Las cabeceras TCP/IP son suficientes para saber lo que estás viendo en netflix, incluso con HTTPS [ENG]

Tiene que ver con la compresión VBR (variable bit rate) que genera un resultado predecible, sobre todo en la parte de rango de bytes de los comandos HTTP GET que se alinean perfectamente con los límites de segmentos de vídeo. Para el estudio se analizaron 42 vídeos de Netflix. Para probar el algoritmo, se elegieron al azar 100 películas de Netflix y se analizó el tráfico (https) generado. De media el programa tardó menos de 4 minutos en identificar el vídeo que se estaba viendo, y más de la mitad estaban identificados antes de 2:30.

[#101 LaInsistencia]

#1 Tu añades un GET con un numero aleatorio. La petición *de subida* llega al servidor. El servidor te envía el fichero de vuelta, y como ya hemos pasado la fase de handshake inicial, la clave que protege la conexion en ese momento es simetrica para ambos canales, tanto el de subida como el de bajada.

Si el servidor no añade nada que sirva de grano de sal y se limita a mandarte el archivo, el chorro de paquetes de bajada con el streaming del video estará codificado con la misma clave que la petición que le has mandado tu, con tu GET, tus parametros, y tu cookie de sesion. Rompe una de las dos y tienes la otra... ahí está el peligro, que tu puedes añadir un "&aleatorio=dalealegriaatucuerpomacarena" a la url si quieres, el servidor va a ignorar ese parámetro. Pero en la respuesta de vuelta es donde esta el riesgo de que rompan la clave.

[#102 GoDie]

#100 he implementado varias veces desde 0 control de sesiones de diferentes formas y con técnicas, desde seguras hasta modos paranoicos, también estoy al tanto de las "best practices" en el tema. Por ahí no difícilmente me pillas dudando

[#103 LaInsistencia]

#102 Como sois los de backend

[#104 erbeni]

#98 me encanta raspberry,tengo dos,pero no es gigabit,cosa que Orange pi pc2 si lo es,esa es la diferencia,a lo mejor lenta no es la mejor definición,si no que hay alternativas similares más rápidas para esa ejecución

[#105 Luigi003]

#14 #24 Gracias, no sé en que andaba pensando que no lo vi claro.

A costa de la eficiencia ¿sería posible que Netflix añadiera un padding en los segmentos para que no fueran tan fácilmente identificables?

[#106 Luigi003]

#94 Si eres Whatsapp si puedes saberlo.
Ten en en cuenta que si tu le envías un mensaje a Bob, Whatsapp tiene que saber donde tiene que entregarlo así que aunque no pueda leer el contenido del mensaje si sabrá que habéis estado en contacto

Los vídeos creo que también saben quienes los comparten, aunque no pueden acceder al contenido del vídeo(cifrado con AES)

[#107 capitan__nemo]

#106 Yo hablaba desde fuera de whatsapp en una especie de situación similar a la de este envio.

[#108 Miguel_Chacon]

#96 ese ataque siempre se ha podido hacer. Cifras archivos de tu disco duro y miras el binario que se genera.

No se ha reportado ningún ataque exitoso contra AES, por mucha cantidad de archivos que hagas.

[#109 Yosemite]

#95 Empieza por aprender la diferencia entre un modelo y una arquitectura antes de venir a dar clases que nadie te ha pedido, cansino del offtopic

[#110 LaInsistencia]

#109 Me cago en la fruta, 12 horas para pensar una excusa después de que te demuestre que POR FECHAS es imposible que una se base en la otra, y me vienes con que son conceptos distintos? ¿En serio?

Mira, no lo hizo el mismo equipo, no lo hicieron en la misma universidad, no lo hicieron en el mismo continente, y por más que te empeñes eran competidores, no "uno se basaba en el otro". Los dos son modelos y arquitecturas distintos que resuelven el mismo problema de dos formas distintas, y si te bajaras del burro dos minutos y buscases en google te darías cuenta de hasta que punto la cagas mezclando churras y merinas para luego intentar separarlas diciendo que una es madre de la otra.

Offtopic: dale al botón de ignorar, que no te cobran por ello. Si pretendes que me calle porque no soportes que te diga que eres un bocachancla, vas fresco.

[#111 Yosemite]

#110 vaya, ya vienes con insultos, no has tardado mucho.
¿12 horas dices? ¿de verdad crees que he leído tu respuesta según la has escrito y he estado 12 horas pensando en tí? Si de verdad crees eso, eres más tonto de lo que crees. Tengo vida más allá de mnm y tú no eres el centro de ella
Qué osada es la ignorancia...
Ale, chavalín, sigue troleando contra molinos, perdón, gigantes, como si tuvieses algo que demostrar, o como si a alguien le importases lo más mínimo. Un beso.

[#112 mmm_]

#105 Podría bastar con que los segmentos se pidieran "varios a la vez" o "de tamaño constante", incluso, para evitar estos problemas de eficiencia. A costa de mayor procesamiento local.