Brevet FR2835378A1 — publié le 20030801

La présente invention concerne un protocole de commande à distance d'une action locale de génération d'un message d'ordre et des dispositifs d'enregistrement et de retransmission mettant en oeuvre un tel protocole. De telles techniques de commande sont utilisées notamment dans la transmission d'informations en réseau. Elles permettent à un émetteur de commander la génération locale d'un message d'ordre qui sera exécuté ultérieurement. Typiquement, un tel message d'ordre est généré en utilisant des paramètres locaux du récepteur. De telles techniques sont utilisées dans le domaine de la diffusion de programmes de télévision à accès conditionnel, sous les termes de transcontrôle ainsi que cela est décrit dans les brevets français FR-A-90 07 165 et FR-A-96 10 302. Les techniques décrites dans ces documents permettent à un récepteur habilité de remplacer un message de service associé à des informations embrouillées par un nouveau message calculé localement. Ceci permet notamment d'effectuer un nouveau chiffrement de mots de contrôle après les avoir déchiffrés, et en utilisant des paramètres locaux. Cependant, ces techniques posent des problèmes importants de sécurité d'utilisation. En effet, l'émetteur initial ne dispose que d'un contrôle limité sur l'utilisation des mots de contrôle reçus permettant de gérer les informations au niveau du récepteur. De ce fait, dans le cas d'un enregistrement ou d'une retransmission des informations, l'émetteur initial ou émetteur diffuseur ne maîtrise pas l'utilisation faite des informations associées au message d'ordre calculé localement. De la même manière, dans le cadre d'une transmission par l'intermédiaire de satellites vers des stations de retransmission, chaque station doit comporter des moyens d'accès et de transformation de l'ensemble des informations transmises. Par exemple, il s'agit de processeurs de sécurité intégrés chacun dans une carte contenant des codes de haut niveau d'habilitation. Cependant, de par leur multiplicité, il est difficile d'assurer la sécurité physique de ces équipements dans les stations de retransmission. Il apparaît donc que les équipements existants présentent des problèmes spécifiques de sécurité d'utilisation. Le but de l'invention est de résoudre ces problèmes de sécurité d'utilisation en permettant à un émetteur de contrôler partiellement ou même totalement, l'utilisation faite par un récepteur d'informations reçues. La présente invention a pour objet un protocole de commande à distance d'une action de génération locale d'un message d'ordre, à partir d'un émetteur diffuseur, afin de commander une action locale sur au moins un poste récepteur, comportant au moins un terminal de décodage, un module de contrôle d'accès muni d'un processeur de sécurité, ledit processeur de sécurité comportant des paramètres de vérification d'authenticité et d'adresse mémorisés dans une mémoire associée audit processeur, ledit protocole comportant : - une étape de transmission de l'émetteur diffuseur vers le ou les postes récepteurs, d'un message d'habilitation comportant un champ contenant des paramètres d'authenticité et d'adresse et un champ contenant des données ; et - une étape de vérification dans le ou lesdits postes récepteurs desdits paramètres d'authenticité et d'adresse par rapport aux paramètres mémorisés dans chacun desdits postes récepteurs ; caractérisé en ce que ledit message d'habilitation comporte, dans le champ de données, une action de génération, au niveau du ou des postes récepteurs, d'un message d'ordre calculé localement, et en ce que ledit protocole comporte au moins, conditionnellement à ladite étape de vérification : - une étape d'interprétation de ladite action transmise dans ledit message d'habilitation ; et - une étape de génération locale d'un message d'ordre en réponse à ladite étape d'interprétation. Suivant d'autres caractéristiques de l'invention : - ledit champ de données du message d'habilitation comporte une pluralité de blocs d'instructions agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer un branchement conditionne entre les blocs et le traitement des instructions contenues dans lesdits blocs ; - ladite action comporte un champ contenant des paramètres représentatifs du format dudit message d'ordre à générer localement, ladite étape d'interprétation de l'action comportant au moins une étape de prise en compte desdits paramètres de format afin d'exécuter des opérations pour générer des éléments du message d'ordre conformément à ces paramètres de format ; - lesdites opérations réalisées lors de ladite étape d'interprétation incluent des opérations de chiffrement, de déchiffrement et/ou de surchiffrement ; - lesdits paramètres de format contenus dans l'action comprennent des références à des paramètres locaux, mémorisés dans une mémoire non accessible en écriture pour les utilisateurs desdits terminaux, lesdits paramètres locaux étant utilisés lors desdites opérations de ladite étape d'interprétation de l'action ; - lesdits paramètres de format contenus dans l'action comprennent des références à des paramètres locaux, mémorisés dans une mémoire accessible en écriture pour les utilisateurs desdits terminaux, lesdits paramètres locaux étant utilisés lors desdites opérations de ladite étape d'interprétation de l'action ; - ladite action comporte un champ contenant des paramètres d'habilitation, ladite étape d'interprétation de l'action comportant au moins une étape de génération de paramètres de sécurité afin de définir des paramètres de sécurité pour le message d'ordre, au moins à partir desdits paramètres d'habilitation