dtemes

Secure downloads with Apache and mod_rewrite/RewriteMap

2011-05-21T01:32:00.000-07:00

In one of the projects i am working we need to protect some media files so that only authorized users can access them, and only the files they should have access to.

Our current solution uses a php script to check the permissions based on a token created from the file name and a timestamp, very similar to the secure download module available in lighttpd. The PHP script then reads the file and passes it to the user. This is far than optimal in terms of processing speed and memory consumption, so I satrted to search for a solution.

The first idea that came to my mind was using Ligttpd to serve those files with the secure download module, using apache as a proxy to a locally runinng insance of http://www.blogger.com/img/blank.gifLighttpd or using a dedicated server with Lighttpd to host the media files....yet another server to manage, not a good idea...

There must be something out there....if only mod_rewrite could do some string manipulation and calculate md5 hashes...as far as i know it does not, but wait a minute, we have RewriteMap!. The RewriteMap option within mod_rewrite allows the lookup of key/value pairs from plain files, db files or....external programs. The key is in this last feature. Let's see how we can do it.

1. Our token

As I said before we are using a token to control access to the files. This 40 bytes token consists of a md5 hash (32 bytes) plus a timestamp (8 bytes). The hash is calculated from the filename, the timestamp and a "secret" string.

token = md5(secret+filename+timestamp)+timestamp

a sample url to get the file could be:


http://www.example.com/secure/1fb5dcde52ec59f7308c301e5126395b4dd6f000/file.jpg

2. The RewriteMap script

Apache comunicates with the RewriteMap external program via stdin/stdout. Only one instance of the progrm is run, and it serves for all the key lookup. In order to use it we have to set it up in our apache config, for instance at vhost level:


RewriteEngine on
Rewritemap securedownload prg:/etc/apache2/scripts/securedownload.sh

And here is the script, at this point is just a shell script to try the concept, not ready for production:


#!/bin/bash

KEY=VerySecret
DURATION=18000

while read line; do
 PREV_HASH=${line:0:32}
 PREV_TIME=${line:32:8}
 FILENAME=${line:40}
 
 #calculate our hash
 MD5=`echo -n $KEY$FILENAME$PREV_TIME|md5sum`
 
 NEW_HASH=${MD5:0:32}
 
 #Time check
 NOW=`date +%s`
 let TIME=0x${PREV_TIME};
 
 #Add duration
 TIME=$(($TIME+$DURATION));
 
 if [ $TIME -ge $NOW ];then
  #check hash
  if [ $NEW_HASH = $PREV_HASH ]; then
   echo $FILENAME
   else
   echo "NOACCESS.${FILENAME:(-3)}"
  fi
 else
  echo "NOACCESS.${FILENAME:(-3)}"
 fi

done;

The script get the complete url and validates the hash and compares the timestamp with the current time to see if we are within the allowed time frame, specified by DURATION. If all is ok then it returns the file name, so in this case the url will be converted to :


http://www.example.com/secure/file.jpg

If not valid it will return "noaccess.jpg", and we have two options: create that file and return it, or let apache return a 404 code,:not found.

3. The RewriteRule
And this is the .htaccess file inside the secure directory:


RewriteEngine on

#secure download via rewrite map
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^(.{40})/(.*)$ ${securedownload:$1$2}?SECURE=123asd[L]

#no direct access to files
RewriteCond %{QUERY_STRING} !^SECURE=123asd$
RewriteRule ^(.*)$ - [F,L]

See how we append the token and file name and pass it to the securedownload rewritemap if the url matches the pattern with the 40 bytes token and the filename.

To avoid direct access to the file we block it and force a forbidden response, unless we have the magic query string added by the previous rewrite rule. This trick is the only way I have found to set a "flag" that prevents blocking access to the file after internal reruns of the rewrite engine.

4. The results

Our tests with ab show that this method is 10x times faster than our previous php script. Again, remember that using .htaccess files inside directories might not be optimal.

And that's all, drop me a line if you need more details!

Probando el navegador de Google

2008-09-03T07:34:00.000-07:00

Tras la accidentada publicación del cómic de presentación de Google Chrome, por fin ha sido lanzada la versión Beta del mismo. Las primeras impresiones son más que positivas pero habrá que seguir investigando antes de tomar decisiones. Entre otras cosas aún no se si exsiste una versión para Linux, ni cómo funcionará en esa plataforma caso de existir.

Una de las cosas que no me gustan es que no he visto forma de cambiar el color de fondo de la aplicación, que no contrasta lo suficiente con el escritorio y por ejemplo cuesta localizar la barra de título para arrastrar la ventana. Y otra cosa, para que sirve el navegador "de incógnito" tengo sospechas de por dónde van los tiros, pero se echa en falta una explicación al respecto en la ayuda.

Mantendré un ojo puesto en este prometedor navegador...

No todo es trabajo

2008-05-30T13:54:00.000-07:00

No todo en esta vida es trabajar, a veces hay que sentarse, disfrutar de una agradable lectura y porqué no, darse un pequeño festín en buena compañía...

¿Google digitalizando Barcelona?

2008-05-20T00:16:00.000-07:00

Ayer por la mañana me llamó la atención un coche negro con una torreta sobre su capó que finalizaba en un dispositivo óptico que apuntaba hacia adelante, izquierda y derecha. En la puerta lucía el logotipo de Google. ¿acaso están digitalizando la ciudad?

En esos momentos yo iba caminando y con las manos ocupadas, así que no pude hacerle una foto con el movil.

