Mit signierten URLs Ihre CDN-Inhalte absichern

Tim Koschützki

Mitgründer · Berlin, Deutschland · Bio anzeigen

Content Delivery Networks (CDNs) sind für die effiziente Auslieferung von Inhalten weltweit unverzichtbar, doch ohne geeignete Sicherheitsmaßnahmen können sie Ihre Inhalte unbefugtem Zugriff aussetzen. Dieser DevTip erklärt, wie signierte URLs Ihre CDN-Sicherheit erhöhen, indem sie sicherstellen, dass nur autorisierte Nutzer Zugriff auf Ihre Ressourcen erhalten. Eine signierte URL ist eine Inhaber-Zugangsberechtigung: Wer sie erhält, kann sie bis zu ihrem Ablauf nutzen. Ihre Anwendung muss den Nutzer autorisieren, bevor sie die URL ausstellt.

CDN-Sicherheit und signierte URLs verstehen

CDNs beschleunigen die Auslieferung von Inhalten und verbessern die Nutzererfahrung, indem sie Inhalte an Edge-Standorten zwischenspeichern. Ohne robuste Zugriffskontrollen sind Ihre Inhalte jedoch anfällig für Missbrauch oder Piraterie. Signierte URLs ergänzen eine Ebene tokenbasierter Authentifizierung, die temporären, sicheren Zugriff auf geschützte Ressourcen gewährt.

Vorteile signierter URLs:

• Den Zugriff auf Premium-Inhalte oder sensible Inhalte einschränken
• Unbefugtes Hotlinking verhindern und Bandbreitendiebstahl reduzieren
• Zugriffsbeschränkungen unterstützen, die Ihre Lizenzverträge und Sicherheitsrichtlinien erfordern
• Die Zugriffsdauer begrenzen; um eine bereits ausgestellte URL zu widerrufen, müssen in der Regel deren Signaturschlüssel oder die Zugriffskonfiguration der Distribution geändert werden
• Die Sicherheit von Inhalten erhöhen, ohne Einbußen bei der Performance

CDN-Anbieter im Vergleich für signierte URLs

Verschiedene CDN-Anbieter setzen signierte URLs unterschiedlich aufwendig um:

Voraussetzungen für die Implementierung

Bevor Sie signierte URLs implementieren, stellen Sie sicher, dass Sie Folgendes erledigt haben:

1. Zugriff auf die Verwaltungskonsole Ihres CDN mit administrativen Rechten.
2. Passende Berechtigungen (zum Beispiel die nötigen IAM-Rollen in AWS CloudFront), um Schlüsselpaare zu erzeugen und zu verwalten.
3. Die erforderlichen API-Zugangsdaten oder SDK-Konfigurationen samt der Angaben zu Ihrem Schlüsselpaar.
4. HTTPS auf Ihrer Domain aktiviert, mit einem gültigen SSL/TLS-Zertifikat.
5. Einen Origin-Server, der für die CDN-Einbindung konfiguriert ist, einschließlich passender Cache-Control-Header.
6. Eine synchronisierte Systemuhr, um Probleme beim Ablauf von URLs zu vermeiden.

Signierte URLs mit AWS CloudFront implementieren

Führen Sie dieses Beispiel mit Node.js 22 oder neuer auf Ihrem Server aus und installieren Sie @aws-sdk/cloudfront-signer. Speichern Sie es als signed-url.mjs. Es nimmt eine Ablaufzeit in Sekunden entgegen; der Standardwert beträgt 3600 Sekunden (1 Stunde).

Bevor Sie den Signierer verwenden, konfigurieren Sie das CloudFront-Cache-Verhalten so, dass es mithilfe einer vertrauenswürdigen Key Group signierte URLs verlangt, fügen Sie Ihren öffentlichen Schlüssel zu dieser Gruppe hinzu und schützen Sie den Origin vor direktem Zugriff. Bei CLOUDFRONT_KEY_PAIR_ID handelt es sich um die ID dieses öffentlichen Schlüssels, nicht um einen IAM-Access-Key. Den passenden privaten PEM-Schlüssel hinterlegen Sie über eine serverseitige Secret-Konfiguration; nehmen Sie ihn niemals in Client-Code auf. Siehe AWS-Einrichtung für signierte URLs⁠.

import { getSignedUrl } from '@aws-sdk/cloudfront-signer'

async function generateSignedUrl(
  resourceUrl,
  privateKeyString,
  keyPairId,
  expirationSeconds = 3600,
) {
  try {
    const signedUrl = getSignedUrl({
      url: resourceUrl,
      keyPairId: keyPairId,
      privateKey: privateKeyString,
      dateLessThan: new Date(Date.now() + expirationSeconds * 1000).toISOString(),
    })
    return signedUrl
  } catch (error) {
    console.error('Error generating signed URL:', error)
    throw error
  }
}

// Usage example
const resourceUrl = 'https://your-distribution.cloudfront.net/path/to/content'

try {
  const signedUrl = await generateSignedUrl(
    resourceUrl,
    process.env.CLOUDFRONT_PRIVATE_KEY,
    process.env.CLOUDFRONT_KEY_PAIR_ID,
  )
  console.log('Signed URL:', signedUrl)
} catch (error) {
  console.error('Failed to generate URL:', error)
}

Entwicklerinnen und Entwickler, die andere CDN-Anbieter nutzen (etwa Azure CDN, Google Cloud CDN, Fastly oder Cloudflare), finden vergleichbare Umsetzungen signierter URLs in der jeweiligen Dokumentation.