et en fonction des opérations requises par la réalisation de l'étape de prise en compte des paramètres de format ; - ladite action comporte un champ contenant des données, ladite étape d'interprétation de l'action comportant au moins une étape de traitement de données afin de définir des données du message d'ordre, au moins à partir desdites données contenues dans le champ de données de l'action et en fonction des opérations requises par la réalisation de l'étape de prise en compte des paramètres de format ; - ledit champ de données de l'action comporte une pluralité de blocs d'instructions agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer un branchement conditionnel entre les blocs et le traitement des instructions qu'ils contiennent ; - ladite étape de génération délivre un message d'ordre comportant un champ contenant des paramètres de sécurité et un champ contenant des données ; - ledit champ de données du message d'ordre comporte une pluralité de blocs d'instructions agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer un branchement conditionne entre les blocs et le traitement des instructions qu'ils contiennent ; - ledit protocole comporte ultérieurement à ladite étape de génération locale d'un message d'ordre, une étape d'exécution de ce message d'ordre ; - ladite étape d'exécution du message d'ordre comprend la vérification de paramètres de sécurité contenus dans le message d'ordre et la lecture pour le traitement de données contenues dans le message d'ordre ; - ledit message d'ordre généré localement est un message d'habilitation tel que défini précédemment ; - ledit émetteur diffuseur étant adapté pour l'émission d'informations embrouillées au moyen d'une clé de service contenue dans un mot de contrôle, la transmission desdites informations embrouillées étant accompagnée de la transmission d'un cryptogramme du mot de contrôle, chiffré au moyen d'une clé d'exploitation, le terminal de décodage de chaque poste récepteur constituant alors un terminal de désembrouillage desdites informations embrouillées et comportant dans ledit processeur de sécurité dudit module de contrôle, ladite clé d'exploitation afin de restituer à partir de ladite clé d'exploitation et dudit mot de contrôle chiffré, ladite clé de service contenue dans ledit mot de contrôle, chaque terminal de désembrouillage permettant à partir de ladite clé de service restituée, le désembrouillage desdites informations embrouillées, ledit message d'habilitation est transmis par multiplexage dans le flux desdites informations embrouillées transmises de l'émetteur diffuseur vers le ou les postes récepteurs ; - ledit champ de données de ladite action comporte au moins ledit cryptogramme du mot de contrôle ; - ledit champ de données de ladite action comprend des instructions de remplacement du message d'habilitation multiplexé avec lesdites informations embrouillées par ledit message d'ordre généré localement et ladite étape de génération locale d'un message d'ordre est suivie d'une étape de remplacement dudit message d'habilitation par ledit message d'ordre dans lesdites informations embrouillées ; - il comporte une étape d'enregistrement sur un support non volatil desdites informations embrouillées et multiplexées avec ledit message d'ordre généré localement ; - lesdits paramètres de sécurité et/ou lesdites données dudit message d'ordre comportent des critères d'accès auxdites informations embrouillées enregistrées sur ledit support non volatil, ledit protocole comportant en outre : - une étape de requête d'accès auxdites informations embrouillées et enregistrées ; et - une étape de vérification desdits critères d'accès du message d'ordre afin de délivrer, sur vérification de ces critères d'accès, une autorisation d'accès auxdites données embrouillées enregistrées ; - lesdits critères d'accès sont choisis parmi les paramètres dans le groupe constitué des paramètres suivants : - un niveau d'habilitation du terminal ; - une date limite d'autorisation d'accès ; - une durée définie par rapport à une date et/ou un instant ; - une durée de vie ; et - un nombre maximum de requêtes d'accès autorisées ; - il comporte une étape de retransmission desdites informations embrouillées multiplexées avec ledit message d'ordre généré localement, à partir du ou desdits postes récepteurs vers un ou plusieurs postes récepteurs secondaires ; et - tout ou partie dudit message d'habilitation est chiffré avant ladite étape de transmission afin d'assurer la confidentialité de cette transmission, ladite étape de vérification des paramètres d'authenticité et d'adresse étant associée à une étape de déchiffrement de ce message d'habilitation. L'invention a également pour objet un terminal de décodage et d'enregistrement comportant un décodeur associé à un processeur de sécurité intégré, par exemple, dans une carte amovible comportant un microprocesseur et une mémoire non accessible en écriture pour un utilisateur, ledit terminal comportant en outre un support non volatil d'enregistrement d'informations, caractérisé en ce qu'il est adapté pour la mise en oeuvre d'un protocole tel que décrit précédemment. L'invention a en outre pour objet un terminal de décodage et de retransmission comportant un décodeur associé à un processeur de sécurité ou à une telle carte amovible comportant un microprocesseur et une mémoire non accessible en écriture pour un utilisateur, ledit terminal comportant en outre des moyens de retransmission d'informations, caractérisé en ce qu'il est adapté pour la mise en oeuvre d'un protocole tel que décrit précédemment. