WO2012080683A2 - Procédé et système d'accès conditionnel à un contenu numérique, terminal et dispositif d'abonné associés - Google Patents

Procédé et système d'accès conditionnel à un contenu numérique, terminal et dispositif d'abonné associés Download PDF

Info

Publication number
WO2012080683A2
WO2012080683A2 PCT/FR2011/053040 FR2011053040W WO2012080683A2 WO 2012080683 A2 WO2012080683 A2 WO 2012080683A2 FR 2011053040 W FR2011053040 W FR 2011053040W WO 2012080683 A2 WO2012080683 A2 WO 2012080683A2
Authority
WO
WIPO (PCT)
Prior art keywords
content
terminal
control word
tag
crypto
Prior art date
Application number
PCT/FR2011/053040
Other languages
English (en)
Other versions
WO2012080683A3 (fr
Inventor
Cécile DELERABLEE
Aline Gouget
Pascal Paillier
Original Assignee
Cryptoexperts Sas
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cryptoexperts Sas filed Critical Cryptoexperts Sas
Priority to EP11817383.0A priority Critical patent/EP2652899B1/fr
Priority to US13/994,380 priority patent/US9294273B2/en
Priority to BR112013015199-4A priority patent/BR112013015199B1/pt
Priority to MX2013006905A priority patent/MX2013006905A/es
Priority to CN201180067742.0A priority patent/CN103384981B/zh
Priority to ES11817383.0T priority patent/ES2683771T3/es
Priority to JP2013543868A priority patent/JP5784143B2/ja
Publication of WO2012080683A2 publication Critical patent/WO2012080683A2/fr
Publication of WO2012080683A3 publication Critical patent/WO2012080683A3/fr