Bewährte Verfahren für die Sicherheit

Erhöhen Sie Ihre CDN-Sicherheit mit diesen Maßnahmen:

1. Schlüsselverwaltung:

   • Rotieren Sie Signaturschlüssel regelmäßig (idealerweise alle 90 Tage oder wie in Ihrer Sicherheitsrichtlinie festgelegt).
   • Bewahren Sie private Schlüssel sicher auf, mithilfe eines dedizierten Key-Management-Service oder Secrets Managers.
   • Setzen Sie eine Versionierung der Schlüssel um, damit Übergänge ohne Serviceunterbrechung reibungslos verlaufen.

2. Zugriffskontrollen:

   • Konfigurieren Sie strikte Ablaufzeiten, abhängig von der Sensibilität Ihrer Inhalte.
   • Setzen Sie IP-basierte Beschränkungen ein, wo möglich, um den Zugriff auf bekannte Adressen zu begrenzen.
   • Nutzen Sie tokenbasierte Authentifizierung für eine granulare Zugriffssteuerung.

3. Monitoring und Logging:

   • Aktivieren Sie detailliertes Logging an Ihren CDN-Endpunkten, um Zugriffe nachzuverfolgen und Anomalien zu überwachen.
   • Prüfen Sie Zugriffslogs regelmäßig, um ungewöhnliche Aktivitäten zu erkennen und darauf zu reagieren.
   • Richten Sie Alarme für verdächtige Traffic-Muster oder mögliche Sicherheitsverletzungen ein.

4. HTTPS erzwingen:

   • Schreiben Sie den Zugriff auf Ihre CDN-Ressourcen ausschließlich über HTTPS vor.
   • Verwenden Sie aktuelle TLS-Versionen (TLS 1.2 oder höher) für sichere Verbindungen.
   • Verwalten Sie SSL/TLS-Zertifikate sorgfältig, um Schwachstellen zu vermeiden.

Häufige Probleme beheben

Die Implementierung signierter URLs kann mitunter zu Herausforderungen führen. Diese Hinweise helfen bei der Fehlersuche:

1. Fehler bei der Signaturprüfung:

   • Stellen Sie sicher, dass die Uhr Ihres Servers synchronisiert ist.
   • Prüfen Sie, ob die Schlüsselpaar-ID und der private Schlüssel korrekt zusammenpassen.
   • Vergewissern Sie sich, dass die URL-Codierung dem erwarteten Format entspricht.

2. Cache-bezogene Probleme:

   • Setzen Sie passende Cache-Control-Header auf Ihrem Origin-Server.
   • Überprüfen Sie Ihre CDN-Cache-Einstellungen daraufhin, ob sie zu Ihren Richtlinien für Inhalte passen.
   • Prüfen Sie die Antwort-Header des Origin-Servers auf Konsistenz.

3. CORS-Probleme:

   • Konfigurieren Sie passende CORS-Header auf Ihrem Server.
   • Geben Sie erlaubte Ursprünge in Ihren CDN-Einstellungen eindeutig an.
   • Behandeln Sie Preflight-Anfragen korrekt, um sicheren ursprungsübergreifenden Zugriff zu unterstützen.

4. Häufige Fehlercodes:

   • 403: Weist auf eine ungültige Signatur oder eine abgelaufene URL hin.
   • 400: Deutet auf eine fehlerhafte URL oder fehlende Parameter hin.
   • 504: Verweist auf ein Timeout beim Origin, das serverseitige Anpassungen erfordern kann.

Testen und Validieren

Gründliches Testen stellt sicher, dass Ihre Implementierung signierter URLs wie erwartet funktioniert. Hier sind zwei Szenarien:

1. Grundlegende Funktionalität:

   const testSignedUrl = async () => {
     const url = await generateSignedUrl(
       resourceUrl,
       process.env.CLOUDFRONT_PRIVATE_KEY,
       process.env.CLOUDFRONT_KEY_PAIR_ID,
     )
     const response = await fetch(url)
     if (!response.ok) {
       throw new Error(`Failed to access content: ${response.status}`)
     }
     return response
   }
   

2. Test des Ablaufs:

   const testExpiration = async () => {
     // Generate a URL that expires in 1 second
     const shortLivedUrl = await generateSignedUrl(
       resourceUrl,
       process.env.CLOUDFRONT_PRIVATE_KEY,
       process.env.CLOUDFRONT_KEY_PAIR_ID,
       1,
     )
     // Wait for 2 seconds to ensure expiration
     await new Promise((resolve) => setTimeout(resolve, 2000))
     const response = await fetch(shortLivedUrl)
     if (response.status !== 403) {
       throw new Error('URL did not expire as expected')
     }
   }
   

Fazit

Signierte URLs sind eine wirkungsvolle Strategie, um Ihre CDN-Inhalte zu schützen, indem der Zugriff ausschließlich autorisierten Nutzern vorbehalten bleibt. Wenn Sie den aktualisierten Implementierungsschritten folgen, bewährte Sicherheitsverfahren einhalten und Ihr Setup gründlich testen, erhöhen Sie die Sicherheit Ihrer Inhalte deutlich und behalten zugleich eine optimale Auslieferungsleistung bei.

Während Sie Ihre CDN-Inhalte absichern, sehen Sie sich an, wie Transloadit Ihren Workflow zur Dateiverarbeitung verbessern kann.