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés, sur lesquels : - la Fig. 1 est un organigramme de principe du protocole de l'invention ; - les Figs. 2,3 et 4 sont des schémas représentatifs du format des messages utilisés dans le protocole de l'invention ; - la Fig. 5 est un schéma de principe de la transmission classique d'une information embrouillée ; - la Fig. 6 est un schéma de principe de la réception et du traitement selon l'invention d'une information embrouillée ; - la Fig. 7 est un synoptique d'un système d'enregistrement mettant en oeuvre l'invention ; et - la Fig. 8 est un synoptique d'un système de retransmission mettant en oeuvre l'invention. Sur la figure 1, on a représenté un organigramme des étapes principales du protocole de commande à distance d'une action locale de génération d'un message d'ordre selon l'invention. Le protocole débute par une étape 2 de transmission à partir d'un émetteur diffuseur vers un ou plusieurs postes récepteurs, d'un message d'habilitation désigné par la référence HM. Ce message d'habilitation HM comporte ainsi que cela est représenté en référence à la figure 2, un champ HM~H contenant des paramètres d'authenticité et d'adressage et un champ de données HM~D. Selon l'invention, le champ de données HM~D comporte en outre un champ contenant une action CM de génération, au niveau du ou des postes récepteurs, d'un message d'ordre désigné par la référence OM. En référence à la figure 1, il apparaît que suite à l'étape 2 de transmission, le protocole comporte une étape 3 de réception puis une étape 4 de vérifi- cation de l'authenticité et de l'adresse des destinataires du message d'habilitation HM. Cette étape 4 est réalisée de manière classique et permet de vérifier que le message transmis n'a pas été altéré et que le ou les postes récepteurs sont bien destinataires de ce message et habilités à le traiter. Dans le cas où les paramètres d'authenticité et d'adressage sont véri- fiés, le ou les postes récepteurs lisent puis traitent le champ de données HM~D. De manière classique, le champ de données HM~D peut être organisé en une pluralité de blocs agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer des branchements fonctionnels entre les blocs. Chaque bloc peut comporter des actions ou listes d'actions à exécuter. Typiquement, le champ HM~D peut être agencé selon une phrase logique structurée contenant la relation logique suivante : si (If) : l'expression logique de condition est vérifiée ; alors (THEN) : on exécute l'action ou la liste d'actions décrite dans le bloc de cette situation ou de la liste d'actions associée à la condition vérifiée ; et sinon (ELSE) : on exécute l'action ou la liste d'actions décrite dans le bloc descriptif de l'action ou de la liste d'actions associée à cette condition non vérifiée. Le champ de données HM~D contient au moins et éventuellement uniquement l'action CM de génération au niveau du ou de postes récepteurs du message d'ordre OM. En référence à la figure 3, on a décrit le détail du format de l'action CM de génération d'un message d'ordre. CM contient un champ CM~H contenant des paramètres d'habilitation, un champ CM~F contenant des paramètres de format et un champ CM~D contenant des données. Lors d'une étape 10 d'interprétation, l'action CM est interprétée de manière à générer tous les éléments nécessaires pour la génération locale du message d'ordre OM. Dans ce but, l'étape 10 d'interprétation de l'action CM peut comporter une étape 12 de prise en compte des paramètres de format du champ CM~F afin de définir le format du message d'ordre OM et de définir ainsi les opérations à effectuer pour sa génération. L'étape 10 d'interprétation peut en outre comprendre une étape 14 de génération de paramètres de sécurité afin de définir des paramètres de sécurité pour le message d'ordre OM, au moins à partir des paramètres d'habilitation contenus dans le champ CM~H de l'action CM et en fonction des opérations requises par l'application des paramètres de format du champ CM~F. L'étape 10 d'interprétation peut enfin comprendre également une étape 16 de traitement des données du champ CM~D afin de définir des données du message d'ordre OM, au moins à partir des données contenues dans le champ CMD de l'action CM et en fonction des opérations requises par l'application des paramètres de format du champ CM~F. L'ensemble des éléments définis lors de l'étape 10 d'interprétation de l'action CM est ensuite utilisé pour réaliser l'étape 20 de génération locale du message d'ordre OM. En référence à la figure 4, on a représenté le détail du message d'ordre OM tel que généré à l'issue de l'étape 20. Ce message OM comprend un champ OM~H contenant les paramètres de sécurité définis lors de l'étape 14 et un champ OM~D contenant les données définies lors de l'étape 16. Immédiatement ou ultérieurement, le message d'ordre OM est exécuté lors d'une étape 25 d'exécution au cours de laquelle les paramètres de sécurité du champ OM~H sont vérifiés et le champ de données OM~D est lu puis traité. Ainsi, le message d'ordre OM généré localement au niveau du ou des récepteurs constitue un message d'ordre destiné à une utilisation immédiate ou ultérieure et dont tout ou partie de la nature a été définie par l'émetteur du message d'habilitation HM. En effet, du fait de l'étape 12, le message OM répond au format spécifié dans le champ CM~F de l'action CM. De même, les paramètres de sécurité et les données du message d'ordre OM sont définis par l'exécution d'opérations induites par les paramètres de format spécifiés dans le champ CM~F, à partir au moins des paramètres d'habilitation définis dans le champ CM~H et des données contenues dans le champ CM~D de