TW200820709A

TW200820709A - Security processor and method and recording medium for configuring the behaviour of this processor

Info

Publication number: TW200820709A
Application number: TW096131764A
Authority: TW
Inventors: Pascal Danois; Olivier Granet; Henaff Sebastien Le
Original assignee: Viaccess Sa
Priority date: 2006-08-30
Filing date: 2007-08-28
Publication date: 2008-05-01
Also published as: CN101513057B; ES2363596T3; US20100169664A1; WO2008025900A1; DK2060117T3; FR2905543B1; KR20090045285A; TWI499268B; FR2905543A1; PL2060117T3; US9332297B2; EP2060117B1; EP2060117A1; ATE510411T1; KR101400254B1; CN101513057A

Description

200820709 九、發明說明：【發明所屬之技術領域】種用於組態設定本發明是有關於一種安全處理器 "亥處理态之行為的方法及記錄媒體。【先前技術】 —現存有安全處理器，其係用於適以接收—藉助 :組而經擾碼之多媒體信號的解碣器。這些處理器，：是

:插入该解碼器之晶片卡、'經整合於該解碼器之内的硬：模組或者一在該解碼器内執行的軟體模組，特別是含可覆寫記憶體，此記憶體含有-應用程式碼，而當 =處::：執行此程式碼時，可令其能夠執行-組對於處理由’者之傳送器所發送的條件性存取訊息為必要的操作’猎以自此擷取出料將該經擾碼多媒體信號進行解擾碼處理為必要的控制字組。現存有多種類型的條件性存取訊息，像是ECM訊息 (賦權k制成息（Entltlement c〇ntr〇1 M㈡哪⑺）」）或應^ 訊息（「賦權管理訊息（Entitlement M_gement M=SageS)」），而亦可定義出其他類型。其變異項目亦為可此·存在有其内容並未被加密的EMM訊息，在此稱為非機狯性EMM訊息」；以及機密性EMM訊息，其内容係、、二加崔，在此稱為EMMC訊息（「機密性賦權管理訊息」）。在後續說明以及申請專利範圍裡，除另表示者外，該詞彙「EMM」是標註非機密性EMM訊息與EMMc訊息兩者。有時會希望修改該安全處理器的行為。這特別是在當 6 200820709 一駭客在應用程式碼裡發現一安全漏洞，並且以詐騙方式運用此漏洞以求獲得解擾碼該多媒體信號的權利時會希望如此。

對此，按W〇-03 〇75233號所公佈之專利申請案即教示在應用程式碼中製作開口，藉以讓-局部之分支來取代稱為補丁（PATCH)」的程式碼。例如，該微處理器是執行名補丁」，而非展現安全漏洞的應用程式碼局部。因此這二補T」可令以能夠修改該安全處理器的行為。 k些補丁」是被記錄在一可覆寫非揮發性記憶體内。因此，可將一「補丁」取代為另-「補丁」。此一可能性 2潛在地具有危險性，這是由於可能被一駭客運用以在該安全處理ϋ的可覆寫非揮發性記憶體内實作—骇客補丁，而讓其例如能夠以詐騙方式對該控制字組進行解密。本發明即針對於解決此一問題。【發明内容】 -上w土兑，丹r · h全處理n含有至少—第—可覆寫密鎖，其數值可回應於-EMM m息而在—第—與—第二職數值切設，緣應用程式碼亦含有 ”⑽，六月匕夕口J四應n又

，】該單一且相同ECM或EMM訊息並按如該第—密鎖之數的w數准允且’或者’禁止該安全處理器在一組對於 =理ECM及舰_息為必要之操作集合中的僅一特定操同才讓》亥安王處理盗能夠執行對於處理該等EMM 7 200820709 及ECM訊息為必要且未經禁止的其他操作，此特定操作係自如下項目所組成之群組中選出：、 •使用一經記錄在該安全處理器之一記憶體内加密密錄， •處理-包含在-所收EMM或ECM訊息之筝數，以及 •執行對於該應用程式碼之-基本條件性存取功二各項對於該應隸式碼之基本條件性存取功能係獨立於/、他的基本條件性存取功能所執行，因此未執行一取功能並不會防止由該微處理器執行其他的： i卞件性存取功能之任一者。 =應於該單-且相同EMM或ecm訊息，可藉由二"、鎖之數值在其第-數值與其第二數值之間切設，俾 ‘改上述安全處理器的行為。因而，的行為，即無需在覆二：*全處理器式碼月部^ . 伋寫°己匕、體内貫作該應用程式的程一 σ σ ，如此讓此安全處理器更為安全。路Μ亡山狄从m 力不而要由網峪碩鸲修改ECM或_ 發-含有-新參數的_訊：而：：疋有必要供應派該第一盥兮一 " 口應於此该密鎖會在 /、4弟一數值之間切設。亦：注意到此安全處理器展現下列優點至少—者：不止使用加铪密鑰可令以可在杂兮氆去4, ^加禮密输時防止執行一基本條存而I特當該後者利用另一λ^〜存取力此，而無需在提高調整該安全處理夺防止執行該相同功能，藉此關和於加密密鑰之行為的機率， 8 200820709 -禁止處理一 EMM或ECM訊息的參數可防止執行一應回應於收到此參數而既已觸發之基本條件性存取功能，而無需防止該觸發執行該相同基本條件性存取功能以處理另一所收參數，藉此令以能夠提高調整該安全處理器關聯於該等經納入在該EMM或ECM訊息内之參數的行為之機率， -禁止一基本條件性存取功能可令以能夠定決地或臨時地關閉一展現一安全漏洞之基本條件性存取功能，這可用以讓該安全處理器的行為更為安全；此安全處理器之實施例可含有下列特徵之一或更多者： -該記憶體含有至少一關聯於該等加密密鑰之一者的攔位FIELDKEY，此欄位FIELDKEY含有多個密鎖，這些密鎖各者對應於一個別的基本條件性存取功能，並且該限制功能能夠准允，且或者，禁止由一基本條件性存取功能按一經納入在該FIELDKEY欄位内，並同時對應於此基本條件性存取功能，之密鎖的數值之函數使用此加密密鑰； -該安全處理器含有自如下列表中選出之至少一列表： • 一列表FIELDPIEMM，其係關聯於非機密性EMM 訊息，此列表FIELDPIEMM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一非機密性EMM訊息内之個別參數Pi，

