Brevet FR2894757A1 — publié le 20070615

PROCEDE DE CONTROLE D'ACCES A UN CONTENU EMBROUILLE DOMAINE TECHNIQUE L'invention se situe dans le domaine de la distribution de contenus et concerne plus spécifiquement un procédé de contrôle d'accès à un contenu embrouillé fourni à un terminal de réception par un opérateur auquel est associée une unité de gestion d'accès, le terminal de réception étant muni d'au moins un module de contrôle d'accès, ledit procédé comportant les étapes suivantes : associer audit contenu une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, - transmettre ledit contenu avec ladite condition d'accès audit terminal. L'invention concerne également un système de contrôle d'accès comportant un dispositif d'émission comprenant un serveur de contenu embrouillé, une unité 20 de gestion d'accès associée audit dispositif, un terminal de réception muni d'au moins un module de contrôle d'accès au contenu embrouillé fourni par ledit serveur et auquel est associé une condition d'accès comportant une pluralité d'informations nécessaires au 25 désembrouillage dudit contenu. L'invention concerne également un programme d'ordinateur comportant un premier module de traitement mémorisé dans le terminal coopérant avec un deuxième module de traitement mémorisé dans l'unité de gestion 30 d'accès, ledit programme étant destiné à la mise en oeuvre d'un procédé de contrôle d'accès conforme à l'invention.15 L'invention s'applique également lorsque le contenu numérique embrouillé est distribué à un parc de terminaux récepteurs comprenant un terminal maître et une pluralité de terminaux esclaves dépendant dudit terminal maître, ce dernier remplissant la fonction d'unité de gestion d'accès. ÉTAT DE LA TECHNIQUE ANTÉRIEURE Dans un contexte de diffusion en multicast, il est difficile de réagir efficacement à certaines formes de piratage telles que par exemple la génération frauduleuse de droits ou clés requis pour accéder à des contenus ou encore les tentatives d'empêcher la prise en compte par le système de réception de messages de contremesures émis par l'opérateur. Cette situation requiert alors de l'opérateur d'effectuer des modifications du système de réception de l'ensemble des abonnés pour changer son signal de façon telle qu'il ne soit plus exploitable par les dispositifs pirates. Les modifications à réaliser doivent donc être suffisamment profondes, et leur déploiement est alors une opération lourde et coûteuse. Ces inconvénients proviennent, notamment, du fait que les systèmes de contrôle d'accès connus présentent généralement une architecture sans voie de retour. Dans ce type d'architecture, le terminal fonctionne de façon autonome par rapport à la tête de réseau. De ce fait, une fois le contenu mis à la disposition des abonnés, l'opérateur ne dispose plus d'aucun moyen lui permettant de contrôler, en temps réel, les droits des abonnés ciblés dès lors que tout le contrôle d'accès est effectué au niveau du terminal de réception. Une forme de détournement de contenu numérique consiste à utiliser un même processeur de sécurité, typiquement une carte à puce valide, par plusieurs terminaux afin de traiter plusieurs voies ECM. Dans ce cas, un seul abonné est connu de l'opérateur pour plusieurs utilisateurs effectifs de la même carte. Cette forme de détournement permet aux décodeurs incriminés d'accéder à autant de programmes différents dans la limite des droits effectivement présents dans la carte partagée et dans la limite du nombre d'ECM que la carte peut traiter pendant la période de renouvellement des mots de contrôle. Ce détournement de la carte de l'abonné par plusieurs décodeurs se fait sans aucun contrôle de l'opérateur qui ne peut l'empêcher, ni même le limiter. Un autre problème se pose également lorsqu'un abonné dispose de plusieurs terminaux de réception de données et/ou services embrouillés. En effet, à moins de considérer les terminaux du même abonné comme autant de terminaux indépendants liés à autant de copies de cet abonné, l'opérateur ne dispose pas de solution simple lui permettant de contrôler l'attribution de droits d'accès interdépendants ou communs aux différents terminaux de l'abonné. L'invention a pour but de pallier ces inconvénients. Plus spécifiquement, l'invention vise à répartir les opérations de contrôle