l'action CM. Il apparaît donc que l'émetteur diffuseur, en définissant l'action CM contenue dans le message d'habilitation HM, définit l'ensemble des éléments utilisés lors de l'étape 20 de génération d'un message local et conserve ainsi la maîtrise de la génération du message d'ordre OM. Avantageusement, à l'instar du champ de données HM~D, le champ de données CM~D de l'action CM contient des instructions ou des listes d'instructions, elles-mêmes agencées en combinaisons logiques selon des phrases logiques structurées. A l'issue de l'étape 20 de génération, le message d'ordre OM contient, dans le champ OM~D, tout ou partie des données du champ CM~D, de sorte que le message d'ordre OM contient également des instructions ou liste d'instructions agencées en combinaisons logiques lesquelles seront exécutées lors de l'étape 25 d'exécution du message d'ordre OM. Eventuellement, le message d'ordre OM généré à l'issue de l'étape 20, constitue un message d'habilitation du type du message HM décrit précédemment et son exécution lors de l'étape 25 aboutit à la génération d'un second message d'ordre. On va maintenant décrire plus en détail le fonctionnement du protocole de l'invention, en faisant référence à la transmission d'informations embrouillées de télévision. De manière classique dans la transmission d'informations de télévision, il existe des messages dits EXM qui sont des messages génériques de commande et/ou de réponse pouvant être déclinés en messages spécifiques tels que des messages dits ECM de contrôle d'accès, ou des messages dits EMM de gestion de titres d'accès, ou encore en tout autre message de gestion spécifique, ainsi que cela est décrit dans les brevets précédemment cités. Dans le cadre de l'application de l'invention à la transmission d'informations embrouillées de télévision, un message d'habilitation HM tel que défini précédemment peut avoir une double fonction et être simultanément un message d'habilitation et un message de type EXM. En référence à la figure 5, on décrit de manière plus détaillée le principe de base de l'émission d'une information embrouillée. L'information 1 est embrouillée au moyen d'une clé de service contenue dans un mot de contrôle CW afin de délivrer une information embrouillée 1*. Le mot de contrôle CW est chiffré au moyen d'une clé de service SOK afin de délivrer un cryptogramme CCW du mot de contrôle. Le cryptogramme CCW est inséré dans un message de type EXM qui est multiplexé avec l'information embrouillée 1* dans le flux d'informations. A la réception, l'information 1* et le message de service EXM sont démultiplexés afin d'extraire le message EXM contenant le cryptogramme CCW du mot de contrôle. A l'aide de la clé d'exploitation SOK, stockée au niveau du poste récepteur, le cryptogramme CCW du mot de contrôle est déchiffré afin d'obtenir le mot de contrôle CW contenant la clé de service qui permet de désembrouiller les informations 1* et de restituer les informations 1. Sur la figure 6, on a représenté l'application du protocole de l'invention à la réception d'informations embrouillées. Sur cette figure, on a représenté schématiquement les éléments d'un poste récepteur intervenant lors de la réception d'un message d'habilitation. Ce poste récepteur comprend un module 30 de vérification des paramètres d'authenticité et d'adressage relié à un démultiplexeur 31 lui-même relié à un module de calcul 32. Le module 32 est également relié à une mémoire 33 non accessible en écriture pour un utilisateur du poste récepteur et à une mémoire 34 accessible en écriture pour un tel utilisateur. La sortie du module de calcul 32 est reliée à un multiplexer 35 qui délivre le message d'ordre OM. A la réception, les informations embrouillées 1* sont démultiplexées et le message d'habilitation HM est séparé. Après la réception, le poste récepteur met en oeuvre l'étape 4 de vérification des paramètres d'authenticité et d'adressage grâce au module 30 de vérification de type classique A la sortie du module 30, l'action CM est extraite du champ de don- nées HM~D et est introduite dans le démultiplexeur 31 qui délivre en sortie les paramètres d'habilitation contenus dans le champ CM~H, les données contenues dans le champ CM~D et les paramètres de format contenus dans le champ CM~F, à l'attention du module de calcul 32 qui réalise l'étape 10 d'interprétation de l'action CM. En fonction des paramètres de format CM~F, le module de calcul 32 effectue différentes opérations sur des paramètres d'habilitation contenus dans le champ CM~H et sur des données contenues dans le champ CM~D. De même, en fonction de ces paramètres, le module de calcul 32 effectue des opérations qui utilisent des paramètres mémorisés au niveau du poste récepteur. Dans ce cas les paramètres de format du champ CM~F ou d'habilitation du champ CM~H font référence à des paramètres locaux grâce, par exemple, à un système d'adresses mémoire. Par exemple, ces opérations utilisent des paramètres enregistrés dans la mémoire 33 non accessible en écriture par un utilisateur du poste récepteur. Le module de calcul 32 peut également utiliser des paramètres enregistrés dans la mémoire 34 accessible en écriture par un utilisateur du poste récepteur. Le module 32 de calcul peut ainsi déchiffrer les données contenues dans le champ CM~D avant de les re-chiffrer avec des paramètres spécifiques au poste récepteur. Par exemple, à l'émission, le cryptogramme du mot de contrôle CCW est intégré dans le champ de données HM~D du message d'habilitation HM lequel est ensuite multiplexé avec les informations embrouillées 1*. Ainsi, à la réception, des opérations de déchiffrement puis de