• 一列表FIELDPIEMMC，其係關聯於機密性EMM 9 200820709

訊息（「機密性賦權管理訊息」），此列表FIELDPIEMMC 含有多個密鎖，這些密鎖各者對應於一能夠被納入在一機密性EMM訊息内之個別參數Pi，以及 • 一列表FIELDPIECM，其係關聯於ECM訊息，此列表FIELDPIECM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一 ECM訊息内之個別參數Pi，並且該限制功能能夠按一對應於在此關聯於該訊息之列表内參數的密鎖之數值的函數，准允，且或者，禁止處理一含有一由該安全處理器所收到之訊息的參數Pi ; -該安全處理器含有一列表FIELDFCT，其係關聯於該基本條件性存取功能，此列表FIELDFCT含有多個密鎖，這些密鎖各者對應於一基本條件性存取功能，並且該限制功能能夠按如一對應於此基本條件性存取功能之列表 FIELDFCT的密鎖之數值的函數，准予，且或者，禁止執行一基本條件性存取功能； -該安全處理器含有至少一第二可覆寫密鎖，其數值可回應於一 EMM訊息或ECM訊息以在一第一與一第二預定數值之間切設，該限制功能能夠按此第二密鎖之數值的函數准允，且或者，禁止下列項目： • 用任何對於切設該第一或該第二密鎖之數值所必要的加密密鑰，以及 • 處理任何經包含在一適於切設該第一或該第二密鎖之數值的EMM訊息内之參數；該基本條件性存取功能係不同於一用以寫入新存取 10 200820709 賦權的功能及一用以寫入新加密密鑰的功能。此外，該等實施例展現下列的優點： -使用一欄位FIELDKEY可令其能夠讓該安全處理器更安全，這是由於可讓一加密密鑰無法由一些展現一安全漏洞之基本功能所使用，而同時對於其他並無安全漏洞之基本功能則保留利用此相同加密密鑰的可能性， -使用自該等列表FIELDPIEMM、FIELDPIEMMC及 FIELDPIECM選出之至少一歹ij表讓其能夠藉由按如該訊息 • 之函數准允或禁止處理該單一及相同參數，其中該訊息含有該參數，俾提高調整該安全處理器之行為的機率；此外，使用至少該等列表FIELDPIEMM及FIELDPIEMMC讓其能夠確保一參數是在一機密EMM裡以對其進行處理，此參數在該列表 FIELDPIEMM 係經禁止，在該列表 FIELDPIEMMC 貝"呈准允。 -使用該列表FIELDFCT讓其能夠由基本條件性存取功能以調整該安全處理器基本條件性存取功能的行為， _ •防止使用任何密鑰或是處理執行任何能夠修改該第一或該第二密鎖之數值的功能之任何參數讓其能夠對於由該第一密鎖所准允或禁止之操作定決地;東結该安全處理器的行為。本發明之主題亦為一種用以組態設定上述安全處理器的方法，其中該方法包含： -供應至少一第一可覆寫密鎖，其數值可回應於一 EMM訊息而在一第一與一第二預定數值之間切設， 11 200820709 -按如該第一密鎖之數值的函數准允，且或者，禁止該安全處理器對於處理該等ECM及EMM訊息為必要之操作集合之僅一特定操作，同時讓該安全處理器能夠執行對於處理該等ECM及EMM訊息為必要而未經禁止的其他操作，此特定操作係自如下項目所組成之群組中選出： • 使用一經記錄在該安全處理器之一記憶體内的加密密錄， • 處理一包含在一所收EMM或ECM訊息之内的參數，以及 • 由該安全處理器執行一基本條件性存取功能，各項對於該應用程式碼之基本條件性存取功能係獨立於其他的基本條件性存取功能所執行，因此未執行一基本條件性存取功能並不會防止由該微處理器執行其他的基本條件性存取功能之任一者。此組態設定方法之實施例可包含下列特徵之一或更多者： -供應一記憶體，其含有至少一關聯於該等加密密输之一者的欄位FIELDKEY，此欄位FIELDKEY含有多個密鎖，這些密鎖各者對應於一個別的基本條件性存取功能，並且按如該密鎖的數值之函數，而此密鎖係包含在該欄位 FIELDKEY内並對應於一基本條件性存取功能，以准允，且或者，禁止由此基本條件性存取功能使用此關聯於該攔位FIELDKEY之加密密錄； -供應一記憶體，其含有自如下列表中選出之至少一 12 200820709 列表： • 一列表FIELDPIEMM，其係關聯於非機密性EMM 訊息，此列表FIELDPIEMM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一非機密性EMM訊息内之個別參數P!， • 一列表FIELDPIEMMC，其係關聯於機密性EMM 訊息（「機密性賦權管理訊息」），此列表FIELDPIEMMC 含有多個密鎖，這些密鎖各者對應於一能夠被納入在一機 _ 密性EMM訊息内之個別參數Pi，以及 • 一列表FIELDPIECM，其係關聯於ECM訊息，此列表FIELDPIECM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一 ECM訊息内之個別參數Pi，並且按一對應於在此關聯於該訊息之列表内參數的密鎖之數值的函數，准允，且或者，禁止處理一含有一由該安全處理器所收到之訊息的參數Pi ; -供應一記憶體，其含有一列表FIELDFCT，其係關 ® 聯於該基本條件性存取功能，此列表FIELDFCT含有多個密鎖，這些密鎖各者對應於一基本條件性存取功能，並按如一對應於此基本條件性存取功能之列表FIELDFCT内的密鎖之數值的函數，准予，且或者，禁止執行一基本條件性存取功能； -内定為初始組態設定各密鎖之數值，因此回應於收到由該網路頭端的第一 EMM或ECM訊息廣播，並未禁止特定操作； 13 200820709 _在一一單：：相同EMM訊息裡收到： - 第芩數，其觸發切設該第一密鎖的數信猎此准允該安全處理器之—特定操作； ’ 及.一第二參數’其觸發執行此相同特定操作；以 ——第三參數’其觸發切設該第一密猎此禁止此一相同特定操作，以及、值，由該安全處理器進行該等第一、第依序處理；一 $數的 -該基本條件性存取功能係不同於—用以寫人賦柘的功能及一用以寫入新加密密鑰的功能。本組態設定方法夕奋—y t ^ 乃凌之貝施例進一步展現下列優點： -初始組態設定各密鎖之數…· 理該等ECM及EMM %自a、赴曰(斤有對於處器的安全性，這是由二:操作1高該安全處理 &疋由於一駭客可能能夠修改該安全的行為以僅防止特定操作，以及处。。 …t允一特定操作’然後緊隨以執行特定操作，铁後之後再緊隨以禁止此特定操作，如此可防二麦 “以僅=二因為此特定操作係，二7以僅旎夠在極為簡短的時間展幅内進行。哭執tr主題亦為一媒體，其係用以在當由—微處理 ;等=行上述組11設定方法之指令時，記錄含有 σ亥寺私令的資訊。【實施方式】 14 200820709 後續在本說明中，將不對熟習本項技術者所眾徵及功能予以詳細敘述。 ’ ’ 等夕^表示一用以傳送經擾碼多媒體信號之系統之。該寻夕某體#號可為例如對應於電視頻道之影音立信號。曰的衫曰該系統2含有一多媒體信號之發送器4，藉助於一控制字組CW所擾碼，而經由一於^ 细a丄曰田貝也傳輸網路6 所二^的接收器。該發送器4又可按如詞彙「網路頭端」所稱。為簡化圖1，僅繪示出一單一接收器8。該網路6係例如- RT網路，像是如在此所述者或一長距離纟覽線網路。在此’該等多媒體信號是由兩個不同操作者7a及7b 所產生。更詳細而言，各個操作者7a、冗產生一般文字， 3即未㈣碼’之多㈣㈣，並且將料傳送至該發送口。4,而該者即負責在藉由該網路^播之前先對該行擾碼。絲妾著在本5兄明裡，該等操作者7A及7B係分別地關 ^於該等操作者識別碼8〇1'及S0ID2。毛迈时4此夠共隨於該等經擾碼多媒體信號而派發 A # H ΕΜΜ訊息。例如’經擾碼之多媒體信號以及 /等ECM和EMM訊息係經多工化於一單一且相同的資訊封包中。圖2及3分別地表示_根據UTE標準C9〇_〇〇7之emm 15 200820709 訊息及ECM訊息的框架結構範彳列。該EMM訊息的框架μ私木開始於一攔位ADR，其含有一特定接收器或一組接收器的識別㈣碼ADR。而在其中該Emm 訊息係針對於該系統2之所有接

