Ein Unternehmen streamt Live-Videos über HTTP Live Streaming (HLS) mittels Amazon CloudFront. HLS segmentiert Videos in Tausende kleiner Dateien. Der Ursprung ist verborgen, sodass alle Benutzer über die CloudFront-URL zugreifen müssen. Die Webanwendung authentifiziert Abonnenten anhand eines internen Repositorys, und ein CloudFront-Schlüsselpaar wurde ausgestellt. Was ist der einfachste und effektivste Weg, um den Inhalt zu schützen?

CloudFront Signed Cookies sind die einfachste und effektivste Lösung, da sie den Zugriff auf mehrere HLS-Videosegmente gleichzeitig autorisieren können. HLS segmentiert Videos in viele kleine Dateien, und die Verwendung von Signed URLs würde bedeuten, dass für jedes Segment eine separate URL generiert werden müsste, was ineffizient wäre. Signed Cookies hingegen werden einmal gesetzt und gelten für alle Anfragen innerhalb einer Sitzung, die den definierten Pfad und die Domain betreffen. Signed URLs wären für einzelne Dateien geeignet, aber nicht für Tausende von Videosegmenten. Lambda@Edge zur Validierung eines Sicherheitstokens ist eine komplexere Lösung, die für diesen Anwendungsfall überdimensioniert wäre und zusätzliche Entwicklung erfordert. Das Verschlüsseln der CloudFront-URL mit AWS KMS und dynamisches Entschlüsseln nach der Authentifizierung schützt lediglich die URL selbst, nicht aber den Zugriff auf den Inhalt über die URL, sobald diese entschlüsselt ist.