re-chiffrement peuvent être appliquées au cryptogramme CCW du mot de contrôle. A l'issue de l'étape 10, les moyens de calcul 32 délivrent des éléments constituant les paramètres de sécurité ainsi que les données du message d'ordre OM. L'ensemble de ces paramètres et de ces données, est adressé au multiplexeur 35 qui met en oeuvre l'étape 20 de génération d'un message d'ordre et délivre le message d'ordre OM, lequel est re-multiplexé avec les informations embrouillées 1*. Ainsi, le message d'habilitation HM est remplacé par le message d'ordre OM généré localement en fonction de l'action CM définie par l'émetteur et transmise dans le message d'habilitation HM. En référence aux figures 7 et 8, on va maintenant décrire deux modes de mise en oeuvre spécifiques du protocole de l'invention. Sur la figure 7, on a représenté, de manière générale, un système de transmission d'informations embrouillées avec contrôle de l'enregistrement. Un tel système comprend un émetteur diffuseur 50 et une pluralité de terminaux récepteurs 51. Les terminaux 51 comportent au moins une antenne de réception 52 par le biais de laquelle ils reçoivent une information embrouillée 1* multiplexée avec un message d'habilitation HM. Chaque terminal 51 comporte en entrée un décodeur 53 lequel est associé à un processeur de sécurité. Ce dernier peut être intégré à une carte à puce amovible 54 comportant un microprocesseur 55 et une mémoire 56 non volatile et non accessible en écriture pour un utilisateur du terminal 51 dans laquelle est stockée au moins une copie de la clé d'exploitation SOK utilisée lors du chiffrement du mot de contrôle CW. Préférentiellement, le mémoire 56 n'est pas non plus accessible en lecture. L'émetteur 50 émet de manière classique par voie hertzienne, un programme de télévision embrouillé 1* aux terminaux de réception 51. A la réception, le décodeur 53 sépare le message d'habilitation HM des informations embrouillées 1* et adresse le message d'habilitation HM pour son traitement, au microprocesseur 55 de la carte amovible 54. Le microprocesseur 55 met alors en oeuvre l'étape 4 du procédé et effectue les vérifications classiques d'authenticité et d'adresse. Cette étape 4 de vérification se base sur la comparaison des paramètres envoyés avec des paramètres locaux fixes stockés dans la mémoire 56. Avantageusement, avant d'être émis par l'émetteur diffuseur 50, tout ou partie du message d'habilitation HM est chiffré afin d'être rendu confidentiel. Dans ce cas, l'étape 4 de vérification d'authenticité est associée à une étape de restitution du message HM. Par exemple, seuls les paramètres d'authenticité ne sont pas chiffrés, de sorte que l'étape de restitution est réalisée conditionnellement à la réalisation de l'étape 4. Ainsi, un même message d'habilitation peut être destiné à un seul terminai ou à un groupe de terminaux en fonction des paramètres d'adresse. Dans le cas où l'étape 4 de vérification est positive, le microprocesseur 55 entame l'étape 10 d'interprétation de l'action CM. Par exemple, les paramètres de format du champ CM~F induisent un calcul à effectuer sur des données du champ CM~D, à l'aide des paramètres d'habilitation du champ CMF et de paramètres locaux stockés dans la mémoire 56. Typiquement, ce calcul consiste à déchiffrer à l'aide de la clé SOK, le cryptogramme CCW du mot de contrôle puis à le rechiffrer avec une clé de chiffrement locale mémorisée dans la mémoire 56 du microprocesseur 55. Le cas échéant, un surchiffrement du cryptogramme CCW peut être réalisé ou toute autre transformation de ce dernier. Préférentiellement, les opérations de chiffrement et de déchiffrement sont réalisées exclusivement dans le microprocesseur 55, de sorte que le mot de contrôle CW n'est jamais accessible pour un utilisateur du poste récepteur. Ainsi, le microprocesseur calcule des paramètres de sécurité et des données à associer au message d'ordre OM. Par la suite le microprocesseur 55 réalise l'étape 20 de génération locale du message d'ordre OM en assemblant les éléments définis précédemment pour délivrer le message OM. Le message OM délivré en sortie comporte alors à l'intérieur du champ OM~D de données, le nouveau cryptogramme du mot de contrôle chiffré avec une clé locale mémorisée dans le microprocesseur 55 exécutant l'opération. Par la suite, le message OM est multiplexé à nouveau avec les informations embrouillées 1* et est mémorisé sur un support 57 non volatil d'enregistrement d'informations tel qu'une cassette vidéo. Ainsi, lors d'un nouvel accès aux informations embrouillées 1* enregistrées, le message d'ordre est démultiplexé puis exécuté. Cette exécution comporte la vérification des paramètres de sécurité du champ OM~H puis le décodage du champ de données OM~D. Dans ce dernier, se trouve le cryptogramme du mot de contrôle qui peut être déchiffré à l'aide du processeur 55 utilisé lors de la réception de l'information. Lorsque la clé utilisée lors du rechiffrement est spécifique au microprocesseur 55 lui seul peut effectuer le déchiffrement du cryptogramme et en extraire le mot de contrôle afin d'accéder aux informations embrouillées 1*. De même, si la clé utilisée lors du rechiffrement est spécifique à un groupe de poste récepteurs, seul un terminal de ce groupe pourra avoir accès aux informations embrouillées. Un tel rechiffrement à l'aide de clés locales permet à l'émetteur diffuseur 50 par exemple, de restreindre l'accès à des informations embrouillées ou d'affranchir les postes récepteurs de la clé d'exploitation SOK d'être le cas échéant modifiée. Avantageusement, à chaque nouvel accès aux informations embroillées enregistrées, le message OM est