攔位ADR I负接收态的情況下，可省略該之後，該hMM訊息含右之加a止〜3有多個芩數Pi，此等係為以组態設定該等接收器，從而後去处執τ ★ 、更者此夠正確地解擾碼該多媒體信號，以取出一針對於的士丁日塞-欠、，，、的°T購貧料。該等參數各者係利用一 TL V (「類型長度數值、姓Μ 徂」）、、、°構所編碼。在這些條件下，各個參數Pi是藉由並置三個攔位Pli、LiA Vi所構成。該攔位Pli含有該參數1的識別碼PIi。該欄位Li含有—表^ 此為该搁位V j之長度的數值。而兮“ τ, η丨人要又值而该攔位V丨則含有該參數ρ 的數值。在圖2裡，亦已表示一系統性地出現在該訊息裡的苓數SOID及參數MAC。該參數s〇m含有廣播此訊息之操作者的識別碼SOID。、違麥數mac (訊息認證碼）含有一數碼，以令其能夠辨識該EMM訊息的真實性及整體性。該垂直波線表示在圖2中僅繪示出該Emm訊息的部伤結構。而相對比於該EMM訊息，一 ECM訊息的結構並不含有任何ADR攔位，這是由於一 ECM訊息係先驗地針對於该系統2的所有接收器。該ECM訊息亦含有數項根據該 TLV結構所編碼的參數。通常，該ECM訊息含有一參數 200820709 SOID及一參數MAC，而此等具有與既已對於圖2所描述者相同的功能性。接著，該ECM訊息含有一參數AC及一參數CW*。該參數AC含有一多媒體信號存取條件。此參數aC在此係藉由一識別碼PIAC而於該ECM訊息中所識別。其長度係經定義於一欄位Lac内，並且其數值係包含在一欄位Vac 裡。當對該多媒體信號之存取為依據多項條件而定時，該 ECM訊息可含有多個參數ac。

該參數CW*係為以納入用來擾碼該多媒體信號之控制字組的加密CW*。此加密cw*是由該發送器4，藉助於一操作密鑰Ke以將該控制字組cw加密鎖產生。在此，該參數CW*係藉由一識別碼PIcw所識別，而其長度係經包含在一攔位Lcw内，並且其數值係經包含在一攔位Vw内。即如在圖2内’在圖3裡該垂直波線表示該ecm訊息可含有其他參數。該接收器8能夠接收該經擾碼多媒體信號，以及該等職和EMM訊息。對此目的，該接收器8含有一解碼器或、·、端40 ’其係經鏈結於一安全處理器42。該處理器a J例如為一像是晶片卡之可移除處理器，而可將其插入到 λ解喝裔40内。該處理器42藉由一處理器/解碼器介面以 =解碼g 4〇相通訊。通常，該介面是由電子連接器所整人於=連接#具有—公構件及-母構件，而該等係經 =於=解碼器或是整合料處理器。在該解碼器利與 /处里W 42之間的介面係例如根據ISO標準78 16者。 17 200820709 ，該解碼器40在此係經配備有—天線44，以接收由該發送器4所廣播的各種信號。此天線44係經鍵結於一區塊46’以供將該等信號解多工並可過渡這些信號。在此區塊46的輸出4 ’該等經擾碼多媒體信號被配發至一解擾碼器48。而該EMM及ECM訊息則針對其等之部分配發2 該處理器42。