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution

Definitions

  • the invention relates to a system and method for conditional access to a digital content that makes it possible to prevent the implementation of an electronic device lawfully acquired and integrated by means of a pirate terminal.
  • the invention thus makes it possible to fight effectively against the fraudulent provision of protected multimedia content.
  • the invention further relates to the adaptation of such devices and a method for respectively triggering the temporary or permanent revocation of an electronic device or the possible rehabilitation of the latter.
  • the invention further relates to the adaptation of a terminal to enable the implementation of the conditional access method.
  • a digital content broadcasting operator generally operates a conditional access system (CAS) in order to make protected content available to a subscriber or a plurality of subscribers.
  • CAS conditional access system
  • Such a system generally relies on secure electronic devices, such as smart cards, to host the identities and / or rights of subscribers and to perform encryption, decryption or number generation operations.
  • encrypted control words c and encoded contents C are transmitted through a broadcast network, at regular intervals or crypto-periods, for the least, known and mastered by the broadcast operator.
  • Encoded content It is obtained by means of a coding function enc and said control word k, such that C - enc (k, M), M being the multimedia content in the clear.
  • the encoding function may be in accordance with the DVB-CSA standard (Digital Video Broadcasting - Common Scrambling Algorithm). In order to view or listen to protected content, everyone must subscribe.
  • a subscriber receives a dedicated device, generally in the form of a smart card, which coupled to a terminal, generally called a set-top box, allows said subscriber to decode protected content.
  • the encrypted control words c are typically decrypted by a subscriber device which delivers the control words k to the terminal.
  • the latter is in charge of decoding a coded content C and allows, by means of a suitable human-machine interface - for example a living room television, to access the clear content M. It is customary for "hacker" entities to attempt to develop an illicit trade aimed at transmitting, on a hacker network, decrypted control words k making it possible to decode protected content C using a terminal adapted for this purpose.
  • the invention makes it possible to respond particularly effectively to the threat of "control word sharing".
  • control word sharing Among the many advantages provided by the invention, we can mention that the invention makes it possible to remotely trace any subscriber device that has made it possible to produce a control word whose value can be transmitted on a hacker network. Indeed, the invention makes it possible to provide a dedicated and distinct control word for each subscriber device. The observation of such a control word transmitted on a hacker network makes it possible to find the subscriber device exploited illegally.
  • the invention also makes it possible to remotely revoke such a device, called a "treacherous device", while continuing to broadcast content. through the broadcast network.
  • the invention thus offers any content distribution operator a particularly simple and effective tool for combating piracy.
  • a subscriber device operates only few calculations, expensive calculations being made in the terminal made available to the subscriber and cooperating with said subscriber device.
  • a method for producing a control word implemented by processing means of a subscriber electronic device cooperating with a terminal, said device comprising receiving means for receiving data from the terminal and means for delivering said product control word to said terminal. Said method comprises:
  • a step for delivering a control word via the means for delivering the device a step for delivering a control word via the means for delivering the device.
  • the step for generating the control word of such a process is to develop a control word k j cp traceable whose value is distinct from that of a product control word, for the current crypto-period cp, by any other subscriber device by integrating the value of an identifier i into the calculation of the word Said value of the identifier i is stored by the device and distinct from that memorized by any other subscriber device.
  • the step of issuing the control word consists of delivering V equal to k icp .
  • the latter may comprise a preliminary step to allow the device to deliver a control word k equal to the product control word k icp .
  • such a method may comprise a step for calculating and delivering a header H to allow, in fine, the decoding of the content encoded by a terminal.
  • the invention provides for adapting a subscriber electronic device cooperating with a terminal and comprising:
  • receiving means for receiving data from the terminal
  • processing means for generating a control word from said data
  • Such an adaptation consists in that the device comprises storage means for storing an identifier i, a secret SK.
  • the processing and storage means are further adapted to produce and deliver a traceable control word k according to a method according to the invention.
  • the invention provides a method for decoding an encoded content C and producing a clear content M, said method being implemented by means of processing a terminal cooperating with means for receiving data from the world. exterior and means for delivering said clear content
  • said data consist of said encoded content C, an H header and a traceable control word k icp developed and delivered by an electronic subscriber device according to the invention.
  • the method for decoding comprises:
  • the invention provides for adapting an electronic terminal comprising:
  • receiving means for receiving data from the outside world
  • processing means for producing a clear content M from said data
  • the data received from the external mode therefore consist of an encoded content C, a header H and a tag t.
  • Means for cooperating with said device Subscriber electronics transmit to the latter said tag t and receive in return a traceable control word k i cp developed and delivered according to the invention.
  • the terminal further comprises processing means adapted to decode and deliver a clear content M according to a method according to the invention.
  • the invention provides a method for encoding a clear content M and producing an encoded content C, said method being implemented by means for processing a server comprising means for delivering said encoded content C to a server. terminal according to the invention and cooperating with a subscriber device also in accordance with the invention.
  • Such a method comprises:
  • the invention provides for adapting the processing means of a server so that they implement said method for producing and delivering encoded content C from a clear content, d. a crypto-period cp and a secret
  • the invention provides a system for conditional access to a digital content comprising a server, a terminal and an electronic device respectively according to the invention.
  • the invention provides a method for drawing a control word kp, cp produced by a treacherous subscriber device implementing a method for producing a traceable control word according to FIG. 'invention.
  • a method for tracing comprises:
  • a step for determining an identifier i-p of a device having produced kp, cp consisting of: i. interpreting the decryption utility or program to design an equivalent program expressing a set of instructions in the form of algebraic and appendix operations each having at least one input variable and at least one output variable;
  • FIG. 1 shows a conditional access system according to the state of the art
  • FIG. 2 shows a mode of piracy of protected multimedia contents broadcast by means of conditional access system according to the state of the art
  • FIGS. 3 and 3a respectively describe two embodiments of a conditional access system according to the invention.
  • FIG. 4 describes the implementation, according to the invention, of a method for observing a hacker network and identifying a fraudulently exploited electronic device or treacherous device;
  • FIG. 5 illustrates the functional architecture of an electronic subscriber device according to the invention.
  • FIGS. 5a and 5b respectively illustrate two embodiments of a method for producing a control word according to the invention
  • FIG. 6 describes a first preferred embodiment of a method for decoding an encoded content, according to the invention.
  • FIG. 7 describes a first preferred embodiment of a method for encoding clear content, in accordance with the invention.
  • FIG. 8 describes a first preferred embodiment of a method for generating a secret for implementing a conditional access system, according to the invention
  • FIG. 1 makes it possible to present a system of conditional access to digital content according to the state of the art. It consists of a broadcast network 4 implemented by an operator for broadcasting protected content. Thus, from a content server 3, c control words and c respectively encrypted and encoded contents are issued together.
  • the server 3 encode for this purpose, a clear content M by means of an encoding function enc and a control word k, the latter being produced by said server 3.
  • An encryption c of the control word k is also transmitted or "broadcasted" together with the encoded content C.
  • the encrypted control words c and the encrypted contents C are transmitted via the broadcast network 4 to terminals 2a to 2m.
  • the latter are responsible respectively for decoding in real time the encoded contents C transmitted by the server 3.
  • a terminal - such as for example the decoder 2a - implements a decoding function dec and applies it to the encoded content C for get the clear content M.
  • the latter can be viewed using a living room television 5 or any other interface adapted to reproduce the clear content.
  • a terminal must know the value of the control word k that has been used by the server 3 to encode the content M.
  • the terminal 2a receives, through the network 4, regularly couples (C, c) and transmits to a device la the ciphered control words c.
  • the device can decipher an encrypted control word c by means of a decryption function D to obtain the control word k used to encode a content M.
  • k D (c). It is the same for any other terminal, such as 2b to 2m, each cooperating respectively with a device lb to lm.
  • the server 3 can use a secret, for example in the form of a key Kc for encrypting a control word k.
  • a secret for example in the form of a key Kc for encrypting a control word k.
  • Kc E (Kc, k).
  • the keys Kc and Kd can be identical. This is the case of symmetric encryption / decryption.
  • Kc is a public or secret key dedicated to the operator and Kd is a secret key dedicated to the device and known to the operator. According to this variant, there are thus several individual decryption keys and each of the devices lawfully issued and delivered to the subscribers of said operator has such an individual decryption key.
  • Figure 2 illustrates a scenario in which a pirate organization, which we will call "hacker” manages to carry out a fraudulent trade in protected content.
  • the hacker has contracted quite normally a subscription with a content operator. It can thus have an electronic subscriber device, such as a smart card.
  • the hacker is also in possession of a terminal 2P, called pirate terminal.
  • This terminal can receive pairs (C, c) from a broadcast network 4 such as that described with reference to FIG. 1.
  • the terminal 2P can cooperate with said device 1a to transmit the encrypted control words c.
  • the device produces the control word k by decrypting the encrypted c by means of a decryption function D.
  • the device delivers it to the terminal 2P the control word k.
  • the pirate terminal 2P can then transmit through a hacker network 6 the words of k control in real time.
  • An unscrupulous user who has subscribed to the hacker's subscription may have a 2w terminal.
  • the latter is adapted so that it receives on the one hand, from the distribution network 4, encoded contents C (dashed arrow) and on the other hand, from the hacker network 6, the associated control words k, clear.
  • the terminal 2w can decode the encoded contents C and deliver the clear contents M so that they can be restored.
  • An attacker can also subscribe a plurality of subscriptions from one or more operators.
  • a pirate terminal 2P can then simultaneously cooperate with a plurality of subscriber devices 1a to 1z and implement a more or less complex management algorithm of said devices.
  • the hacker terminal transmits a control word k decrypted mainly by the devices 1a to lz.
  • such a terminal 2P may randomly request such or such an electronic device and so on.
  • an attacker may optionally encrypt or encode, according to a proprietary method, the control words k transmitted on a hacker network.
  • an encryption c p E p (k) - E p being a proprietary encryption function of the hacker.
  • a terminal 2w comprises reciprocal decryption functions D p in order to finally deliver the expected clears. The invention makes it possible to defeat these different piracy scenarios.
  • FIG. 3 illustrates a first embodiment of a conditional access system with digital content as provided by the invention.
  • the invention provides a network of broadcast 4 implemented by an operator broadcasting protected content. From a content server 3, encoded contents C are emitted.
  • the server 3 encodes a clear content M by means of an encoding function enc.
  • a t tag is also issued or
  • This tag contains data relating in particular to the current crypto-period. It may furthermore contain data concerning the content or directives that the server wishes to transmit on the network 4 to one or more subscriber devices 1a, 1m cooperating respectively with terminals 2a to 2m able to receive the broadcasted elements. via the network 4.
  • a header H is also and jointly broadcast with the encoded content C and the tag t. This header will be mainly exploited by any terminal to decode encoded content.
  • the decoders 2a to 2m are respectively responsible for decoding in real time the encoded contents C sent by the server 3.
  • a terminal - such as for example the decoder 2a - implements a decoding function dec and applies it to the content encoded C to obtain the clear content M.
  • the latter can be viewed using a living room television 5 or any other interface adapted to reproduce the clear content.
  • a terminal To apply the decoding function dec, a terminal must know the value of the header H and the value of a control word k has cp produced and delivered by the subscriber's secure electronic device cooperating with the terminal 2a. It is the same for any other terminal, such as the terminals 2b to 2m, each cooperating respectively with the devices lb to lm.
  • the control words k i cp delivered by a subscriber device li are produced using the tags t transmitted from the server 3 via the terminals, an identifier i dedicated subscriber device li and a secret SK; , i and SK; being stored in the subscriber device li.
  • Each control word is thus specific to a particular subscriber device.
  • k icp is clean and dedicated to the device li.
  • This control word k icp is also different from the other control words respectively dedicated to other subscriber devices.
  • a server 3 can transmit, via the network 4, only the encoded content C and the tag t characterizing the current crypto-period cp to terminals whose terminal
  • the invention makes it possible to implement a conditional access system that prevents the risk of "control-word sharing".
  • the control words used by the decoders to decode the encoded contents are traceable. They depend on each and each of an identifier dedicated to the subscriber device that generated and delivered. Each control word thus produced is clean and dedicated to a subscriber device.
  • two control words k icp and k jcp are produced respectively by the devices li and lj such that k icp ⁇ kj cp .
  • Figure 4 illustrates a technique that allows an operator to detect the fraudulent use of a subscriber device that we will call "traitor device”.
  • FIG. 4 shows the elements described with reference to FIG. 3.
  • a pirate terminal 2P receives triplets (C, H, t) from a broadcast network
  • the terminal 2P cooperates with one or more devices illegally acquired and in accordance with the invention. They produce and deliver control words that depend in particular and respectively on the identifier of each subscriber device. Thus a device delivers a control word k a cp which depends in particular on its dedicated identifier a. We will study later a process to elaborate such a control word
  • 2P terminal having received the control words k acp, kfo c p z k or cp, respectively produced by the devices 2a, 2b, 2z, may emit in real time, through a pirate network 6, one or more words of control - that we will note k pcp - equal to one of the words k acp , kfo ç p or k z cp .
  • a terminal 2w can receive on the one hand, from the distribution network 4, encoded contents C (accompanied by the header H and the tag t) and on the other hand, from the hacker network 6, control words k pcp in clear.
  • the terminal 2w can decode the encoded contents C and deliver the clear contents M so that they can be viewed.
  • An operator may have means 9 for observing the hacker network 6. This observation may consist in perceiving one or more control words k pcp which transit over the hacker network 6. Based on this observation, an operator manages to identify at least one traitor device used by a decoder or hacker terminal 2P, among the devices la to lz.
  • a traitor device li As soon as a traitor device li is identified, it can be revoked by transmitting a request for revocation as provided by the invention ( Figure 5b) or take any measures it deems useful to stop the use of the traitorous device .
  • control word may alternatively result from a mixture based on one of the said control words k a cp , kfr cp or k z cp for producing and outputting a k p ⁇ k a separate cp said cp, k, C p or k z cp.
  • the invention provides an embodiment to prevent the use of such combinations or mixtures to ensure the traceability of subscriber devices. As indicated in FIG. 9, and in connection with the variant described in FIG.
  • a clear content M is encoded by a content server 3 by means of a function enc such that described, for example, in conjunction with Figure 7 according to a method 410.
  • the latter also allows to develop a tag t which particularly characterizes the current crypto-period cp.
  • An H header is furthermore elaborated by said server 3 (or even by the subscriber devices according to the variant of FIG. 3a).
  • the triplets (C, H, t) - or the pairs (C, t) according to the figure
  • the device li - adapted as indicated by FIG. Figure 5 - product and delivers a clean control word k j cp said terminal 2i.
  • the latter decodes the encoded content C according to a decoding function dec in accordance with a method such as the method 200 described by way of example in FIG. 6.
  • the clear content M thus obtained can be delivered by a human-machine interface
  • such a conditional access method comprises a step for defining and distributing a dedicated secret SK to a group of subscriber devices.
  • the secrets SK i have a common value identical to that of a secret MK shared with the server.
  • the invention provides a method, such as Example 400 described with reference to FIG. 8.
  • the invention further provides that a plurality of subscriber devices can share the same identifier i. Such a plurality of devices is therefore similar to a set of "clones" sharing the same identifier i or even the same SK.
  • subscriber device covers without distinction any subscriber device in an individual form (a single electronic device) or in a plural form (a plurality of devices). sharing the same identifier i).
  • the invention is based on the mathematical notion of coupling in groups of first order.
  • a coupling is a bilinear application generally used in cryptography in the field of elliptic curves in particular.
  • / l, ⁇ defining the size elements as a security parameter.
  • G 1, G 2 and G ⁇ are three cyclic groups of order p and e: j X 2 - G T coupling.
  • a cyclic group is an algebraic set such that g p + 1 is equal to g, p defining the order of the cyclic group and g an element of the group that is called a "generator".
  • a particular relationship between groups G 1 and G 2 is not required.
  • the two groups can be identical or more generally, an isomorphism ⁇ between G ⁇ and G 2 can be defined.
  • the invention provides for the privileging of any possible isomorphism as well as any effectively calculable coupling.
  • SK secret ⁇ - ⁇
  • This method 400 may be implemented by a content server such as the server 3 described in connection with FIGS. 3 and 3a or alternatively by a dedicated server, the secret MK then being transmitted to said content server which thus knows said secret previously elaborated.
  • the processing means of a server 3 as described in connection with FIGS. 3 and 3a can then implementing a method for encoding clear content M and producing for encoded content C.
  • a method for encoding clear content M and producing for encoded content C may be in accordance with the example of method 410 described with reference to FIG. 7.
  • Said method thus comprises a step 414 for producing an encoded content C from a crypto ⁇ period cp and the secret MK stored by the server 3.
  • the function enc to produce the encoded content C consists of calculating 411 first of all.
  • Ycp Fo (Yo > c P) ⁇ 0 being a determined and known function of the server 3.
  • K j e (g, f) rcp + Sj , for all j between 1 and n, the generator / being a generator randomly selected from the group G 2 , for example at step 402 of the method according to Figure 8 as indicated by the notation f ⁇ G 2 .
  • the server applies 414 a function 3 _1 to this word
  • the function 3 _1 is the or-exclusive.
  • the components of the word K are previously concatenated or mixed in a determined manner.
  • the method described in connection with Figure 7 may further comprise a step 413a for developing the header H to allow the decoding of the encoded content.
  • This variant is implemented by a server 3 as described in connection with FIG. 3, which delivers the header H together with the encoded content C and the tag t.
  • the set n values is identical to the set s used to elaborate the word K and f is the generator chosen - possibly randomly - from the group & 7 during step 402 to elaborate the secret MK.
  • FIG. 5 makes it possible to describe a subscriber device according to the invention.
  • a device li comprises means R for receiving from the outside world - for example from a terminal 2i - a tag t.
  • a tag t may include data attesting its integrity.
  • said data may consist of a redundancy code such as a hash or be developed using a Kd secret shared between the device and the server.
  • a tag can be transmitted encrypted from the server after it has been developed by the latter using a symmetric or asymmetric encryption algorithm.
  • the device li comprises processing means 10 which can verify
  • storage means 21 may be provided within a device li according to the invention to store said secret and cooperate with the processing means.
  • the processing means 10 cooperate with means 22 for storing an identifier i dedicated to the device.
  • the processing means 10 are able to deduce 12 from the tag t, the current crypto-period cp. They cooperate in addition with storage means 23 which memorize a secret SK. From the identifier i, the cryptoperiod cp and the secret SK; the processing means of the device produce the control word k ⁇ cp . The latter is delivered by the device li to the external mode (for example to the terminal 2i) via means for delivering S.
  • the processing means of a device li according to the invention can implement a method 100 as illustrated by Figure 5a.
  • Such a method for producing a control word comprises a first step for receiving a tag t via the reception means R of the device li. It also comprises a step for determining the current crypto-period cp by exploiting the received tag t followed by a step for producing a control word k i cp from said current crypto-period cp, the dedicated identifier i the device and the secret SK - i and SK being stored by the device. The method also includes a step of outputting a control word k equal to k icv via the means for outputting S from the device.
  • a subscriber device implementing implement a method 100 as illustrated in connection with Figure 5a, receives 101 a tag t - possibly valid 102 its integrity - and deduced 103 crypto ⁇ current period cp.
  • said device implements a determined function 0 (identical to that implemented by the content server) which, applied to the component ⁇ 0 of the secret SK ⁇ MK and to the crypto-period cp, makes it possible to generate PC belongs to Z ⁇ .
  • the method 100 then comprises a step 105 for developing the control word k icp .
  • This step consists of calculating a pair of magnitudes x icp and A icp .
  • x icp belongs to Z ⁇ and is calculated by the device processing means deterministically from the identifier i and the crypto-period cp.
  • a icp is calculated by the device as 1
  • the device li implementing a method 100 can then deliver 106 to the outside world (such as a terminal 2i with which it cooperates) a control word k equal to i, cp '
  • the invention provides that, according to the variant described in connection with FIG. 3a, a subscriber device according to the invention can - instead of the content server 3 - produce and develop the header H.
  • the method 100 then comprises a step 105a for developing the components of said header and a step 106a for delivering to the terminal with which it cooperates said on your mind.
  • Step 105a is similar to step 413a described above and implemented by a server 3 according to FIGS. 3 and 7.
  • step 105a implemented by a subscriber device may consist of calculating a set
  • the invention provides that the tag t includes data characterizing said choices.
  • the processing means of a terminal 2i as shown in connection with FIGS. 3 or 3a, cooperate with means for storing the parameters of the bilinear group ⁇ . They implement a decoding function dec - such as that described in connection with Figure 6 - to produce a clear content M.
  • Such a method 200 is implemented by the processing means of the terminal following the reception from the outside world of encoded content C, a header H and a control word k icp . It comprises a step for applying 201 a first function Fl to the header H and the control word k j cp to produce a word K. method 200 further comprises a step of applying 204 a second function 3 to said word K and the encoded content C to produce the clear content M.
  • the function 3 _1 implemented by the server to encode the content, is an inverse function of the function 3.
  • the terminal can thus deliver 205 said clear content M.
  • the processing means of the terminal can implement an expansion function F2 to adapt the format of the word K before the application of the function 3.
  • control word k icp comprises two components x icp and cp ' x icp having been calculated directly from the identifier i of the subscriber device which produced and delivered said control word.
  • H header consists of a set of components h j
  • the step of producing the word K therefore consists in implementing a bilinear mapping e: GJXGJ-> G T for which G 1 , G 2 and G ⁇ are three first-order cyclic groups p.
  • This bilinear application focuses on the components of H and
  • the step 204 for applying the function 3 to said components of the word K and the encoded content C consists in applying the function 3 to the previously aggregated components 203 concatenated or mixed in a manner similar to the aggregation performed. at step 414 when encoding the content by the server.
  • the function 3 may consist of the exclusive-or - functions 3 and 3 _1 then being identical.
  • the possible implementation of the expansion function F2 - step 202 - may consist, according to the preferred embodiment of the invention, of adapting the size of the outputs of each application of the function F1 to a component K j for make it compatible with the application of function 3 between
  • the invention provides a second preferred embodiment also based on the mathematical notion of coupling in groups of first order.
  • the value of the secret SK j stored in each subscriber device is distinct and depends in particular on the value of the identifier i of the latter.
  • / l, ⁇ defining the size of the elements as a security parameter.
  • G 1 , G 2 and Gy are three cyclic groups of order p and e: Gi xG 9 - G T a coupling.
  • a special relationship between groups G 1 and G 2 is not required.
  • the two groups can be identical or more generally, an isomorphism ⁇ between G ⁇ and G 2 can be defined.
  • the invention provides that any possible isomorphism and any efficiently calculable coupling are preferred.
  • the value of the known secret MK of the server can consist in choosing randomly two generators g and / respectively groups G 1 and G 2 - as
  • the server 3 can implement the following method. We choose 2 ⁇ belonging to Z ⁇ and we
  • the processing means of a server 3 such as that described with reference to FIGS. 3 and 3a, can then implement a method for encoding a clear content M and producing for an encoded content C.
  • Such a method may comprise a step for producing an encoded content C from a crypto-period cp and the known secret MK or stored by the server 3.
  • Such a method may further comprise a step prior to the issuance of the tag t to associate therewith data attesting its integrity.
  • the server applies a function 3 _1 to said word K and to the clear content M to produce the encoded content C.
  • the function 3 _1 is the exclusive-or.
  • the components of the word K are previously concatenated or mixed in a determined manner.
  • the method implemented by the server may further include a step for developing the header H to ultimately allow the decoding of the content encoded by a terminal.
  • This variant is implemented by a server 3 as described in connection with FIG. 3, which delivers the header H together with the encoded content C and the tag t. header H can
  • a subscriber device li comprises a secret SK ⁇ ix ⁇ B j ).
  • the device li implementing such a method can then deliver to the outside world (such as a terminal 2i with which it cooperates) a control word k equal to i, cp '
  • the invention provides that, according to the variant described in connection with FIG. 3a, a subscriber device according to the invention can - instead of the content server 3 - produce and elaborate the header H as defined previously .
  • a decoder 2i implements a decoding function dec to produce a clear content M.
  • Such a decoder 2i further comprises means for storing the value of the secret DK elaborated by the server as well as the parameters of the bilinear group ⁇ .
  • the step to produce the word K consists, for all j between 1 and n, to elaborate
  • the method further comprises a step for applying a function 3 to the word K and to the encoded content C. This amounts to applying function 3 to the components of the word
  • K ⁇ K previously aggregated concatenated or mixed in a manner similar to the aggregation performed when encoding the content by the server.
  • the function 3 may consist of the exclusive or - functions 3 and 3 _1 then being identical.
  • ⁇ , ⁇ defining the size of the elements as a security parameter.
  • G 1 , G 2 and Gy are three cyclic groups of order p and e: G j XG 2 ->& T a coupling. A special relationship between groups G 1 and G 2 is not required.
  • the two groups may be identical or more generally one isomorphism ⁇ between G ⁇ and G 2 can be defined.
  • a parameter T is further defined which determines the maximum size of an authorized coalition.
  • the value of said secret MK may consist of possibly randomly choosing a generator g 0 of the group
  • the processing means of a server 3, as described in connection with FIGS. 3 and 3a, can then implement a method for encoding a clear content M and produce for a coded content C from a crypto-period. cp and secret MK known or stored by the server 3.
  • Such a method may further comprise a step prior to the issuance of the tag t to associate therewith data attesting its integrity.
  • K j e (g C p, j) J ' J ''for all j between 1 and n, f being a generator of G 2 ⁇
  • the server applies a function 3 _1 to said word K and to the clear content M to produce the encoded content C.
  • the function 3 _1 is the exclusive-or.
  • the components of the word K are previously concatenated or mixed in a determined manner.
  • the method implemented by the server may further comprise a step for developing a header H to ultimately allow the decoding of the content encoded by a terminal.
  • This variant is implemented by a server 3 such as that described in connection with FIG. 3, which delivers the header H together with the encoded content C and the tag t.
  • the set s, the generators g cp and / and T are also identical to the elements used to construct the word K.
  • said method includes a step for producing, deterministically and known to the server - a magnitude X ⁇ r element of, which depends on the identifier i of the device and the current crypto-period cp.
  • x icp x i is calculated to depend on the identifier i but not on cp.
  • the device li implementing such a method can then deliver to the outside world (such as a terminal 2i with which it cooperates) a control word k equal to i, cp '
  • the invention provides that, according to the variant described in connection with FIG. 3a, a subscriber device according to the invention can - instead of the content server 3 - produce and elaborate the header H as defined previously .
  • a decoder 2i implements a decoding function dec to produce a clear content M.
  • Such a decoder 2i further comprises means for storing the parameters of the bilinear group ⁇ .
  • the function 3 may consist of the exclusive or - functions 3 and 3 _1 then being identical.
  • Said component is then of constant size and independent of T.
  • This parameter T can be adapted to the desired level of security and system efficiency.
  • conditional access system uses control words k icp that are traceable and therefore detectable by a operator. Such a system thus prevents any risk of control-word sharing.
  • the pirate decoder is first interpreted as a sequence of formal instructions, each instruction being composed of an operation, one or more input variables and an output variable.
  • each instruction being composed of an operation, one or more input variables and an output variable.
  • the operations associated with the bilinear system / 7, GJ, G2, G
  • these operations are called “algebraic” while all the others will be qualified as “ancillary” operations.
  • the input and output variables of each instruction are put into a so-called SSA (Static Single-Assignment) form, so that it is easy to deduce from this representation of the decoder hacker a calculation graph of any variable manipulated by him during his formal execution.
  • the output variable of the program represents the data in clear K and comes from an output value calculation graph in G j . We limit the program to the calculation of this graph.
  • a second so-called specialization step it is sought to set all the input variables of the program to constant values for which the program succeeds in deciphering correctly.
  • This search for fixed values can be conducted randomly and exhaustively and, if the decoder originally given is sufficiently functional (i.e. decrypts in a significant fraction of cases on average), this search step can lead quickly in a few tries.
  • values are suitable, they are substituted for the corresponding variables in the program, so that the new program obtained is composed only of instructions performed on constants. Then we proceed to a simplification step of the program to obtain a single sequence of instructions without jump.
  • This phase may need to have z ⁇ B where B is a terminal that depends on the embodiment of the invention.
  • an initialization date cp b may be stored in the subscriber device delivered to a new subscriber.
  • a subscriber device according to the invention comprises means 24 for storing such a date. This can be expressed as being equal to the current crypto-period at the time of subscription.
  • FIGS. 5 and 5b This embodiment is illustrated by FIGS. 5 and 5b.
  • the method 100 implemented by the processing means 10 of a subscriber device, comprises a step 109 provided for this purpose.
  • the invention provides that one or more values kf may be stored by the device 1 - storage means 26.
  • This embodiment thus prevents any use of a subscriber device for decoding encoded content received prior to the subscription subscription.
  • the invention provides in addition or alternatively, the use of an expiration date cp e which can be stored in any subscriber device according to the invention. This date is recorded in means 25 of such a device during the desired or forced cancellation of a subscription.
  • the control word delivered 106b by the device may be equal to kf as during the processing of the initialization date.
  • This embodiment can be used to possibly revoke a treacherous device by transmitting, via the network 4, a targeted revocation request and defeat the use of said treacherous device.
  • the component u makes it possible to indicate a revocation request destined for a device whose value of the identifier i is contained in the component v.
  • the values u, v and cp are extracted by the means 12 of the device li according to FIG. 5.
  • the means 14 compare 107 with the value of the component u with a predetermined value u r .
  • the means for processing the device initialize 111 an expiration date cp e equal to cp.
  • the subscriber device is no longer able to issue valid control words. If the value of v is different from the value of the identifier i of the device, the latter continues its conventional processing and produces a valid control word.
  • the invention provides a variant for which a request for rehabilitation can be addressed to a subscriber device.
  • This request can follow a request for prior revocation that has been sent by mistake, for example.
  • the purpose of such a request is to allow a subscriber device again to produce valid control words.
  • the invention provides a predetermined value u a characteristic of such a request.
  • step 110 the means for processing the device reset 111 an expiration date cp e equal to 0 - meaning no expiration.
  • the subscriber device is again able to issue valid control words. If the value of v is different from the value of the identifier i of the device, the latter continues its conventional processing or remains revoked.
  • Such a request for annulment of revocation or rehabilitation may be translated alternatively by a request for initialization. In this case, it is possible to initialize the initialization date cp b to the current value of cp, the revocation thus resulting in the definition of an initialization date much higher than the current or infinite crypto periods.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

L'invention concerne un procédé et un système d'accès conditionnel permettant de prévenir l'utilisation frauduleuse d'un dispositif électronique d'abonné (1a, 1b, 1m) et de lutter ainsi efficacement contre la mise à disposition frauduleuse des contenus protégés. L'invention concerne en outre l'adaptation d'un tel dispositif ainsi qu'un procédé permettant la révocation de celui-ci s'il est jugé illicitement exploité ou sa réhabilitation éventuelle.

