Sep
144
Evitar links externos con Amazon S3
Amazon Web Services, PHP, Programación, S3 por fillito el 14-09-2008
Etiquetado como : Amazon Web Services, links externos, S3, seguridad
Si hemos elegido Amazon S3 como sistema de almacenamiento virtual , quizás nos interese tener almacenados archivos que se puedan descargar libremente por cualquier usuario, y que además puedan ser linkados desde cualquier sitio. Pero en la mayoría de los casos tendremos almacenados nuestros archivos y no nos gustará que nadie nos enlace directamente y tener que soportar los gastos de transferencia y almacenamiento por él.
Voy a explicar cómo, con un sencillo script en php conseguiremos que nuestros archivos de S3 estén totalmente protegidos y que sólo puedan ser accesibles desde nuestro dominio.
Lo primero de todo, es conocer dos características que Amazon nos prové con sus APIs:
- Los ACL (Access Control List) : que nos permite definir los permisos de lectura-escritura-ejecución de nuestros bucket y objetos.
- Las URLs Firmadas : que nos permite acceder temporalmente a nuestros archivos protegidos, a través de una url que incluye una firma y un tiempo de expiración de los permisos. Éstas URLs las podremos generar con nuestro script, y llevarán como parámetro nuestra firma generada en tiempo de ejecución, que lleva implicita el tiempo de caducidad de la url.
La primera medida es aplicar permisos exclusivo de lectura para nuestro usuario (usando los ACLs) a todos los archivos que queramos proteger, para que sea imprescindible una validación al acceder a ellos.
Para generar nuestro script , necesitaremos echar mano de la clase Crypt/HMAC para construir el hash en sha1 que Amazon S3 requiere.
Lo primero será crear nuestra función para generar nuestra firma:
-
require_once 'Crypt/HMAC.php';
-
function hex2b64($str) {
-
$raw = '';
-
for ($i=0; $i <strlen($str); $i+=2) {
-
}
-
}
-
function makeSig($str) {
-
$secretKey="Llave secreta que nos proporciona Amazon para nuestra cuenta";
-
$hasher =& new Crypt_HMAC($secretKey, "sha1");
-
$signature = hex2b64($hasher->hash($str));
-
return($signature);
-
}
Lo siguiente, será crearnos una función para construir nuestra URL firmada :
-
function getSignedURL($bucket, $key, $expires=120){
-
$accessKeyId="accessKeyId que nos proporciona Amazon con nuestra cuenta";
-
$stringToSign = "GET\n\n\n$expires\n/$resource";
-
$signedUrl="http://s3.amazonaws.com/$resource?AWSAccessKeyId=$accessKeyId&Expires=$expires&Signature=$signature";
-
return $signedUrl;
-
}
Ésta función nos devolverá la url firmada, que estará disponible durante el tiempo (en segundos) que hayamos establecido en el parametro $expires (120seg por defecto)
Ahora ya sólamente nos falta un script que nos lance al contenido, pero que nos proteja de links externos a nuestro dominio.
Para ésto simplemente comprobaremos si existe el campo HTTP_REFERER en nuestra variable $_SERVER , que nos indicará que estamos accediendo a ésta url desde otra url de referencia , y que nuestro dominio (extraido desde $_SERVER['HTTP_HOST']) esté contenido en él.
Al llamar a ésta función, seremos automáticamente redirigidos al contenido en amazon siempre que el link provenga desde nuestro mismo dominio. Por supuest, si quisieramos permitir el acceso desde una determinada lista de dominios, simplemente tendríamos que modificar un poco la condición if , para que compruebe que cada uno de los dominios están incluido en el HTTP_REFERER.
Espero que sea útil.
Un Saludo !!
