份验证，并且只有在成功进行身份验证后，服务器才会向查看器发送清单文件，而查看器反过来又开始请求段播放流。

下面是最常见的保护方案列表：

会话启动时的身份验证

在这种情况下，每个会话都从服务器要求查看者提供其凭据开始。 如果这些凭据有效，服务器会将清单文件发送给查看者，视频播放器开始从 HTTP 服务器请求段和其他清单。 Microsoft eCDN 不会将自身插入此验证过程，并且无论是否部署 Microsoft eCDN，查看器都必须通过相同的身份验证入口。 只有有权watch特定流的观看者才能参与该流的 P2P 共享，并且仅在他们实际观看流时共享。

清单 URI 令牌化

Microsoft eCDN 还遵循清单级别上存在的任何现有 URI 令牌化机制。

使用 Microsoft eCDN 时，所有清单请求都直接发送到 HTTP 服务器，因此验证以相同的方式与平台后端一起进行。

URI 计时标记化

在这种情况下，清单 URL 具有一个附加令牌，该令牌对有关查看者的用户代理的详细信息进行编码， (IP 地址、过期时间等 ) 。 恶意用户可以将清单 URL 分发给未经授权的查看者，但这些查看者无法访问流，因为清单 URL 已标记化，并且 HTTP 服务器会拒绝任何验证尝试 - 可能是因为 IP 地址或其他用户代理不匹配，或者由于时间过期。 使用 Microsoft eCDN，所有清单请求都直接发送到 HTTP 服务器，因此验证不会受到威胁。

加密

使用内容加密时，用户需要就地完成现有身份验证并访问解密密钥。 Microsoft eCDN 无法访问解密密钥，并且不会更改其分发和保护方式。 Microsoft eCDN 与不同的内容保护方案和支持标准（如 AES-128）无关。

例如，给定受 AES-128 加密保护的 HLS 流，未经授权的观看者将无法watch流，因为他们无法访问解密密钥。

可以通过多种方式将密钥发送给最终用户，例如，通过清单、与页面捆绑，甚至使用自定义代码动态请求密钥。

Microsoft eCDN 不会将自身插入到此过程中，并且密钥将使用相同的机制传递给视频播放器，而不管是否部署了 Microsoft eCDN。

Drm

DRM 用例类似于加密用例 - 唯一的区别是许可证和密钥由 DRM 机制而不是广播公司分发。 在这里，Microsoft eCDN 不会干扰许可证或密钥的分发，因此不会泄露它们。