recalculé et un paramètre d'utilisation tel qu'un compteur ou une date limite d'utilisation est utilisé. Par exemple, le champ de format CM~F de l'action CM de génération entraîne l'insertion dans le champ de données OM~D du message d'ordre OM, la date de création de celui-ci. De même, le champ de données CM~D de l'action CM comporte des instructions de vérification de cette date. Lors de la génération du message OM, le champ de données CM~D est transféré et constitue une partie du champ de données OM~D du message d'ordre OM. Ainsi, lors d'un nouvel accès aux informations embrouillées 1* enregistrées avec le message d'ordre OM, celui-ci est exécuté. Après vérification des paramètres de sécurité du champ OM~H, les instructions du champ OM~D sont exécutées et la date de création est vérifiée, de sorte que des branchements conditionnels en fonction de cette date sont réalisables. Par exemple, si les critères de validité de cette date sont vérifiés, les informations 1* sont désembrouillées pour être affichées sur un afficheur 58. Ainsi, grâce au protocole de l'invention, l'émetteur 50 du message HM maîtrise l'utilisation des informations reçues aux postes récepteurs en contrôlant les possibilités d'enregistrement et de relecture des informations embrouillées 1* et multiplexées avec le message d'ordre OM généré localement en fonction des paramètres transmis dans l'action CM du message d'habilitation HM. En référence à la figure 8, on a décrit un second mode de mise en oeuvre de l'invention dans le cas d'un système de retransmission, par voie satellitaire, terrestre, de fibre optique, coaxiale ou autre. A titre d'exemple, ce système peut comprendre un émetteur diffuseur 50, un satellite 70, des stations de retransmission 71 et des postes récepteurs 72. Chaque station de retransmission 71 peut comporter un décodeur 73 associé à un processeur de sécurité. Ce dernier peut être intégré à une carte amovible 74 qui comporte un microprocesseur 75 associé à une mémoire 76 non accessible en écriture pour un opérateur de la station de re-transmission 71 comprenant au moins une copie de la clé d'exploitation SOK utilisée lors du chiffrement du mot de contrôle CW. Les stations 71 comportent également des bases de données 77 permettant de stocker des données spécifiques à chaque station 71 telles que des codes clients ou des clés de chiffrement spécifiques. L'émetteur diffuseur 50 transmet une information embrouillée 1* multiplexée avec un message d'habilitation HM au satellite 70 qui retransmet ces informations vers les stations de retransmission 71. A la réception, le microprocesseur 75 met en oeuvre l'étape 4 du procédé et effectue les vérifications classiques d'authenticité et d'adresse du message HM. Cette étape 4 de vérification se base notamment sur la comparaison des paramètres envoyés avec des paramètres locaux stockés dans la mémoire 76. Ainsi, un même message d'habilitation peut être destiné à un seul terminal ou à un groupe de terminaux en fonction des paramètres d'adresse. Dans le cas où l'étape 4 de vérification s'est avérée satisfaisante, le microprocesseur 75 entame l'étape 10 d'interprétation de l'action CM. Dans ce mode de réalisation, les paramètres de format de l'action CM contenus dans le champ CM~F permet l'usage de paramètres locaux de calcul obtenus à partir de la base de donnée 77. A l'aide de ces paramètres locaux, des paramètres de format et d'habilitation de l'action CM, le processeur 75 génère les éléments constituant le message d'ordre OM. Par exemple, les paramètres du champ CM~F font référence à des codes d'adresses de clients de cette station définis par un opérateur de la station 71. Lors de l'étape 14, les paramètres de sécurité destinés au champ OM~H sont calculés par le microprocesseur 75 à l'aide de ces codes d'adresses. Le microprocesseur 75 réalise ensuite l'étape 20 et délivre le message OM à l'attention du décodeur 73. Ce message d'ordre OM est remultiplexé avec les informations embrouillées 1* avant d'être retransmis vers les postes récepteurs 72. Apres avoir séparé le message OM des informations 1*, les poste récepteurs 72 mettent en oeuvre l'étape 25 et exécutent le message OM. Les postes 72 effectuent alors une vérification des paramètres de sécurité du champ OM~H puis une lecture et un traitement des données du champ OM D. Dans l'exemple décrit, les paramètres de sécurité du champ OM~H contiennent les codes d'adresses et d'authenticité des clients de la station 71 ayant effectué l'étape 10. Ainsi seuls ces clients pourront satisfaire aux paramètres de sécurité du champ OM~H et accéder aux données du champ OM~D contenant notamment le cryptogramme CCW du mot de contrôle permettant le désembrouillage des informations 1*. Dans ce mode de réalisation, l'émetteur 50, en définissant l'action CM du message d'habilitation HM, commande la génération du message d'ordre OM en spécifiant les références des paramètres locaux à utiliser lors des calculs de l'étape 10. Il apparaît donc que le protocole de l'invention permet de manière générale à un émetteur diffuseur de garder un contrôle optimal et variable sur l'utilisation d'une information embrouillée à l'aide de l'action CM de génération d'un message d'ordre transmis dans le message d'habilitation HM. Par ailleurs, le message d'ordre généré peut également être un message d'habilitation, de sorte que son exécution entraîne la génération d'un nouveau message d'ordre. Le protocole de l'invention a été décrit en référence à une diffusion d'un programme de télévision, afin d'en faciliter la compréhension. Cependant, ce protocole peut également s'appliquer à d'autres domaines, notamment