Der Paketserver macht das nicht. Es wird zuerst eine Authentifizierung durchgeführt und danach entscheidet sich erst, welche Pakete angezeigt werden, d.h. als Kunde sieht man z.B. mehr Pakete als andere. Ein Verbot des Downloads nach Authentifizierung ist nicht möglich.
Der Paketserver bietet eine Authentifizierungsschnittstelle, d.h. es können eigene Authentifizierungen implementiert werden. Im Prinzip könnten man eine neue Authentifizierung implementieren, die keine Abfrage der Zugangsdaten über den Browser macht, aber sehr wohl auf die HTTP-Header hört, d.h. das WCF hätte Zugriff, normale User könnten gar nicht auf den Paketserver zugreifen. Wäre das, was du willst?