Flash Mediaplayer absichern. Ein Blick auf MySpace, Facebook und Co.
Eines Vorweg:
Was im Internet digital verfügbar gemacht wird, kann auch kopiert (gerippt) werden!
Das muss man einfach mal so wissen. Immerhin wäre es ja auch möglich, für einen der nicht allzu viel von der Technik versteht, einfach ein Aufnahmegerät an den Line-Out des Computers zu hängen, während das Lieblingslied in MySpace läuft. Wer ein bisschen besser sich mit Computern auskennt, lässt ein Programm laufen, welches den Audio-Ausgang digital mitschneidet. Und die Superprofis leechen das Ding direkt und vollautomatisch vom Server.
Also keine Audiofiles mehr ins Internet?
Informatiksicherheit oder allgemein Security Management besagt, dass man natürlich nicht gleich die Hütte mit Panzern absichert, nur weil man Angst hat, dass jemand etwas stehlen könnte. Man will den Leuten ja etwas zeigen. Wenn man nicht will, dass Bilder im Museum geklaut werden, dann schliesst man es am besten gleich und vergräbt die Bilder in einem Bunker. Aber das ursprüngliche Motiv, die Bilder den Besuchern zugänglich zu machen würde damit ja unterbunden. Es heisst nun also: Den Zugang grundsätzlich zu ermöglichen, aber möglichst sicher – natürlich im Verhältniss zum Gut, das geschützt werden soll.
Nehmen wir nun wieder das Beispiel vom Museum. Klar könnte man das Museum so absichern, dass es sozusagen unmöglich ist, Bilder daraus zu klauen: Bilder hinter Panzerglas (verzerrt die Wahrnehmung), Bewaffnetes Sicherheitspersonal, Fanggitter, und und und. Doch wenn jemand wirklich will und das auch wirklich kann (also das Budget und Personal dazu hat), ist es trotzdem immer noch möglich, die Bilder zu klauen. Man stelle sich eine kleine Armee vor mit Hubschraubern, welche das Museum stürmt.
Auf digitale Medien im Internet gibt es grundsätzlich 2 Angriffsstrategien: Analog und Digital
Analoger Angriff auf digitale Medien
Der Analoge Angriff existiert schon seit dem Kassettenband und die Abwehrtechniken dagegen auch. Grundsätzlich, wie in der Einleitung erwähnt, kann jedes analoge Signal aufgenommen werden. Und sobald der Flashplayer ein Signal auf dem Computer abspielt, kann dieses auch aufgezeichnet, digitalisiert und dann weiterverbreitet werden. Möglicherweise sogar automatisch.
Dagegen tun kann man folgendes:
- Daten nur in schlechter Qualität anbieten. Damit demonstriert man aber nicht unbedingt, dass man auf Qualitativ Hohem Niveau arbeitet. Also für ein Mastering-Studio eher ungeeignet.
- Daten nicht vollständig anbieten. Also im Stil von einem Snippet oder 30 Sekunden Version, wie es auf den meisten MP3 Downloadstores ja auch geschiet.
- Wasserzeichen oder absichtliche Störsignale in die Daten einfliessen lassen. Mit Wasserzeichen findet man wenigstens seine Daten wieder, was aber nicht allzuviel bringt. Störsignale gehen in die gleiche Richtung wie schlechte Qualität.
Digitaler Angriff und Schutz vor digitalem Angriff auf Digitale Medien
Für meine Verehrte Leserschaft, welche sich nicht so mit dem technischen Firlefanz auskennt: Achtung, jetzt wird es technisch
Beim Flashplayer (und allen anderen ähnlichen Technologien) hat man grundsätzlich 2.5 Möglichkeiten, digitale Medieninhalte an den Benutzer zu übergeben:
- Der Inhalt wird gestreamt
- Der Inhalt ist ins Flash hineinkompiliert
- Der Inhalt wird normal per HTTP-Get geholt
Die teuerste Variante und auch die sicherste ist klar der Einsatz von einem Streamingserver. Dieser kostet aber einiges an Geld und ist deshalb nicht immer beste Wahl. Zu beachten bei einem Streamingserver ist, dass das Caching Clientseitig ausgeschaltet wird. Doch Streams kann man mit einem Streamripper aufzeichnen, solange kein DRM im Einsatz ist. Doch selbst das DRM kann noch geknackt werden.
Die Mediendaten ins Flash hineinkompilieren ist die zweitbeste Variante aber auch eine eher mühsame und eben auch teure. Entweder man besitzt den Adobe Flash (1′200 CHF) und kann sich die Files selber erstellen. Dann muss man aber für jeden Track/Video, den man online laden will, das Flash neu erstellen. Zudem gibt es Tools, welche die Audio/Videodaten wieder aus dem Flashfile (flv) herausholen. Tja.
Die Methode für Arme (Punkt 3) kann man gratis haben. Einfach einen Opensource Flash-Medienplayer herunterladen, die Config anpassen und los gehts. Diese Art Player ist zwar extrem flexibel, einfach und meistens auch gratis, jedoch kann man auch problemlos die Mediendateien dahinter selbst herunterladen. Denn oftmals sind diese Dateien im Sourcecode ersichtlich, oder wenigstens die Playlistfiles, als Parameter für das Flashfile. Doch gerade die Flexiblität dieser Methode macht sie attraktiv. Deshalb hier noch ein paar Ansätze für die Absicherung:
- Flashplayer per Javascript oder AJAX laden, sodass der Player und somit der Pfad zum Medienfile nicht im Sourcecode ersichtlich ist.
- Serverseitig den Zugriff auf die Medienfiles per .htaccess auf den USER_AGENT String testen. Dumm ist nur, dass Flash keinen USER_AGENT mitschickt (?). Aber immerhin könnte man nur den leeren USER_AGENT akzeptieren.
- Caching deaktivieren.
- One Time Tokens benutzen: Ein kleines Skript auf dem Server, welches die Medienfiles ausliefert und einen One Time Token on the Fly generiert und dem Clientseitigen Flash mitschickt.
Und die Anderen? Wie sichern MySpace, Facebook und Co. ihre heraufgeladenen Mediendateien
Es gibt ein Plugin für Firefox (Firebug), bei Safari ist es schon integriert und für den Internet Explorer gibt es den Fiddler. Mit diesen Tools kann man den HTTP-Traffic des Browsers analysieren und sieht auch, wenn Flash sich Mediendateien nachlädt. Ich schreibe hier absichtlich keine Anleitung, wie aus MySpace ein MP3 gehackt wird und diese Tools sind eigentlich für die Webentwicklung geschrieben. Jedoch war es erschreckend, wie wenig diese populären Plattformen für die Sicherung ihres “User generatet content” tun!
MySpace und Facebook Audiodateien konnte ich ohne Probleme im Firebug sehen, von wo sie nachgeladen werden und anschliessend diese Pfade downloaden! Bei iLike und last.fm war das nicht so einfach und beim Sony-BMG Audioplayer war mir ganz schleierhaft, woher die Daten kamen (habe aber auch nicht so viel Zeit investiert. Übrigens: Der Sony-BMG Audioplayer ist ein grosser Geheimtipp. Da kann man offiziell das ganze (?) Repertoire von diesem Majorlabel in voller Länge anhören. Find ich gut!
Da ich in nächster Zeit plane, meine eigene Musik hier auf dem Blog und auch auf anderen Plattformen zu veröffentlichen, werde ich diese theoretischen Zeilen auch bald in Praxis umsetzten. Deshalb freue ich mich natürlich über Anregungen.
