Что этот инструмент будет делать и чего не будет делать

Область применения этой утилиты загрузки, возможности, которыми она намеренно не обладает, и как следует подумать, можно ли что-то скачать.

Краткая версия

Вы несете ответственность за наличие разрешения на загрузку вставленного вами файла. Этот инструмент не может это проверить и не пытается: он не знает, кто вы, что вы купили или что разрешает издатель этого файла. Флажок подтверждения — это ваше заявление, а не разрешение, которое предоставляет этот инструмент.

Загружайте только те медиафайлы, которыми вы владеете или имеете право на загрузку.

Этот инструмент не обходит DRM, аутентификацию, платный доступ или контроль доступа. Здесь нет обхода DRM, а также никакого обхода контроля доступа или аутентификации — файлы cookie или учетные данные не отправляются, токены или сеансы не создаются, а подпись или шифр не решаются.

Все нижеследующее объясняет, что означают эти предложения на практике, и что было исключено из продукта, чтобы они стали правдой.

Что обычно означает «разрешено»

Вы находитесь на твердой почве, когда файл принадлежит вам, когда он был опубликован для загрузки или когда это разрешено лицензией. Ваши собственные записи и загрузки. Файлы, к которым ваш работодатель или клиент предоставил вам доступ для вашей работы. Медиафайлы под лицензией Creative Commons или аналогичной лицензией, допускающей повторное использование. Материал, являющийся общественным достоянием. Эпизоды подкастов, которые по замыслу публикуются для прямой загрузки. Ресурсы из пресс-кита или открытого набора данных.

Вы не находитесь на твердой почве, если файл стоит за входом в систему, подпиской или покупкой, которую вы не совершали; когда издатель предлагает потоковую передачу, но не загрузку; когда условия платформы запрещают это; или когда вы просто не знаете. Правила авторского права различаются в зависимости от страны, и эта страница не является юридической консультацией. Если вы не уверены, спросите правообладателя.

Возможности, которых нет у этого инструмента

Это не недостающие функции, ожидающие будущего выпуска. Они исключены намеренно и останутся исключенными, потому что реализация любого из них изменит сам продукт.

Никакой расшифровки DRM и обработки зашифрованных или защищенных потоков.
Никаких подписей, шифров или токенов, которые используются для получения URL-адресов воспроизведения.
Никаких экстракторов платформы. Здесь нет кода, который знает о каком-то конкретном видеосайте.
Никакого парсинга страниц и чтения состояния внутреннего приложения сайта.
Никаких частных или недокументированных API-интерфейсов платформы, а также никакого подражания личности другого приложения.
Никакого обхода аутентификации, гостевых токенов или создания анонимных сеансов.
Никакого CAPTCHA или обхода защиты от ботов.
Никакого User-Agent, Referer или другого подмены заголовков, а также никакой смены личности.
Нет логики повторных попыток, которая меняет личность после отказа.
Никакого ослабления проверки сертификата TLS.
Без удаления водяных знаков.
Никакого прокси-сервера или ретранслятора на стороне сервера.
Никакие файлы cookie или учетные данные не отправляются ни на один хост.

Почему список такой конкретный

Прежде чем этот инструмент был написан, команда ToolAcre провела аудит существующего загрузчика видео с открытым исходным кодом, чтобы определить, что можно использовать повторно. Ответ был ничего. Каждый из шести экстракторов платформ работал, блокируя предполагаемый путь доступа к платформе, а конечная точка загрузки извлекала любой URL, предоставленный посетителем, и передавала его обратно через сервер без проверки схемы, без проверки хоста и без блокировки частных адресов.

Удаление запрещенного поведения привело бы к удалению всего продукта, поэтому этот продукт был написан с нуля с другой целью. Список выше заключается в том, что выводы аудита превратились в постоянную границу.

Почему нет сервера

Прокси заставит работать больше ссылок. Это также будет означать, что ваш файл пройдет через компьютер, который вы не контролируете, и создаст конечную точку, которая будет получать произвольные URL-адреса по запросу, которые можно будет указывать на частные адреса внутри хост-сети, чтобы получить доступ к вещам, которые никогда не должны были быть общедоступными. Этот класс ошибок называется подделкой запросов на стороне сервера, и это одна из наиболее часто используемых уязвимостей.

