(12) TŁUMACZENIE PATENTU EUROPEJSKIEGO (19) PL (11) (13) T3 (96) Data i numer zgłoszenia patentu europejskiego:

Transkrypt

1 RZECZPOSPOLITA POLSKA (12) TŁUMACZENIE PATENTU EUROPEJSKIEGO (19) PL (11) PL/EP (13) T3 (96) Data i numer zgłoszenia patentu europejskiego: (1) Int. Cl. H04N7/16 (06.01) (97) O udzieleniu patentu europejskiego ogłoszono: Urząd Patentowy Rzeczypospolitej Polskiej Europejski Biuletyn Patentowy /1 EP B1 (4) Tytuł wynalazku: Sposób weryfikacji urządzenia docelowego połączonego z urządzeniem nadrzędnym (30) Pierwszeństwo: EP (43) Zgłoszenie ogłoszono: Europejski Biuletyn Patentowy 08/30 (4) O złożeniu tłumaczenia patentu ogłoszono: Wiadomości Urzędu Patentowego 07/ (73) Uprawniony z patentu: Nagravision SA, Cheseaux-sur-Lausanne, CH PL/EP T3 (72) Twórca (y) wynalazku: LE BUHAN Corinne, Les Paccots, CH ZHAO Yishan, Antony, FR (74) Pełnomocnik: BRANDPAT Kancelaria Rzeczników Patentowych Chlebicka Czyż Gałązkiewicz Ziółkowski sp.p. rzecz. pat. Gałązkiewicz Włodzimierz Warszawa ul. Hoża 29/31 lokal 31 Uwaga: W ciągu dziewięciu miesięcy od publikacji informacji o udzieleniu patentu europejskiego, każda osoba może wnieść do Europejskiego Urzędu Patentowego sprzeciw dotyczący udzielonego patentu europejskiego. Sprzeciw wnosi się w formie uzasadnionego na piśmie oświadczenia. Uważa się go za wniesiony dopiero z chwilą wniesienia opłaty za sprzeciw (Art. 99 (1) Konwencji o udzielaniu patentów europejskich).

2 Opis Wstęp 1 Niniejszy wynalazek dotyczy dziedziny zabezpieczeń danych cyfrowych, w szczególności emitowanych danych typu audio/wideo. Stan techniki Wymiana danych, takich jak strumień wideo między urządzeniami do cyfrowego przetwarzania danych, wymaga wdrożenia technologii umożliwiających zapobieganie piractwu podczas dostępu do danych i ich przesyłanie w sieciach otwartych, takich jak sieci domowe. I tak, po wprowadzeniu na rynek telewizorów cyfrowych można spotkać odtwarzacze DVD wyposażone w wyjście cyfrowe dla takich telewizorów. Jest oczywiste, że nawet 1 najlepsze zabezpieczenie przed kopiowaniem samej płyty DVD nie ma żadnego sensu, jeżeli wystarczy przechwycić dane na wyjściu odtwarzacza. Z tego powodu dla zabezpieczenia danych przesyłanych w sieci domowej zostały opracowane rozwiązania, takie jak DTCP, HDCP, SmartRight czy SVP, obsługujące szyfrowanie danych na wyjściu urządzenia tego typu. Szyfrowanie jest dokonywane za pomocą algorytmów szyfrowania nazywanych algorytmami symetrycznymi, wymagającymi tajnych mechanizmów 2 ustanawiania odpowiednich kluczy, które powinny być znane urządzeniu nadającemu i odbierającemu dane, przy

3 2 czym klucze te są regularnie odnawiane dla zapewnienia poufności informacji. Zgodnie z przyjętym podejściem środki komunikacji każdego urządzenia obejmują certyfikat zawierający klucz prywatny i klucz publiczny, które umożliwiają ustanowienie uwierzytelnionego kanału szyfrowanego (SAC Secure Authenticated Channel). Te certyfikaty zawierają numer identyfikacyjny i są zwykle zgodne z normą X.09. Równocześnie certyfikat jest stosowany do uwierzytelnienia wzajemnego lub do uwierzytelnienia odbiornika zgodnie ze znanymi mechanizmami weryfikacji. Doświadczenia z przeszłości wykazały, jak system początkowo dobrze zaprojektowany może szybko stać się przestarzały, jeśli nie jest w stanie dostosować się do 1 wymogów pojawiających się w związku z atakami z zewnątrz. Każde zabezpieczenie rozwiązań opartych na wymianie certyfikatów, znanych również pod ogólną nazwą PKI (Public Key Infrastructure infrastruktura klucza publicznego) polega albo na regularnej wymianie certyfikatów, co trudno zastosować w przypadku sprzętu dla szerokiego odbiorcy, albo na odwoływaniu certyfikatów, których bezpieczeństwo zostało naruszone, przykładowo w przypadku urządzenia, którego informacje niejawne (w szczególności klucz prywatny) zostały 2 wydobyte w sposób nieuprawniony i zwielokrotnione na