鑲解擾碼器48能夠藉助於由該處理器42所解密之控制字組CW以將該等多媒體信號解擾碼。該解碼器40係經鏈結於一用以顯示該等經解擾碼多媒體信號的裝置50，例如像是一電視機。該處理器42係經配備有·· -一電子微處理器60， _ 一非可覆寫及非揮發性記憶體62，其中含有一應用程式之程式碼64，其可令以能夠由該微處理器6〇執行，讓，能夠處理該等ECM及EMM訊息，藉此對為以解擾碼該等所接收多媒體信號為必要的控制字組進行解密，以及 -一非揮發性可覆寫記憶體66，例如像是一 eepr〇m 記憶體（電子可抹除可程式化唯讀記憶體）。由該程式碼6 4所表示的應用程式係由一該等條件性存取訊息處理之基本功能特徵的集合所組成。該等基本條件 ^生存取功能各者可按獨立於另一者之方式所執行。如此，未執行一基本功能，像是此者，並不會防止由該微處理器執行該等其他基本功能的任一者。而為簡便起見，在後文中疋將一像是此者之基本條件性存取功能稱為一「基本功 18 200820709 月&」。藉由範例說明，該記憶體62含有一表單70，而令以能夠識別出應執行哪些用以處理該程式碼的操作，藉此執行此基本功能。下述陣列提供多項基本功能範例。此陣列的第一及第二縱行分別地對於各基本功能含有基本功能的識別碼，以及一由此基本功能所執行之操作的簡要說明。陣歹ij 1

IdFl 藉助於一密鑰Ke以解密一加密資料包cw* IdF2 辨識一 ECM訊息的MAC參數 IdF3 解密一機密性EMM訊息 IdF4 修改對於衝動購買的所准允上限 IdF5 寫入一新存取賦權 IdF6 在藉助於一密鑰Ks以解密其加密資料包之後，寫入或修改一加密密餘Ke IdF7 組態設定密鎖的數值 IdF8 比較所收之存取條件與該安全處理器内所含之存取賦權該程式碼64亦含有一稱為「限制功能」的特定基本功能，其在該陣列1内經註記為該功能Idf7，而底下將參照於圖1以對此進一步詳細說明。該記憶體62亦含有一表單72，其含有對於為決定必須觸發其執行作業俾處理由該所收識別碼Pi識別出之資料的其一基本功能，或該等基本功能，屬必要的資訊。底下陣列提供能夠被納入在一 EMM或ECM訊息内之參數Pi的範例。此陣列之第一縱行含有該參數Pi的識別碼，而第二縱行則簡要地定義此參數Pi。 19 200820709 陣列2

PI con fi g

PI fieldpiemmc、fieldpiECM、FIELDFCT 以及對於攔位FIELDKEY的組態資料

SOID

PI

MAC 一彳采^作者之識別碼，藉以識別該操作者的加密早或EMM訊息為必要者含右一 ΜΔΡ τ,^ί^Ώ ύ ^ ^ . ： —--

AC 最後，該記憶體62亦含有一表單74，其令以能夠決疋一記錄著一給定操作者之加密密鑰的位置。

在此，對於各個操作者7A、7B，該處理器42例如含有在底下陣列中所列出的密錄。此陣列之第一縱行含有該检输的名稱’第二縱行含有此密鑰的識別碼，而第三縱行則含有此密鑰之功能的簡要說明。陣列

Ke Ke-ID κ^·· [u-ID . Κ,_ 用以解密一控制字組CW之加密資料包CW* 幾密性EMMii、的密^ 之加密資料包Ke*的密鑰 20 200820709 記得在陣列3内的註記，該表單74含有在底下陣列中所列出的π此陣列的第—縱行含有該密输的識別碼，第一縱行含有利用此密鑰之操作者的識別碼，而第三縱行則含有資訊，該處理器可藉此尋獲該密鑰在該記憶體66 内的位置。 “

陣列4

該記憶體66含有兩個不同記憶體區域，在此稱為個體

El及個體’其中儲存有由該等操作者7A及7B所分別地使用的加密密鑰。最好，是僅將該等對於由該等操作者

7A及7B使用之多媒體信號的存取賦權記錄在其個別的個體E!及E2内。將可庄思到，在該處理器42裡，會根據究係由該操作者二或該操作化控制且使用而^，而將相㈣密餘，例 =錢Ke，記錄在不相同的位置處。這將讓其能夠根據九係由某4另—操作者使用而定’對該密錄Ke令定以不同的數值。最後，該記憶體66亦含有列表FIELDKEY、