d'accès entre la partie amont du système, et la partie aval, c'est-à-dire entre, d'une part, les équipements installés chez l'opérateur, dont les opérations sont directement sous le contrôle de ce dernier, et, d'autre part, le terminal de réception qui effectue de façon classique des vérifications des droits des abonnés au moyen du module de contrôle d'accès. Cette répartition permet de limiter, voire supprimer, l'autonomie du terminal par rapport à l'opérateur au cours des traitements du contrôle d'accès. Un autre but de l'invention est de tenir compte des configurations dans lesquelles le terminal de réception ne dispose pas d'une grande puissance de traitement. Ceci peut être le cas lorsque les terminaux de réception sont des terminaux mobiles (téléphone mobile, PDA, ordinateur portable...) avec une autonomie limitée en termes d'énergie et de puissance de traitement. L'invention a également pour but de fournir aux opérateurs une solution simple permettant d'attribuer de façon contrôlée des droits d'accès interdépendants ou communs à différents terminaux d'un même abonné. L'invention s'applique dans les cas classiques où le terminal est muni d'un module physique de contrôle d'accès, typiquement une carte à puce, mais elle s'applique avantageusement lorsque le module de contrôle d'accès n'est pas un module physique mais un module logiciel stocké préférentiellement de façon sécurisée dans une mémoire du terminal. EXPOSÉ DE L'INVENTION L'invention préconise un procédé de contrôle d'accès à un contenu embrouillé fourni à un terminal de réception par un opérateur auquel est associée une unité de gestion d'accès, ledit terminal étant muni d'au moins un module de contrôle d'accès. Ce procédé comporte les étapes suivantes : a - associer au contenu fourni une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, b - transmettre le contenu avec la condition d'accès au terminal, Selon l'invention, ce procédé comporte en outre les étapes suivantes : à la réception de la condition d'accès par 20 le terminal, c -renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès du terminal à l'unité de gestion d'accès via une liaison point-à-point, d - traiter ladite information par l'unité de gestion d'accès pour permettre ou empêcher l'utilisation du contenu par le terminal de réception en fonction du résultat dudit traitement. Ainsi, lorsque le terminal de réception 30 établit une communication avec l'unité de gestion d'accès via la liaison point à point, cette dernière 15 25 "prend la main" pour contrôler les droits dudit terminal à accéder au contenu demandé et permet ou empêche l'utilisation du contenu par le terminal en fonction du résultat de ce contrôle. Dans un mode préféré de mise en oeuvre du procédé, le traitement de l'information reçue par l'unité de gestion d'accès comprend une première étape consistant à vérifier si cette information est compatible avec des données d'accès mémorisées dans le terminal, et une deuxième étape consistant à transmettre au terminal au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de la première étape. Grâce au procédé selon l'invention, le contrôle d'accès n'est plus effectué exclusivement au niveau du terminal de réception. Ceci renforce la protection du contenu. Préférentiellement, à la réception de la condition d'accès par le terminal, le module de contrôle d'accès vérifie si la condition d'accès reçue est satisfaite par les données d'accès préalablement mémorisées dans ledit terminal de réception. Dans une variante de réalisation, le terminal renvoie une partie ou la totalité des informations contenues dans la condition d'accès à l'unité de gestion d'accès uniquement si la condition d'accès reçue n'est pas satisfaite. Dans une autre variante, le terminal envoie lesdites informations systématiquement, indépendamment du résultat du contrôle effectué par le module de contrôle d'accès. Cette deuxième variante est particulièrement avantageuse lorsque le contrôle d'accès est géré essentiellement au niveau de l'opérateur afin d'améliorer la sécurité du système de protection de contenu sans renforcer les mécanismes proprement sécuritaires du terminal, voire en les réduisant. Dans le mode préféré de réalisation, la première étape de traitement de l'information reçue par l'unité de gestion d'accès et le contrôle