4 3 wielką skalę (klonowanie urządzenia, przykładowo w postaci programu emulującego). Z tego powodu istnieje tendencja polegająca na dołączaniu do odtwarzaczy DVD list odwołujących uprawnienia urządzeń, których certyfikaty nie spełniają warunków norm dotyczących zabezpieczeń. Przed odtworzeniem takiej płyty DVD jest dokonywana weryfikacja w celu sprawdzenia, czy odtwarzacz ma prawo dostępu do treści i czy dla urządzenia podłączonego do odtwarzacza odbiór nie jest wzbroniony. Ta weryfikacja jest dokonywana na podstawie listy certyfikatów odwołanych (lista wykluczeń nazywana czarną listą). W przypadku nadawania treści może być stosowana podobna zasada, tj. rozpowszechnianie listy odwołanych 1 certyfikatów oraz proces weryfikacji odbiornika i urządzeń podłączonych do tego odbiornika, jeżeli wymagają one odbioru danych odbieranych przez odbiornik. Mimo to, takie podejście powoduje różne problemy techniczne i handlowe ze względu na dotyczące wymagań technicznych różnice między zastosowaniami w nadawaniu treści i dystrybucji treści na nośnikach pakowanych fabrycznie takich jak płyty DVD. Dokument WO03/437 opisuje sposób weryfikacji powiązania dwu terminali. Weryfikacja ta jest oparta na 2 wymianie informacji między terminalem głównym i terminalem podrzędnym, zezwala ona na normalne

5 4 funkcjonowanie terminala podrzędnego tylko wtedy, jeżeli ten ostatni jest powiązany z terminalem głównym. Dokument EP opisuje system mający na celu sprawdzanie, czy terminale tego samego użytkownika są zlokalizowane blisko siebie. W tym celu każdy z terminali jest połączony z modułem zabezpieczającym i jest wyposażony w środki umożliwiające jego aktywację i dezaktywację, połączone z licznikiem. Aby zreinicjalizować licznik i umożliwić w ten sposób działanie terminala podrzędnego, moduł zabezpieczający terminala głównego powinien być umieszczony w terminalu podrzędnym. Dokument US03/ opisuje system uniemożliwiający użytkowanie terminala podrzędnego 1 nabytego jako rozszerzenie terminala głównego, gdy terminal podrzędny znajduje się w oddaleniu od terminala głównego. Jest to realizowane w wyniku wymiany informacji prowadzonej między oboma terminalami, wymiana ta jest prowadzona w postaci szyfrowanej. Dokument EP opisuje również system zapewniający, że abonent posiadający wiele odbiorników nie może ich używać w oddaleniu od odbiornika nadrzędnego. Ten cel jest osiągany za pomocą modułu komunikacyjnego, którego zadaniem jest personalizacja 2 sygnału audio/wideo tak, by tylko uprawnione odbiorniki mogły uzyskiwać dostęp do odnośnych treści.

6 Dokument US04/ opisuje urządzenie umożliwiające komunikację w sieci komunikacyjnej i sposób tej komunikacji. Urządzenie sprzęgające przydziela adres pierwszemu urządzeniu i przekazuje mu ten adres. Ten adres jest również przekazywany do serwera komunikacyjnego sprzężonego z siecią komunikacyjną. Wspomniany adres pierwszego urządzenia może być przekazany do drugiego urządzenia, co umożliwi mu komunikację z pierwszym urządzeniem poprzez sieć komunikacyjną. Dokument EP opisuje możliwość wymiany treści multimedialnych poprzez sieć między dwoma urządzeniami z pamięcią masową, podłączonymi do jednego telewizora, gdy każde z tych urządzeń jest połączone ze 1 swoją siecią. Serwer jest połączony z każdą z sieci i ma za zadanie organizowanie transferu danych między obydwoma urządzeniami z pamięcią masową, jako że znane mu są adresy każdego z urządzeń w odpowiadających im sieciach. Serwer może obsługiwać różne protokoły dla obydwu urządzeń i współpracować z każdym z nich zgodnie z ich własnymi protokołami. Dokument WO03/06823 opisuje sposób weryfikacji identyfikatorów przez odbiornik. Treści odbierane przez odbiornik zawierają indeks opisujący listę wykluczeń, 2 które należy stosować przy uwierzytelnianiu odbiornika, przy czym wspomniana lista jest przechowywana we

