媒體加密

Derek Herman
Derek Herman
Joe Medley
Joe Medley

在本節中,我們將介紹兩種不同的媒體加密策略,以及如何透過 FFmpeg 和 Shaka Packager 使用這些策略的實用範例。我們將討論兩種加密策略:Clear Key 和使用 Google Widevine 等服務。這兩種策略都是數位版權管理 (DRM) 的一種形式,可控管使用者對媒體的使用方式。不過,由於金鑰傳遞驗證的方式,導致 DRM 服務的安全性較低,因此 DRM 服務可能會更適合。

網路的主要 DRM 服務包括 Google WidevineMicrosoft PlayReadyApple FairPlay,但我們不會在本文中介紹所有服務。不過,如果您指定所有新型瀏覽器,很可能會使用這三項 DRM 服務。

轉換和加密作業會透過以下應用程式完成:

清除金鑰加密

首先,您必須先充分瞭解 Clear Key 的功能與限制,才能使用這項服務。如果您想使用現有的 DRM 服務,且認為對媒體進行基本加密是可行的方式,則可使用 Clear Key。但請注意,這類加密方式提供的安全性,不如使用 DRM 服務來得高。這是因為鍵值組合並未以其他金鑰加密,這與由授權伺服器儲存的解密金鑰所產生的加密金鑰不同。此外,Clear Key 會以純文字傳送鍵/值組合,因此在您加密媒體時,解密金鑰並非機密資訊。

建立金鑰

您可以使用相同的方法為 DASH 和 HLS 建立金鑰。請使用 OpenSSL 執行這項操作。以下指令會建立由 16 個十六進制值組成的加密金鑰。

openssl rand -hex 16 > media.key

建立 IV

接下來,我們可以產生初始化向量 (IV)。

openssl rand -hex 16
6143b5373a51cb46209cfed0d747da66

使用 Clear Key 加密

以下範例使用含有原始金鑰的 Shaka Packager,其中 keyskey_ids 會直接提供給 Shaka Packager。如需更多範例,請參閱說明文件。

針對 key 旗標,請使用先前建立的金鑰,該金鑰儲存在 media.key 檔案中。不過,在指令列中輸入時,請務必移除空白。針對 key_id 標記,請重複 media.id 值,或使用上述產生的 IV 值。

packager \
  input=glocken.mp4,stream=audio,output=glockena.m4a \
  input=glocken.mp4,stream=video,output=glockenv.mp4 \
  --enable_fixed_key_encryption \
  --keys label=audio:key=INSERT_AUDIO_KEY_HERE:key_id=INSERT_AUDIO_KEY_ID_HERE,label=video:key=INSERT_VIDEO_KEY_HERE:key_id=INSERT_VIDEO_KEY_ID_HERE

建立金鑰資訊檔案

如要為 HLS 加密,除了金鑰檔案,您還需要金鑰資訊檔案。關鍵資訊檔案是採用下列格式的文字檔案。應使用 .keyinfo 副檔名。例如:encrypt.keyinfo

key URI
key file path
private key

金鑰 URI 是 media.key (在前面建立) 在伺服器上的所在位置。金鑰檔案路徑是相對於金鑰資訊檔案的路徑。最後,私密金鑰是 media.key 檔案本身的內容,或您先前建立的 IV。例如:

https://example.com/keys/media.key
/path/to/media.key
6143b5373a51cb46209cfed0d747da66

為 HLS 加密

packager \
  'input=input.mp4,stream=video,segment_template=output$Number$.ts,playlist_name=video_playlist.m3u8' \
  'input=input.mp4,stream=audio,segment_template=output_audio$Number$.ts,playlist_name=audio_playlist.m3u8,hls_group_id=audio,hls_name=ENGLISH' \
  --hls_master_playlist_output="master_playlist.m3u8" \
  --hls_base_url="http://localhost:5000/"

這個指令可接受 16 或 32 個半形字元的金鑰。

ffmpeg -i myvideo.mov -c:v libx264 -c:a aac -hls_key_info_file encrypt.keyinfo myvideo.m3u8

Widevine 加密

您現在已瞭解 Clear Key 加密技術的運作方式和使用時機。不過,什麼時候應該使用 DRM 服務來強化安全性呢?這時就會使用 Widevine 或其他服務,安全地加密及解密媒體。Widevine 支援 MPEG-DASH 和 HLS,是 Google 的數位版權管理技術。Widevine 可用於 Google Chrome 和 Firefox 網路瀏覽器、Android MediaDRM、Android TV 和其他使用 Encrypted Media Extensions 和 Media Source Extensions 的消費性電子裝置,Widevine 會在這些裝置上解密內容。

使用 Widevine 加密

本文中的大部分範例都使用了 Clear Key 加密功能。不過,您需要替換 Widevine 的下列選項。

--enable_fixed_key_encryption \
--enable_fixed_key_decryption \
--keys label=:key=INSERT_KEY_HERE:key_id=INSERT_KEY_ID_HERE