de la condition d'accès par le terminal de réception sont effectués indépendamment l'un de l'autre, systématiquement ou occasionnellement, selon un cadencement défini par l'opérateur. L'opérateur est ainsi en mesure de moduler finement la répartition spatiale et temporelle du contrôle d'accès entre l'opérateur et le terminal de réception. Préférentiellement, le cadencement défini par l'opérateur est imprévisible pour le terminal de 20 réception. Dans une première application du procédé, la condition d'accès est transmise au terminal dans un message ECM comportant au moins un critère d'accès CA, un cryptogramme CW*Kecm d'un mot de contrôle CW chiffré 25 par une clé Kecm• Dans cette application, les données d'accès mémorisées dans le terminal comportent des droits d'accès au contenu et au moins une clé de déchiffrement. L'étape c) du procédé consiste alors à 30 renvoyer du terminal vers l'unité de gestion d'accès au moins le cryptogramme CW*Kecm si le module de contrôle d'accès ne dispose pas de la clé Kecm pour déchiffrer ledit cryptogramme CW*Kecm. Le paramètre envoyé, ensuite, par l'unité de gestion d'accès au terminal est un mot de contrôle CW déchiffré avec la clé Kecm et Kter rechiffré par une clé terminal. connue spécifiquement du Dans une deuxième application, le procédé est mis en oeuvre pour contrôler le droit à la ré-utilisation d'un contenu. Dans ce cas, le paramètre envoyé par l'unité de gestion d'accès au terminal est un message ECMR destiné à être enregistré dans le terminal avec le contenu et comportant des critères d'accès destinés au contrôle de la relecture dudit contenu. Dans une troisième application, le procédé peut également être mis en oeuvre pour contrôler l'accès à un contenu protégé par une licence DRM. Dans ce cas, l'information renvoyée par le terminal à l'unité de gestion d'accès est la licence 20 DRM. Le système selon l'invention est caractérisé en ce que le terminal de réception est relié à ladite unité de gestion d'accès par une liaison point à point à travers laquelle ledit module de 25 contrôle d'accès renvoie, systématiquement ou occasionnellement, à ladite unité de gestion d'accès au moins une information contenue dans ladite condition d'accès de manière à permettre à l'unité de gestion d'accès de traiter ladite information pour permettre ou 30 empêcher l'utilisation du contenu par le terminal de réception en fonction du résultat du traitement effectué par l'unité de gestion d'accès. L'unité de gestion d'accès de ce système comporte des moyens pour vérifier si l'information reçue du module de contrôle d'accès est compatible avec les données d'accès mémorisées dans le terminal, et des moyens pour générer et transmettre au terminal au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de ladite vérification. L'invention concerne également un terminal de réception d'un contenu embrouillé distribué par un dispositif de distribution de contenus associé à une unité de gestion d'accès. Ce terminal comporte au moins un module de contrôle d'accès communiquant par une liaison point à point avec ladite unité de gestion d'accès. L'invention concerne également un programme d'ordinateur destiné à la mise en oeuvre d'un procédé de contrôle d'accès à un contenu embrouillé fourni par un opérateur auquel est associée une unité de gestion d'accès, à un terminal de réception comportant un module de contrôle d'accès. Ce programme comporte un premier module mémorisé dans le terminal comprenant des instructions pour renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès, du terminal à l'unité de gestion d'accès via une liaison point à point, ledit premier module coopérant avec un deuxième module mémorisé dans l'unité de gestion d'accès comprenant des instructions pour traiter ladite information et des instructions pour permettre ou empêcher l'utilisation du contenu par le terminal de réception en fonction du résultat dudit traitement. Le procédé selon l'invention s'applique également dans un système de contrôle d'accès comportant un dispositif d'émission comprenant un serveur de contenu, un terminal maître, un terminal esclave dépendant dudit terminal maître, ledit serveur de contenu comportant des moyens pour distribuer auxdits terminaux un contenu numérique embrouillé auquel est associée