비디오 및 자막 · 다이렉트 미디어 다운로더
Direct Media Downloader가 요청을 하기 전에 이를 알리는 방법
· 작동 방식
개인정보 보호 http 보안
두 개의 ToolAcre 도구는 설계상 네트워크를 사용하며 각각은 요청을 하기 전에 모든 요청을 알립니다. 이 게시물에서는 공지 후 가져오기 패턴, 레지스트리 기록 및 이를 직접 확인하는 방법에 대해 설명합니다.
대부분의 다운로드 사이트는 붙여넣기를 완료하기 전에 어딘가에 연락합니다. 자동 요청으로 인해 발생하는 신뢰 격차
입력 중에 붙여넣은 링크를 전송하는 다운로더는 방문자가 이를 검사할 수 있기 전에 이미 경계를 넘었습니다. 대신 Direct Media Downloader는 로컬에서 입력 구문 분석을 실행합니다. 상태는 호스트의 이름을 지정하고 아무 것도 연결되지 않았음을 나타내므로 예상치 못한 대상을 거부할 시간이 남습니다.
이는 타이밍을 눈에 보이는 작업에 연결하기 때문에 일반 개인 정보 보호 배지보다 강력합니다. 링크 확인 및 다운로드가 유일한 미디어 네트워크 컨트롤입니다. 클립보드 권한, 페이지 자산 및 사이트 전체 서비스는 별도의 표면이므로 전체 페이지가 요청하지 않는다는 주장으로 접어서는 안 됩니다. 따라서 평가자는 완전한 침묵의 증거로 필터링된 미디어 추적을 제시하는 대신 광범위한 페이지 로딩과 별도로 "입력하는 동안 요청 없음"을 설명해야 합니다.
발표 단계: 가져오기 전에 호스트 이름 지정 — 도구가 표시하는 내용과 해당 정보가 구문 분석된 URL에서 나온 이유
URL 안전 확인을 통과한 후 인터페이스는 붙여넣은 주소에서 파생된 정규화된 호스트 이름을 표시합니다. 해당 이름을 얻기 위해 예비 조회를 수행하지 않습니다. 이렇게 하면 애플리케이션에서 선택한 확인자에게 URL을 유출하지 않고도 알림을 사용할 수 있습니다.
링크 확인을 누르면 요청으로 라벨이 지정되고 해당 URL로 HEAD가 전송됩니다. 다운로드를 누르면 GET이 전송됩니다. 둘 다 자격 증명을 생략하고, 리퍼러를 억제하고, 캐시 재사용을 방지하고, 리디렉션을 따릅니다. 미리 표시된 호스트 이름은 리디렉션 체인에 포함될 수 있는 모든 서버가 아닌 첫 번째 URL을 설명합니다. 표시되는 텍스트를 통해 사용자는 원격 서버가 주소를 받기 전에 유사한 도메인, 예상치 못한 하위 도메인 또는 내부에서 보이는 이름을 확인할 수 있습니다.
레지스트리 항목: 도구가 네트워크를 사용한다는 기록 — ToolAcre가 두 개의 네트워크 사용 도구를 나열하는 방법 및 각 도구가 해당 호스트에 대해 말하는 내용
제품 레지스트리는 로컬 처리를 false로 표시하고 로드 후 네트워크를 true로 표시합니다. 매니페스트에는 모든 요청이 이루어지기 전에 명시되며 계정이 필요하지 않으며 이 제품에 대한 광고 및 분석이 비활성화되어 있다고 나와 있습니다. 이러한 기록은 로컬 전용 배지가 여기에서 재사용되는 것을 방지합니다.
ToolAcre의 광범위한 문서에서는 핵심 기능이 외부 호스트에 연결되는 두 가지 제품, 즉 이 다운로더와 YouTube 뷰어를 식별합니다. 트래픽 형태가 다릅니다. 미디어 도구는 방문자가 선택한 공개 호스트에 연결됩니다. YouTube 도구는 자체 명시적 작업을 따라 Google 엔드포인트라는 이름으로 연결됩니다. 대부분의 다른 ToolAcre 도구는 선택한 로컬 파일을 변환하고 다른 개인 정보 보호 언어를 사용하기 때문에 이 레지스트리 수준 예외는 중요합니다.
실행된 예: 각 명시적 작업을 해당 작업이 생성한 요청과 일치시킵니다.