除了檔案名稱和 --content-id 標記外,請將分離器 (demux) 指令中的所有內容從範例中完全複製。--content-id 是 16 或 32 個隨機的十六進位數字。請使用這裡提供的金鑰,而非您自己的金鑰。如需更多範例,請參閱 Shaka Packager 說明文件,瞭解如何使用 Widevine Key Server

  1. 解析 (分離) 音訊和影像、加密新檔案,並輸出媒體顯示說明 (MPD) 檔案。

    packager \
      input=tmp_glocken.mp4,stream=video,output=glocken_video.mp4 \
      input=tmp_glocken.mp4,stream=audio,output=glocken_audio.m4a \
      --enable_widevine_encryption \
      --key_server_url "https://license.uat.widevine.com/cenc/getcontentkey/widevine_test" \
      --content_id "fd385d9f9a14bb09" \
      --signer "widevine_test" \
      --aes_signing_key "1ae8ccd0e7985cc0b6203a55855a1034afc252980e970ca90e5202689f947ab9" \
      --aes_signing_iv "d58ce954203b7c9a9a9d467f59839249"
    
  2. 重新混合 (結合) 音訊和視訊串流。如果您使用的是影片架構,可能不需要執行這項操作。

    ffmpeg -i glocken_video.mp4 -i glocken_audio.m4a -c copy glocke.mp4
    

媒體轉換序列

本節將依序顯示從原始 .mov 檔案取得加密資產,並為 DASH 或 HLS 封裝所需的指令。為了說明這個目標,我們將來源檔案轉換為 8 Mb/s 的位元率,解析度為 1080p (1920 x 1080)。視需要調整這些值。

DASH/WebM

  1. 轉換檔案類型和編碼器。

    針對這項指令,您可以使用 liborbislibopus 做為音訊編解碼器。

    ffmpeg -i glocken.mov -c:v libvpx-vp9 -c:a libvorbis -b:v 8M -vf setsar=1:1 -f webm tmp_glocken.webm
    
  2. 建立 Clear Key 加密金鑰。

    openssl rand -hex 16 > media.key
    
  3. 解析 (分離) 音訊和影像、加密新檔案,並輸出媒體顯示說明 (MPD) 檔案。

    packager \
      input=tmp_glocken.webm,stream=video,output=glocken_video.webm \
      input=tmp_glocken.webm,stream=audio,output=glocken_audio.webm \
      --enable_fixed_key_encryption \
      --enable_fixed_key_decryption \
      --keys label=:key=INSERT_KEY_HERE:key_id=INSERT_KEY_ID_HERE \
      --mpd_output glocken_webm_vod.mpd
    
  4. 重新混合 (結合) 音訊和視訊串流。如果您使用的是影片架構,可能不需要執行這項操作。

    ffmpeg -i glocken_video.webm -i glocken_audio.webm -c copy glocken.webm
    

DASH/MP4

  1. 轉換檔案類型、視訊編碼和位元率。

    ffmpeg -i glocken.mov -c:v libx264 -c:a aac -b:v 8M -strict -2 tmp_glocken.mp4
    
  2. 建立 Clear Key 加密金鑰。

    openssl rand -hex 16 > media.key
    
  3. 解析 (分離) 音訊和影像、加密新檔案,並輸出媒體顯示說明 (MPD) 檔案。

    packager \
      input=tmp_glocken.mp4,stream=video,output=glocken_video.mp4 \
      input=tmp_glocken.mp4,stream=audio,output=glocken_audio.m4a \
      --enable_fixed_key_encryption \
      --enable_fixed_key_decryption \
      --keys label=:key=INSERT_KEY_HERE:key_id=INSERT_KEY_ID_HERE \
      --mpd_output glocken_mp4_vod.mpd
    
  4. 重新混合 (結合) 音訊和視訊串流。如果您使用的是影片架構,可能不需要執行這項操作。

    ffmpeg -i glocken_video.mp4 -i glocken_audio.m4a -c copy glocken.mp4
    

HLS/MP4

HLS 僅支援 MP4,因此您必須先轉換成 MP4 容器和支援的編解碼。

  1. 轉換檔案類型、視訊編解碼器和位元率。

    ffmpeg -i glocken.mov -c:v libx264 -c:a aac -b:v 8M -strict -2 glocken.mp4
    
  2. 建立 Clear Key 加密金鑰。

    openssl rand -hex 16 > media.key
    
  3. 建立金鑰資訊檔案

    packager \
      'input=glocken.mp4,stream=video,segment_template=output$Number$.ts,playlist_name=video_playlist.m3u8' \
      'input=glocken.mp4,stream=audio,segment_template=output_audio$Number$.ts,playlist_name=audio_playlist.m3u8,hls_group_id=audio,hls_name=ENGLISH' \
      --hls_master_playlist_output="master_playlist.m3u8" \
      --hls_base_url="http://localhost:5000/" \
      --enable_fixed_key_encryption \
      --enable_fixed_key_decryption \
      --keys label=:key=INSERT_KEY_HERE:key_id=INSERT_KEY_ID_HERE
    

以上內容很多,但希望您現在能放心地加密媒體檔案。接下來,我們將說明如何在網站中新增媒體