une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu. Ce système se caractérise par le fait que le terminal esclave est susceptible d'être connecté au terminal maître via une liaison point-à-point à travers laquelle ledit terminal esclave renvoie au terminal maître, systématiquement ou occasionnellement, au moins une information extraite de la condition d'accès reçue de manière à permettre audit terminal maître de traiter ladite information pour autoriser ou empêcher l'utilisation du contenu par le terminal esclave. A cet effet, le terminal maître comporte : - des moyens pour vérifier si l'information reçue du terminal esclave est compatible avec des droits d'accès préalablement alloués au terminal esclave, et - des moyens pour générer et transmettre audit terminal esclave au moins un paramètre de commande pour autoriser ou empêcher l'utilisation du contenu en fonction du résultat de ladite vérification. Le terminal maître peut être intégré au dispositif d'émission ou à une antenne de réception collective. Dans tous les cas, le terminal maître comporte un logiciel apte à traiter l'information transmise par le terminal esclave pour permettre ou empêcher l'utilisation du contenu par ce terminal esclave. Dans cette architecture, le procédé comporte les étapes préalables suivantes: associer audit contenu une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage du contenu distribué, - attribuer audit terminal maître et audit terminal esclave une clé de session KS commune, transmettre aux terminaux un flux comportant le contenu numérique embrouillé et la condition d'accès, à la réception du flux, le terminal esclave extrait la condition d'accès du flux reçu et renvoie systématiquement ou occasionnellement au moins une information de ladite condition d'accès au terminal maître via une liaison point-à-point établie avec le terminal maître, - et, à la réception de l'information renvoyée par le terminal esclave, le terminal maître vérifie si cette information est compatible avec des droits d'accès préalablement alloués audit terminal esclave, et renvoie à ce terminal esclave au moins un 30 paramètre de commande chiffré par la clé de session KS autorisant l'utilisation du contenu si ladite25 information est compatible avec lesdits droits d'accès, ou interdisant l'utilisation du contenu si ladite information n'est pas compatible avec lesdits droits d'accès. L'invention permet ainsi à l'opérateur de maîtriser l'association entre un terminal maître et des terminaux esclave, en maîtrisant l'attribution de la clé de session KS à un terminal maître et aux terminaux esclaves associés. L'opérateur peut ainsi contrôler, par le terminal maître, l'accès à un contenu par le terminal esclave. En déportant dans le terminal maître la fonction du contrôle des droits du terminal esclave, il est possible d'exploiter les contenus numériques dans plusieurs terminaux auxiliaires dépourvus de processeur de sécurité et sur lesquels le constructeur fait l'économie du lecteur de carte. Ceci permet de minimiser le coût du parc de terminaux auxiliaires associés à un terminal maître. Cet avantage est particulièrement sensible lorsque le parc comporte plusieurs terminaux (complexe hôtelier, hôpitaux, ...) Dans une variante de réalisation, le terminal maître ne dispose pas d'une carte à puce mais remplit uniquement une fonction de passerelle entre les terminaux esclaves d'un parc et l'unité de gestion d'accès associée à l'opérateur. Dans ce cas, le terminal maître fait systématiquement appel à l'unité de gestion d'accès associée à l'opérateur pour traiter une requête d'accès d'un terminal esclave. Dans une autre variante de réalisation, le terminal maître dispose d'une carte à puce mais ne l'utilise qu'occasionnellement. Dans ce cas, quand il n'utilise pas la carte à puce, le terminal maître fait appel à l'unité de gestion pour traiter une requête d'accès d'un terminal esclave. Comme dans le cas précédent, si le terminal maître n'effectue pas le traitement au moyen de ladite carte à puce, il joue uniquement un rôle de passerelle entre les terminaux esclaves du parc et l'unité de gestion d'accès associée à l'opérateur. Lorsque le procédé est mise en oeuvre dans un système d'accès conditionnel (CAS ou Conditional Access System en anglais), la condition d'accès est transmise dans un message