FIELDPIEMM . FIELDPIEMMC FIELDPIECM 以及 21 200820709 FIELDFCT。該列表FIELDKEY將數個密鎖關聯於各個加密密錄。更詳細地說’即如圖4所示’對於各個密鎖，該列表 FIELDKEY 含有： -一欄位KEY-ID，其含有如陣列3中所定義之密鑰識別碼，以及 -一攔位FIELDKEY，其含有與如涉及一密錄之基本功能的識別碼般眾多之L〇i。在此，各密鎖對應於一為以 • 僅含有一個二進位數值，像是「〇」或「1」，之攔位。給定此密鎖係經納入在該記憶體6 6内，該密鎖為可覆寫，同時其數值可為自該數值「0」切設至該數值r 1」並反是。在此，該等密鎖L〇i是一個接著一個地放置在一鄰接且連續的記憶體區域内’因此一密鎖的位置可令以能夠識別出遠者所對應到的基本功能。例如，位在第i個位置處的密鎖LOi係唯一地關聯於一基本功能的單一識別碼 IdFi，且反之亦然。 _ 在此’當一检鎖含有該數值「〇」時，這表示可准允使用由對應於此密鎖L〇i之基本功能藉該KEY-ID所識別出的密錄一而在一相反情況下，其中該密鎖L〇i含有數值「1」，則對應於此密鎖之基本功能即無法使用此加密密錄。在圖5中所述之FIELDPIEMM列表含有密鎖，藉以表不，對於能夠納入在一非機密性EMM訊息之内的各個蒼數Pi ’究係准允或禁止其由該處理器42進行的處理。 22 200820709 例如，該列表FIELDPIEMM含有如能夠被接收之參數Pi 般眾多的密鎖LPi。僅對於該列表FIELDKEY而言，各個密鎖的數值是在數值「0」與數值「1」之間切設並反是。該列表FIELDPIEMM係透過一系列的欄位所達到，該等各者含有一個二進位數值，並且各者對應於一密鎖LPi。該密鎖LPi在該列表FIELDPIEMM内的位置令以能夠決定何者係對應於此密鎖的唯一參數Pi。將特別注意到該列表 FIELDPIEMM含有一密鎖LPconfig，其對應於含有為以組態設定各個密鎖所必要之資訊的參數PeQnfig。該密鎖LPi的數值「0」意味著准允處理對應於此密鎖之參數Pi。而數值「1」則意味著禁止處理該相同參數Pi。該列表FIELDPIEMMC含有多個密鎖LCi，藉以表示哪些為能夠被納入在一 EMMC訊息（機密性賦權管理訊息）内的參數，而這些是必須由該處理器42加以處理。記得一 EMMC訊息係等同於一 EMM訊息，而除其參數係藉助於一預先定義之密鑰Ku所加密的部份以外。各個密鎖LC^ 對應於一單一參數Pi。該列表FIELDPIEMM亦包含一對應於該參數P_fig的密鎖LC_fig。該列表FIELDPIECM含有多個密鎖LEi，藉以表示哪些為一 EMC訊息的參數，而經准允或禁止由該處理器42 進行其處理。各個密鎖LEi對應於一單一參數Pi。例如，該等列表FIELDPIEMMC及FIELDPIECM之結構係等同於針對圖5所述者，而除該等密鎖係經分別地標註為LC^及LEi以外。數值「〇」及「1」對於該等密鎖LC^ 23 200820709 及LE;的意義是和對於該密鎖者相同。該列表FIELDFCT含有密鎖LFi，該等能夠表示哪些基本功能其在該處理器42之内係經准允，或相反地禁止，執行。例如，圖6中所表示之列表FIELDFCT結構含有與在該陣列1内所含之基本功能識別碼般眾多的密鎖乙匕，因此各個密鎖對應於一單一基本功能。記得在此該「基本功能」表述詞應被瞭解為意味著一基本條件性存取功能。違列表FIELDFCT之結構是類似於參照圖5所描述的結構。從而，該密鎖LFi的位置令以能夠決定何者係對應於 2密鎖的唯一識別碼IdFi。在此，當該密鎖採數值「〇」 t「即准允執行該相對應基本功能。而當該相同密鎖採數值「1」時，則禁止執行該相對應基本功能。在此情況下，要:並未執行功能，要不則為自動地執行一替換功能而取代禁止基本功能。此替換功能的程式碼是包含在該記憶體 ^入内°在此’該替換功能係經系統地設計為較該基本功能 :全’而可被選擇性地替換。例如’該替換功能可系統性地含有相較於此者所代換之基本功能而為少的指令。將參照於圖7之方法以說明該系統2的操作。 —、先在客°丁化階段90的過程裡，該處理器42係例如像是一 JTAG介面（聯合測試動作群組）之特殊 :《者疋糟由與用以將其連接至該解碼器4〇者相同 ^面’所組態設定。該客訂化階段90係在-安全媒體令^丁奋*並且特別是各種經傳送至該處理器42之組態命㈣由—WAN (廣域網路）所傳送。在該階段90的 24 200820709 過程中，一獨立於該發送器4的組態單元被用以初始化該等密鎖各者的數值，而通常是設為數值「0」。一旦完成該客訂化階段90的過程後，該處理器42即經配送並且接著插入一訂購戶的解碼器内。然後開始一使用階段94。在該使用階段94之過程中，該處理器42即按能夠自這些訊息中擷取出為解擾碼該等所收經擾碼多媒體信號而屬必要之控制字組CW的方式，對由該發送器4所傳送的 EMM及ECM訊息進行處理。在該使用階段的過程中，於一步驟96過程裡，由該發送器4將一 EMM組態訊息傳送至該處理器42。此組態訊息含有一組態參數Pe〇nfig。此參數Pe()nfig之一示範性結構係如圖8所示。此參數PCQnfig係根據TLV結構所編碼。因此該者包含一欄位，其中含有該識別碼PIe()nfig，其表示後隨之資料係對於該等列表FIELDKEY、FIELDPIEMM、 FIELDPIEMMC、FIELDPIECM 及 FIELDFCT 的組態資料。該參數p_fig亦含有一攔位L_fig及一欄位v_fig。該欄位LeDnfig表示該攔位Ve()nfig的長度。而該欄位Ve()nfig含有對於更新經該記憶體66内所含之各種列表的密鎖數值必要之全部資訊。該資訊的各種項目在此其本身例如係利用該丁LV結構所編碼。從而，該攔位Ve()nfig被分別地劃分成五個局部 FIELDKEY、FIELDPIEMM、FIELDPIEMMC、 FIELDPIECM及FIELDFCT。這些區段各者分另)J地含有對於切設該等密鎖L〇i、LPi、LCi、LEi及LFi各者之數值所 25 200820709 必要的貢訊。 V驟98的過私中，回應於收到該EMM組態訊息，會觸發執行用以組能碍宗久 ^ 心叹疋各項费鎖之數值的功能。從而，在步驟9 8的過程中，★玄辈 ^ ° : *鎖各者的數值係按如一經納入在該搁位V ϋς\ ^ ^ rL· eonfig内之貝訊的函數所調整。

之後右°亥處理态42收到一非機密性EMM訊息或一 MC訊息’則該處理器分別地執行步驟⑽及1〇2,以 g里該存取權利及加密密鑰。而若該處理器U收到一訊息，則該者可執行擷取該控制字組的步驟1〇4。在步驟100的開始處，在一操處理為、60執行限制功能，藉以決參數Pi的處理。而為此目的，在步制功能參詢該列表FIELDPIEMM， Pi的岔鎖是否具有數值「1」。若否作110的過程中，該微定是否禁止該所收第一驟110的過程中，該限並且辨識對應於此參數 ’則在步驟112的過程中，該處理器42識別出何項基本功能其執行作業應被觸