la transmission d'informations numériques en réseau. De même les terminaux de décodage peuvent être tout type de terminaux adaptés tels que des postes de télévision, des micro-ordinateurs,.... La nature et les spécifications des composants des terminaux, et notamment l'agencement des décodeurs, des microprocesseurs et des mémoires peuvent être adaptés en fonction des besoins et de l'environnement. Enfin, les opérations décrites dans les deux modes de réalisation présentés peuvent être combinées et/ou modifiées afin d'adapter le protocole de l'invention à l'utilisation souhaitée. REVENDICATIONS 1. Protocole de commande à distance d'une action de génération locale d'un message d'ordre (OM), à partir d'un émetteur diffuseur (50), afin de commander une action locale sur au moins un poste récepteur (51 ; 71), comportant au moins un terminal de décodage (53 ; 73), un module de contrôle (54 ; 74) d'accès muni d'un processeur de sécurité (55 ; 75), ledit processeur de sécurité comportant des paramètres de vérification d'authenticité et d'adresse mémorisés dans une mémoire (56 ; 76) associée audit processeur (55 ; 75), ledit protocole comportant : - une étape (2) de transmission de l'émetteur diffuseur (50) vers le ou les postes récepteurs (51 ; 71), d'un message d'habilitation (HM) comportant un champ (HM~H) contenant des paramètres d'authenticité et d'adresse et un champ (HM~D) contenant des données ; et - une étape (4) de vérification dans le ou lesdits postes récepteurs (51 ; 71) desdits paramètres d'authenticité et d'adresse par rapport aux paramètres mémorisés dans chacun desdits postes récepteurs (51 ; 71), caractérisé en ce que ledit message d'habilitation (HM) comporte, dans le champ (HM~D) de données, une action (CM) de génération, au niveau du ou des postes récepteurs (51 ; 71), d'un message d'ordre (OM) calculé localement, et en ce que ledit protocole comporte au moins, conditionnellement à ladite étape de vérification (4) : - une étape d'interprétation (10) de ladite action (CM) transmise dans ledit message d'habilitation (HM) ; et - une étape (20) de génération locale d'un message d'ordre (OM) en réponse à ladite étape d'interprétation (10). 2. Protocole selon la revendication 1, caractérisé en ce que ledit champ (HM~D) de données du message d'habilitation (HM) comporte une pluralté de blocs d'instructions agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer un branchement conditionne entre les blocs et le traitement des instructions contenues dans lesdits blocs. 3. Protocole selon l'une des revendications 1 ou 2, caractérisé en ce que ladite action (CM) comporte un champ (CM~F) contenant des paramètres représentatifs du format dudit message d'ordre (OM) à générer localement, ladite étape (10) d'interprétation de l'action (CM) comportant au moins une étape (12) de prise en compte desdits paramètres de format afin d'exécuter des opérations pour générer des éléments du message d'ordre (OM) conformément à ces paramètres de format. 4. Protocole selon la revendication 3, caractérisé en ce que lesdites opérations réalisées lors de ladite étape (10) d'interprétation incluent des opérations de chiffrement, de déchiffrement et/ou de surchiffrement. 5. Protocole selon l'une des revendications 3 ou 4, caractérisé en ce que lesdits paramètres de format contenus dans l'action (CM) comprennent des références à des paramètres locaux, mémorisés dans une mémoire (56 ; 76) non accessible en écriture pour les utilisateurs desdits terminaux (51 ; 71), lesdits paramètres locaux étant utilisés lors desdites opérations de ladite étape (10) d'interprétation de l'action (CM). 6. Protocole selon l'une quelconque des revendications 3 à 5, caractérisé en ce que lesdits paramètres de format contenus dans l'action (CM) comprennent des références à des paramètres locaux, mémorisés dans une mémoire (56 ; 76) accessible en écriture pour les utilisateurs desdits terminaux (51 ; 71), lesdits paramètres locaux étant utilisés lors desdites opérations de ladite étape (10) d'interprétation de l'action (CM). 7. Protocole selon l'une quelconque des revendications 3 à 6, caractérisé en ce que ladite action (CM) comporte un champ (CM~H) contenant des paramètres d'habilitation, ladite étape (10) d'interprétation de l'action (CM) comportant au moins une étape (14) de génération de paramètres de sécurité afin de définir des paramètres de sécurité pour le message d'ordre (OM), au moins à partir desdits paramètres d'habilitation et en fonction des opérations requises par la réalisation de l'étape (12) de prise en compte des paramètres de format. 8. Protocole selon l'une quelconque des revendications 3 à 7, caractérisé en ce que ladite action (CM) comporte un champ (CM~D) contenant des données, ladite étape (10) d'interprétation de l'action (CM) comportant au moins une étape (16) de traitement de données afin de définir des données du message d'ordre (OM), au moins à partir desdites données contenues dans le champ (CM~D) de données de l'action CM et en fonction des opérations requises par la réalisation de l'étape (12) de prise en compte des paramètres de format. 9. Protocole selon la revendication 8, caractérisé en ce que ledit champ (CM~D) de données de l'action (CM) comporte une pluralité de blocs d'instructions agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer un branchement conditionne entre les blocs et le traitement des instructions qu'ils contiennent. 10. Protocole selon l'une quelconque des revendications 1 à 9, caractérisé en ce que ladite étape (20) de génération délivre un message d'ordre (OM) comportant un champ (OM~H) contenant des paramètres de sécurité et un champ (OM~D) contenant des données. 