Description

Procédé et système d'accès conditionnel à un contenu numérique, terminal et dispositif d'abonné associés
L'invention concerne un système et un procédé d'accès conditionnel à un contenu numérique permettant de prévenir la mise en œuvre d'un dispositif électronique licitement acquis et intègre, au moyen d'un terminal pirate. L'invention permet ainsi de lutter efficacement contre la mise à disposition frauduleuse de contenus multimédias protégés.
L'invention concerne en outre l'adaptation de tels dispositifs ainsi qu'un procédé pour déclencher respectivement la révocation temporaire ou permanente d'un dispositif électronique ou la réhabilitation éventuelle de ce dernier. L'invention concerne en outre l'adaptation d'un terminal pour permettre la mise en œuvre du procédé d'accès conditionnel.
Un opérateur de diffusion de contenus numériques opère généralement un système d' accès conditionnel (Conditional Access System - CAS en langue anglaise) pour mettre un contenu protégé à la disposition d'un abonné ou d'une pluralité d'abonnés. Un tel système s'appuie généralement sur des dispositifs électroniques sécurisés, tels que des cartes à puce, pour héberger les identités et/ou les droits des abonnés et pour réaliser des opérations de chiffrement, de déchiffrement ou de génération de nombres.
Selon les systèmes d'accès conditionnel connus, pour diffuser un contenu multimédia protégé, des mots de contrôle chiffrés c et des contenus encodés C sont transmis au travers d'un réseau de diffusion, à intervalles réguliers ou crypto-périodes, pour le moins, connus et maîtrisés par l'opérateur de diffusion. Un mot de contrôle chiffré est obtenu généralement au moyen d'une fonction de chiffrement E telle que c = E{k) , k étant la valeur dudit mot de contrôle. Un contenu encodé C est quant à lui obtenu au moyen d'une fonction de codage enc et dudit mot de contrôle k , tel que C - enc(k,M) , M étant le contenu multimédia en clair. A titre d'exemple, la fonction d'encodage peut être conforme au standard DVB-CSA (Digital Video Broadcasting - Common Scrambling Algorithm, en langue anglaise) . Pour pouvoir visualiser ou écouter un contenu protégé, toute personne doit souscrire un abonnement. Un abonné perçoit un dispositif dédié, généralement sous la forme d'une carte à puce, qui couplé à un terminal, généralement appelé décodeur ou « set-top box », permet audit abonné de décoder un contenu protégé. Les mots de contrôles chiffrés c sont classiquement déchiffrés par un dispositif d'abonné qui délivre les mots de contrôle k au terminal. Ce dernier est en charge de réaliser le décodage d'un contenu encodé C et permet, au moyen d'une interface Homme-Machine adaptée - par exemple un téléviseur de salon, d'accéder au contenu clair M . II est usuel que des entités « pirates » tentent de développer un commerce illicite visant à émettre, sur un réseau pirate, des mots de contrôle déchiffrés k permettant de décoder un contenu protégé C à l'aide d'un terminal adapté à cet effet. Les premières menaces et attaques ont poussé les pirates à tenter de « casser » la sécurité des dispositifs électroniques d'abonné. Par la connaissance du matériel cryptographique, des algorithmes ou de secrets, un pirate peut alors « cloner » ou émuler un tel dispositif et mettre certaines « reproductions » à la disposition d'abonnés indélicats.
La robustesse croissante et quasi inviolable de tels dispositifs ont conduit les pirates à acquérir licitement des dispositifs d'abonné (tels que des cartes à puce) et à concevoir des terminaux pirates, aptes à coopérer avec lesdits dispositifs et à émettre les mots de contrôles déchiffrés k , en temps réel, sur un réseau ou canal pirate selon des techniques connues sous le vocable de « Control-word sharing » suivant une terminologie anglo- saxonne. Cette technique de « Control-word sharing » visant à émettre des mots de contrôle déchiffrés est particulièrement prisée car elle permet d'utiliser un réseau pirate de faible bande passante car la taille des mots de contrôle est généralement bien inférieure à la taille de contenus décodés.
Pour contrer les pirates, les opérateurs parviennent généralement à connaître l'existence d'un tel réseau pirate. En souscrivant un abonnement auprès d'un pirate, un opérateur peut même disposer d'un dispositif « cloné » ou émulé et l'étudier. Toutefois, étant donné que le mot de contrôle k qui permet d' accéder au contenu multimédia en clair, est identique pour tous les abonnés (ou pour un grand groupe d'abonnés), il n'est pas possible d'identifier l'origine de la fraude à partir d'un mot de contrôle ayant été divulgué sur le réseau pirate. Il n'existe donc pas de procédés connus permettant, d'identifier un dispositif, bien que régulièrement acquis et intègre, qui est frauduleusement exploité.
L' invention permet de répondre de manière particulièrement efficace à la menace du « Control-word sharing ». Parmi les nombreux avantages apportés par l'invention, nous pouvons mentionner que l'invention permet de tracer, à distance, tout dispositif d'abonné ayant permis de produire un mot de contrôle dont la valeur peut être transmise sur un réseau pirate. En effet, l'invention permet de prévoir un mot de contrôle dédié et distinct pour chaque dispositif d'abonné. L'observation d'un tel mot de contrôle émis sur un réseau pirate, permet de retrouver le dispositif d'abonné exploité illicitement . L'invention permet en outre de révoquer à distance un tel dispositif, dit « dispositif traître », tout en poursuivant la diffusion d'un contenu au travers du réseau de diffusion. L'invention offre ainsi, à tout opérateur de diffusion de contenus, un outil particulièrement simple et efficace pour lutter contre le piratage. En outre, selon un mode de réalisation préféré, un dispositif d'abonné n'opère que peu de calculs, les calculs coûteux étant effectués dans le terminal mis à disposition de l'abonné et coopérant avec ledit dispositif d'abonné. A cette fin, il est prévu un procédé pour produire un mot de contrôle, mis en œuvre par des moyens de traitement d'un dispositif électronique d'abonné coopérant avec un terminal, ledit dispositif comportant des moyens de réception pour recevoir des données depuis le terminal et des moyens pour délivrer ledit mot de contrôle produit audit terminal. Ledit procédé comporte :
- une étape pour recevoir des données via les moyens de réception qui consistent en une balise t ;
- une étape pour déterminer la crypto-période courante en exploitant la balise t reçue ;
- une étape pour produire un mot de contrôle à partir de ladite crypto-période courante cp et d'un secret SK mémorisé par le dispositif ;
- une étape pour délivrer un mot de contrôle k via les moyens pour délivrer du dispositif.
Pour pouvoir tracer tout dispositif d'abonné ayant produit un mot de contrôle dont la valeur peut être transmise sur un réseau pirate, l'étape pour produire le mot de contrôle d'un tel procédé consiste à élaborer un mot de contrôle kj cp traçable dont la valeur est distincte de celle d'un mot de contrôle produit, pour la crypto-période courante cp , par tout autre dispositif d'abonné en intégrant la valeur d'un identificateur i dans le calcul du mot Ladite valeur de l'identificateur i est mémorisé par le dispositif et distincte de celle mémorisée par tout autre dispositif d'abonné. L'étape pour délivrer le mot de contrôle consiste à délivrer V égal à kicp.
Pour pouvoir révoquer ou habiliter un dispositif d'abonné mettant en œuvre un tel procédé, ce dernier peut comporter une étape préalable pour autoriser le dispositif à délivrer un mot de contrôle k égal au mot de contrôle produit kicp.
Eventuellement pour décharger de cette tâche un serveur de contenu, un tel procédé peut comporter une étape pour calculer et délivrer un entête H pour permettre in fine le décodage du contenu encodé par un terminal .
Pour mettre en œuvre un procédé pour produire un mot de contrôle traçable, l'invention prévoit d'adapter un dispositif électronique d'abonné coopérant avec un terminal et comportant :
des moyens de réception pour recevoir des données depuis le terminal ;
des moyens de traitement pour produire un mot de contrôle à partir desdites données ;
des moyens pour délivrer ledit mot de contrôle audit terminal.
Une telle adaptation consiste en ce que le dispositif comporte des moyens de mémorisation pour mémoriser un identificateur i, un secret SK . Les moyens de traitement et de mémorisation sont en outre adaptés pour produire et délivrer un mot de contrôle traçable k selon un procédé conforme à l'invention.
Selon un deuxième objet, l'invention prévoit un procédé pour décoder un contenu encodé C et produire un contenu clair M , ledit procédé étant mis en œuvre par des moyens de traitement d'un terminal coopérant avec des moyens pour recevoir des données depuis le monde extérieur et des moyens pour délivrer ledit contenu clair M. Selon l'invention lesdites données consistent en ledit contenu encodé C, un entête H et un mot de contrôle traçable kicp élaboré et délivré par un dispositif électronique d'abonné conforme à l'invention. Pour permettre le décodage d'un contenu, quand bien même le mot de contrôle soit traçable et donc distinct d'un dispositif d'abonné à un autre, le procédé pour décoder comporte :
une étape pour appliquer une première fonction Fl à l'entête H et au mot de contrôle kicp pour produire un mot K indépendant de l'identificateur i du dispositif ayant produit et délivré le mot de contrôle kj cp en supprimant la contribution dudit identificateur dédié i ; - une étape pour appliquer une deuxième fonction 3 audit mot K et au contenu encodé C pour produire le contenu clair M ;
une étape pour délivrer ledit contenu clair M via les moyens pour délivrer du terminal. Pour mettre en œuvre un procédé pour décoder un contenu encodé C et produire un contenu clair M , l'invention prévoit d'adapter un terminal électronique comportant :
des moyens de réception pour recevoir des données depuis le monde extérieur ;
des moyens de traitement pour produire un contenu clair M à partir desdites données ;
des moyens pour délivrer ledit contenu clair à une interface homme-machine adaptée pour restituer ledit contenu clair ;
des moyens pour coopérer avec un dispositif électronique d'abonné conforme à l'invention.
Les données reçues du mode extérieur consistent dès lors en un contenu encodé C, un entête H et une balise t . Les moyens pour coopérer avec ledit dispositif électronique d' abonné transmettent à ce dernier ladite balise t et réceptionnent en retour un mot de contrôle traçable ki cp élaboré et délivré selon l'invention. Le terminal comporte en outre des moyens de traitement adaptés pour décoder et délivrer un contenu clair M selon un procédé conforme à l'invention.
Selon un troisième objet, l'invention prévoit un procédé pour encoder un contenu clair M et produire un contenu encodé C, ledit procédé étant mis en œuvre par des moyens de traitement d'un serveur comportant des moyens pour délivrer ledit contenu encodé C à un terminal selon l'invention et coopérant avec un dispositif d'abonné également conforme à l'invention. Un tel procédé comporte :
- une étape pour produire un contenu encodé C à partir d'une crypto-période cp et d'un secret
MK connu du serveur ;
une étape pour produire une balise t pour caractériser la crypto-période cp à partir de laquelle le contenu encodé C a été produit et permettre au dispositif de produire et délivrer un mot de contrôle traçable selon l'invention ; une étape pour calculer et délivrer un entête H pour permettre le décodage du contenu encodé par le terminal selon l'invention ;
une étape pour délivrer conjointement ledit contenu encodé C, l'entête H et ladite balise t .
Pour mettre en œuvre un tel procédé, l'invention prévoit d'adapter les moyens de traitement d'un serveur pour que ceux-ci mettent en œuvre ledit procédé pour produire et délivrer un contenu encodé C à partir d'un contenu clair, d'une crypto-période cp et d'un secret
MK , une balise t et un entête H .
L'invention prévoit un système d'accès conditionnel à un contenu numérique comportant un serveur, un terminal et un dispositif électronique respectivement conformes à 1 ' invention .
Celle-ci concerne en outre un procédé d'accès conditionnel à un contenu numérique comportant :
- une étape pour élaborer et délivrer par un serveur un contenu encodé C , une balise t et un entête H conformément à l'invention ; une étape pour réceptionner par un terminal lesdits contenu encodé C, balise t et l'entête H ;
une étape pour transmettre la balise t par le terminal à un dispositif coopérant avec ledit terminal ;
une étape pour produire et délivrer par ledit dispositif au terminal un mot de contrôle traçable kj cp conformément à
1 ' invention ;
une étape pour décoder par le terminal le contenu encodé C et produire un contenu clair M selon l'invention ;
une étape pour restituer ledit contenu clair
M au moyen d'une interface adaptée audit contenu clair.
Pour observer un réseau pirate et identifier un dispositif électronique frauduleusement exploité, l'invention prévoit un procédé pour tracer un mot de contrôle kp,cp produit par un dispositif d'abonné traître mettant en œuvre un procédé pour produire un mot de contrôle traçable selon l'invention. Un tel procédé pour tracer comporte :
une étape pour collecter le mot de contrôle kp,cp '
une étape pour collecter un utilitaire ou programme de déchiffrement pirate apte à décoder un contenu encodé à l'aide dudit mot de contrôle kp,cp '
une étape pour déterminer un identifiant i— p d'un dispositif ayant produit kp,cp consistant à : i. interpréter l'utilitaire ou programme de déchiffrement pour concevoir un programme équivalent exprimant un ensemble d'instructions sous la forme d'opérations algébriques et annexes comportant chacune au moins une variable d' entrée et au moins une variable de sortie ;
ii. fixer les variables d'entrée à des constantes pour lesquelles le programme équivalent décode le contenu encodé correctement ;
iii. simplifier ledit programme équivalent pour que celui-ci ne comporte qu'une séquence d' instructions sans saut ;
iv. convertir le programme équivalent simplifié en un système d'équations multivariées par la mise en œuvre de transformations algébriques ;
v. inverser tout ou partie ledit système d'équations multivariées pour identifier le dispositif traître.
D'autres caractéristiques et avantages apparaîtront plus clairement à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent parmi lesquelles :
- la figure 1 présente un système d' accès conditionnel selon l'état de la technique ;
- la figure 2 présente un mode de piratage de contenus multimédia protégés et diffusés au moyen système d'accès conditionnel selon l'état de la technique ;
- les figures 3 et 3a décrivent respectivement deux modes de réalisation d'un système d'accès conditionnel conforme à l'invention ;
- la figure 4 décrit la mise en œuvre, selon l'invention, d'un procédé pour observer un réseau pirate et identifier un dispositif électronique frauduleusement exploité ou dispositif traître ; - la figure 5 illustre l'architecture fonctionnelle d'un dispositif électronique d'abonné conforme à 1 ' invention ;
- les figures 5a et 5b illustrent respectivement deux modes de réalisation d'un procédé pour produire un mot de contrôle conformément à l'invention ;
- la figure 6 décrit un premier mode de réalisation préféré d'un procédé pour décoder un contenu encodé, conformément à l'invention ;
- la figure 7 décrit un premier mode de réalisation préféré d'un procédé pour encoder un contenu clair, conformément à l'invention ;
- la figure 8 décrit un premier mode de réalisation préféré d'un procédé pour générer un secret pour mettre en œuvre un système d'accès conditionnel, conformément à l'invention ;
- la figure 9 décrit un mode de réalisation d'un procédé d' accès conditionnel conforme à 1 ' invention . La figure 1 permet de présenter un système d'accès conditionnel à un contenu numérique selon l'état de la technique. Il consiste en un réseau de diffusion 4 mis en œuvre par un opérateur de diffusion de contenus protégés. Ainsi, depuis un serveur de contenus 3, sont émis conjointement des mots de contrôle c et des contenus C respectivement chiffrés et encodés. Le serveur 3 encode pour cela un contenu clair M au moyen d'une fonction d'encodage enc et d'un mot de contrôle k , ce dernier étant produit par ledit serveur 3. On obtient ainsi un contenu encodé C tel que C = enc(k,M) . Un chiffré c du mot de contrôle k est également émis ou « broadcasté » conjointement avec le contenu encodé C. Pour cela, le serveur chiffre au moyen d'une fonction de chiffrement E ledit mot de contrôle k pour obtenir c tel que c = E(k) .