7 6 wspomnianym odbiorniku. W ten sposób wspomniany odbiornik może sprawdzić, czy dysponuje najnowszą wersją listy, a w przeciwnym przypadku będzie mógł pobrać najbardziej aktualną listę. Krótki opis wynalazku Celem niniejszego wynalazku jest zaproponowanie różnych sposobów dystrybucji i obsługi list wykluczeń związanych z normami zabezpieczeń przed nieuprawnionym kopiowaniem, w celu ułatwienia ich przetwarzania w środowisku nadawania programów telewizyjnych z jednoczesnym zapewnieniem zabezpieczenia przed piractwem na poziomie sprzętu odbierającego i urządzeń podłączonych do tego odbiornika programów telewizyjnych w sieci domowej. 1 Ten cel osiąga się poprzez sposób weryfikacji urządzenia docelowego połączonego z urządzeniem nadrzędnym, przy czym wspomniane urządzenie docelowe jest wyposażone w środki umożliwiające odbieranie treści przesyłanych przez centrum nadawcze jako strumień danych, przy czym urządzenie nadrzędne i urządzenie docelowe są uwierzytelniane poprzez wymianę certyfikatu zawierającego przynajmniej identyfikator certyfikatu, przy czym sposób obejmuje następujące etapy: 2 a. transmisja poprzez emisję sygnału telewizyjnego co najmniej tabeli weryfikacji

8 7 urządzeń docelowych zawierającej listę identyfikatorów certyfikatów, b. przechowywanie tej listy w urządzeniu nadrzędnym, c. wyodrębnienie instrukcji dla weryfikacji powiązanych z treścią, przy czym te instrukcje obejmują aktywację lub dezaktywacją weryfikacji urządzenia docelowego, d. jeżeli instrukcje dla weryfikacji zawierają aktywację weryfikacji, weryfikację certyfikatu urządzenia docelowego przez urządzenie nadrzędne, zastosowanie co najmniej listy przechowywanej w urządzeniu nadrzędnym w celu zezwolenia lub zabronienia wymiany danych ze 1 wspomnianym urządzeniem docelowym. W taki sposób ośrodek nadawczy może włączyć lub wyłączyć weryfikację urządzenia docelowego w zależności od nadawanych treści. W przeciwieństwie do transmisji listy w przypadku płyty DVD lista weryfikacyjna nie jest bezpośrednio skojarzona z treścią, ponieważ wymagałoby to, z jednej strony, regularnego przekazywania wspomnianej listy wszystkim stacjom nadającym dane treści wymagające zabezpieczenia przeciw piractwu, co oznaczałoby zajmowanie pasma przenoszenia 2 nieakceptowalne z punktu widzenia handlowego dla sieci telewizyjnych, takich jak sieci telewizji naziemnej lub

9 8 satelitarnej, a z drugiej strony, odbudowywanie wspomnianej przez odbiornik przy każdej zmianie programu w stacji lub przy zmianie stacji przy przełączaniu się między programami, co mogłoby trwać przez dłuższy czas, zanim zostaną wyświetlone pierwsze obrazy, co stanowiłoby znaczące utrudnienie dla widzów. Dodatkowo, w zależności od sposobu realizacji wynalazku, mogą istnieć dwa typy list weryfikacyjnych: lista zezwoleń lub lista wykluczeń. Zgodnie z pierwszym sposobem realizacji, lista wykluczeń zawiera identyfikatory certyfikatów odwołanych odpowiadających urządzeniom, które przestały być uprawnione do odbierania treści. Ta lista jest obsługiwana przez dostawcę stosowanego systemu 1 zabezpieczającego i jest przekazywana dostawcom treści korzystającym ze wspomnianego systemu zabezpieczającego (na przykład studiom posiadającym prawa autorskie) w specjalnej postaci, często nazywanej SRM (System Renewability Message). Lista wykluczeń jest zwykle używana w zastosowaniach, takich jak dystrybucja płyt DVD, dla których nie jest możliwe indywidualne przesyłanie danych do odtwarzaczy szerokich odbiorców. Podobnie w zastosowaniach emisji sygnału telewizyjnego bez opłat 2 wspomniana lista wykluczeń nie powinna być przesyłana do wszystkich odbiorników, ponieważ nie istnieje