Выбор отсутствия сервера удаляет всю категорию. Это также означает честный ответ на вопрос: «Куда делся мой файл?» «от хоста, который вы назвали, на ваше устройство и больше нигде».

Как проверка URL защищает вас

Принимаются только https-ссылки, поэтому файл нельзя прочитать или изменить во время передачи. Ссылки, содержащие имя пользователя или пароль, отклоняются как потому, что учетные данные в URL небезопасны, так и потому, что этот синтаксис является распространенным способом скрыть, к какому хосту на самом деле обращаются.

Частные и внутренние адреса отклоняются: петлевая проверка, частные диапазоны, локальные адреса, включая те, которые поставщики облачных услуг используют в качестве метаданных, а также имена, заканчивающиеся на .local или .internal. Запутанные формы также отклоняются, поскольку 2130706433, 0x7f000001, 0177.0.0.1, 127.1 и ::ffff:127.0.0.1 — это тот же адрес, что и 127.0.0.1.

Если вы правообладатель

Этот инструмент не может получить доступ к чему-либо, что посетитель еще не смог получить с помощью своего браузера. Он не содержит индекса, не хранит медиафайлы и не имеет серверного компонента, который мог бы размещать или кэшировать ваш контент.

Если ваши файлы загружаются нежелательным для вас способом, применяются те же элементы управления, которые регулируют любую прямую ссылку: требовать аутентификацию, использовать подписанные URL-адреса с коротким сроком действия или опускать заголовок перекрестного происхождения. Этот инструмент учитывает все три, поскольку это всего лишь браузер, выполняющий обычный запрос.

Вопросы

Всегда ли скачивание видео незаконно?

Нет, и это не всегда законно. Это зависит от материала, лицензии, условий платформы и законодательства вашей страны. Ваши собственные файлы и материалы, лицензированные по открытой лицензии, обычно подходят; материалы, находящиеся за платным доступом или предлагаемые только в потоковом режиме, обычно не являются таковыми. Эта страница не является юридической консультацией.

Можно ли это скачать со стримингового сервиса?

Нет. Эти службы защищают контент с помощью DRM и аутентификации, и этот инструмент не реализует обхода ни того, ни другого. Он также не отправляет файлы cookie, поэтому не может действовать как вошедший в систему пользователь.

Не могли бы вы добавить поддержку одной конкретной платформы?

Нет. Экстрактор платформы работает путем восстановления носителя URL, который платформа не предлагала, а это категория поведения, которую этот продукт исключает. Это в равной степени относится к каждой платформе.

Инструмент сообщает вам, что я загружаю?

Нет. Здесь нет аналитики, журналирования и сервера. URL никогда не покидает ваш браузер, за исключением запроса к указанному вами хосту.

Что, если я отмечу подтверждение и ошибусь?

Подтверждение — это ваше заявление, а не разрешение, которое предоставляет этот инструмент. Ответственность за право на файл лежит на вас. Если вы не уверены, сначала спросите правообладателя.

Зачем блокировать частные адреса, если это все равно работает в моем браузере?

Глубокоэшелонированная защита. Браузер уже ограничивает возможности доступа к странице, но проверка означает, что инструмент нельзя использовать для проверки локальной сети, она делает явной цель продукта и обеспечивает правильность проверки, если код когда-либо будет повторно использован где-либо с меньшим количеством защиты.

Ограничения

Эта страница не является юридической консультацией. Правила авторского права и контрактов различаются в зависимости от страны и платформы.
Подтверждение прав — это ваше заявление, а не проверка с помощью этого инструмента.
Инструмент не может определить, действительно ли вы имеете право на файл, и не пытается это сделать.
Никакой поддержки конкретной платформы не существует и не будет добавлено ни для одной платформы.
Носитель, требующий аутентификации, недоступен, поскольку файлы cookie или учетные данные никогда не отправляются.
Хосты, которые отказываются от чтения из разных источников, не могут быть загружены отсюда, и обходной путь не предлагается.