在线视频常见加密方式及安全性透析

信息化时代，多媒体的应用日渐成为人们生活中不可或缺的部分，无论是获取最新资讯还是教育学习，视频都是直观高效的媒介之一。

基于互联网的快速传播，众多培训机构也逐渐将线下原创版权课程迁移到在线平台中，一方面可以更快的打响知名度，同时往往能带来比较乐观的收益。这也滋生了黑产，盗版随之出现。如何防范原创视频被轻易盗版呢？针对该问题，笔者对市面上的视频防盗方案做了一定调研，如有任何不当之处，请指正。

本文将根据面向人群分类阐述。一种是防小白用户，一种是防IT技术人员。

一、防小白用户

什么是小白用户？小白用户是指对计算机的了解，仅停留在会使用阶段的人群。

怎么防小白用户下载视频呢？一般采用的方式，包括但不仅限于播放地址隐藏、动态url校验、协议防范等方式进行视频保护。

1、播放地址隐藏

我们要知道，网站是基于HTTP协议的，如网站的图片、css、js都是通过该协议进行传输，视频也不例外。由于http协议的开放性，很多浏览器或插件都开发了对应的嗅探下载功能。如遨游浏览器、360浏览器等。

http://e.e*.com/space.php?do=playvideo&op=play_demo&iframe=0&aid=null&lid=22880&ltype=31&width=640&height=400

比如该网站的课程，采用了某度云的平台，就是对播放地址进行了简单的隐藏的方式。相关视频使用傲游浏览器就可以下载。

图片描述

2、动态url校验

第一种地址隐藏的方式，地址是固定的，所以很容易被下载。为了解决这个问题，很多网站或平台，选择在原始基础上，加入了自定义的sign计算，进行播放地址校验。

一般来说动态url具有时效性，可以有效地防下载和盗链。如某网校采用的乐视云平台。

http://users.wa**o.cn/player/Index.aspx?Id=3d009f67-259f-4aff-a710-25926a59278d

图片描述

经过分析此时的下载地址如下：

http://129/play.videocache.lecloud.com/256/19/103/bcloud/121442/ver_00_22-1101707449-avc-800000-aac-61969-10fdb2b1705aa116313dfd2-1495075183392.mp4?crypt=72aa7f2e948&b=879&nlh=4096&nlt=60&bf=86&p2p=1&video_type=mp4&termid=2&tss=no&platid=2=1519887000&nkey=22ab7366672c34cf45ff3abca0c1a564&nkey2=12672f233895fe89b49d0328161fadec&auth_key=1519887000-1-0-2-209-c08a24f6e01c7227fc9be939f3a4385d&geosid=235117191&tm=1519868986&key=4e34e1d64057a46346c4b42795e1c173&payff=0&cu**8&dur=1210&p1=3&p2=31&p3=310&cf=h5-android&p=101&playid=0&tag=mobile&sign=bcloud_121442&pay=0

通常情况下，该类下载地址存在一定的参数校验，包括了时间戳 sign 等。但sign计算规则一般都比较简单，容易被识破伪造。

这种方式同样也可以通过浏览器或插件下载。不过需要自行判断，哪个地址才是真实的文件地址。

3、协议防范

鉴于http协议的开放性，那么视频如何避免被浏览器或插件嗅探呢？一些网站选择从协议入手，采用非http的协议进行视频播放，如rtmp协议。

rtmp协议由来已久，是adobe公司推出的视频播放协议，稳定性和安全性较http更好，应用广泛。rtmp协议，需要专用的服务器，如FMS，开源的有red5，技术成本比较高。

至于安全性方面，针对rtmp协议，目前已经有较多的嗅探下载工具出现。如某抓、rtmpdumper等。
http://e.100*exi.com/DigitalLibrary/Course.aspx?Id=52811。这个网站就是采用了rtmp协议，并且限制10分钟试看时间。可以使用专业工具的嗅探功能，就可以得到rtmp地址直接观看或下载完整视频，从而实现跳过购买流程，安全性可见一般。

图片描述

综上所述，对于小白用户的防范，多半是在url上做文章，并没有实质性的数据加密，难度都很低。从安全性的角度考虑，各大网站或平台应当及时摒弃以上加密方式。

图片描述

二、防IT技术人员

IT技术人员，是指具有一定的计算机基础，会利用现成工具乃至在程序方面，有深入研究的人群。如网站管理员，程序员等。

针对该部分人群，目前业界普遍采用的防范方式，包括但不仅限于播放器校验，url编码加密、视频加密等。

1、播放器校验

区别于一般的校验url地址，播放器校验是指播放地址，只能通过特定播放器，进行域名白名单校验才可以播放。作用主要在于防盗链和下载，一般直接访问下载地址会403。

图片描述

这种加密方式，一般可以通过对header伪造，添加referer等方式，实现403跳过校验，实现视频下载，意义不大。

2、Url编码加密

简单来说，url编码加密就是将播放地址自定义算法编码，创建私有协议的播放地址。播放需要专用的播放器进行地址解码。

如某图公考采用的某家云平台，就是采用这种方式。

http://v.hu**.com/cla/class_detail_62286.htm

经过调试分析，并不能直接得到播放地址，但是可得到编码加密的某家云私有url。

图片描述

bjcloudvod://Uml4e3c8NDRsZG8zf2pobHYwZ2ZxbWxngnZyNWpxcjRraTo5bzQ0PTcza2ZAZTNnajU4bGgyZz1rZ2dpb2c8bDY3Zj5BNDw5bTA0NzR6Mnp4b3JnbTB6cGtndDQ5Mzc5QDI5OmY1a2g6aGk7PWM2aUA3OTVrOzY5PWc1a2g5aWhBNGk_amBobXhbbU5dN2JzeTUzODc2ODw5ODZlPGdnOWxoOjlqNWU_PjU0aj81ODluNGdnQGVnQDhoPmZnZ2l3YmlNXDswans5

通过对播放器和js的分析，实现对加密的url解密，得到真实的播放地址。

http://dal-video.baijiayun.co...（专用格式）

一般情况下，普通平台的只要解析到真实地址就可以实现播放下载了。

某家云在此基础上，同时也对视频做了初步加密，这点做得还是不错的。但是加密算法过于简单，通过解密，即可实现本地观看。

图片描述