10 9 mechanizm umożliwiający ich rozróżnianie. Jednakże lista wykluczeń zakłada dobrą wiedzę o piractwie i zakłada się, że będzie rosnąć z czasem w miarę rozwoju piractwa i może ewentualnie osiągnąć takie rozmiary, które sprawią, że obsługa listy stanie się niemożliwa przy nadawaniu sygnału telewizyjnego. Ten problem jest tym bardziej krytyczny w zastosowaniach dla nadawania płatnych programów telewizyjnych, w których odbiór treści jest powiązany z uprzednim dokonaniem płatności albo w postaci abonamentu, albo na życzenie. To właśnie dlatego specjalnie dla takich zastosowań drugi sposób realizacji wynalazku oferuje indywidualną transmisję i obsługę listy zezwoleń dla sprzętu upoważnionego do działania z odbiornikiem niż 1 transmisję i obsługę globalnej listy wykluczeń dla całego parku odbiorników. Ten tryb realizacji wykorzystuje szyfrowany kanał komunikacji ustanawiany z każdym odbiornikiem indywidualnie równolegle z globalnym nadawaniem danych do wszystkich odbiorników. Zgodnie ze wspomnianym drugim trybem realizacji lista zezwoleń zawiera identyfikatory certyfikatów ważnych dla danej sieci domowej, czyli identyfikatory uwierzytelniające sprzęt, na którym jest dozwolone odbieranie treści poprzez połączenie z urządzeniem 2 nadrzędnym w sieci domowej. W ten sposób lista zezwoleń

11 na ograniczone rozmiary, ponieważ sieć domowa rzadko zawiera więcej niż dziesięć urządzeń. Tryb realizacji w oparciu o listę zezwoleń indywidualnych można lepiej zrozumieć, rozpatrując w bliższy sposób przypadek normy HDCP stosowanej dla telewizorów wysokiej rozdzielczości wyposażonych w wejście cyfrowe z interfejsem DVI lub HDMI. Według ekspertów w dziedzinie kryptografii (S. Crosby i inni, artykuł A cryptanalysis of the High-bandwidth Digital Content Protection system przedstawiony na konferencji ACM-CC8 DRM Workshop w 01), złamanie zabezpieczeń 40 urządzeń HDCP umożliwia uzyskanie dostatecznej ilości informacji o systemie certyfikacji, aby możliwe było losowe generowanie certyfikatów pirackich w pełni 1 poprawnych z punktu widzenia systemu. Stosowanie list wykluczeń będzie w tym przypadku całkowicie nieskuteczne. Natomiast zastosowanie listy zezwoleń we współpracy z upoważnionymi producentami urządzeń HDCP umożliwi ograniczenie dystrybucji treści chronionych wyłącznie do tego sprzętu dzięki wiedzy o certyfikatach rzeczywiście stosowanych przez producentów w przeciwieństwie do certyfikatów generowanych losowo przez piratów. Identyfikatorem urządzenia docelowego może być 2 albo jego numer fabryczny lub numer serii, wersja oprogramowania lub sprzętu, czy też identyfikator

12 11 certyfikatu. W dalszej części prezentacji zostanie przyjęty ten ostatni przykład, nie wyłącza to jednak innych wariantów. Instrukcje dotyczące weryfikacji mogą również zawierać inne informacje, takie jak lista, która ma być użyta do weryfikacji, jeżeli istnieje więcej niż jedna lista. Przez urządzenie docelowe rozumie się dowolny typ urządzenia do wizualizacji, stacjonarnego lub przenośnego, komputer, rejestrator z dyskiem twardym lub bez, nagrywarkę lub serwer sieciowy. Ten ostatni może służyć jako bramka między różnymi urządzeniami docelowymi. Krótki opis figur rysunku 1 Wynalazek można lepiej zrozumieć dzięki szczegółowemu opisowi poniżej, który odnosi się do załączonego rysunku podanego jako przykład nieograniczający zastosowania wynalazku tzn.: - fig. 1 przedstawia drogę danych z centrum obsługi do telewizora wysokiej rozdzielczości Opis szczegółowy W systemie nadawania sygnału telewizyjnego dane przedstawiające treść audio/wideo oraz metadane i dane sygnalizacyjne są transmitowane przez Centrum obsługi 2 CG do wielu urządzeń odbiorczych transmitowanych programów multimedialnych STB. Strumienie audio i wideo