發藉以處理該參數Pi。為此目的，可使用該表單72。之後，在一操作114的過程中，該微處理器6〇再度地執行限制功能，藉以決定是否應禁止執行在步驟112中所識別出的基本功能。為此目的，在步驟丨14的過程中，可使用該列表FIELDFCT。更詳細地說，在該操作114的過程中，該處理器42辨識對應於所識別之基本功能的密鎖之數值是否具有數值「1」。若否，則准允執行此基本功能，並且該方法繼續以一執行此基本功能的操作116。在此假設於該基本功能的執行過程中，後者嘗^著存 26 200820709 取一在對應於該所收識別碼SOIDi之個體Ei内的加密密錄0

隨著對一加密密鑰的各次嘗試存取，在操作118的過程中該微處理器執行限制功能，以辨識出目前所執行的基本功能是否確經准允以使用該者所嘗試存取的密鑰。為此目的，在δ亥刼作1 i 8的過程中，會使用該列表。更詳細地說，在該操作118的過程中，該處理器42會辨識出與此密鑰之識別碼ID_KEY相關聯，並且對應於此基本功能，白勺密鎖之數值是否等於rij。若$，則在操作12土〇的過程中准允存取該加密密鑰，並且該方法回返到操作 1 1 6 ’在此繼續執行該基本功能。一一元王執行該操作116之後，或者若在操作ιι〇、ιΐ4 或118其-者的過程中所測試之密鎖的數值等於Γι」，則該方法繼續以一择作]? ? 貝乂知作122，而立即停止處理由該所收參數Ρ丨觸發的操作。此外，在其中勃你，、甲執仃该刼作丨22的情況下，由於該等所測試密鎖之一者的數 J双值寺於「1」，因此可發出一錯誤表示。在此實施例趣 θϊ κ 1J裡，右該密鎖的數值亦為「1」則不執行替換功能。在該操作 122之後，該古、、土门、广，一 a 亥方法回返到操作110，以處理、、生匕含在相同EMM訊息内的次一來數p。可對所收EMM訊息的所有失 / 122。 ^有茶數Pi重複步驟110至 LPi及LFi的數值，即例如，藉由設定該等密鎖L〇可獲得下列的安全處理器行為： 27 200820709 -若密鎖LPKe的數值等於「1」，則不處理含有新密鑰Ke之加密資料包的參數PKe ;那麼這是不可能更新一密鑰以對控制字組進行解密， -若密鎖LPTda的數值等於「1」，則不會處理含有用以修改或登註一新賦權俾存取一多媒體信號之資料的參數 PTdA ;因此是不可能登註或更新一訂購資料， -對於一些基本功能是不准允使用密鑰Ks以解密該密錄Ke的加密資料包，而對於其他的基本功能則可准允， • -若該密鎖LFi之相對應數值等於「1」，則禁止修改對於衝動購買所准允之上限、登註新存取賦權或者是登註或修改加密密输。

亦將注意到若該密鎖LPe()nfig或LFe(>nfig的數值等於「1」，則適於組態設定該等密鎖之數值的基本功能執行作業本身可被禁止。從而，若該所收EMM訊息裡含有參數Pconfig’並且右δ亥您鎖LPCC)nfig或LF confi g 的數值等於「1」，則禁止修改密鎖的數值，因此可定決地凍結該處理器42 ®的操作。例如，步驟102等同於步驟100，而除了會藉助於該密鑰Ku以首先對該EMMC訊息進行解密以外，若確准允此一解密處理，並且是利用該列表FIELDPIEMMC而不是該列表 FIELDPIEMM。利用兩個不同列表FIELDPIEMM及FIELDPIEMMC之事實可令獲得該處理器42的不同行為，若後者處理一非機密性EMM訊息或一 EMMC訊息。 28 200820709 在步驟1 04的過程中是按一類似於對步驟1 00所述之方式以實作限制功能，除該所處理訊息係一 ECM訊息，並且後續地是利用列表 FIELDPIECM 而非列表 FIELDPIEMM之事實以外。從而，可藉由更改下列密鎖之一或更多者的數值來防止解密該加密資料包CW* : -一密鎖LOcw，其係關聯於該密鎖Ke，並且對應於用以解密該控制字組之加密資料包的基本功能， -該列表FIELDPIECM的密鎖LECW，其係對應於該參數CW*，或是 -該列表FIELDFCT之密鎖LFCW，其係對應於用以解密該加密資料包CW*的基本功能。這在當既已決定該處理器42係按一詐騙方式而被運用時或為有用。在步驟1 04的過程中，亦可藉由更改下列密鎖之一或更多者的數值來防止對在一所收ECM訊息中所含之特定存取條件與經儲存在該安全處理器内的存取賦權進行比較： -該列表FIELDPIECM的密鎖LEAC，其係對應於一特定條件的參數AC，或是 -該列表FIELDFCT的密鎖LFac，其係對應於對該存取條件與該存取賦權進行比較的基本功能。這對於禁止由該接收器8解擾碼一些多媒體信號可為有用。 29 200820709 然而，在正常情況下，於該階段1 04的結束處該控制字組被解密然後提供給該解擾碼器48,而其對在該步驟130 過程中所收到的多媒體信號進行解擾碼。之後，在步驟132的過程中，藉由該螢幕50以按如一般文字顯示出經解擾碼的多媒體信號。上述方法之明智實作包含在單一且相同的EMM訊息裡配發下列項目：