Les mots de contrôle chiffrés c et les contenus chiffrés C sont transmis, via le réseau de diffusion 4, à des terminaux 2a à 2m. Ces derniers ont la charge respectivement de décoder en temps réel les contenus encodés C émis par le serveur 3. Ainsi un terminal - tel que par exemple le décodeur 2a - met en œuvre une fonction de décodage dec et l'applique au contenu encodé C pour obtenir le contenu clair M . Ce dernier peut être visualisé en utilisant un téléviseur de salon 5 ou toute autre interface adaptée pour restituer le contenu clair. Pour appliquer la fonction de décodage dec , un terminal doit connaître la valeur du mot de contrôle k qui a été utilisé par le serveur 3 pour encoder le contenu M . Selon l'état de l'art et conformément à la figure 1, un terminal 2a à 2m reçoit un mot de contrôle chiffré c tel que c = E(k) et le transmet à un dispositif électronique sécurisé la à lm, généralement dédié à un abonné. Le terminal 2a reçoit, au travers du réseau 4, régulièrement des couples (C,c) et transmet à un dispositif la les mots de contrôles chiffrés c . Le dispositif la peut déchiffrer un mot de contrôle chiffré c au moyen d'une fonction de déchiffrement D pour obtenir le mot de contrôle k ayant servi à encoder un contenu M . Ainsi k = D(c) . Il en est de même pour tout autre terminal, tel que 2b à 2m, chacun coopérant respectivement avec un dispositif lb à lm. Selon une variante de réalisation, le serveur 3 peut utiliser un secret, par exemple sous la forme d'une clé Kc pour chiffrer un mot de contrôle k . Ainsi c = E(Kc,k). Dans ce cas, un dispositif, tel que le dispositif la à lm, met en œuvre une fonction réciproque de déchiffrement D , telle que k = D(Kd,k) où Kd est une clé de déchiffrement connue par le dispositif. Selon les fonctions de chiffrement E et de déchiffrement D, les clés Kc et Kd peuvent être identiques. C'est le cas d'un chiffrement / déchiffrement symétrique. En variante, selon un schéma dit de « broadcast encryption », Kc est une clé publique ou secrète dédiée à l'opérateur et Kd est une clé secrète dédiée au dispositif et connue de l'opérateur. Selon cette variante, il existe ainsi plusieurs clés individuelles de déchiffrement et chacun des dispositifs licitement émis et remis aux abonnés dudit opérateur dispose d'une telle clé de déchiffrement individuelle.
La figure 2 permet d' illustrer un scénario pour lequel une organisation pirate, que nous nommerons « pirate » parvient à réaliser un commerce frauduleux de contenus protégés.
Selon ce premier scénario, le pirate a contracté tout à fait normalement un abonnement auprès d'un opérateur de contenus. Il peut ainsi disposer d'un dispositif électronique d'abonné, tel qu'une carte à puce la. Le pirate est en outre en possession d'un terminal 2P, dit terminal pirate. Ce terminal peut recevoir des couples (C,c) depuis un réseau de diffusion 4 tel que celui décrit en liaison avec la figure 1. Le terminal 2P peut coopérer avec ledit dispositif la pour lui transmettre les mots de contrôles chiffrés c . En retour, le dispositif la produit le mot de contrôle k en déchiffrant le chiffré c au moyen d'une fonction de déchiffrement D . Tout à fait normalement, le dispositif la délivre au terminal 2P le mot de contrôle k . Suivant ce premier scénario, le terminal pirate 2P peut alors émettre au travers d'un réseau pirate 6 les mots de contrôle k en temps réels. Un utilisateur indélicat ayant « souscrit » un abonnement auprès du pirate, peut disposer d'un terminal 2w. Ce dernier est adapté pour qu'il reçoive d'une part, depuis le réseau de distribution 4, des contenus encodés C (flèche en pointillés) et d'autre part, depuis le réseau pirate 6, les mots de contrôle k associés, en clair. Le terminal 2w peut réaliser le décodage des contenus encodés C et délivrer les contenus clairs M pour qu' ils puissent être restitués.
Un pirate peut également souscrire une pluralité d'abonnements auprès d'un ou plusieurs opérateurs. Un terminal pirate 2P peut alors coopérer simultanément avec une pluralité de dispositifs d'abonnés la à lz et mettre en œuvre un algorithme de gestion desdits dispositifs plus ou moins complexe. Par exemple, le terminal pirate transmet un mot de contrôle k déchiffré majoritairement par les dispositifs la à lz. En variante, un tel terminal 2P peut solliciter aléatoirement tel ou tel dispositif électronique etc.
Un pirate peut en variante éventuellement chiffrer ou encoder, selon un procédé propriétaire, les mots de contrôle k émis sur un réseau pirate. Ainsi, peut être transmis, sur ledit réseau pirate, un chiffré cp=Ep{k) - Ep étant une fonction de chiffrement propriétaire du pirate. Un terminal 2w comporte, dans ce cas, des fonctions de déchiffrement Dp réciproques pour délivrer in fine les clairs attendus. L'invention permet de mettre en échec ces différents scenarii de piratage.
La figure 3 permet d' illustrer un premier mode de réalisation d'un système d'accès conditionnel à un contenu numérique tel que le prévoit l'invention. Comme pour un système connu, l'invention prévoit un réseau de diffusion 4 mis en œuvre par un opérateur de diffusion de contenus protégés. Depuis un serveur de contenus 3, sont émis des contenus encodés C . Pour cela, le serveur 3 encode un contenu clair M au moyen d'une fonction d'encodage enc . On obtient ainsi un contenu encodé C tel que C = enc(M) . Une balise t est également émise ou
« broadcastée » conjointement avec le contenu encodé C. Cette balise contient des données relatives notamment à la crypto-période courante. Elle peut en outre contenir des données concernant le contenu ou des directives que le serveur souhaite émettre sur le réseau 4 à destination d'un ou plusieurs dispositifs d'abonnés la à lm coopérant respectivement avec des terminaux 2a à 2m aptes à recevoir les éléments diffusés via le réseau 4. Selon ce premier mode de réalisation, un entête H est également et conjointement diffusé avec le contenu encodé C et la balise t . Cet entête sera quant à lui principalement exploité par tout terminal pour décoder un contenu encodé .
Les décodeurs 2a à 2m ont la charge respectivement de décoder en temps réel les contenus encodés C émis par le serveur 3. Ainsi un terminal - tel que par exemple le décodeur 2a - met en œuvre une fonction de décodage dec et l'applique au contenu encodé C pour obtenir le contenu clair M . Ce dernier peut être visualisé en utilisant un téléviseur de salon 5 ou toute autre interface adaptée pour restituer le contenu clair. Pour appliquer la fonction de décodage dec , un terminal doit connaître la valeur de l'entête H ainsi que la valeur d'un mot de contrôle ka cp produit et délivré par le dispositif électronique sécurisé d'abonné la coopérant avec le terminal 2a. Il en est de même pour tout autre terminal, tel que les terminaux 2b à 2m, chacun coopérant respectivement avec les dispositifs lb à lm. Les mots de contrôle ki cp délivrés par un dispositif d'abonné li sont produits à l'aide des balises t transmises depuis le serveur 3 via les terminaux, d'un identificateur i dédié dispositif d'abonné li et d'un secret SK; , i et SK; étant mémorisés dans le dispositif d'abonné li. Chaque mot de contrôle est ainsi propre à un dispositif d'abonné particulier. Ainsi kicp est propre et dédié au dispositif li. Ce mot de contrôle kicp est en outre différent des autres mots de contrôle respectivement dédiés aux autres dispositifs d'abonné. Pour décoder un contenu encodé C, un terminal 2i met ainsi en œuvre une fonction de décodage dec telle que M = dec(kj cp,C,H) , M étant le contenu clair.
Selon une variante de réalisation illustrée en liaison avec la figure 3a, un serveur 3 peut ne transmettre, au travers du réseau 4, que le contenu encodé C et la balise t caractérisant la crypto-période courante cp à destination de terminaux dont le terminal
2i. Dans ce cas, l'élaboration de l'entête H nécessaire au décodage est réalisée par le dispositif d'abonné li coopérant avec le terminal 2i - d'une manière similaire à celle effectuée par le serveur 3 décrit en liaison avec la figure 3. Cette variante permet de réduire la bande passante nécessaire au broadcast des contenus encodés.
Quel que soit le mode de réalisation (décrit en liaison avec les figures 3 ou 3a) l'invention permet de mettre en œuvre un système d' accès conditionnel qui prévient le risque du « control-word sharing ». En effet, les mots de contrôles utilisés par les décodeurs pour décoder les contenus encodés, sont traçables. Ils dépendent en effet chacun et respectivement d'un identificateur dédié au dispositif d'abonné qui les a générés et délivrés. Chaque mot de contrôle ainsi produit est propre et dédié à un dispositif d'abonné. Pour deux dispositifs d'abonnés li et 1j , deux mots de contrôle kicp et kjcp sont produits respectivement par les dispositifs li et lj tels que kicp≠kjcp. La figure 4 permet d' illustrer une technique permettant à un opérateur de détecter l'utilisation frauduleuse d'un dispositif d'abonné que nous nommerons « dispositif traître ». La figure 4 reprend les éléments décrits en liaison avec la figure 3. Ainsi un terminal pirate 2P reçoit des triplets (C,H,t) depuis un réseau de diffusion
4. Le terminal 2P coopère avec un ou plusieurs dispositifs la à lz acquis licitement et conformes à l'invention. Ils produisent et délivrent des mots de contrôle qui dépendent notamment et respectivement de l'identificateur de chaque dispositif d'abonné. Ainsi un dispositif la délivre un mot de contrôle ka cp qui dépend notamment de son identificateur dédié a . Nous étudierons plus loin un procédé pour élaborer un tel mot de contrôle
(en liaison avec les figures 5a et 5b) . Pour illustrer le processus d'observation, considérons qu'il est possible pour un opérateur en possession d'un mot de contrôle kicp de déduire l'identificateur i du dispositif ayant produit ledit mot de contrôle kicp.
Le terminal 2P ayant réceptionné les mots de contrôle kacp, kfoçp ou kz cp , respectivement produits par les dispositifs 2a, 2b, 2z, peut émettre en temps réels, au travers d'un réseau pirate 6, un ou plusieurs mots de contrôle - que nous noterons kpcp - égal à l'un des mots kacp, kfoçp ou kz cp . Un terminal 2w peut recevoir d'une part, depuis le réseau de distribution 4, des contenus encodés C (accompagnés du header H et la balise t) et d'autre part, depuis le réseau pirate 6, des mots de contrôle kpcp en clair. Le terminal 2w peut réaliser le décodage des contenus encodés C et délivrer les contenus clairs M pour qu'ils puissent être visualisés. Un opérateur peut disposer de moyens 9 pour observer le réseau pirate 6. Cette observation peut consister à percevoir un ou plusieurs mots de contrôle kpcp qui transitent via le réseau pirate 6. En se basant sur cette observation, un opérateur parvient à identifier au moins un dispositif traître utilisé par un décodeur ou terminal pirate 2P, parmi les dispositifs la à lz.
Dès qu'un dispositif traître li est identifié, celui- ci peut être révoqué en transmettant une requête de révocation telle que prévue par l'invention (figure 5b) voire prendre toutes mesures qu'il jugera utile pour stopper l'utilisation du dispositif traître.
Pour tenter de compliquer la tâche de l'opérateur cherchant à tracer un dispositif traître, le mot de contrôle peut, en variante, résulter d'un mélange basé sur l'un desdits mots de contrôle ka cp , kfr cp ou kz cp afin de produire et émettre un kp^cp distinct desdits ka cp , ki, Cp ou kz cp . Toutefois, l'invention prévoit un mode de réalisation pour prévenir l'usage de telles combinaisons ou mélanges afin de garantir la traçabilité des dispositifs d'abonnés. Comme l'indique la figure 9, et en liaison avec la variante décrite en figure 3, pour mettre en œuvre l'invention, un contenu clair M est encodé par un serveur de contenus 3 à l'aide d'une fonction enc telle que décrite, par exemple, en liaison avec la figure 7 selon un procédé 410. Ce dernier permet en outre d'élaborer une balise t qui caractérise notamment la crypto-période courante cp . Un entête H est en outre élaboré par ledit serveur 3 (voire par les dispositifs d'abonnés selon la variante de la figure 3a) . Les triplets ( C, H, t ) - ou les couples ( C, t ) selon la figure
3a - sont transmis du serveur 3 via le réseau 4 à un au moins terminal 2i qui transmet à son tour à un dispositif d'abonné li - avec lequel il coopère - ladite balise t . Selon un procédé 100 tel que décrit en liaison avec la figure 5a, le dispositif li - adapté comme l'indique la figure 5 - produit et délivre un mot de contrôle propre kj cp audit terminal 2i. Ce dernier décode le contenu encodé C selon une fonction de décodage dec conforme à un procédé tel que le procédé 200 décrit à titre d'exemple par la figure 6. Le contenu clair M ainsi obtenu peut être délivré par une interface homme-machine
5. Préalablement, un tel procédé d'accès conditionnel conforme à l'invention, comporte une étape pour définir et distribuer à un groupe de dispositifs d'abonnés un secret SK dédié. Selon un mode de réalisation particulier, les secrets SKi ont une valeur commune et identique à celle d'un secret MK partagé avec le serveur. Pour initialiser un tel secret commun, l'invention prévoit un procédé, tel que l'exemple 400 décrit en liaison avec la figure 8.
L'invention prévoit en outre qu'une pluralité de dispositifs d'abonné puisse partager un même identificateur i. Une telle pluralité de dispositifs s'apparente dès lors à un ensemble de « clones » partageant un même identificateur i voire un même SK .
Par mesure de simplification et au sens de l'invention, la notion de « dispositif d'abonné » couvre sans distinction aucune un dispositif d'abonné sous une forme individuelle (un seul dispositif électronique) ou sous une forme plurielle (une pluralité de dispositifs partageant un même identificateur i) .
Selon un premier mode de réalisation préféré, l'invention s'appuie sur la notion mathématique de couplage dans des groupes d'ordre premier. Un tel couplage est une application bilinéaire généralement utilisée en cryptographie dans le domaine des courbes elliptiques notamment.
Soit β , un groupe bilinéaire β = (/>,G1,G2,G7 ,e(.,.)) d'ordre p premier tel que |?| = /l, λ définissant la taille des éléments en tant que paramètre de sécurité. G1 , G2 et G^ sont trois groupes cycliques d'ordre p et e: jX 2— GT un couplage. Un groupe cyclique est un ensemble algébrique tel que gp+l est égal à g , p définissant l'ordre du groupe cyclique et g un élément du groupe que l'on nomme « générateur ». Au sens de l'invention, une relation particulière entre les groupes G1 et G2 n'est pas requise. Les deux groupes peuvent être identiques ou plus généralement, un isomorphisme Ψ entre G^ et G2 peut être défini. L'invention prévoit que soient privilégiées tout éventuel isomorphisme ainsi que tout couplage efficacement calculables.
La valeur SK est commune et partagée entre tous les dispositifs d'abonné. La valeur de SK et égale à MK , ledit secret SK = MK peut être élaboré comme l'indique à titre d'exemple la figure 8. Ainsi, un procédé 400 pour élaborer un tel secret peut consister à choisir aléatoirement 402 un générateur g du groupe G^ - comme
R
l'indiquent la notation g< j . En 403, un tel procédé choisit en outre et aléatoirement JQ appartenant à l'ensemble des entiers modulo p . Le secret MK peut alors être défini 404 comme un ensemble de deux composantes respectivement égales à g et χ0 nous utiliserons la notation MK = g, Yo) pour décrire ceci. Ce procédé 400 peut être mis en œuvre par un serveur de contenus tel que le serveur 3 décrit en liaison avec les figures 3 et 3a ou en variante par un serveur dédié, le secret MK étant alors transmis audit serveur de contenus qui connaît ainsi ledit secret préalablement élaboré .
Les moyens de traitement d'un serveur 3 tel que décrit en liaison avec les figures 3 et 3a, peuvent alors mettre en œuvre un procédé pour encoder un contenu clair M et produire pour un contenu encodé C . Un tel procédé peut être conforme à l'exemple du procédé 410 décrit en liaison avec la figure 7.
Ledit procédé comporte ainsi une étape 414 pour produire un contenu encodé C à partir d'une crypto¬ période cp et du secret MK mémorisé par le serveur 3.
Il comporte en outre une étape (non représentée) pour produire une balise t afin de caractériser la crypto- période cp à partir de laquelle le contenu encodé C a été produit. Enfin, il comporte une étape (non représentée) pour délivrer conjointement ledit contenu encodé C et ladite balise t . Un tel procédé peut comporter en outre une étape préalable à l'émission de la balise t pour associer à celle-ci des données attestant son intégrité.
Selon ce premier mode préféré de réalisation de l'invention, la fonction enc pour produire le contenu encodé C consiste à calculer 411 tout d'abord
Ycp = Fo(Yo> cP) ^0 étant une fonction déterminée et connue du serveur 3. Le serveur 3 choisit 412 un ensemble s = js j j de n valeurs appartenant chacune à Έρ .
Il calcule 413 un mot Κ = ίκ;) dont les n
1
composantes sont égales chacune à Kj = e(g,f)rcp+Sj , pour tout j compris entre 1 et n , le générateur / étant un générateur choisi aléatoirement du groupe G2 , par exemple à l'étape 402 du procédé selon la figure 8 comme l'indiquent la notation f< G2.
Le serveur applique 414 une fonction 3_1 audit mot
K et au contenu clair M pour produire le contenu encodé C . Selon un exemple de réalisation, la fonction 3_1 est le ou-exclusif. Les composantes du mot K sont préalablement concaténées ou mélangées de manière déterminée .
Le procédé décrit en liaison avec la figure 7 peut comporter en outre une étape 413a pour élaborer l'entête H pour permettre le décodage du contenu encodé . Cette variante est mise en œuvre par un serveur 3 tel que décrit en liaison avec la figure 3, qui délivre l'entête H conjointement au contenu encodé C et la balise t.
Selon ce mode de réalisation, l'entête H peut consister en un ensemble H = j/z j ^ de n composantes respectivement égales à un couple de grandeurs
Figure imgf000023_0001
pour tout j compris entre 1 et n . L'ensemble n valeurs est identique à l'ensemble s utilisé pour élaborer le mot K et f est le générateur choisi - éventuellement aléatoirement - parmi le groupe &7 durant l'étape 402 pour élaborer le secret MK .
Pour mettre en œuvre l'invention, il est nécessaire d'adapter en outre les dispositifs électroniques d'abonnés. Ainsi, la figure 5 permet de décrire un dispositif d'abonné conforme à l'invention. Un tel dispositif li comporte des moyens R pour recevoir du monde extérieur - par exemple d'un terminal 2i - une balise t .