13 12 są transmitowane w kanale MPEG, nazywanym programem, zgodnie z sygnalizacją w tablicy PMT (Program Map Table), która również jest transmitowana z nadawanym sygnałem. Jeżeli program jest szyfrowany, z nadawanym programem jest powiązany poufny strumień komunikatów kontrolnych (ECM) zawierający klucze deszyfrujące. Różne kanały odpowiadające różnym treściom i ich metadane (takie jak tytuł, rok produkcji, gatunek, nazwiska odtwórców głównych ról itd.) są identyfikowane przez zestaw tablic sygnalizacyjnych określonych po części przez normę MPEG, po części przez normy regionalne DVB i ATSC, takie jak tablice SDT (Service Description Table) i EIT (Event Information Table) również nadawane ze strumieniem danych, lecz w sposób 1 asynchroniczny. W przypadku nadawania programów płatnych szyfrowane komunikaty dotyczące zarządzania, kontroli i aktualizacji (EMM), przykładowo klucze transmisyjne służące do szyfrowania strumieni ECM wspomnianych powyżej, są przesyłane w strumieniu nadawanych danych równolegle z programami, lecz w sposób asynchroniczny. Te komunikaty umożliwiają w szczególności ustanawianie szyfrowanych kanałów komunikacji indywidualnie dla każdego odbiornika. 2 Ponadto jest również możliwe aktualizowanie oprogramowania w urządzeniach odbiorczych poprzez

14 13 przesyłanie w strumieniu nadawanych danych aktualizacji niezbędnych dla wspomnianych urządzeń. Urządzenie użytkownika STB nazywane również urządzeniem nadrzędnym odbiera strumień danych i obsługuje prawa dostępu do tych danych. Aby wyświetlać dane, takie urządzenie może dysponować wieloma środkami komunikacji, takimi jak wyjście RGB czy SCART. W tym przypadku sygnały są w postaci analogowej, są one zabezpieczane za pomocą różnych technologii takich jak Macrovision czy CGMS-A (Copy Generation Management System Analog). Te technologie nie stosują mechanizmów uwierzytelnienia i weryfikacji, jak opisano powyżej. Inny sposób komunikacji jest przedstawiony na 1 fig. 1 przedstawiającej system bezprzewodowy, taki jak WiFi. Interfejs WiFi IN umożliwia przesyłanie danych z dostępem warunkowym do telewizora DTV, przykładowo w postaci cyfrowej. Taka forma przesyłu cyfrowego jest bardzo interesująca dla osób o wrogich intencjach i z tego właśnie powodu dane wymieniane drogą radiową są szyfrowane. Mogą być również stosowane inne sposoby przewodowego przesyłu danych, takie jak IEEE 1394, Ethernet, USB, DVI i HDMI. W praktyce szyfrowanie danych jest oparte na 2 kluczu generowanym dynamicznie i umożliwia telewizorowi rozszyfrowywanie danych w celu ich dalszego

15 14 przetwarzania. Jeżeli zamiast telewizora DTV znajduje się komputer, który komunikuje się urządzeniem nadrzędnym w celu zapisania nieszyfrowanych danych w sposób jawny, szyfrowanie danych podczas ich przesyłu nie stanowi żadnego zabezpieczenia. To dlatego zostało wymuszone wprowadzenie etapu weryfikacji, opartej na poprawności certyfikatu zapisanego w każdym z urządzeń docelowych. Wzajemne uwierzytelnienie może być dokonywane na podstawie identyfikatora certyfikatu. Następnie jest generowany klucz, który będzie służyć do szyfrowania wymienianych danych. Zgodnie z wynalazkiem w strumieniu danych DT przesyłanym z centrum obsługi do urządzenia nadrzędnego 1 są umieszczane dane tworzące jedną lub wiele tablic weryfikacyjnych L1, L2 Ln. Te dane mogą być przesyłane na wiele sposobów, aby zapewnić najlepszy kompromis między pasmem przenoszenia i bezpieczeństwem danych tj.: - komunikaty EMM: te komunikaty są szyfrowanymi komunikatami o aktualizacji uprawnień lub kluczami i mogą być adresowane do jednego urządzenia, grupy urządzeń lub wszystkich urządzeń. Mogą one zawierać elementy listy weryfikacyjnej, w szczególności listę zezwoleń. Ta lista może być zawarta w jednym lub wielu 2 komunikatach EMM zależnie od jej rozmiarów.

