Bildergalerie - Schutz der Grafikdateien

[kwerner]

Hallo und Guten Tag,

ich habe ein Problemchen und hoffe, mir kann hier geholfen werden.

Ich möchte eine Bildergalerie anlegen, deren Inhalt nur mit Anmeldung (User und Passwort) angesehen werden kann.
Soweit sogut...
Das Problem ist nun, dass beim Aufbau der Galerie auf Basis des "Bilder spezial" die Bilder nicht wirklich geschützt sind.
Wenn man den Link für die Bilder kennt oder herausbekommt, kann man die einzelnen Bilder auch ohne Login betrachten.
Es gibt da generell einige Möglichkeiten das zu verhindern. z. B. per htaccess (allow / disallow). Oder die Bilder ablegen in einem Verzeichnis ausserhalb der Zugriffmöglichkeiten über http und dann per php-skript laden... usw...
Wie und wo kann ich sowas in phpwcms einbauen oder gibt es hierfür schon vorhandene Möglichkeiten?

Liebe Grüsse

[pepe]

Spar dir jede Minute, darüber auch nur nachzudenken, wie du Inhalte vor dem Download schützen kannst, die du ja im Internet eigentlich darstellen willst... sieh lieber aus dem Fenster oder halt ein Quätschen mit der jungen Nachbarin

Per DUMP kannst du doch jederzeit alles "kopieren".....

Alte Masurische Bauernweisheit:
Der einzige Kopierschutz ist, keinen Inhalt auf deiner Site zu hinterlegen

PS
Spar dir auch Doppelpostings...
die paar EInträge, die es hier gibt, werden sowieso von "allen" Usern gelesen, die sich hier "rumtreiben"

[flip-flop]

Hi,

m.W. ist das bisher nicht möglich.

Du könntest allerdings die "img/cmsimage.php" hernehmen und umstricken entsprechend deinen Bedürfnissen.
Also in einen CP-Trigger für "Bilder spezial" den direkten Aufruf des Bildes für die SlimBox ersetzen, z.B.
<a href="content/images/6d7df1ee50ac721713aa5c214e5605fd.jpg" .....
mit
<a href="img/cmsimage.php/800x600/Hash.Ext"

Hier stehen die Werte dazu im Template:

Zoomed (big) image: 6d7df1ee50ac721713aa5c214e5605fd.jpg
ID/Hash/Ext: 49/b1ebadfd18113d8b285f433d4202f68a/jpg

Dieses Bild (in filearchive) ist für einen nicht eingeloggten User nicht sichtbar, allerdings nur, wenn in cmsimage.php auch eine Abfrage eingebracht wird ob der User berechtigt ist.
cmsimage.php wäre nur noch für eingeloggte User verwendbar.

Das Bild welches daraus in das offene Verzeichnis content/images hineingeneriert wird ist nur per Zufall erratbar.

Oder du schreibst ein frontend_render_Script das alle Aufrufe von cmsimage.php nur durch eingeloggte User zulässt, das ist noch einfacher.

Es ist allerdings klar, wenn der Link des generierten Bildes in content/images nach außen dringt, ist das für jeden abrufbar.


Eine andere Lösung wäre ein eigenes Modul auf der Grundlage von z.B. Bilder spezial, was genau deinen Fall abdeckt. Hier könntest du dann die generierten Bilder in ein geschütztes Verzeichnis schreiben lassen. Die Ausgabe würde wiederum über ein php-Script anstelle des direkten Links passieren. (In der download.php hat O.G. das vom Prinzip her vorgemacht).

Oder ein Umbau des gallery- bzw galleryx (wiki) Scripts nach deinen Bedürfnissen (separates Verzeichnis wie oben).