-一第一參數P_fig，其係用以將一密鎖LOp或LCp 或LEp或LFp的數值切設為數值「〇」；而緊隨其後， -藉由一觸發一操作之參數，若由該第一參數所修改之密鎖的數值既已被切設為「〇」，則這是無法成功地完成；而緊隨其後， -藉由一第二參數，而令以能夠按逆反方向切設由該第一參數Pconfig所修改之密鎖的數值。 k而僅在一極為簡短的時間展幅准允該處理器42之 -特定操作。此外，像是該處理器、42之安全處理器一般說來是按其抵達順序處理該等參冑Pi，並且不允許同時地進行多個參數的多重任務虛輝—、上仕私處理在沒些條件下，接收前述 EMM §孔息可防止運用在此縣令^ 在此特疋刼作裡的任何安全漏洞。詳細地說，在收到此EMM訊自夕a _ 汛心之刖，給定該密鎖的數值等於「1」從而無法執行該特定操、 ^ r F 热谩，當該密鎖的數值被切設為「0」時，並且认— τ並且給疋在修改該密鎖的數值之後該處理裔42緊隨以執行此操作 -為以運用此操作之安全漏、……、法再於其間插入另 *王相的處理。㈣，# 30 200820709 執行的結束處，該密鎖的數值再度地被切設為「L ，因此不能夠再觸發執行此一展現出一安全漏洞的操作。在這些條件：、’即可執行一展現出一安全漏洞的操作，而不致被一駭客運用此一安全漏洞。

無數種其他實施例確為可能。例如，可將該安全處理器42插入一根#「標準ΕΝ 5〇 221」的可卸除解擾碼模組内。即如一變化項目’該安全處理器可為一經硬固地整合於該解碼是整合於該可卸除賴碼模㈣，的硬體模組。#而’此解碼器或此可卸除模組形式，連同於該安全處理器，僅係單一且相同的單一硬固個體。取後，a亥女全處理器亦可為一由該解碼器或是由該可卸除模組執行的軟體模組。在此後者情況下，該安全處理，的微處理器是與該解碼器或該可卸除模組使用者相同，藉以執行其他像是解擾碼處理的功能。即如一變化項目，該等密鎖亦可按一准允，且或者，禁止存取經儲存在該安全處理器内之各個存取賦權的方式而關聯於該等存取賦權。在另一變化項目裡，一經設定為數值「〇」之密鎖准允（步驟110)呈現該相關參數Pi，條件是該應用程式的程式碼64先天地能夠准允。相同道理對於一密鎖Lp^LCi、 L〇i或LFi亦可成立（步驟Π8)。例如，在其中該等列表 FIELDPIEMM、FIELDPIEMMC 及 FIELDPIECM 擁有相同結構的情況下，一些在FIELDPIEMM或FIELDPIEMMC裡 I私疋作為用以對一控制字組進行解密之參數的參數匕會 31 200820709 由该應用程式本身而在一 EMM或EMMC訊息裡被先天地禁止。在另一範例裡，一安全處理器之一功能性版本可支棱用以登註新存取賦權的基本功能，而另一經設計為在存取一單一内容之後可予拋除的功能版本則並不准允。【圖式簡單說明】 / a當閱讀僅藉如非限制性範例所提供之說明的實施方式並於圖式時，將可更佳瞭解本發明，其中：圖1係一用以傳送經擾碼多媒體信號之系統圖說明；圖2及3係-EMM及ECM訊息框架之局部的略圖說及6為在圖1系統内所使 7 〜貝竹結構的範例；圖1 2 3 4係—用以組態設定圖i系統之安方法流程圖；以及處理态仃為的

圖5係一 EMM組態設定訊息框架之局【主要元件符號說明】 2 系統部的略圖說明〇 32 1 發送器/網路頭端 2 6 資訊傳輸網路 3 7A 操作者 4 7B操作者 5 接收器 42 安全處理器 44 天線 200820709 46 區塊 48 解擾碼器 50 顯示裝置 62 非可覆寫記憶體 64 應用程式碼 66 非揮發性可覆寫記憶體 70 表單 72 表單 74 表單

33

Claims

200820709 十、申請專利範固： 1.一種安全處理器，其係運用在一適於接收一多媒體信號之解碼器，該信號係藉助於一控制字組而經擾碼，此信號係由一網路頭端所廣播，該處理器包含一含有—應用程式碼（64)之非可覆寫記憶體（62)，該程式碼在當由一微處理器執行時，可令以能夠處理ECM訊息(「賦權控制訊息」) 及EMM訊息（「賦權管理訊息」），藉以自此擷取出對於解擾碼該經擾碼多媒體信號為必要的控制字組，其特徵在於， _該安全處理器含有至少一第一可覆寫密鎖（L〇i、 1 LCl LEi、LFJ，其數值能夠回應於一 emm或訊息而在一第一與一第二預定數值之間切設， •该應用f呈式碼亦含有一限制工力能，纟能夠回應於收到該單-且相同ECM或EMM訊息並按如該第一密鎖之數值的W數’准允’且或者’禁止該安全處理器在—組對於處理ECM及EMM訊息為必要之操作集合中的僅_特定操作，而同時讓該安全處理器能夠執行對於處理該等及ECM訊息為必要且未經禁止的其他操作，此特定操作係自如下項目所組成之群組中選出： a〜·使用一經記錄在該安全處理器之一記憶體内的參數 •處理一包含在一所收EMM或ECM 以及 δίΐ息之内的基本條件性存取功執行對於該應用程式碼之一 34 200820709 能，各項對於該應用程式碼之基本條件性存取功能係獨立於其他的基本條件性存取功能所執行.，因此未執行一基本條件性存取功能並不會防止由該微處理器執行其他的基本條件性存取功能之任一者。 2. 如申請專利範圍第1項所述之處理器，其中 -該記憶體包含至少一關聯於該等加密密錄之一者的欄位FIELDKEY，此欄位FIELDKEY含有多個密鎖，這些密鎖各者對應於一個別的基本條件性存取功能，並且 • -該限制功能能夠准允，且或者，禁止由一基本條件性存取功能按一經納入在該FIELDKEY欄位内，並同時對應於此基本條件性存取功能，之密鎖的數值之函數使用此加密密錄。 3. 如申請專利範圍第1或2項所.述之處理器，其中 -該安全處理器係含有自如下列表中選出之至少一列表·· • 一列表FIELDPIEMM，其係關聯於非機密性EMM 訊息，此列表FIELDPIEMM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一非機密性EMM訊息内之個別參數Pi， • 一列表FIELDPIEMMC，其係關聯於機密性EMM 訊息（「機密性賦權管理訊息」），此列表FIELDPIEMMC 含有多個密鎖，這些密鎖各者對應於一能夠被納入在一機密性EMM訊息内之個別參數Pi，以及 • 一列表FIELDPIECM，其係關聯於ECM訊息， 35 200820709 此列表FIELDPIECM含有多個密鎖，這些密鎖各者對應於 ——能夠被納入在一 ECM訊息内之個別參數Pi，並且 -該限制功能能夠按一對應於在此關聯於該訊息之列表内參數的密鎖之數值的函數，准允，且或者，禁止處理一含有一由該安全處理器所收到之訊息的參數Pi。