16 1 - w połączeniu z aktualizacją oprogramowania odbiornika poprzez nadawany program, korzystając w ten sposób z dobrze znanych mechanizmów zabezpieczających, pobieranie danych, takich jak uwierzytelnienie aktualizacji i obsługa numeru wersji przez odbiornik. - strumień danych: treści nadawane podczas przejścia usługi w stan czuwania: w okresach niskiej oglądalności, na przykład między godziną 4 a 6 rano, w celu zastąpienia treści audio/wideo przez listy weryfikacyjne. - tablica sygnalizacyjna. Te tablice stanowią część danych opisowych treści i mogą zawierać również dane o programie stacji. Te tablice mogą zawierać jedną lub wiele list weryfikacyjnych, takich jak opisane 1 w niniejszym wynalazku, czyli przykładowo, w przypadku normy DVB w połączeniu z danymi treściami poprzez wstawienie w tablicę EIT zawierającą programy tygodniowe i przesyłaną w dedykowanym kanale o szerokim paśmie przenoszenia. W obu ostatnich przypadkach należy konieczne przewidzieć dedykowane mechanizmy zabezpieczania listy weryfikacyjnych, przykładowo za pomocą dedykowanych kluczy znanych odbiornikom. Po odebraniu przez urządzenie nadrzędne wspomniane 2 listy są przechowywane w pamięci półprzewodnikowej (flash) lub na dysku twardym. Mogą być one

17 16 zabezpieczone lokalnie przez własny klucz urządzenia użytkownika lub klucz certyfikatu skojarzony z tym urządzeniem. Jak podano wyżej, te tablice mogą określać albo urządzenia uprawnione do przetwarzania danych z dostępem warunkowym (lista zezwoleń) albo też urządzenia, dla których ich przetwarzanie jest zabronione (lista wykluczeń). Te listy mogą zawierać każdy odnośny identyfikator lub określać zakresy identyfikatorów. I tak, jeżeli zabezpieczenia urządzenia zostały złamane i jego identyfikator został zwielokrotniony w wielu sklonowanych urządzeniach zidentyfikowanych w walce przeciw piractwu, należy usunąć je z listy uprawnionych urządzeń docelowych. 1 Ważną cechą niniejszego wynalazku jest elastyczność zapewniana przez instrukcje dotyczące weryfikacji. Te instrukcje są bezpośrednio skojarzone z treścią i umożliwiają, przy minimalnych kosztach w rozumieniu zajętości pasma przenoszenia, decydowanie podczas emisji, czy weryfikacja powinna być dokonywana w oparciu o jedną lub wiele przesłanych uprzednio list weryfikacyjnych oraz kontrolowanie odpowiedniego numeru wersji. Te informacje o weryfikacji mogą być przesyłane na wiele sposobów tak, by były nieodłączne od treści 2 podczas emisji, na przykład:

18 17 - w komunikacie kontrolnym ECM, gdy treść jest szyfrowana (zastosowanie w telewizji płatnej). Zaletą tych komunikatów jest szyfrowanie. - bezpośrednio w danych opisu treści, takich jak tablica odwzorowań PMT (Program Map Table) opisująca organizację strumieni audio i wideo skojarzonych z treścią. - w tablicach opisów treści regularnie przesyłanych z nimi, takich jak tablice EITp/f zawierające informacje o aktualnych i następnych treściach w programie telewizyjnym. W obu ostatnich przypadkach należy konieczne przewidzieć dedykowane mechanizmy zabezpieczania listy weryfikacyjnych, przykładowo za pomocą dedykowanych 1 kluczy znanych odbiornikom. Jeżeli w urządzeniu nadrzędnym jest załadowanych wiele tablic, instrukcje o weryfikacji będą określać, której tablicy należy użyć do weryfikacji. I tak treści o niskiej wartości będą mogły wskazywać inną tablicę weryfikacyjną niż treści o wysokiej wartości. Ma to zastosowanie w szczególności w przypadku odbiorników wielofunkcyjnych przetwarzających programy darmowe oraz programy telewizji płatnej. Ponadto instrukcje dla weryfikacji umożliwiają 2 również identyfikowanie numerów wersji najnowszej przesłanej listy, aby uniknąć ewentualnego filtrowania