ECM comportant au moins un critère d'accès CA et un cryptogramme CW*Kecm d'un mot de contrôle CW utilisé pour chiffrer le contenu. A la réception de la condition d'accès, le terminal esclave renvoie au moins le cryptogramme CW*xeem au terminal maître et typiquement le critère d'accès CA. Après vérification des droits du terminal esclave, si le terminal esclave est habilité à exploiter le contenu, le terminal maître transmet au terminal esclave le mot de contrôle CW déchiffré avec la clé Keom et rechiffré par la clé de session Ks. Dans une autre variante de réalisation, le paramètre transmis par le terminal maître au terminal esclave est un message ECMR destiné à être enregistré avec le contenu et comportant des critères d'accès destinés au contrôle de la réutilisation dudit contenu. Lorsque le contenu distribué est protégé par une licence DRM, l'information renvoyée par le terminal esclave au terminal maître est la licence DRM. Dans les deux applications (CAS ou DRM), le procédé selon l'invention est mis en oeuvre par un programme d'ordinateur comportant un premier module mémorisé dans le terminal esclave comprenant des instructions pour extraire la condition d'accès du flux reçu et renvoyer au moins une information de ladite condition d'accès au terminal maître via une liaison point-à-point établie avec le terminal maître, ledit premier module coopérant avec un deuxième module mémorisé dans le terminal maître comprenant des instructions pour traiter ladite information et des instructions pour autoriser ou empêcher l'utilisation du contenu par le terminal esclave en fonction du résultat dudit traitement. BRÈVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages de l'invention ressortiront de la description qui va suivre, prise à titre d'exemple non limitatif, en référence aux figures annexées dans lesquelles : - la figure 1 représente un schéma général d'un système de contrôle d'accès selon l'invention ; - la figure 2 représente schématiquement un premier exemple du système de la figure 1 ; - la figure 3 est un schéma bloc illustrant une application particulière du procédé selon l'invention ; - les figures 4 à 6 représentent un chronogramme illustrant le cadencement du procédé selon l'invention ; la figure 7 est un organigramme illustrant les étapes d'un mode de mise en oeuvre du procédé selon l'invention. - la figure 8 illustre schématiquement une deuxième application du procédé selon l'invention dans laquelle le contrôle d'accès est géré par un terminal maître auquel sont associés plusieurs terminaux esclaves. - la figure 9 illustre schématiquement une procédure de contrôle de l'habilitation d'un terminal esclave à exploiter le contenu numérique. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS L'invention va maintenant être décrite dans une application particulière du procédé pour contrôler l'accès à des programmes ou des contenus multimédias diffusés à des abonnés munis de droits d'accès. Dans la description qui suit, des références identiques désigneront les éléments des différentes figures remplissant des fonctions identiques ou équivalentes. Notons que le procédé peut être mis en oeuvre dans tout réseau connecté doté d'une voie de retour à débit suffisant, tel qu'un réseau câblé du type DSL (Pour Digital Subscriber Line), ou un réseau sans fil du type Wi-Fi ou Wi-Max (ou ASFI, pour Accès Sans Fil à Internet), ou encore un réseau mobile 3G. La figure 1 illustre un schéma général d'un système de distribution de contenu dans lequel le procédé selon l'invention est susceptible d'être mis en oeuvre. Ce système comporte un dispositif d'émission 2 associé à une unité de gestion d'accès 4, et un terminal de réception 6. Le dispositif d'émission 2 comporte un serveur de contenu 8 distribuant des contenus embrouillés vers le terminal 6 via un réseau 7 de transport, tel qu'un réseau câblé ou un réseau de diffusion hertzienne, ou encore via une ligne DSL, et le terminal 6 comporte un module de contrôle d'accès 10 qui peut être une carte à puce ou, préférentiellement, un module logiciel réalisant les fonctions de contrôle. Le terminal 6 est relié à l'unité de gestion d'accès 4 par une liaison point à point bidirectionnelle 12. En référence à la figure 2, illustrant schématiquement un exemple particulier de système de la figure 1, le