HLSleri idm den kurtarabilmek için AES-128'e falan gerek yok naptınız. Manifest ve mpegts lerin bulunduğu web sunucusna küçük bir header check girersiniz, custom bir header belirlersiniz. Atıyorum X-HUMAN-CONTROL. Eğer gelen request de X-HUMAN-CONTROL headeri yoksa 403 forbidden verdirtirsiniz.

Playerde jwplayer kullanıyorsanız da

jwplayer().setup({
    playlist: [{
        sources: [{
            file: 'video.m3u8',
            onXhrOpen: function(xhr, url) {
                xhr.setRequestHeader('X-HUMAN-CONTROL', 'değer ne olacaksa yada random');
            }
        }]
    }]
});

configurasyonu bu şekilde ayarlarsınız idm sadece referer gönderiyor bunu geçemeycektir. Bu kadar.