Отвечу сам себе, вдруг кому пригодится.
написал модуль, реализующий алгоритм расшифровки. (NDK помог)
Затем в конфиге в нужной location выдяляю подстроку из урла - $code (что-то типа S1uII0zwi%2F1uZ74IWM%2BOzp7r4DRKb0f3), там же в конфиге задан $password, часть пароля формируется из параметров запроса.
Затем вызывается функцию, которая раскодирует входные параметры
location /media {
set $code "получили откуда-то..."
set $pass blablabla
urldecript $decode $code $pass
...что-то делаем с $decode...
}
и в итоге в $decode будет 0001/0001/0005/0004
а дальше сколько фантазии хватит