terminal de réception 6 est un décodeur numérique installé chez l'abonné et la liaison entre l'opérateur et les abonnés est réalisée par une ligne DSL via un équipement intermédiaire 14 comportant un multiplexeur DSLAM 15 (pour Digital Subscriber Line Access Multiplexer en anglais ou Multiplexeur d'Accès pour Lignes d'Abonnés Numériques) communiquant avec une unité de gestion d'accès 4 (ou UGA). Cette dernière est intégrée à l'équipement 14. Notons que l'unité de gestion d'accès 4 peut être installée chez un tiers de confiance ayant pour fonction de contrôler les droits des abonnés sous la supervision de l'opérateur sans sortir du cadre de l'invention. Le dispositif d'émission 2 comporte un module ECM-G 16 (pour Entitlement Control Message Generator) destiné à calculer et à diffuser des messages d'exploitation ECM, un module SAS 18 (pour Subscriber Authorization System), destiné à calculer et à diffuser des messages EMM (pour Entitlement Management Message) nécessaires entre autres à l'envoi des droits et des clés aux abonnés et un multiplexeur MUX 20 destiné à constituer un bouquet de contenus à partir de programmes et/ou services fournis par l'opérateur. Le terminal 6 est constitué par exemple d'un décodeur/désembrouilleur de contenus multimédias, connu dans l'art antérieur en tant que Set Top Box en anglais (ou STE). Il dispose d'un processeur de sécurité 10 spécialement conçu pour traiter le contrôle d'accès aux contenus et la gestion des droits et des secrets cryptographiques (clés). Un exemple bien connu d'un tel processeur de sécurité est la carte à puce connectée au terminal. Un autre exemple du processeur de sécurité 10 peut également être réalisé par une fonction logicielle dédiée et intégrée dans le terminal. Le procédé selon l'invention va maintenant être décrit par référence aux figures 3 à 7. Les contenus fournis représentent des 30 programmes multimédias diffusés sous forme embrouillée par un mot de contrôle CW. Le terminal 6 dispose d'une clé KDiff commune aux terminaux adressés par l'opérateur, d'une clé Kier spécifique à ce terminal et d'un droit Doper. Ces clés et ce droit ont été chargés préalablement dans le processeur de sécurité, typiquement par message EMM. En outre, en cas d'action illicite de l'abonné, le processeur de sécurité contient un droit DFraud acquis frauduleusement. L'unité de gestion d'accès 4 dispose préalablement de la clé Koper, de la clé Kier de chaque terminal et sait de quel droit Doper dispose chaque terminal. En référence à la figure 3, la condition d'accès est transmise au terminal (flèche 22) dans un message ECM généré par l'ECM-G 16 du dispositif d'émission 2. Ce message ECM comporte un critère d'accès CAoper et le cryptogramme CW*xecm du mot de contrôle CW chiffré par une clé Kecm qui est soit la clé Koper connue seulement de l'opérateur, soit la clé KDiff connue de tous les terminaux de l'opérateur. Ainsi, l'accès à un programme auquel le message ECM est associé est possible dès lors que le terminal dispose d'au moins un droit Doper satisfaisant le critère d'accès CAoper et de la clé Kecm permettant d'obtenir le mot de contrôle CW par déchiffrement du cryptogramme CW*Kecm ce qui est le cas dans cet exemple si la clé est la clé KDiff A la réception des programmes, le terminal 6 renvoie (flèche 24) l'ECM reçu à l'unité de gestion 30 d'accès 4. KECm Dans une première variante de mise en oeuvre du procédé dans laquelle l'opérateur veut contrôler systématiquement le désembrouillage du contenu par le terminal, la clé Kecm est la clé Koper qui n'est pas transmise au terminal 6. Dans ce cas, le terminal renvoie systématiquement l'ECM à l'unité de gestion d'accès 4. Dans une autre variante de mise en oeuvre où le contrôle du désembrouillage du contenu est partagé entre le terminal et l'opérateur, le terminal renvoie occasionnellement l'ECM à l'unité de gestion d'accès 4 après une vérification préalable du critère d'accès par le module 10. Dans cette variante, le terminal renvoie l'ECM si, par exemple, l'abonné ne dispose pas du droit Doper qui permettrait de vérifier le critère d'accès ou si le terminal ne dispose pas de la clé Kecm de déchiffrement du cryptogramme CW*Kecm. Si au contraire le terminal dispose du droit vérifiant le critère d'accès et si le cryptogramme CW*Kecm peut être