Selon un mode de réalisation de l'invention, une balise t peut comporter des données attestant son intégrité. A titre d'exemple, lesdites données peuvent consister en un code de redondance tel qu'un haché ou être élaboré à l'aide d'un secret Kd partagé entre le dispositif et le serveur. Selon une variante, une telle balise peut être transmise chiffrée depuis le serveur après avoir été élaborée par ce dernier à l'aide d'un algorithme de chiffrement symétrique ou asymétrique.
Selon ces deux modes de réalisations, le dispositif li comporte des moyens de traitement 10 qui peuvent vérifier
11 l'intégrité de la balise reçue voire la déchiffrer. Si un secret Kd est nécessaire à cet usage, des moyens de mémorisation 21 peuvent être prévus au sein d'un dispositif li conforme à l'invention pour mémoriser ledit secret et coopérer avec les moyens de traitement. Pour produire 13 un mot de contrôle kj cp propre au dispositif li, les moyens de traitements 10 coopèrent avec des moyens 22 pour mémoriser un identificateur i dédié au dispositif. Pour produire le mot de contrôle, les moyens de traitement 10 sont aptes à déduire 12 de la balise t , la crypto-période courante cp . Ils coopèrent en outre avec des moyens de mémorisation 23 qui mémorisent un secret SK . A partir de l'identificateur i , la cryptopériode cp et du secret SK; , les moyens de traitement du dispositif produisent 13 le mot de contrôle k^cp . Ce dernier est délivré par le dispositif li au mode extérieur (par exemple au terminal 2i) via des moyens pour délivrer S.
Pour produire un mot de contrôle, les moyens de traitement d'un dispositif li conforme à l'invention peuvent mettre en œuvre un procédé 100 tel qu'illustré par la figure 5a.
Un tel procédé pour produire un mot de contrôle, comporte une première étape pour recevoir 101 une balise t via les moyens de réception R du dispositif li. Il comporte en outre une étape pour déterminer 103 la crypto-période courante cp en exploitant la balise t reçue puis une étape pour produire 105 un mot de contrôle ki cp à partir de ladite crypto-période courante cp , de l'identificateur i dédié au dispositif et du secret SK - i et SK étant mémorisés par le dispositif. Le procédé comporte également une étape pour délivrer un mot de contrôle k égal à kicv via les moyens pour délivrer S du dispositif. Selon le premier mode de réalisation préféré s' appuyant sur le groupe bilinéaire β = (/>,G1,G2,G7 ,e(.,.)) d'ordre p premier, un dispositif d'abonné, mettant en œuvre un procédé 100 tel qu'illustré en liaison avec la figure 5a, réceptionne 101 une balise t - éventuellement valide 102 son intégrité - puis déduit 103 la crypto¬ période courante cp . En 104, ledit dispositif met en œuvre une fonction déterminée 0 (identique à celle mise en œuvre par le serveur de contenus) qui, appliquée à la composante χ0 du secret SK^MK et à la crypto-période cp , permet de générer ycp qui appartient à Z^ .
Le procédé 100 comporte alors une étape 105 pour élaborer le mot de contrôle kicp. Cette étape consiste à calculer un couple de grandeurs xicp et Aicp. xicp appartient à Z^ et est calculé par les moyens de traitement du dispositif de manière déterministe à partir de l'identificateur i et de la crypto-période cp . Aicp est calculé par le dispositif comme étant égal à 1
Ycp+Xi,cp
Le dispositif li mettant en œuvre un procédé 100 peut alors délivrer 106 au monde extérieur (tel qu'un terminal 2i avec lequel il coopère) un mot de contrôle k égal à i,cp '
L'invention prévoit que, selon la variante décrite en liaison avec la figure 3a, un dispositif d'abonné conforme à l'invention puisse - en lieu et place du serveur de contenu 3 - produire et élaborer l'entête H. Le procédé 100 comporte alors une étape 105a pour élaborer les composantes dudit entête et une étape 106a pour délivrer au terminal avec lequel il coopère ledit entête. L'étape 105a est similaire à l'étape 413a décrite précédemment et mise en œuvre par un serveur 3 selon la figures 3 et 7.
Ainsi l'étape 105a mise en œuvre par un dispositif d'abonné, tel que décrit en liaison avec la figure 3a, peut consister à calculer un ensemble
Figure imgf000026_0001
composantes respectivement égales à un couple de
1
grandeurs (f7cP+sJ , Sj ) pour tout j com ris entre 1 et n .
Pour déterminer l'ensemble s = de n valeurs
Figure imgf000026_0002
identique à l'ensemble s utilisé pour élaborer le mot K par le serveur 3 (étape 413 de la figure 7) et pour choisir le générateur / parmi le groupe G2 (durant l'étape 402 en marge de l'élaboration du secret MK ) , l'invention prévoit que la balise t comporte des données caractérisant lesdits choix. En variante, lesdits ensemble s = js j ^ et générateur / sont prédéterminés et partagés entre le serveur et l'ensemble des dispositifs d' abonnés . Pour décoder un contenu encodé C, les moyens de traitement d'un terminal 2i tel que représenté en liaison avec les figures 3 ou 3a, coopèrent avec des moyens pour mémoriser les paramètres du groupe bilinéaire β . Ils mettent en œuvre une fonction de décodage dec - telle que celle décrite en liaison avec la figure 6 - pour produire un contenu clair M .
Un tel procédé 200 est mis en œuvre par les moyens de traitement du terminal à la suite de la réception depuis le monde extérieur d'un contenu encodé C, d'un entête H et d'un mot de contrôle kicp. Il comporte une étape pour appliquer 201 une première fonction Fl à l'entête H et au mot de contrôle kj cp pour produire 203 un mot K. Le procédé 200 comporte en outre une étape pour appliquer 204 une deuxième fonction 3 audit mot K et au contenu encodé C pour produire le contenu clair M . Selon ce mode de réalisation, la fonction 3_1 , mise en œuvre par le serveur pour encoder le contenu, est une fonction inverse de la fonction 3. Le terminal peut ainsi délivrer 205 ledit contenu clair M . Selon un mode de réalisation, les moyens de traitement du terminal peuvent mettre en œuvre une fonction d'expansion F2 pour adapter le format du mot K avant l'application de la fonction 3.
Ainsi, selon le premier mode de réalisation préféré de l'invention s' appuyant sur un groupe bilinéaire β = ( >,G1,G2,Gr,e(.,.)) d'ordre p premier, nous rappelons que le mot de contrôle kicp comporte deux composantes xicp et cp' xicp ayant été calculée directement à partir de l'identificateur i du dispositif d'abonné qui a produit et délivré ledit mot de contrôle. Nous rappelons en outre que l'entête H consiste en un ensemble de composantes hj
1
respectivement égales à (f7cP+sJ , Sj) pour tout j compris entre 1 et n. L'étape pour produire 203 le mot K consiste dès lors à mettre en œuvre une application bilinéaire e : GJXGJ->GT pour laquelle G1 , G2 et G^ sont trois groupes cycliques d'ordre premier p. Cette application bilinéaire porte sur les composantes de H et
1
de kicp telle que Kj = e(Aj cp,(frcp+Sj )Xl,cp Sj .f) pour tout j = \ à n , / étant le générateur appartenant au groupe cyclique G2 d'ordre p.
Par la mise en œuvre de la propriété de bilinéarité,
1
Figure imgf000027_0001
= e(g,f) CP+Sj . Nous pouvons constater que cette propriété permet de supprimer la contribution de la grandeur xicp qui dépend directement de l'identificateur i dédié au dispositif d'abonné li qui a produit et délivré le mot de contrôle kicp.
Pour produire le contenu clair M , l'étape 204 pour appliquer la fonction 3 auxdites composantes du mot K et au contenu encodé C consiste à appliquer la fonction 3 aux composantes préalablement agrégées 203 concaténées ou mélangées d'une manière similaire à l'agrégation réalisée à l'étape 414 lors de l'encodage du contenu par le serveur. A titre d'exemple, la fonction 3 peut consister en le ou-exclusif - les fonctions 3 et 3_1 étant alors identiques.
La mise en œuvre éventuelle de la fonction d'expansion F2 - étape 202 - peut consister, selon l'exemple préféré de réalisation de l'invention, à adapter la taille des sorties de chaque application de la fonction Fl à une composante Kj pour la rendre compatible avec l'application de la fonction 3 entre
*
l'agrégation desdites composantes Kj ainsi adaptées par F2 et le contenu encodé C .
L' invention prévoit un deuxième mode de réalisation préféré s' appuyant également sur la notion mathématique de couplage dans des groupes d'ordre premier. Selon ce deuxième mode de réalisation, la valeur du secret SKj mémorisé dans chaque dispositif d'abonné est distincte et dépend notamment de la valeur de l'identificateur i de ce dernier .
Soit β , un groupe bilinéaire β = ( >,G1,G2,Gr,e(.,.)) d'ordre p premier tel que |?| = /l, λ définissant la taille des éléments en tant que paramètre de sécurité. G1 , G2 et Gy, sont trois groupes cycliques d'ordre p et e:Gi xG9 - GT un couplage. Une relation particulière entre les groupes G1 et G2 n'est pas requise. Les deux groupes peuvent être identiques ou plus généralement, un isomorphisme Ψ entre G^ et G2 peut être défini.
L' invention prévoit que soient privilégiées tout éventuel isomorphisme ainsi que tout couplage efficacement calculables .
La valeur du secret MK connu du serveur peut consister à choisir aléatoirement deux générateurs g et / respectivement des groupes G1 et G2 - comme
R R
l'indiquent les notations g < Gj et f < G2. On choisit en outre et aléatoirement y appartenant à l'ensemble Z^ des entiers modulo p . Le secret MK peut alors être défini comme un ensemble de trois composantes respectivement égales à g, y et f - nous utiliserons la notation MK = (g,y,f) pour décrire ceci.
Pour générer un couple de secrets SK et DK , destinés à être mémorisés respectivement dans le dispositif d'abonné li et dans le terminal 2i coopérant avec ce dernier, le serveur 3 peut mettre en œuvre le procédé suivant. On choisit 2· appartenant à Z^ et l'on
1
calcule la grandeur B 2·= fr+Xl . Un secret SKi peut être défini comme un ensemble de deux composantes respectivement égales à χ2· et i?2- - nous utiliserons la notation SKi = (xi,Bi ') pour décrire ceci. Un secret DKi est défini comme étant égal à DKi = g i .
Les moyens de traitement d'un serveur 3 tel que celui décrit en liaison avec les figures 3 et 3a, peuvent alors mettre en œuvre un procédé pour encoder un contenu clair M et produire pour un contenu encodé C .
Un tel procédé peut comporter une étape pour produire un contenu encodé C à partir d'une crypto-période cp et du secret MK connu ou mémorisé par le serveur 3. Pour une crypto période cp , un tel procédé comporte en outre une étape pour produire une balise t = tcp afin de caractériser la crypto-période cp à partir de laquelle le contenu encodé C a été produit. A titre d'exemple, et selon le deuxième mode de réalisation préféré, ladite étape pour produire t = tcp consiste à choisir éventuellement aléatoirement - ycp parmi l'ensemble Z^
1
et générer une grandeur fcp = fr+ycP . La balise t = tcp consiste en un couple de deux gradeurs respectivement égales à ycp et fc ~p r telle que t = tcp = {ycp , f~ p ) . Un tel procédé peut comporter en outre une étape préalable à l'émission de la balise t pour associer à celle-ci des données attestant son intégrité.
La fonction enc pour produire le contenu encodé C consiste à choisir tout d'abord - éventuellement aléatoirement - un ensemble s = de n valeurs
Figure imgf000030_0001
appartenant chacune à Z^ . On calcule ensuite un mot
K = ^Kj^ ^ dont les n composantes sont respectivement égales à Kj = e(g,fcp) J pour tout j compris entre 1 et n .
Le serveur applique une fonction 3_1 audit mot K et au contenu clair M pour produire le contenu encodé C . Selon un exemple de réalisation, la fonction 3_1 est le ou-exclusif. Les composantes du mot K sont préalablement concaténées ou mélangées de manière déterminée.
Le procédé mis en œuvre par le serveur peut comporter en outre une étape pour élaborer l'entête H pour permettre in fine le décodage du contenu encodé par un terminal. Cette variante est mise en œuvre par un serveur 3 tel que décrit en liaison avec la figure 3, qui délivre l'entête H conjointement au contenu encodé C et la balise t . 'entête H peut
Figure imgf000031_0001
respectivement égales à un couple de randeurs ( hj j , hj 2 ) ·
Figure imgf000031_0002
l'ensemble utilisé pour élaborer le mot K .
Pour mettre en œuvre l'invention selon ce deuxième mode de réalisation préféré, il est nécessaire d'adapter en outre les dispositifs électroniques d'abonnés. Un tel dispositif li - tel que décrit en liaison avec la figure
5 - comporte des moyens 23 pour mémoriser la valeur du secret SK tel qu'élaboré par le serveur. Il comporte en outre des moyens 13 pour produire un mot de contrôle ki cp conformément à un procédé qui, par exemple, comporte une première étape pour recevoir une balise t via les moyens de réception R du dispositif li. Il comporte en outre une étape pour déterminer la crypto-période courante cp en exploitant la balise t = tcp reçue puis une étape pour produire un mot de contrôle ki cp à partir de ladite crypto-période courante cp , de l'identificateur i dédié au dispositif et du secret SK; - i et SKj étant mémorisés par le dispositif. Le procédé comporte également une étape pour délivrer un mot de contrôle k égal à ki cp via les moyens pour délivrer S du dispositif.
Selon le deuxième mode de réalisation préféré s' appuyant sur le groupe bilinéaire β = (/>,G1,G2,G7 ,e(.,.)) d'ordre p premier, un dispositif d'abonné li comporte un secret SK^ ix^ Bj) . La balise t = tcp reçue est égale à t = ic =(ycn-> fc ) ' CP étant la crypto-période courante. Un procédé pour produire ki cp consiste à calculer γ+r· j- +ycp rcp ).(y +xf ) = (y +xf )
( ,·■/<?) (/ Jcp
Le dispositif li mettant en œuvre un tel procédé peut alors délivrer au monde extérieur (tel qu'un terminal 2i avec lequel il coopère) un mot de contrôle k égal à i,cp '
L'invention prévoit que, selon la variante décrite en liaison avec la figure 3a, un dispositif d'abonné conforme à l'invention puisse - en lieu et place du serveur de contenu 3 - produire et élaborer l'entête H tel que défini précédemment.
Pour décoder un contenu encodé C, les moyens de traitement d'un terminal 2i tel que représenté en liaison avec les figures 3 ou 3a, mettent en œuvre une fonction de décodage dec pour produire un contenu clair M . Un tel décodeur 2i comporte en outre des moyens pour mémoriser la valeur du secret DK élaboré par le serveur ainsi que les paramètres du groupe bilinéaire β .
Un procédé mis en œuvre par les moyens de traitement du terminal à la suite de la réception depuis le monde extérieur d'un contenu encodé C, d'un entête H et d'un mot de contrôle ki cp , comporte une première étape pour produire un mot K = ^Kj^ Selon le deuxième mode de réalisation préféré, nous rappelons que l'entête H élaboré par le serveur ou en variante par le dispositif d'abonné, consiste en un ensemble H = j/z j ^ de n composantes respectivement égales à un couple de grandeurs ( hj j , hj 2 ) ·
Ainsi, l'étape pour produire le mot K consiste, pour tout j compris entre 1 et n , à élaborer
Figure imgf000033_0001
Nous pouvons constater que la contribution de la grandeur 2· - qui dépend directement de l'identificateur i dédié au dispositif d'abonné li qui a produit et délivré le mot de contrôle ki cp - est supprimée.
Pour produire le contenu clair M , le procédé comporte en outre une étape pour appliquer une fonction 3 au mot K et au contenu encodé C . Cela revient à appliquer la fonction 3 aux composantes du mot
K = \K préalablement agrégées concaténées ou mélangées d'une manière similaire à l'agrégation réalisée lors de l'encodage du contenu par le serveur. A titre d'exemple, la fonction 3 peut consister en le ou- exclusif - les fonctions 3 et 3_1 étant alors identiques .
En liaison avec la figure 4, pour prévenir l'usage d'un mot de contrôle kp cp - émis par un pirate résultant d'un mélange basé sur un des mots de contrôle ka cp , kb cp ou kz cp , l'invention prévoit un troisième mode de réalisation préféré qui s'appuie également sur la notion mathématique de couplage dans des groupes d' ordre premier .
Soit β, un groupe bilinéaire β = (/>,G1,G2,G7,e(.,.)) d'ordre p premier tel que |?| = λ, λ définissant la taille des éléments en tant que paramètre de sécurité. G1 , G2 et Gy, sont trois groupes cycliques d'ordre p et e:GjXG2—>&T un couplage. Une relation particulière entre les groupes G1 et G2 n'est pas requise. Les deux groupes peuvent être identiques ou plus généralement, un isomorphisme Ψ entre G^ et G2 peut être défini.
L' invention prévoit que soient privilégiées tout éventuel isomorphisme ainsi que tout couplage efficacement calculables. Selon ce troisième mode de réalisation, on définit en outre un paramètre T qui détermine la taille maximale d'une coalition autorisée.
Comme pour le premier mode de réalisation préféré, chaque dispositif d'abonné mémorise un secret dont la valeur SK = MK est commune et partagée entre un groupe de dispositifs d'abonné et est connue du serveur de contenus .
La valeur dudit secret MK peut consister à choisir éventuellement aléatoirement un générateur g0 du groupe
. On choisit en outre - éventuellement aléatoirement - y appartenant à l'ensemble des entiers modulo p . Le secret MK peut alors être défini comme un ensemble de deux composantes respectivement égales à g0 et y - nous utiliserons la notation MK = (gQ, y) pour décrire ceci.
Les moyens de traitement d'un serveur 3, tel que décrit en liaison avec les figures 3 et 3a, peut alors mettre en œuvre un procédé pour encoder un contenu clair M et produire pour un contenu encodé C à partir d'une crypto-période cp et du secret MK connu ou mémorisé par le serveur 3.
