DRM-X 6.0Sicherheitscheckliste für den Produktivbetrieb
Produktionssicherheits-Checkliste für DRM-X 6.0 Integrationen: Least-Privilege Zugangsdaten, serverseitige Richtlinien, geheime Handhabung, sichere Protokolle, Transportgrenzen und Release-Lebenszyklus.
Berechtigungskontrollen#
- Erstellen Sie separate Entwicklung und Produktion API Kunden.
- Geben Sie nur
license-tokens:createfür Wiedergabe-Integrationen. - Speichern Sie die Access Key in einer geheimen Manager- oder geschützten Laufzeitkonfiguration, nicht Quelle, Bilder, Frontend-Bundles, APKs, IPAs oder Protokolle.
- Drehen Sie sofort nach vermuteter Exposition und entfernen Sie nicht verwendete Clients.
- Beschränken Sie ausgehende Aufrufe auf die erwarteten DRM-X API und Proxy-Ursprünge.
Autorisierungskontrollen#
- Lösen Sie
subjectaus der authentifizierten Serversitzung auf. - Map-Katalogreferenzen auf vertrauenswürdige Veröffentlichte geschützte Datei Content IDs auf dem Server.
- Weisen Sie Produkt-, Plan-, Miet-, Kurs-, Geräte- oder Inhaltsebene einer genehmigten benannten Vorlage oder einer vollständigen benutzerdefinierten Richtlinie zu.
- Akzeptieren Sie niemals manifest URL, Lizenz URL, Politik JSON, Qualitätsanspruch oder Kundenidentität von der Player.
- Erstellen Sie eine neue unvorhersehbare Sitzung ID für jeden echten Wiedergabeversuch.
Transport und Browsersteuerung#
- Erfordern Sie HTTPS; validieren Sie TLS; lehnen Sie nicht vertrauenswürdige Weiterleitungen ab.
- Setzen Sie explizite Timeouts und Request-Size-Limits.
- Fügen Sie die Autorisierung nur an die zurückgegebenen Zertifikats-, Lizenz-, Verlängerungs- und Freigaberouten an.
- Bewahren Sie native DRM Herausforderung und Lizenzbytes genau.
- Geben Sie die Wiedergabeantworten mit
Cache-Control: no-storezurück und vermeiden Sie persistenten Browserspeicher.
Beweise ohne Geheimnisse #
Korrelation ID, Bühne, Status, Dauer, Umgebung, Anwendung ID, DRM und eine sichere Inhaltsreferenz aufzeichnen. Kopfzeilen und Abfragezeichenfolgen bearbeiten. Nicht aufzeichnen Access Keys, DRM License Tokens, Inhaltsschlüssel, private Schlüssel, Zertifikate, native Herausforderungen, Lizenzstellen oder erfolgreiche Antwortdokumente zur Wiedergabe.
Präzise Assurance LanguageBeschreiben Sie die aktuellen Maßnahmen als an ISO 27001 ausgerichtet oder als Vorbereitung auf eine Zertifizierung. Behaupten Sie erst nach tatsächlich abgeschlossener Zertifizierung eine akkreditierte ISO/IEC 27001-Zertifizierung.
Go-Live-Akzeptanz#
- Beweisen Sie verweigerte Berechtigung, abgelaufene Token, falsch DRM, falsch Content ID, und nicht erlaubte Qualität alle scheitern geschlossen.
- Testen Sie physische Geräte und Ausgabeänderungen für jede angekündigte Plattform.
- Bestätigen Sie Stop, Ersatz, Fehler und Herunterfahren von gleichzeitigen Reservierungen.
- Überprüfen Sie redigierte Telemetrie- und Incident-Runbooks.
- Sichern Sie die geschützte Konfiguration und beweisen Sie die Wiederherstellung vor dem Start.