déchiffré avec la clé KDiff, le terminal accède au programme comme dans l'art antérieur. Lorsque l'unité de gestion d'accès 4 reçoit l'ECM du terminal 6, elle vérifie si le terminal 6 dispose des droits nécessaires pour accéder aux programmes reçus. Dans un premier mode de réalisation, l'unité de gestion d'accès dispose d'une base de données dans laquelle sont mémorisées les descriptions des droits que l'opérateur a envoyés au terminal de l'abonné. L'unité de gestion d'accès effectue ainsi la vérification du critère d'accès par rapport aux droits dont l'abonné dispose officiellement. Ce mode inhibe toute vérification du critère d'accès par rapport à des droits illicites que l'abonné aurait pu charger frauduleusement dans son terminal. Dans un second mode de réalisation, l'unité de gestion d'accès lit à distance le contenu du processeur de sécurité du terminal et effectue la vérification du critère d'accès par rapport aux droits effectivement présents dans le terminal. Ce mode dispense l'unité de gestion d'accès de supporter une base de données des droits de tous les abonnés et permet en outre de vérifier le contenu des processeurs de sécurité par contrôle de checksum ou autre procédéanalogue. Lorsque la vérification des droits du terminal par l'unité de gestion d'accès est positive, celle-ci renvoie au terminal un paramètre de commande pour permettre l'accès au contenu. Dans le cas contraire, elle ne renvoie pas ce paramètre au terminal empêchant ainsi l'accès au contenu. Lorsque le critère d'accès est vérifié positivement par l'unité de gestion d'accès 4, celle-ci déchiffre le cryptogramme CW*Kecm avec la clé Kecm, rechiffre le mot de contrôle CW avec la clé Kter connue spécifiquement du terminal et renvoie au terminal (flèche 26) le cryptogramme CW*liter du mot de contrôle ainsi rechiffré. La clé Kier est déterminée selon l'identification du terminal faite par l'unité de gestion d'accès lors de l'établissement de la liaison point à point 12 selon une méthode quelconque d'authentification de l'état de l'art et extérieure au procédé. Dans une variante particulière du procédé, le terminal envoie (24) à l'unité de gestion d'accès seulement le cryptogramme CW*KECm extrait de l'ECM. Dans ce cas, l'unité de gestion d'accès 4 considère que le critère d'accès est implicitement toujours vérifié et effectue seulement le déchiffrement/rechiffrement du mot de contrôle CW. Ainsi l'opérateur continue à contrôler le désembrouillage par le terminal par l'utilisation de la clé spécifique Kier. Selon une caractéristique avantageuse du procédé, la vérification du critère d'accès par le module de contrôle d'accès 10 du terminal de réception 6 et le traitement de l'ECM par l'unité de gestion d'accès 4 sont effectués indépendamment l'un de l'autre selon un cadencement défini par l'opérateur. Ce cadencement sera décrit ci-après par référence aux figures 4 à 6. Comme décrit précédemment, le terminal 6 dispose typiquement : de la clé KDiff représentant une instance de Kecm qui lui permet d'obtenir le CW quand l'ECM transporte le cryptogramme CW*KDiff• Cette clé est commune à un ensemble de terminaux. de la clé Kier, dédiée à ce terminal 6, permettant d'obtenir le mot de contrôle CW à partir du cryptogramme CW*Kier envoyé au terminal par l'unité de gestion d'accès 4. d'un titre d'accès Doper reçu officiellement de l'unité de gestion d'accès 4 qui en connaît l'existence dans le terminal 6. d'un titre d'accès DFraud obtenu frauduleusement par l'utilisateur du terminal. La détention de ce titre d'accès par le terminal n'est donc pas connue de l'unité de gestion d'accès 4. L'unité de gestion d'accès 4 dispose typiquement : de la clé Koper représentant une autre instance de Kecm qui lui permet d'obtenir le mot de contrôle CW quand l'ECM transporte le cryptogramme CW*Koper. Cette clé est connue uniquement de l'unité de gestion d'accès 4. de la clé Kier, dédiée au terminal 6 considéré, qui permet de fournir à ce terminal 6 le mot de contrôle CW sous la forme d'un cryptogramme CW*Kier• du titre d'accès Doper que l'unité de gestion d'accès 4 a envoyé officiellement au terminal 6. Afin d'illustrer les différentes situations, on définit trois valeurs distinctes pour la condition d'accès CA: CAoper : cette condition est satisfaite par la détention (licite) du droit Doper par