Pour une crypto-période cp , un tel procédé comporte une première étape pour produire une balise t = tcp afin de caractériser la crypto-période cp à partir de laquelle le contenu encodé C va être produit . Un tel procédé peut comporter en outre une étape préalable à l'émission de la balise t pour associer à celle-ci des données attestant son intégrité.
Pour produire un contenu C, le procédé comporte une étape pour appliquer une fonction déterminée FQ au générateur g0 et à la crypto-période cp pour produire Scp = Fo (go > cP) appartenant au groupe G1. Il comporte en outre une étape éventuellement aléatoirement - r = deux ensembles
Figure imgf000035_0001
d'éléments de . II comporte une étape pour calculer un mot K = ^Kj^ ^ dont les n composantes sont respectivement égales à
sj
Kj=e(gCp,j) J' J' ' pour tout j compris entre 1 et n, f étant un générateur de G2 ·
Le serveur applique une fonction 3_1 audit mot K et au contenu clair M pour produire le contenu encodé C . Selon un exemple de réalisation, la fonction 3_1 est le ou-exclusif. Les composantes du mot K sont préalablement concaténées ou mélangées de manière déterminée.
Le procédé mis en œuvre par le serveur peut comporter en outre une étape pour élaborer un entête H pour permettre in fine le décodage du contenu encodé par un terminal. Cette variante est mise en œuvre par un serveur 3 tel que celui décrit en liaison avec la figure 3, qui délivre l'entête H conjointement au contenu encodé C et la balise t .
Selon ce mode de réalisation, l'entête H peut consister en un ensemble H = jz j. ^ de n composantes respectivement égales à un quadruplet de grandeurs
. Pour tout j compris entre 1 et n ,
Figure imgf000035_0002
i i 1
P = f +rj>1 , P2=f(l +rJ>l)ij +rj>2) , ... PT = f(l +rJ>l)ij +rj>T) , j=n
f =T
l'ensemble r = |r /-/ -_1 étant identique a l'ensemble r
1=1
utilisé pour élaborer le mot K. L'ensemble s, les générateurs gcp et / ainsi que T sont également identiques aux éléments utilisés pour élaborer le mot K .
Pour mettre en œuvre l'invention selon ce troisième mode de réalisation préféré, il est nécessaire d'adapter en outre les dispositifs électroniques d'abonnés. Un tel dispositif li - tel que décrit en liaison avec la figure
5 - comporte des moyens 23 pour mémoriser la valeur du secret SK = MK élaborée par le serveur ou simplement connue de celui-ci. Il comporte en outre des moyens 13 pour produire un mot de contrôle kj cp conformément à un procédé qui, par exemple, comporte une première étape pour recevoir une balise t via les moyens de réception R du dispositif li. Il comporte en outre une étape pour déterminer la crypto-période courante cp en exploitant la balise t = tcp reçue puis une étape pour produire un mot de contrôle ki cp à partir de ladite crypto-période courante cp , de l'identificateur i dédié au dispositif et du secret SKt - i et SKt étant mémorisés par le dispositif d'abonné. Le procédé comporte également une étape pour délivrer un mot de contrôle k ' égal à ki cp via les moyens pour délivrer S du dispositif.
Selon ce troisième mode de réalisation préféré s' appuyant sur le groupe bilinéaire β = (/>,G1,G2,G7 ,e(.,.)) d'ordre p premier, un dispositif d'abonné li comporte un secret SKt = MK = ( g,/) · La balise t = tcp reçue permet de caractériser et donc de déduire la crypto-période courante cp .
Un procédé pour produire ki cp consiste tout d'abord à produire gcp en appliquant une fonction FQ - identique à la fonction mise en œuvre par le serveur - à go et cp telle que gcp = F0 (g0, cp) .
En outre, ledit procédé comporte une étape pour produire, de manière déterministe et connue du serveur - une grandeur X{ ψ r élément de , qui dépend de l'identificateur i du dispositif et de la crypto-période courante cp . En variante, xicp=xi est calculé pour dépendre l'identificateur i mais non de cp . L'étape pour produire le mot de contrôle traçable k' = kicp consiste à produire un triplet kifip=(xifip ' ^i,cp ' ^i,cp ) P°ur lequel xi,cp 1
ï+xi,cp ï+xi. cp
A i,cp Sep et B, i,cp ■f
Le dispositif li mettant en œuvre un tel procédé peut alors délivrer au monde extérieur (tel qu'un terminal 2i avec lequel il coopère) un mot de contrôle k égal à i,cp '
L'invention prévoit que, selon la variante décrite en liaison avec la figure 3a, un dispositif d'abonné conforme à l'invention puisse - en lieu et place du serveur de contenu 3 - produire et élaborer l'entête H tel que défini précédemment.
Pour décoder un contenu encodé C, les moyens de traitement d'un terminal 2i tel que représenté en liaison avec les figures 3 ou 3a, mettent en œuvre une fonction de décodage dec pour produire un contenu clair M . Un tel décodeur 2i comporte en outre des moyens pour mémoriser les paramètres du groupe bilinéaire β .
Un procédé mis en œuvre par les moyens de traitement du terminal à la suite de la réception depuis le monde extérieur d'un contenu encodé C, d'un entête H et d'un mot de contrôle kicp, comporte une première étape pour produire un mot K = ^Kj^ Selon ce troisième mode de réalisation préféré, nous rappelons que l'entête H élaboré par le serveur ou en variante par le dispositif d'abonné, consiste en un ensemble H = ih;) de n composantes respectivement égales à un à un quadruplet de grandeurs [ { ¾=1 , { }/=i ,PT Pour tout j compris
1 1
r+rj,\)(r+rj, entre 1 et Pl = f
1
J=n
l=T
Ρτ = f Ύ l'ensemble r = {rj i ^-=\ appartenant à Έρ
1=1
Nous rappelons en outre que le mot de contrôle kj c consiste en un triplet kifip=(xifip ' ^i,cp ' ^i,cp ) P°ur lequel xi,cp 1
ï+xi,cp r+xi. cp
,cp Sep et B, i,cp
Ainsi, l'étape pour produire le mot K consiste, pour tout n , à élaborer
Figure imgf000038_0001
Nous pouvons constater que la contribution de la grandeur i,cp qui dépend directement de l'identificateur i dédié au dispositif d'abonné li qui a produit et délivré le mot de contrôle h i,cp n' apparaît plus dans le mot K .
Pour produire le contenu clair M , le procédé comporte en outre une étape pour appliquer une fonction 3 au mot K et au contenu encodé C . Cela revient à appliquer la fonction 3 aux composantes du mot K=\K \ préalablement agrégées - concaténées ou
{ J)j=\
mélangées d'une manière similaire à l'agrégation réalisée lors de l'encodage du contenu par le serveur. A titre d'exemple, la fonction 3 peut consister en le ou- exclusif - les fonctions 3 et 3_1 étant alors identiques .
Selon une variante, pour un j donné, les éléments
Y: i)}T peuvent être calcules de manière déterministe a ■>' n=\
partir d'une graine, de sorte que seule cette graine ne soit transmise dans la composante hj de l'entête H.
Ladite composante est alors de taille constante et indépendante de T . Ce paramètre T peut être adapté au niveau de sécurité et à l'efficacité du système souhaités .
Que l'on choisisse l'un de trois modes de réalisation préférés précédemment décrits ou plus généralement un mode de réalisation conforme à l'invention, le système d'accès conditionnel ainsi constitué utilise des mots de contrôles kicp traçables, donc détectables par un opérateur. Un tel système prévient ainsi tout risque de control-word sharing.
Pour illustrer une méthode permettant de tracer un mot de contrôle kicp produit conformément à l'invention - quand bien même, le mot de contrôle kpcp échangé par le pirate soit un mot mélangé ou résultant d'une collusion de plusieurs mots de contrôle kacp, ¾^ ou kz cp considérons qu'un pirate délivre à un « abonné » indélicat un utilitaire de déchiffrement ou programme accompagné d'un mot de contrôle mélangé émis par un réseau pirate. Grâce à l'invention, il est possible de retrouver l'identité d'au moins un des dispositifs légitimes (ou traîtres) ayant servi à la fabrication dudit mot de contrôle mélangé. Cette capacité, appelée traçabilité, peut être réalisée au moyen d'une méthode générale dite de traçage en boîte blanche.
Selon cette méthode, le décodeur pirate est tout d'abord interprété comme une séquence d'instructions formelles, chaque instruction étant composée d'une opération, d'une ou plusieurs variables d'entrée et d'une variable de sortie. Parmi les opérations possibles, on distingue les opérations associées au système bilinéaire (/7, GJ , G2 , G ) , à savoir les opérations de multiplication et d'exponentiation dans chacun des groupes
Figure imgf000040_0001
' ainsi que l'opération de couplage bilinéaire. Ces opérations sont appelées « algébriques » tandis que toutes les autres seront qualifiées d'opérations « annexes ». Dans cette même phase d'interprétation, les variables d'entrée et de sortie de chaque instruction sont mises sous une forme dite SSA (Static Single- Assignment, selon une terminologie anglo-saxonne) de manière à pouvoir aisément déduire de cette représentation du décodeur pirate un graphe de calcul de toute variable manipulée par lui au cours de son exécution formelle. La variable de sortie du programme représente la donnée en clair K et est issue d'un graphe de calcul à valeur de sortie dans Gj . On limite le programme au calcul de ce graphe.
Dans une seconde étape dite de spécialisation, on cherche à fixer toutes les variables d'entrée du programme à des valeurs constantes pour lesquelles le programme parvient à déchiffrer correctement. Cette recherche de valeurs fixes peut être conduite de manière aléatoire et exhaustive et, si le décodeur donné à l'origine est suffisamment fonctionnel (c'est-à-dire déchiffre dans une fraction significative des cas en moyenne) , cette étape de recherche peut aboutir rapidement en quelques essais. Lorsque des valeurs conviennent, elles sont substituées aux variables correspondantes dans le programme, de sorte que le nouveau programme obtenu est composé uniquement d'instructions effectuées sur des constantes. On procède alors à une étape de simplification du programme visant à obtenir une unique séquence d'instructions sans saut.
A cette fin, on effectue une propagation des constantes pour supprimer toutes les instructions annexes dont les variables d'entrée sont toutes des constantes ; cette transformation exclut donc les opérations algébriques. A l'issue de cette phase, on supprime les sauts non conditionnels en juxtaposant bout à bout les séquences linéaires d'instructions par ordre chronologique d'exécution. Le programme devient alors une suite d'instructions algébriques séquentielles sans flot de contrôle.
Dans une troisième phase, on applique au programme obtenu plusieurs transformations de simplifications algébriques de manière inductive et concurrente jusqu'à stabilisation du programme. Ces transformations visent à obtenir un programme équivalent dans lequel la sortie K est calculée comme un produit de puissances entières de couplage à partir des données d'entrée, ces puissances étant des valeurs constantes du fait des phases de transformation précédentes. On identifie ensuite l'exposant correspondant à chaque élément algébrique du chiffré donné en entrée ainsi qu'à chaque élément du mot de contrôle mélangé donné en entrée. Du fait des propriétés mathématiques de l'invention, cet ensemble d'exposants, dont les valeurs sont connues, forme un système d'équations multivariées connu à l'avance dont les variables sont d'une part les éléments Χ ,Χ2,..·,χζ ^ Z^ composant les mots de contrôle ayant servi à la fabrication du mot de contrôle mélangé, et d'autre part les paramètres choisis s^ij,.-,^ e Z composant le chiffré C donné en entrée par le traceur. Le système d'équations multivariées dépend du mode de réalisation de l'invention. Connaissant la valeur num des sorties du système et les paramètres choisis , le système
Figure imgf000042_0001
peut être partiellement ou totalement inversé pour retrouver au moins l'un des éléments Xi,X2,...,xz composant l'un des mots de contrôle originels et ainsi identifier complètement l'un des dispositifs traîtres. Cette phase peut nécessiter d'avoir z < B où B est une borne qui dépend du mode de réalisation de l'invention.
L' invention prévoit également un mode de réalisation pour autoriser ou interdire un dispositif électronique d'abonné - conforme à l'invention - à produire un mot de contrôle k' = kicp. L'invention prévoit ainsi qu'un tel dispositif ne puisse être autorisé à produire k' = kicp que si une date de mise à disposition ou une date d' initialisation est antérieure à la crypto-période courante. Ainsi et à titre d'exemple, lors de la souscription d'un abonnement, une date d'initialisation cpb peut être mémorisée dans le dispositif d'abonné délivré à un néo-abonné. Selon ce mode de réalisation, un dispositif d'abonné conforme à l'invention comporte des moyens 24 pour mémoriser une telle date. Celle-ci peut être exprimée comme étant égale à la crypto-période courante lors de la souscription. Ainsi, les moyens de traitement 10 d'un tel dispositif peuvent être adaptés pour coopérer avec lesdits moyens 24 et ne délivrer un mot de contrôle k' = kicp que si la crypto-période courante cp est supérieure ou égale à cpb . Ce mode de réalisation est illustré par les figures 5 et 5b. Selon cette dernière figure, le procédé 100, mis en œuvre par les moyens de traitement 10 d'un dispositif d'abonné, comporte une étape 109 prévue à cet effet. En figure 5, un dispositif 1 comporte des moyens 14 et 15 pour comparer cpb et cp et commander A la délivrance respective k ' = ki cp ou k ' = kf , kf étant une valeur distincte d'une valeur valide d'un mot de contrôle kj cp . Selon ces mêmes figures, l'invention prévoit qu'une ou plusieurs valeurs kf puissent être mémorisées par le dispositif 1 - moyens de mémorisations 26. Les moyens S délivrent 106b un mot de contrôle k ' = kf en lieu et place de k ' = ki cp si cpb est supérieure à la crypto-période courante cp . Ce mode de réalisation prévient ainsi toute utilisation d'un dispositif d'abonné pour décoder un contenu encodé perçu antérieurement à la souscription d'abonnement. L'invention prévoit en complément ou en variante, l'utilisation d'une date d'expiration cpe qui peut être mémorisée dans tout dispositif d'abonné conforme à l'invention. Cette date est inscrite dans des moyens 25 d'un tel dispositif lors de la résiliation souhaitée ou forcée d'un abonnement. Ainsi, un procédé 100, décrit en liaison avec la figure 5b, peut comporter une étape 109 permettant de comparer la crypto-période courante cp déduite de la balise et de ne délivrer 106 k ' = ki cp ¾ue si ladite crypto-période courante est inférieure à cpe . Dans le cas contraire, le mot de contrôle délivré 106b par le dispositif peut être égal à kf comme lors du traitement de la date d'initialisation.
Ce mode de réalisation peut être mis à profit pour éventuellement révoquer un dispositif traître en transmettant, via le réseau 4, une requête de révocation ciblée et mettre en échec l'utilisation dudit dispositif traître.
Selon ce mode de réalisation, le serveur de contenus élabore une balise t = w||v||çp qui comporte, outre des données relatives à la crypto-période courante cp - des composantes u et v de valeurs déterminées. La composante u permet d' indiquer une demande de révocation à destination d'un dispositif dont la valeur de l'identificateur i est contenue dans la composante v . A réception d'une balise t = w||v||çp , les valeurs u , v et cp sont extraites par les moyens 12 du dispositif li selon la figure 5. En liaison avec la figure 5b, les moyens 14 comparent 107 la valeur de la composante u avec une valeur prédéterminée ur . Si u = ur et que v = i (étape 110), les moyens de traitement du dispositif initialisent 111 une date d'expiration cpe égale à cp . Le dispositif d'abonné n'est plus en mesure de délivrer des mots de contrôle valides. Si la valeur de v est différente de la valeur de l'identificateur i du dispositif, ce dernier poursuit son traitement classique et produit un mot de contrôle valide.
L' invention prévoit une variante pour laquelle une requête en réhabilitation puisse être adressée à un dispositif d'abonné. Cette requête peut suivre une demande de révocation préalable ayant été adressée par erreur par exemple. L'objet d'une telle requête consiste à autoriser à nouveau un dispositif d'abonné à produire des mots de contrôle valides. De la même manière, l'invention prévoit une valeur prédéterminée ua caractéristique d'une telle requête. Pour annuler une révocation d'un dispositif, un serveur de contenus conforme à l'invention transmets une balise t = w||v||çp , pour laquelle M et v sont respectivement égales à ua et à l'identificateur i du dispositif concerné par la requête .
A réception d'une balise t = w||v||çp , les valeurs u , v et cp sont extraites par les moyens 12 du dispositif.
Les moyens 14 comparent 107 la valeur de la composante u avec la valeur prédéterminée ua . Si = ua et que v = i
(étape 110), les moyens de traitement du dispositif réinitialisent 111 une date d'expiration cpe égale à 0 - signifiant une absence d'expiration. Le dispositif d'abonné est à nouveau en mesure de délivrer de mots de contrôle valides. Si la valeur de v est différente de la valeur de l'identificateur i du dispositif, ce dernier poursuit son traitement classique ou demeure révoqué. Une telle requête en annulation de révocation ou en réhabilitation peut se traduire en variante par une requête en initialisation. Dans ce cas, il est possible d' initialiser la date d' initialisation cpb à la valeur courante de cp , la révocation se traduisant ainsi par la définition d'une date d'initialisation bien supérieure aux crypto-périodes courantes ou infinie.
Bien qu'étant illustré essentiellement en liaison avec le premier mode de réalisation préféré de l'invention - figure 5b - un tel procédé - pour révoquer ou réhabiliter un dispositif d'abonné - peut être mis en œuvre quel que soit le mode de réalisation d'un système d'accès conditionnel conforme à l'invention.