Knut

[kwerner]

hallo auch,

der tipp, mich aus dem fenster zu hängen, hat mich hingegen nicht weiter gebracht. es gibt nun mal sicherheitsrelevante aspekte, die mir die mühe wert sind, etwas zu unternehmen.

vielen dank an knut für die konstruktiven anregungen. damit wurden mir einige ansätze an die hand gegeben. nun heisst es fleissig sein und sein bestes versuchen.

das doppelposting bitte ich zu entschuldigen...


lieben gruss

[update]

Das, was der User sieht (auf dem Bildschirm), ist normaler Weise auch schon im Browser-Cache. Auch die Brocken, die man nicht so einfach von der dargestellten Page runterkopieren kann...
Ein Blick in das Cache-Verzeichnis lohnt da meist sehr.
Wie Knut schon andeutete, ist "obfuscation" (also das Verwirrspiel) eine Möglichkeit, es schwer(er) zu machen, Pfade zu verfolgen usw.
Aber wie gesagt: wenn das Bild sichtbar ist, ist es auch schon auf dem Computer. Also auf Pepe hören und Stecker ziehen - absolut sicher, schnell und einfach erledigt...

[flip-flop]

Der Eingangsposter geht wohl davon aus, dass der Bildname (Hash) irgendwie durchsickert von einem User mit Login.

In so einem Fall hilft eigentlich nur ein abgeschlossenes Verzeichnis was ohne Login nicht einsehbar ist.
Ich zeichne den Verlauf in phpwcms noch einmal kurz auf:

1. Das hoch geladene Originalbild landet im Verzeichnis /filearchive/. Diese Verzeichnis ist im Normalfall von außen nicht einsehbar (mit zwei Ausnahmen, dazu unten mehr).

2. Wird nun ein Bild in irgendeinem bildverarbeitenden CP verwendet, wird eine Kopie mit den angegebenen Größen aus dem CP bzw. mit der Größeneinstellung aus der config im Verzeichnis /content/images/ generiert. Dieses Verzeichnis ist für jeden zugänglich.
Das Selbe passiert übrigens beim Aufruf der Dateizentrale, die generierten Thumbs werden auch dort abgelegt.

3. Ausnahmen Verzeichnis /fielarchive/: Mit den beiden Scripten /img/cmsimage.php und image_resized.php kann jeder Betrachter jedes Bild aus dem Ordner /filearchive/ sichtbar macht, vorausgesetzt der Hash ist bekannt. Mit /img/cmsimage.php geht das noch viel einfacher mit der Bild ID aus der Dateizentrale!!!!

Diese beiden Dateien müssen in dem hier geforderten Szenario auf jeden Fall leicht modifiziert werden bezüglich der Userzugriffe. (Auch download.php testen).

4. In letzter Konsequenz bleibt eigentlich nur ein Modul, in dem z.B. der CP "Bilder spezial" so verändert wird, das die neu generierten Bilder in einem geschützten Verzeichnis landen.
Das gleiche könnte man auch sicher mit der "gallery" erreichen.
Das kann recht aufwendig werde, da alle Funktionen überprüft werden müssen die irgendwie mit der Bilderstellung zu tun haben. (Das wird allerdings klar bei einer Analyse des CPs).
Diese Funktionen werden dann kopiert verändert und in eine eigene "lib" gepackt die dann eben dafür verwendet wird um die Bilder in dem geschützten Verzeichnis zu generieren.

Knut

[update]

Super Erklärung!
Dennoch gilt: Wenn der User das Bild sehen kann, kann er es in der Regel auch speichern

[flip-flop]

Ich ging bei der Anfrage davon aus, dass der Link zur Datei jemand anderem in die Finger fällt der kein Login hat, nur dann macht es Sinn.

Knut

[juergen]

@claus: Wenn dieser User den Link nach Knuts Beispiel aber hier ins Forum stellt, kommt jeder von uns auf die "Nee du ! " -Seite. Dann kann er noch so viel Quellcode haben!

[update]

naja, das ist wahr. Also müssten die Bilder in ein Verzeichnis mit login und dürfen nur über ein script abrufbar sein, das nur in dem geschützten Verzeichnis funktioniert. Wär das ein Weg?

[Adeuq]

Hallo zusammen ...
Ich habs aufgegeben nach irgendwelchen Schutzmechanismen für Grafiken zu suchen.
Wer heuie versteht mit Google zu arbeiten ist in der Lage fast alles zu finden und zu kopieren.
Wenn ich etwas bestimmtes haben will, setze ich mich ein par Stunden intensiv an den Pc und ich habs.
Wie Pepe schon geagt hat, es ist der Mühe nicht wert -dank Googlle.
Wer eine Seite ins Web stellt, will gefunden werden - oder nicht???

Rudi