네트워크 패널을 지우고 유효한 HTTPS 파일 링크를 붙여넣고 새 미디어 행이 없는지 관찰하십시오. 링크 확인을 한 번 누르십시오. HEAD 시도가 나타나야 합니다. 권한 확인 후 Download를 한 번 누릅니다. GET이 뒤따르고 해당 본문 청크는 저장을 위해 결과가 제공되기 전에 진행률 표시를 구동합니다.
해당 시퀀스를 "단일 요청"으로 호출하면 선택적 프로브가 지워집니다. 한 번의 다운로드 작업으로 하나의 GET이 생성되고, 두 컨트롤을 모두 사용하면 HEAD와 GET이 생성됩니다. 페이지 탐색은 자사 자산을 로드할 수도 있습니다. 도구의 대상별 동작을 감사할 때 제공된 호스트 이름으로 필터링합니다. 취소는 종료된 행을 추가할 수 있고 리디렉션은 홉을 추가할 수 있으므로 복잡하지 않은 하나의 샘플에서 고정 합계를 주장하는 대신 작업과 체인을 계산합니다.
관찰 가능한 요청 경로에 추가되는 제품 정책 및 브라우저 컨트롤
페이지에서 생성된 보안 정책은 허용되는 연결 대상을 제한하며 제품에는 프록시 코드 또는 타사 다운로더 SDK가 포함되어 있지 않습니다. 더 중요한 것은 요청 구현 자체를 읽을 수 있다는 점입니다. Fetch는 이를 쿼리 매개변수로 래핑하는 ToolAcre 엔드포인트가 아니라 구문 분석된 URL을 직접 수신합니다.
정책은 요청이 발생할 수 없다는 증거가 아니라 심층 방어입니다. 브라우저 확장 프로그램, 개발자 도구, 서비스 워커 또는 향후 사이트 구성은 별도로 고려해야 합니다. 반복 가능한 증거는 배송된 소스와 승인된 환경에서 관찰된 추적입니다. 또한 소스 검토를 통해 요청이 `credentials: omit` 및 `referrerPolicy: no-referrer`로 설정되었음을 확인했습니다. CSP는 자체적으로 애플리케이션 수준 선택을 설정할 수 없습니다.
여기서 다루지 않는 내용 - 공지에서는 도구의 요청을 설명하지만 원격 호스트가 도구를 사용하여 수행하는 작업이나 리디렉션이 연결되는 위치는 설명하지 않습니다.
공지에는 원격 호스트가 기록하는 내용이 설명되어 있지 않습니다. 해당 서버는 브라우저의 요청을 확인하고 자체 보존 정책을 적용할 수 있습니다. 다른 원본으로 리디렉션할 수 있으며, 오류로 인해 경로가 중단되지 않는 한 브라우저는 HEAD와 GET 모두에 대한 리디렉션을 따릅니다.
또한 초기 호스트 이름은 파일, 파일에 대한 권한 또는 최종 대상을 인증하지 않습니다. 네트워크 패널에는 접촉 후 리디렉션이 표시됩니다. 신중한 검토자는 로그를 보존하고, 체인을 확장하며, 예상되는 전달 인프라 외부의 호스트가 나타나는 경우 중지할 수 있습니다. 민감도가 높은 작업의 경우 단축된 목적지를 피하고 발신자에게 표준 전달 호스트를 요청하여 사전 연락 정보가 더 의미가 있도록 하세요.
요점: 단지 읽는 것이 아니라 확인할 수 있는 투명성 — Direct Media Downloader의 공지 후 가져오기 순서를 통해 약속을 검증할 수 있는 방법
각 단계에는 트래픽 전 로컬 판정, 링크 확인 후 HEAD 행, 다운로드 후 GET 행, CORS가 허용할 때 응답 헤더, 본문이 도착하는 동안 누적된 바이트 등 서로 다른 아티팩트가 있으므로 여기에서 투명성을 테스트할 수 있습니다. 정책 단락만으로는 해당 순서를 제공할 수 없습니다.
공지사항을 승인의 표시가 아닌 일시 정지 지점으로 사용하십시오. 출처가 중요한 경우 호스트를 확인하고, 승인을 확인하고, 리디렉션을 검사하세요. Direct Media Downloader는 시작하는 트래픽에 대한 약속을 좁히고 원격 로깅 및 대상 정책을 외부 경계로 표시합니다. 상태 표시줄의 스크린샷과 내보낸 HAR은 검토자에게 발표된 내용과 브라우저가 이후에 시도한 내용에 대한 보완적인 증거를 제공합니다.