Unas horas más tarde de publicar esta entrada veo que el asunto comentado es portada de "el Periódico" en su versión impresa, y online se puede encontrar aquí. Eso sí, no me ha gustado nada encontrarme al entrar publicidad que ocupaba toda la pantalla en la versión electrónica.

Mini PBX basada en Asterisk

2008-05-15T03:42:00.001-07:00

Desde hace meses tengo en casa funcionando a la perfección un mini ordenador con Asterisk, pero a pesar del pequeño tamaño el equipo consume bastante y sus ventiladores, que no dejan de funcionar durante todo el día, resultan cansinos.

Motivados por el incesante ruido de esos ventiladores y el propio placer de cacharrear nos hemos puesto manos a la obra con el objetivo de sustituir ese PC por un equipo embebido.

Aquí teneis una foto del resultado y un pdf explicando la experiencia.

Podéis descargar el pdf aquí: PBX Asterisk embebida.pdf.

Hasta las orejas

2008-02-05T09:14:00.001-08:00

Literalmente, hasta las orejas de barro he acabado este domingo 3 de febrero gracias a la "Ruta dels castells" por la que nos ha guiado Ray.

Tucam.net

2007-12-28T06:51:00.000-08:00

Os presento mi nueva web: www.tucam.net

Es la forma más fácil de grabar, reproducir y compartir vídeos o realizar videoconferencias, tan solo hace falta tener flash instalado (Muy recomendable la versión 8 o superior).

Para muestra un botón...bueno, mejor un vídeo

Nuevo firmware para el N800

2007-11-30T04:19:00.000-08:00

Ayer reflashee el firmware de mi nokia N800 con la versión IT2008 beta recién salida (por cierto, lo hice desde Linux). El diseño es más moderno y agradable a la vez que funcional, por ejemplo en cuanto al uso del dispositivo con los dedos, sin tener que usar el stylus.

De momento no hay apenas aplicaciones para instalar, pero se supone que estarán en los repositorios cuando salga la versión definitiva a mediados de diciembre.

He configurado un par de cuentas SIP para conectar al servidor asterisk de casa y la oficina, y funciona ciertamente bien, es una pijada ir por ahí escuchando música y atendiendo llamadas aunque en el bolsillo el N800 resulta algo grande y pesado. Eso sí, cuando toca usar la pantalla se agradece su generoso tamaño y se olvida uno del peso...

Para más información: www.maemo.org y en la página de Nokia.

Cancelación de eco con oslec en asterisk

2007-09-04T07:44:00.000-07:00

En un rinconcito de la oficina tengo una maquina de pruebas donde instalé Tixbox hace ya algún tiempo (tanto que ni me acuerdo de la versión) y actualicé asterisk via codigo fuente a la nueva rama 1.4. Dispongo de una tarjeta openvox con 4 puertos fxo así que decidí usarla para enrutar las llamadas a mi telefono de escritorio, que ahora me llegan a un Cisco 7960 (anteriormente a un Grandstream gpx-2000, pero me gusta mucho más el Cisco)

Con ambos telefonos el eco era tremendo, a veces insoportable durante 5 o 10 segundos, así que hoy me puse a trastear con OSLEC, un cancelador de eco por software y la verdad es que los resultados son bastante buenos, el eco ha desaparecido por completo y la unica diferencia es que al menos con idefisk desde el ordenador el sonido de la otra parte se escucha un poco más lejos, pero nada que no se pueda arreglar subiendo un poquito el volumen. Con el Cisco la mejora es espectacular, nada de eco y no hace falta ni ajustar el volumen.

Un problema que he tenido es que el modulo del kernel del oslec no se cargaba tras reiniciar y eso ocasionaba que el módulo zapata no cargase, pero un "depmod -a" lo ha solucionado.

Curso Off road

2007-06-20T13:08:00.001-07:00

En abril asistí a un curso de conducción off road con Marc Puigdemont, disfruté un montón y aprendi otro tanto, sobre todo en el increible circuito en el que Marc entrena, el hecho de pasar una y otra vez por el mismo sitio es ideal para coger el tacto a la moto y ver como reacciona en distintas tesituras para aprender a dominarla.

Aquí os dejo un link a la web de esta gente que tan bien nos atendió:

http://www.soloenduro.com

En funcionamiento MailToVoice/es

2007-06-19T08:50:00.000-07:00

Sí, estoy impaciente por ver si el hecho de tener la página en español atrae más usuarios, así que he subido la traducción a producción....aunque faltan unos cuantos campos de las tablas por traducir...

Para echarle un vistazo haz click aquí

Traducción en marcha

2007-06-11T03:48:00.001-07:00

Ya tenemos la versión en español de MailToVoice, espero que cuando esté online se apunte más gente, ya que se da la circunstancia de que los anunción puestos en Google generan más tráfico en español que en inglés, y cuando los usuarios hispano hablantes entran y ven la web en English... pues seguro que más de uno huye.

Por cierto, estoy enamorado de google analytics y en mi caso se puede decir con certeza que es amor a primera vista, porque tiene tantas cosas que apenas he podido mirarlas :)

Me decanto por Blogspot

2007-05-14T01:46:00.000-07:00

Después de echar un vistazo a wordpress y alguna opción más he decidido abrir este nuevo blog aquí, en blogspot. Una de las razones de peso es la integración con el resto de herramientas de Google, ya que habitualmente uso adwords, analytics, el correo, etc

Ahora toca recuperar antiguos posts hechos en imeem y my spaces