4 ·如申凊專利範圍第1或2項所述之處理器，其中 -該安全處理器包含一列表FIELDFCT，其係關聯於该基本條件性存取功能，此列表fieldfct含有多個密鎖， k些始、鎖各者對應於一基本條件性存取功能，並且 ^ -該限制功能能夠按如一對應於此基本條件性存取功 =之列表FIELDFCT的密鎖之數值的函數，准予，且或者，禁止執行一基本條件性存取功能。女申％專利範圍第1或2項所述之處理器，其中 ^ _該安全處理器包含至少一第二可覆寫密鎖，其數值 :回應於_ ΕΜΜ訊息或ecm訊息以在—第—與—第二預定數值之間切設， -該限制功能能夠按此第二密鎖之數值的函數准允，或者，禁止下列項目：所必要的加密密鑰，以及 ^ ^處理任何經包含在一適於切設該第一或該第之數值的EMM訊息内之參數，以及基本條件性:仃任何適於切設該第-或第二密鎖之數值、存取功能的處理。 36 200820709 6·如申請專利範圍第1或2項所述之處理器，其中該基本條件性存取功能係不同於一用以寫入新存取賦權的功月匕及一用以寫入新加密密鑰的功能。 7·種組態設定適於復原多媒體信號之安全處理器的仃為之方法，此信號係藉助於一控制字組而擾碼，此係由一網路頭端所廣播，此方法包含：。儿 -供應至少一第一可覆寫密鎖，其數值可回應於一 EMM訊息而在_第_與—第二預定數值之間切設， -回應於該相同ECM或EMM訊息並按如之數值的函數，准允且，或者，禁止⑴〇、114、118)= 全處理器在-組對於處理ECM及emm訊息為必要之操作集合中的僅一特定操作，而同時讓該安全處理器能夠執行對於處理該等職及ECM訊息為必要且未經禁止的其他私作此4寸定麵作係自如下項目所組成之群組中選出：二使用(12〇)-經記錄在該安全處理器之一記憶體内的加送、密餘， •處理⑴2) 一包含在一所收EMM或ECMtfl息之内的芬數，以及 &夂^由該安全處理器執行（116)—基本條件性存取功二該應用程式碼之基本條件性存取功能係獨立 …的基本條件性存取功能所執行，因此未執行— 料性存取功能並不會防止由該微處理二本條件性存取㈣之任—者。、㈣基本 8.如申請專利範圍第7項所述之方法，其t該方法包 37 200820709 含： -供應一記憶體，其含有至少一關聯於該等加密密鑰之一者的欄位FIELDKEY，此欄位FIELDKEY含有多個密鎖，這些密鎖各者對應於一個別的基本條件性存取功能，並且 -按如該密鎖的數值之函數，而此密鎖係包含在該欄位FIELDKEY内並對應於一基本條件性存取功能，以准允，且或者，禁止由此基本條件性存取功能使用此關聯於該欄 # 位FIELDKEY之加密密鑰。 9.如申請專利範圍第7或8項所述之方法，其中該方法包含： -供應一記憶體，其含有自如下列表中選出之至少一列表： • 一列表FIELDPIEMM，其係關聯於非機密性EMM 訊息，此列表FIELDPIEMM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一非機密性EMM訊息内之個別參 ® 數 Pi， • 一列表FIELDPIEMMC，其係關聯於機密性EMM 訊息（「機密性賦權管理訊息」），此列表FIELDPIEMMC 含有多個密鎖，這些密鎖各者對應於一能夠被納入在一機密性EMM訊息内之個別參數Pi，以及 • 一列表FIELDPIECM，其係關聯於ECM訊息，此列表FIELDPIECM含有多個密鎖，這些密鎖各者對應於一能夠被納入在一 E C Μ訊息内之個別參數P i，並且 38 200820709 -按一對應於在此關聯於該訊息之列表内參數的密鎖之數值的函數，准允，且或者，禁止處理一含有一由該安全處理器所收到之訊息的參數Pi。 1〇·如申請專利範圍第7或8項所述之方法，其中該方法包含：

-供應一記憶體，其含有一列表FIELDFCT，其係關聯於該基本條件性存取功能，此列表FIELDFct含有多個密鎖，這些密鎖各者對應於一基本條件性存取功能，並且 -按如一對應於此基本條件性存取功能之列表 FIELDFCT内的密鎖之數值的函數，准予，且或者，禁止執行一基本條件性存取功能。 1 ·如申明專利範圍第7或8項所述之方法，其中該方法包含内定為初始組態設定各密鎖之數值，因此回應於收到由該網路頭端的第一 EMM或顧訊息廣播，並未禁止

12·如申請專利範圍第法包含： 7或8項所述之方法，其中該方 -在一單一且相同EMM訊息裡收到：二一第-參數’其觸發切設該第—密鎖的數值，精b准允该安全處理器之一特定操作；第一參數，其觸發執行此相同特定操作；以藉此禁止此一 ^ >數其觸發切設該第一密鎖的數值相同特定操作，以及 39 200820709 由該安依序處理王處理器進行該等第第二及第三參數的 1 3 ·如申士主其中該該賦權的功基本條件^Γ範圍第7或8項所述之方法： At 予取功能係不同於一用以寫入新存卑月b及一用以宜λ & 焉入新加密密鑰的功能。 14·一種用於記錄資訊之媒體，該資訊係含有指令，當

安全處理器之微處理器執行該些指令時，該些指令係用於執行根據申請專利範圍第7至1 3項中任一項所述之組態設定方法。十一、闽式：如次頁

40