19 18 przez odbiornik nowych, bardziej restrykcyjnych list weryfikacyjnych. Te instrukcje dla weryfikacji mogą określać poziom ochrony. Na poprzednim etapie urządzenie nadrzędne otrzymuje listę zabezpieczeń z określeniem listy lub list, których należy użyć dla każdego poziomu. Przykładowo poziom zabezpieczeń 3 oznacza, że dla protokołu HDCP będzie stosowana lista HD_12, wersja 2.23, a dla protokołu DTCP lista DT_8, wersja Dla jednego poziomu zabezpieczeń są podawane wszystkie protokoły z odpowiadającym im numerem wersji. Ta lista pośrednicząca powinna być szyfrowana. W zależności od sposobu realizacji istnieje możliwość przesyłania listy specyficznej dla 1 indywidualnego urządzenia nadrzędnego. Może być to realizowane w trybie point to point lub w trybie rozgłaszania z adresem odnośnego urządzenia nadrzędnego. Ta lista będzie uwzględniać środowisko sprzętowe, przykładowo typu interfejsu oraz urządzenia docelowe. Nie ma sensu przechowywanie identyfikatorów właściwych dla jakiegoś typu interfejsu (przykładowo HDCP dla HDMI), gdy jedynym interfejsem przewidzianym dla tego typu urządzenia jest interfejs USB. W jednym z wariantów realizacji lista zezwoleń 2 może być ograniczona wyłącznie do urządzeń docelowych uprzednio zarejestrowanych w centrum obsługi,

20 19 odpowiadających urządzeniom docelowym rzeczywiście połączonym z konkretnym urządzeniem nadrzędnym. W tym ostatnim przypadku procedura inicjalizacji umożliwia użytkownikowi podanie wszystkich identyfikatorów jego urządzeń docelowych. Ta procedura może być wykonywana automatycznie dzięki kanałowi zwrotnemu urządzenia nadrzędnego i identyfikatorom niezależnie od tego, czy to numery seryjne czy identyfikator certyfikatu są przesyłane do centrum obsługi. Dane te mogą być uzupełnione przez możliwości techniczne urządzeń docelowych (telewizor, komputer, nagrywarka wideo z nagrywarką DVD lub bez itd.). Transmisja tych informacji może być również dokonywana przez telefon (serwer głosowy) lub wysłanie wiadomości 1 SMS. Zaletą wynalazku jest, że ta procedura inicjalizacji może wykorzystywać usługi WWW (Internet) do rejestracji danych użytkownika. Centrum obsługi dysponujące czarną listą (lub listą wykluczeń) sprawdzi, czy identyfikatory otrzymane przez użytkownika znajdują się na tej liście wykluczeń i wyłączyć te identyfikatory z listy zezwoleń przesyłanej do urządzenia nadrzędnego. Ta weryfikacja może być wykonywana na podstawie listy zezwoleń 2 zawierającej wszystkie poprawne certyfikaty.

21 Może się zdarzyć, że centrum obsługi nie będzie mogło użyć wiarygodnej czarnej listy (lub listy wykluczeń), na przykład w przypadku masowego łamania zabezpieczeń normy HDCP. W takim przypadku identyfikatory otrzymane przez użytkownika powinny być kontrolowane przez zewnętrzne centrum kontroli dysponujące listą prawidłowych identyfikatorów. Centrum kontrolne może być specyficzne dla producenta, gdy identyfikator przesyłany przez użytkownika końcowego identyfikuje producenta sprzętu, lub bezpośrednio odwoływać się do oficjalnego urzędu certyfikacyjnego, takiego jak stowarzyszenia DTLA dla DTCP, SVPLA dla SVP czy LLC dla HDCP, zajmujące się dystrybucją ważnych certyfikatów dla wszystkich producentów 1 implementujących normę, której zastosowanie kontrolują. Jest też możliwe, że centrum obsługi nie będzie znało konkretnych danych, takich jak certyfikat urządzenia docelowego użytkownika. Na podstawie przesłanego identyfikatora sprzętu, który może być numerem seryjnym urządzenia docelowego lub dowolną inną informacją umożliwiającą zidentyfikowanie tego urządzenia, centrum obsługi prześle zapytanie do centrum kontroli, aby uzyskać identyfikatory certyfikatów. Centrum kontroli może należeć do jednego 2 producenta lub obsługiwać wielu producentów, na przykład może to być oficjalny urząd certyfikacyjny,

22 21 taki jak stowarzyszenia DTLA dla normy DTCP, SVPLA dla SVP czy LLC dla HDCP. Certyfikat urządzenia jest zwykle bezpośrednio związany z warstwą komunikacji. I tak, jeżeli urządzenie ma wiele środków komunikacji, takich jak USB i HDMI, ma zwykle wiele certyfikatów odpowiadających różnym normom, takim jak DTCP czy HDCP. Weryfikacja może być przeprowadzana dla środka komunikacji aktywnego w transmisji danych z urządzenia nadrzędnego do urządzenia docelowego lub dla wszystkich certyfikatów. W przypadku treści przechowywanych w urządzeniu nadrzędnym, przed przesłaniem do urządzeń docelowych informacje służące do weryfikacji są również 1 przechowywane, aby związane z nimi czynności mogły być wykonane przy późniejszej transmisji treści. Zgodnie z jednym z wariantów realizacji wynalazku weryfikacja na podstawie listy zezwoleń i/lub wykluczeń jest wykonywana uprzednio w urządzeniu nadrzędnym. Sprawdza ono samo zgodność certyfikatów ze swoimi środkami komunikacji. Istnieje możliwość sprawdzenia numeru identyfikacyjnego, który nie ma nic wspólnego ze środkami komunikacji, na przykład jego numeru seryjnego. Zgodnie z wybranym trybem działania, gdy dla 2 jednego ze środków komunikacji uprawnienie zostanie

