Bestanden beveiligen met Nginx en Apache

[_PieterZ]

Hoi Tweakers,

Op een vps gebruik ik het control panel Vesta wie mijn websites afhandelt met Nginx en Apache. Juist die combinatie van die twee zorgen bij mij voor een klein probleempje/vraag;

Ik wil een aantal bestanden beveiligen voor directe toegang. Normaal gesproken doe ik dat met Apache dmv een htaccess bestand met de volgende regels;

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^http://(www\.)?localhost [NC]
RewriteCond %{HTTP_REFERER} !^http://(www\.)?localhost.*$ [NC]
RewriteRule \.(gif|jpg|svg|mp4|jpeg)$ - [F]

Echter moet ik nu dus dit werkend zien te krijgen in een nginx configuratie bestand. Het volgende heb ik daar staan;
location /video {
if ($http_referer !~ "^http://(www\.)?localhost"){
rewrite \.(gif|jpg|svg|mp4|jpeg)$ /- [F]; }
}

In een apache omgeving met een .htaccess kan ik dan zoals gewenst het bestand niet via de directe url benaderen, maar wel via de website zelf in de root directory met een img tag ter voorbeeld. Met nginx werkt het eerste wel, maar kan de website kan hem zelf nu ook niet meer benaderen.

Wie o wie kan mij uit de brand helpen?

[BCC]

Als je Apache voor je NGINX staat, dan is de referrer altijd localhost, mits je Apache zo instelt dat hij dat doorgeeft. Kan het zijn dat daar je issue zit?
Anders moet zoiets werken:

code:

valid_referers blocked www.example.com example.com;
 if ($invalid_referer) {
  rewrite ^/images/uploads.*\.(gif|jpg|jpeg|png)$ http://www.examples.com/banned.jpg last
 }

Zie http://nginx.org/en/docs/...odule.html#valid_referers
Zoek eens op Google met "NGINX prevent image deeplinking"

[ Voor 55% gewijzigd door BCC op 20-05-2016 14:19 ]

[_PieterZ]

Als ik het goed heb staat Nginx voor Apache.

[DJMaze]

_PieterZ schreef op vrijdag 20 mei 2016 @ 14:14:
Ik wil een aantal bestanden beveiligen voor directe toegang. Normaal gesproken doe ik dat met Apache dmv een htaccess bestand met de volgende regels;

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^http://(www\.)?localhost [NC]
RewriteCond %{HTTP_REFERER} !^http://(www\.)?localhost.*$ [NC]
RewriteRule \.(gif|jpg|svg|mp4|jpeg)$ - [F]

Never trust any input! Je moet dus ook nooit vertrouwen op de HTTP_REFERER, zie Wikipedia: Referer spoofing
Als je bestanden wil beveiligen moet je dat op een andere manier doen.

[ Voor 7% gewijzigd door DJMaze op 20-05-2016 14:29 . Reden: Link toegevoegd ]

[_PieterZ]

DJMaze schreef op vrijdag 20 mei 2016 @ 14:27:
[...]

Never trust any input! Je moet dus nooit vertrouwen op de HTTP_REFERER, zie Wikipedia: Referer spoofing
Als je bestanden wil beveiligen moet je dat op een andere manier doen.

Thanks voor de tip. Klopt inderdaad dat het niet de beste manier is, maar wil het dus anders aanpakken. Heb je toevallig een suggestie?

[DJMaze]

Er zijn zat mogelijkheden, de vraag is hoever wil je gaan?

1. Je kan een cookie gebruiken die 1 jaar geldig is, of tot het einde van de browser sessie.
2. Je kan een single-use token gebruiken zodat het maar N keer mag
3. Je kan checken op ingelogde gebruiker/groep
4. Je kan op remote IP basis beveiligen
5. etc. etc. etc.

[_PieterZ]

Het gaat om een reeks video's die te huur worden aangeboden. Het doel is om specifiek één iemand toegang te geven tot de video. Het handigste dus lijkt mij om de toegang enkel te verlenen tot het ip adres van de gebruiker.

(Dit maakt de kwestie wel wat ingewikkelder)

[johnkeates]

_PieterZ schreef op vrijdag 20 mei 2016 @ 14:48:
Het gaat om een reeks video's die te huur worden aangeboden. Het doel is om specifiek één iemand toegang te geven tot de video. Het handigste dus lijkt mij om de toegang enkel te verlenen tot het ip adres van de gebruiker.

(Dit maakt de kwestie wel wat ingewikkelder)

Je kan met nginx prima streaming doen met UID's. Zoek maar op nginx video streaming security.