Claims

REVENDICATIONS
Procédé (100) pour produire un mot de contrôle, ledit procédé étant mis en œuvre par des moyens de traitement (10) d'un dispositif électronique d'abonné (1) coopérant avec un terminal (2i) , ledit dispositif comportant des moyens de réception (R) pour recevoir des données depuis le terminal (2i) et des moyens (S) pour délivrer ledit mot de contrôle produit audit terminal (2i), ledit procédé comportant :
une étape pour recevoir (101) des données via les moyens de réception (R) qui consistent en une balise t ;
une étape pour déterminer (103) la crypto¬ période courante en exploitant la balise t reçue ;
une étape pour produire (105) un mot de contrôle à partir de ladite crypto-période courante cp et d'un secret SK; mémorisé (23) par le dispositif ;
une étape pour délivrer un mot de contrôle k via les moyens pour délivrer (S) du dispositif ;
le procédé étant caractérisé en ce que :
l'étape pour produire le mot de contrôle consiste à élaborer un mot de contrôle kicp traçable dont la valeur est distincte de celle d'un mot de contrôle produit, pour la crypto-période courante cp , par tout autre dispositif d'abonné en intégrant la valeur d'un identificateur i dans le calcul du mot kj cp , ladite valeur de l'identificateur i étant mémorisé (22) par le dispositif et distincte de celle mémorisée par tout autre dispositif d'abonné ;
et en ce que l'étape pour délivrer le mot de contrôle consiste à délivrer V égal à kicp.
Procédé selon la revendication précédente, caractérisé en ce qu' il comporte une étape préalable (140) pour enregistrer le secret SK dans des moyens de mémorisation (23) du dispositif (li) .
Procédé selon les revendications 1 ou 2, caractérisé en ce qu'il comporte une étape préalable (109) pour autoriser le dispositif (li) à produire (105) un mot de contrôle.
Procédé selon les revendications 1 ou 2, caractérisé en ce qu'il comporte une étape préalable (109) pour autoriser le dispositif (1) à délivrer (106) un mot de contrôle V égal au mot de contrôle produit kicp.
Procédé selon les revendications 3 ou 4, caractérisé en ce que l'étape (109) préalable pour autoriser le dispositif (1) consiste à comparer la crypto-période cp déduite de la balise t à une date d' activation
(cpb) mémorisée (24) dans ledit dispositif et à autoriser le dispositif si ladite crypto-période cp est supérieure à ladite date d' activation .
Procédé selon les revendications 3 ou 4, caractérisé en ce que l'étape (109) préalable pour autoriser le dispositif (1) consiste à comparer la crypto-période cp déduite de la balise t à une date d'expiration
( cpe ) mémorisée (25) dans ledit dispositif et à autoriser le dispositif si ladite crypto-période cp est inférieure à ladite date d'expiration.
7. Procédé selon la revendication précédente, caractérisé en ce qu'il comporte une étape (111) pour écrire dans des moyens pour mémoriser (25) du dispositif une valeur de crypto-période préalablement déduite (103) de la balise t , en tant que date d'expiration ( cpe ) si ladite balise t comporte une composante u dont la valeur ( ur ) est caractéristique d'une demande de révocation et si ladite balise comporte en outre une composante v désignant l'identificateur i du dispositif.
Procédé selon les revendications 6 ou 7, caractérisé en ce qu'il comporte une étape (112) pour effacer dans des moyens pour mémoriser (25) une date d'expiration ( cpe ) si ladite balise t comporte une composante u dont la valeur ( ua ) est caractéristique d'une demande de réhabilitation et si ladite balise comporte en outre une composante désignant l'identificateur i du dispositif.
Dispositif électronique d'abonné (li) coopérant avec un terminal (2i, 2a, ..., 2P) , ledit dispositif comportant :
des moyens de réception (R) pour recevoir des données depuis le terminal (2) ; des moyens de traitement (10) pour produire un mot de contrôle à partir desdites données ;
des moyens (S) pour délivrer ledit mot de contrôle audit terminal (2),
caractérisé en ce que le dispositif comporte des moyens de mémorisation pour mémoriser un identificateur i (22), un secret SK; (23) et, en ce que lesdits moyens de traitement (10) et de mémorisation sont adaptés pour produire et délivrer un mot de contrôle k selon un procédé pour produire un mot de contrôle traçable kicp conforme à l'une quelconques des revendications 1 à 8.
Procédé (200) pour décoder un contenu encodé C et produire un contenu clair M , ledit procédé étant mis en œuvre par des moyens de traitement d'un terminal (2i) coopérant avec des moyens pour recevoir des données depuis le monde extérieur (3,
4) et des moyens pour délivrer ledit contenu clair
M , caractérisé en ce que lesdites données consistent en ledit contenu encodé C , un entête H et un mot de contrôle traçable kicp élaboré et délivré selon un procédé conforme à l'une quelconque des revendications 1 à 8 par un dispositif électronique d'abonné (li) conforme à la revendication précédente et coopérant avec ledit terminal, et en ce que le procédé (200) comporte :
une étape pour appliquer (201) une première fonction Fl à l'entête H et au mot de contrôle kicp pour produire (203) un mot K indépendant de l'identificateur i du dispositif ayant produit et délivré le mot de contrôle kj cp en supprimant la contribution dudit identificateur dédié i ; une étape pour appliquer (204) une deuxième fonction 3 audit mot K et au contenu encodé C pour produire le contenu clair M ;
une étape pour délivrer ledit contenu clair M via les moyens pour délivrer (205) du terminal . Procédé selon la revendication précédente, caractérisé en ce qu' il comporte une étape pour appliquer (202) une troisième fonction F2 au mot K produit pour adapter le format dudit mot préalablement à l'application de la fonction 3 pour produire le contenu clair M .
Terminal électronique (2i) comportant :
des moyens de réception pour recevoir des données depuis le monde extérieur (3, 4) ; des moyens de traitement (10) pour produire un contenu clair M à partir desdites données ;
des moyens pour délivrer ledit contenu clair à une interface homme-machine adaptée pour restituer ledit contenu clair (5) ;
des moyens pour coopérer avec un dispositif (li) conforme à la revendication 10,
caractérisé en ce que :
les données reçues du mode extérieur consistent en un contenu encodé C, un entête H et une balise t ;
les moyens pour coopérer avec ledit dispositif électronique d'abonné (li) transmettent à ce dernier ladite balise t et réceptionnent en retour un mot de contrôle traçable ki cp élaboré et délivré selon l'une quelconque des revendications 1 à 8 mises en œuvre par ledit dispositif ; le terminal comporte des moyens de traitement adaptés pour décoder et délivrer un contenu clair M selon un procédé conforme aux revendications 10 ou 11. Procédé (410) pour encoder un contenu clair M et produire un contenu encodé C , ledit procédé étant mis en œuvre par des moyens de traitement d'un serveur (3) comportant des moyens pour délivrer ledit contenu encodé C à un terminal selon la revendication 12 et coopérant avec un dispositif d'abonné selon la revendication 9, ledit procédé étant caractérisé en ce qu' il comporte :
une étape pour produire (414) un contenu encodé C à partir d'une crypto-période cp et d'un secret MK connu du serveur ;
une étape pour produire une balise t pour caractériser la crypto-période cp à partir de laquelle le contenu encodé C a été produit et permettre au dispositif de produire et délivrer un mot de contrôle traçable selon un procédé conforme à l'une quelconque des revendications 1 à 8 ;
une étape (413a) pour calculer et délivrer un entête H pour permettre le décodage du contenu encodé par le terminal selon un procédé de décodage conforme aux revendications 10 ou 11 ;
une étape pour délivrer conjointement ledit contenu encodé C , l'entête H et ladite balise t .
Serveur (3) caractérisé en ce qu'il comporte des moyens de traitement pour produire et délivrer au monde extérieur (4, 2) selon un procédé conforme à la revendication précédente :
un contenu encodé C à partir d'un contenu clair, d'une crypto-période cp et d'un secret
MK ;
une balise t ; un entête H .
15. Procédé (100) selon l'une quelconque des revendications 1 à 8, caractérisé en ce qu'il comporte en outre une étape pour élaborer (105a) et délivrer (106a) un entête H pour permettre au terminal de mettre en œuvre un procédé de décodage (200) conforme aux revendications 10 ou 11. 16. Dispositif (li) selon la revendication 9, caractérisé en ce que les moyens de traitement (10) sont adaptés pour produire et délivrer en outre un entête H selon un procédé conforme à la revendication précédente.
17. Système d'accès conditionnel à un contenu numérique, caractérisé en ce qu' il comporte un serveur (3) , un terminal (2i) et un dispositif électronique (li) respectivement conformes aux revendications 14, 12 et 9.
18. Système d'accès conditionnel à un contenu numérique, caractérisé en ce qu' il comporte un serveur (3) comportant des moyens de traitement pour produire une balise t , un contenu encodé C à partir d'un contenu clair M , d'une crypto-période cp et d'un secret MK , un terminal (2i) et un dispositif électronique (li) respectivement conformes aux revendications 12, et 16.
19. Procédé pour tracer un mot de contrôle kp,cp produit par un dispositif d'abonné traître conforme respectivement aux revendication 9 ou 16 mettant en œuvre un procédé (100) selon l'une quelconque des revendications 1 à 8 ou 15, caractérisé en ce qu'il comporte :
une étape pour collecter le mot de contrôle kp,cp '
- une étape pour collecter un utilitaire ou programme de déchiffrement pirate apte à décoder un contenu encodé à l'aide dudit mot de contrôle kp,cp ;
une étape pour déterminer un identifiant i—pd' n dispositif ayant produit kp,cp consistant à :
i. interpréter l'utilitaire ou programme de déchiffrement pour concevoir un programme équivalent exprimant un ensemble d'instructions sous la forme d'opérations algébriques et annexes comportant chacune au moins une variable d'entrée et au moins une variable de sortie ;
ii. fixer les variables d'entrée à des constantes pour lesquelles le programme équivalent décode le contenu encodé correctement ;
iii. simplifier ledit programme équivalent pour que celui-ci ne comporte qu'une séquence d' instructions sans saut ;
iv. convertir le programme équivalent simplifié en un système d'équations multivariées par la mise en œuvre de transformations algébriques ; v. inverser tout ou partie ledit système d'équations multivariées pour identifier le dispositif traître. Procédé d' accès conditionnel à un contenu numérique comportant :
une étape (410) pour élaborer et délivrer par un serveur (3) un contenu encodé C , une balise t et un entête H conformément à la revendication 13 ;
une étape pour réceptionner par un terminal (2i) lesdits contenu encodé C, balise t et l'entête H ;
une étape pour transmettre la balise t par le terminal à un dispositif (li) coopérant avec ledit terminal ;
une étape (100) pour produire et délivrer par ledit dispositif (li) au terminal (2i) un mot de contrôle traçable kj cp conformément à l'une quelconque des revendications 1 à 8 ;
une étape pour décoder (200) par le terminal (2i) le contenu encodé C et produire un contenu clair M selon un procédé conforme aux revendications 10 ou 11 ;
une étape pour restituer ledit contenu clair M au moyen d'une interface (5) adaptée audit contenu clair.
Procédé d' accès conditionnel à un contenu numérique comportant :
une étape (410) pour élaborer et délivrer par un serveur un contenu encodé C et une balise t caractérisant la crypto-période cp à partir de laquelle le contenu encodé C a été produit ;
une étape pour réceptionner par un terminal (2i) lesdits contenu encodé C et balise t ; une étape pour transmettre la balise t par le terminal à un dispositif (li) coopérant avec ledit terminal ;
une étape (100) pour produire et délivrer par ledit dispositif (li) au terminal (2i) un mot de contrôle traçable ki cp et un entête H conformément au procédé selon la revendication 15 ;
une étape pour décoder (200) par le terminal (2i) le contenu encodé C et produire un contenu clair M selon un procédé conforme aux revendications 10 ou 11 ;
une étape pour restituer ledit contenu clair M au moyen d'une interface (5) adaptée audit contenu clair.
PCT/FR2011/053040 2010-12-17 2011-12-16 Procédé et système d'accès conditionnel à un contenu numérique, terminal et dispositif d'abonné associés WO2012080683A2 (fr)