23 22 odwołane, uznaje się, że uprawnienie urządzenia nadrzędnego jest odwołane. W przypadku sieci domowej urządzenie nadrzędne może być połączone z pierwszym urządzeniem docelowym, takim jak urządzenie z pamięcią masową. Weryfikacja jest dokonywana przez urządzenie nadrzędne, aby uwierzytelnić transfer danych na urządzenie docelowe. Jednocześnie z transferem danych są również przesyłane listy weryfikacyjne. Instrukcje dotyczące weryfikacji, który są skojarzone z treścią, będą w ten sposób mogły być wykonywane przez to urządzenie, który staje się wówczas urządzeniem nadrzędnym. Procedura będąca przedmiotem wynalazku jest zatem przeniesiona na wszystkie elementy sieci domowej. 1 Niniejszy wynalazek obejmuje również urządzenie nadrzędne, dysponujące środkami odbioru dla jednej lub wielu treści oraz środkami odbioru dla jednej lub wielu list weryfikacyjnych takich, jak opisanych powyżej. Urządzenie dysponuje środkami weryfikacji zgodności urządzenia docelowego i środkami do przechowywania wspomnianych list. Niniejsze urządzenie dysponuje środkami do wyodrębniania instrukcji dotyczących weryfikacji skojarzonych z treścią i do wykonywania cyklu weryfikacji urządzenia docelowego na podstawie 2 instrukcji o weryfikacji i uprzednio zapisanej jednej lub wielu list weryfikacyjnych.

24 23 Zastrzeżenia patentowe 1. Sposób weryfikacji urządzenia docelowego połączonego z urządzeniem nadrzędnym, przy czym wspomniane urządzenie docelowe jest wyposażone w środki umożliwiające odbieranie treści przesyłanych przez centrum nadawcze jako strumień danych, przy czym urządzenie nadrzędne i urządzenie docelowe są uwierzytelniane poprzez wymianę certyfikatu zawierającego przynajmniej identyfikator certyfikatu, przy czym sposób obejmuje następujące etapy: a. transmisja poprzez emisję sygnału telewizyjnego przynajmniej tabeli weryfikacji urządzeń docelowych, zawierającej listę identyfikatorów certyfikatów, b. przechowywanie tej listy w urządzeniu nadrzędnym, c. wyodrębnienie instrukcji dla weryfikacji powiązanych z treścią, przy czym te zalecenia zawierają aktywację lub dezaktywacją weryfikacji urządzenia docelowego, d. jeżeli instrukcje dla weryfikacji zawierają aktywację weryfikacji, weryfikacja certyfikatu urządzenia docelowego przez urządzenie

25 24 nadrzędne, użycie co najmniej listy przechowywanej w urządzeniu nadrzędnym w celu zezwolenia lub zabronienia wymiany danych ze wspomnianym urządzeniem docelowym. 2. Sposób weryfikacji według zastrz. 1, znamienny tym, że lista jest listą zezwoleń i zawiera identyfikatory certyfikatów uprawniających do wymiany danych między urządzeniem nadrzędnym i urządzeniem docelowym. 3. Sposób weryfikacji według zastrz. 1, znamienny tym, że lista jest listą wykluczeń i zawiera identyfikatory certyfikatów nieuprawniających do wymiany danych między urządzeniem nadrzędnym i urządzeniem docelowym. 4. Sposób weryfikacji według zastrz. od 1 do 3, znamienny tym, że instrukcje dla weryfikacji są zawarte w danych opisu treści.. Sposób weryfikacji według zastrz. 4, znamienny tym, że dane opisu treści są przesyłane w tablicy odwzorowań (PMT). 6. Sposób weryfikacji według zastrz. 4, znamienny tym, że dane opisu treści są przesyłane w informacjach (EITp/f) o treści nadawanej aktualnie i następnej treści nadawanej w kanale telewizyjnym.