11. Protocole selon la revendication 10, caractérisé en ce que ledit champ (OM~D) de données du message d'ordre (OM) comporte une pluralité de blocs d'instructions agencés en combinaisons logiques de conditions dont le résultat binaire de la vérification logique, vrai ou faux, permet d'engendrer un branchement conditionnel entre les blocs et le traitement des instructions qu'ils contiennent. 12. Protocole selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte ultérieurement à ladite étape (20) de génération locale d'un message d'ordre, une étape (25) d'exécution de ce message d'ordre (OM). 13. Protocole selon la revendication 12, caractérisé en ce que ladite étape (25) d'exécution du message d'ordre (OM) comprend la vérification de paramètres de sécurité contenus dans le message d'ordre (OM) et la lecture puis le traitement de données contenues dans le message d'ordre (OM). 14. Protocole selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit message d'ordre (OM) généré localement est un message d'habilitation (HM) tel que défini dans l'une quelconque des revendications précédentes. 15. Protocole selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit émetteur diffuseur (50) étant adapté pour l'émission d'informations embrouillées (1*) au moyen d'une clé de service contenue dans un mot de contrôle (CW), la transmission desdites informations embrouillées étant accompagnée de la transmission d'un cryptogramme (CCW) du mot de contrôle, chiffré au moyen d'une clé d'exploitation (SOK), le terminal de décodage de cha- que poste récepteur constituant alors un terminal de désembrouillage desdites informations embrouillées et comportant dans ledit processeur de sécurité (55 ; 75) dudit module de contrôle (54 ; 74), ladite clé d'exploitation (SOK) afin de restituer à partir de ladite clé d'exploitation et dudit mot de contrôle chiffré (CCW), ladite clé de service contenue dans ledit mot de contrôle (CW), chaque terminal de désembrouillage permettant à partir de ladite clé de service restituée, le déembrouillage desdites informations embrouillées (1*), ledit message d'habilitation (HM) est transmis par multiplexage dans le flux desdites informations embroillées transmises de l'émetteur diffuseur (50) vers le ou les postes récepteurs (51 ; 71). 16. Protocole selon les revendications 10 et 15 prises ensembles, caractérisé en ce que ledit champ (CM~D) de données de ladite action (CM) comporte au moins ledit cryptogramme du mot de contrôle (CCW). 17. Protocole selon l'une quelconque des revendications 15 ou 16, caractérisé en ce que ledit champ de données (CM~D) de ladite action (CM) comprend des instructions de remplacement du message d'habilitation (HM) multi- plexé-avec lesdites informations embrouillées (1*) par ledit message d'ordre (OM) généré localement et en ce que ladite étape (20) de génération locale d'un message d'ordre est suivie d'une étape de remplacement dudit message d'habilitation (HM) par ledit message d'ordre (OM) dans lesdites informations embrouillées (1*). 18. Protocole selon la revendication 17, caractérisé en ce qu'il comporte une étape d'enregistrement sur un support non volatil (57) desdites informations embrouillées (1*) et multiplexées avec ledit message d'ordre (OM) généré localement. 19. Protocole selon la revendication 18, caractérisé en ce que lesdits paramètres de sécurité et/ou lesdites données dudit message d'ordre (OM) comportent des critères d'accès auxdites informations embrouillées (1*) enregistrées sur ledit support non volatil (57), ledit protocole comportant en outre : - une étape de requête d'accès auxdites informations embrouillées et enregistrées ; et - une étape de vérification desdits critères d'accès du message d'ordre (OM) afin de délivrer, sur vérification de ces critères d'accès, une autorisation d'accès auxdites données embrouillées enregistrées. 20. Protocole selon la revendication 19, caractérisé en ce que lesdits critères d'accès sont choisis parmi les paramètres dans le groupe constitué des paramètres suivants : - un niveau d'habilitation du terminal ; - une date limite d'autorisation d'accès ; - une durée définie par rapport à une date et/ou un instant ; - une durée de vie ; et - un nombre maximum de requêtes d'accès autorisées. 21. Protocole selon l'une quelconque des revendications 15 à 20, caractérisé en ce qu'il comporte une étape de retransmission desdites informations embrouillées multiplexées (1*) avec ledit message d'ordre (OM) généré localement, à partir du ou desdits postes récepteurs (71) vers un ou plusieurs postes récepteurs secondaires (72). 22. Protocole selon l'une quelconque des revendications précédentes, caractérisé en ce que tout ou partie dudit message d'habilitation (HM) est chiffré avant ladite étape (2) de transmission afin d'assurer la confidentialité de cette transmission, ladite étape (4) de vérification des paramètres d'authenticité et d'adresse étant associée à une étape de déchiffrement de ce message d'habilitation (HM). 23. Terminal de décodage et d'enregistrement d'informations embroillées comportant un décodeur (53) auquel est associé un processeur de sécurité, caractérisé en ce qu'il comporte en outre un support (57) non volatil d'enregistrement d'informations embrouillées (1*) et multiplexées avec un message d'ordre généré localement. 24. Terminal de décodage et de retransmission d'informations embrouillées comportant un décodeur associé à un processeur de sécurité, caractérisé en ce que ledit terminal (71) comporte des moyens de retransmission d'informations embrouillées (1') avec un message d'ordre (OM) généré localement.