Priority Applications (7)

Application Number Priority Date Filing Date Title
EP11817383.0A EP2652899B1 (fr) 2010-12-17 2011-12-16 Procédé et système d'accès conditionnel à un contenu numérique, terminal et dispositif d'abonné associés
US13/994,380 US9294273B2 (en) 2010-12-17 2011-12-16 Method and system for conditional access to a digital content, associated terminal and subscriber device
BR112013015199-4A BR112013015199B1 (pt) 2010-12-17 2011-12-16 Método e sistema para acesso condicional a um conteúdo digital, terminal e dispositivo de assinante associado
MX2013006905A MX2013006905A (es) 2010-12-17 2011-12-16 Metodo y sistema para el acceso condicional a un contenido digital, terminal asociada y dispositivo de abonado.
CN201180067742.0A CN103384981B (zh) 2010-12-17 2011-12-16 用于条件访问数字内容的方法和系统、关联的终端和订户装置
ES11817383.0T ES2683771T3 (es) 2010-12-17 2011-12-16 Procedimiento y sistema de acceso condicional a un contenido digital, terminal y dispositivo de abonado asociados
JP2013543868A JP5784143B2 (ja) 2010-12-17 2011-12-16 デジタルコンテンツの限定受信のための方法およびシステム、ならびに関連の端末および契約者デバイス

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1060770A FR2969439B1 (fr) 2010-12-17 2010-12-17 Procede et systeme d'acces conditionnel a un contenu numerique, terminal et dispositif d'abonne associes
FR1060770 2010-12-17

Publications (2)

Publication Number Publication Date
WO2012080683A2 true WO2012080683A2 (fr) 2012-06-21
WO2012080683A3 WO2012080683A3 (fr) 2012-08-30

Family

ID=44146992

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2011/053040 WO2012080683A2 (fr) 2010-12-17 2011-12-16 Procédé et système d'accès conditionnel à un contenu numérique, terminal et dispositif d'abonné associés

Country Status (10)

Country Link
US (1) US9294273B2 (fr)
EP (1) EP2652899B1 (fr)
JP (1) JP5784143B2 (fr)
CN (1) CN103384981B (fr)
BR (1) BR112013015199B1 (fr)
ES (1) ES2683771T3 (fr)
FR (1) FR2969439B1 (fr)
MX (1) MX2013006905A (fr)
PT (1) PT2652899T (fr)
WO (1) WO2012080683A2 (fr)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014502102A (ja) * 2010-11-22 2014-01-23 クリプトエキスパーツ エスアエス デジタルコンテンツの限定受信のための方法およびシステム、ならびに関連の端末および契約者デバイス

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2958103B1 (fr) * 2010-03-23 2012-08-17 Cryptoexperts Sas Procede pour identifier un dispositif mis en oeuvre par un terminal pirate et dispositif associe

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020114465A1 (en) * 2000-01-05 2002-08-22 Shen-Orr D. Chaim Digital content delivery system and method
US7505593B2 (en) * 2002-12-09 2009-03-17 International Business Machines Corporation Method for tracing traitors and preventing piracy of digital content in a broadcast encryption system
JP2002271310A (ja) * 2001-03-09 2002-09-20 Shigeo Mitsunari 生成装置、暗号化装置、復号化装置、生成方法、暗号化方法、復号化方法、プログラム、ならびに、情報記録媒体
JP2004361723A (ja) * 2003-06-05 2004-12-24 Nec Commun Syst Ltd 楽曲データ配信システム、楽曲データ配信方法、および、楽曲データ配信プログラム
FR2856539A1 (fr) * 2003-06-17 2004-12-24 France Telecom Procede et systeme tracables de chiffrement et/ou de dechiffrement d'informations, et supports d'enregistrement pour la mise en oeuvre du procede
JP4452105B2 (ja) * 2004-03-12 2010-04-21 日本放送協会 復号情報生成装置及びそのプログラム、配信用コンテンツ生成装置及びそのプログラム、並びに、コンテンツ復号装置及びそのプログラム
JP2006109300A (ja) * 2004-10-08 2006-04-20 Matsushita Electric Ind Co Ltd セキュリティモジュール、ならびにそこで用いられる契約の更改方法、およびコンテンツ配信システム
US7958262B2 (en) * 2004-10-22 2011-06-07 Microsoft Corporation Allocating and reclaiming resources within a rendezvous federation
EP1662789A1 (fr) * 2004-11-29 2006-05-31 Nagracard S.A. Procédé de contrôle d'accès à des données à accès conditionnel
US8042188B2 (en) * 2005-07-15 2011-10-18 Sony Corporation Information processing apparatus, information recording medium manufacturing apparatus, information recording medium, method and computer program
CN101119582A (zh) * 2006-07-31 2008-02-06 华为技术有限公司 一种订阅移动业务的方法和系统
FR2905215B1 (fr) * 2006-08-23 2009-01-09 Viaccess Sa Procede de transmission d'une donnee complementaire a un terminal de reception
US7895341B2 (en) * 2007-04-11 2011-02-22 The Directv Group, Inc. Method and apparatus for file sharing between a group of user devices with separately sent crucial portions and non-crucial portions
JP2008301391A (ja) * 2007-06-04 2008-12-11 Murata Mach Ltd 放送用暗号システムと暗号通信方法、復号器及び復号プログラム
US8385545B2 (en) * 2007-07-27 2013-02-26 Howard G. Pinder Secure content key distribution using multiple distinct methods
CN101222772B (zh) * 2008-01-23 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络认证接入方法
WO2009112966A2 (fr) * 2008-03-10 2009-09-17 Nds Limited Système de distribution de clé
JP2010130461A (ja) * 2008-11-28 2010-06-10 Sony Corp 情報処理装置、情報処理方法、検出装置、検出方法、プログラム、及び通信システム
EP2207340A1 (fr) * 2009-01-12 2010-07-14 Thomson Licensing Procédé et dispositif pour la réception de mots de commande et procédé de transmission correspondant
EP2334070A1 (fr) * 2009-12-11 2011-06-15 Irdeto Access B.V. Génération d'un flux de données brouillé
EP2487828A1 (fr) * 2011-02-10 2012-08-15 Thomson Licensing Procédé et dispositif pour générer des mots de contrôle

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
None

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014502102A (ja) * 2010-11-22 2014-01-23 クリプトエキスパーツ エスアエス デジタルコンテンツの限定受信のための方法およびシステム、ならびに関連の端末および契約者デバイス

Also Published As

Publication number Publication date
BR112013015199A2 (pt) 2018-06-26
CN103384981B (zh) 2016-10-19
BR112013015199A8 (pt) 2018-10-09
US9294273B2 (en) 2016-03-22
BR112013015199B1 (pt) 2022-02-08
JP2014503137A (ja) 2014-02-06
ES2683771T3 (es) 2018-09-27
WO2012080683A3 (fr) 2012-08-30
EP2652899B1 (fr) 2018-05-23
FR2969439A1 (fr) 2012-06-22
PT2652899T (pt) 2018-10-08
JP5784143B2 (ja) 2015-09-24
FR2969439B1 (fr) 2018-06-22
MX2013006905A (es) 2013-10-17
EP2652899A2 (fr) 2013-10-23
CN103384981A (zh) 2013-11-06
US20130326211A1 (en) 2013-12-05

Similar Documents

Publication Publication Date Title
EP2168304B1 (fr) Verification de code mac sans revelation
FR2818062A1 (fr) Methode de transmission securisee de donnees numeriques d&#39;une source vers un recepteur
EP1634405B1 (fr) Procede, systeme et supports d&#39;enregistrement de chiffrement et/ou de dechiffrement traçable
WO2008150553A2 (fr) Schéma de chiffrement de contenu destiné à l&#39;intégration de la gestion des droits numériques dans une multidiffusion chiffrée
EP2643943B1 (fr) Procédé et système d&#39;accès conditionnel à un contenu numérique, terminal et dispositif d&#39;abonné associés
EP2022207B1 (fr) Procédé cryptographique à chiffrement et révocation intégrés, système, dispositif et programmes pour la mise en oeuvre du procédé
EP3818659A1 (fr) Procede d&#39;obtention d&#39;une succession de cles cryptographiques
FR2836608A1 (fr) Dispositif de traitement et procede de transmission de donnees chiffrees pour un premier domaine dans un reseau appartenant a un second domaine
EP2652899B1 (fr) Procédé et système d&#39;accès conditionnel à un contenu numérique, terminal et dispositif d&#39;abonné associés
WO2009053605A2 (fr) Systeme traçable de chiffrement/dechiffrement de donnees numeriques diffusees
WO2003019899A2 (fr) Reseau numerique local, procedes d&#39;installation de nouveaux dispositifs et procedes de diffusion et de reception de donnees dans un tel reseau
EP1557025A1 (fr) Procede simplifie de renouvellement de cles symetriques dans un reseau numerique
EP2550766B1 (fr) Procede pour identifier un dispositif mis en oeuvre par un terminal pirate et dispositif associe
EP2294750B1 (fr) Procede et systeme tracables de diffusion de donnees numeriques
EP3646526B1 (fr) Procédé de réception et de déchiffrement d&#39;un cryptogramme d&#39;un mot de contrôle
FR3072848B1 (fr) Procede de reception et de dechiffrement, par un processeur electronique de securite, d&#39;un cryptogramme d&#39;un mot de controle
FR3053497A1 (fr) Procede de renforcement de la securite d&#39;un systeme de television a peage a base de retro-communication periodique obligatoire
FR2885752A1 (fr) Systeme et procede de transmission securisee, module de chiffrement et processus de synthese de cles pour ce systeme

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11817383

Country of ref document: EP

Kind code of ref document: A2

ENP Entry into the national phase

Ref document number: 2013543868

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: MX/A/2013/006905

Country of ref document: MX

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2011817383

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 13994380

Country of ref document: US

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112013015199

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 112013015199

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20130617