le terminal, CAFraud • cette condition est satisfaite par la détention frauduleuse d'un droit DFraud par le terminal 6, CAAutre : cette condition n'est pas satisfaite par le terminal qui ne détient aucun droit correspondant. Les phases A, B et C illustrent l'effet du 30 cadencement du contrôle de la condition d'accès par le terminal sur l'accès au programme. En A : L'ECM est renvoyé à l'unité de gestion d'accès 4 par le terminal 6 soit parce que ce dernier ne contrôle pas l'ECM, soit parce qu'il a trouvé un droit satisfaisant la condition d'accès mais que le mot de contrôle est chiffré par la clé Koper dont il ne dispose pas. Durant cette période, il y a accès au programme car l'unité de gestion d'accès 4 constate que la condition d'accès est satisfaite. Elle envoie au terminal le cryptogramme CW*KTer du mot de contrôle chiffré avec la clé du terminal. En B : L'ECM est renvoyé à l'unité de gestion d'accès 4 soit parce que le terminal 6 ne contrôle pas l'ECM, soit parce qu'il a trouvé un droit illicite satisfaisant la condition d'accès alors qu'il n'a pas la clé Koper. Durant cette période, l'accès au programme est interdit car l'unité de gestion d'accès 4 constate que la condition d'accès ne peut pas être satisfaite par les droits officiels du terminal 6. Elle n'envoie pas de cryptogramme du mot de contrôle CW. En C : L'ECM n'est pas envoyé à l'unité de gestion d'accès 4 car le terminal dispose de la clé KDiff permettant de déchiffrer le cryptogramme CW*KECm• Si le terminal est dans une phase du cadencement où il doit contrôler le critère d'accès (Cl), il n'y a pas d'accès au programme puisque le critère d'accès CAAutre ne peut pas être satisfait par un droit disponible dans le terminal. Si du fait du cadencement le terminal ne contrôle pas le critère d'accès (C2), il y a accès au programme par le seul déchiffrement du mot de contrôle. Il est évident que ce dernier cas C2 doit être évité dans la mise en oeuvre du procédé, par exemple en forçant le contrôle du critère d'accès indépendamment du cadencement dès lors que le cryptogramme CW*KECm peut être déchiffré par le terminal. Les phases D et E illustrent l'effet du cadencement du contrôle de la condition d'accès par l'unité de gestion d'accès 4 sur l'accès au programme. En D : Il y a accès au programme soit parce que l'unité de gestion d'accès 4 ne contrôle pas la condition d'accès et la considère par défaut comme satisfaite, soit parce que cette unité de gestion d'accès 4 vérifie la condition d'accès et la constate satisfaite. En E : Il y a accès au programme parce que l'unité de gestion d'accès 4 ne vérifie pas la condition d'accès et la considère par défaut comme satisfaite alors que le terminal 6 exploite un droit illicite. Les phases K à p illustrent l'effet, sur l'accès au programme, du cadencement du contrôle de la condition d'accès conjointement par le terminal et par l'unité de gestion d'accès 4. En K : l'accès au programme est autorisé car la condition d'accès est constatée satisfaite par le terminal 6 et/ou par l'unité de gestion d'accès 4 et éventuellement estimée satisfaite par défaut par un seul de ces deux modules. En L : l'accès au programme est autorisé car la condition d'accès est constatée satisfaite par défaut par le terminal 6 et par l'unité de gestion d'accès 4. Les deux décisions par défaut sont ici conformes à la combinaison condition d'accès/droit officiel. En M : l'accès au programme est autorisé car la condition d'accès est constatée satisfaite effectivement par le terminal 6 et par défaut par l'unité de gestion d'accès 4. Dans ce cas, l'unité de gestion d'accès 4 ne détecte pas que le terminal 6 exploite un droit illicite. En N : Il n'y a pas d'accès au programme car la condition d'accès est constatée comme non satisfaite par l'unité de gestion d'accès 4 qui ne connaît pas le droit illicite qu'exploite le terminal 6. Dans la première partie de ce cas, l'unité de gestion d'accès 4 détecte que le terminal 6 dispose d'un droit illicite si le terminal 6 lui précise qu'il dispose d'un droit valide. En 0 : L'accès au programme est autorisé car la condition d'accès est estimée satisfaite par défaut par le terminal 6 et par l'unité de gestion d'accès 4. En P : l' ECM n'est pas envoyé à l'unité de gestion d'accès 4 car le terminal dispose de la clé KDiff utilisée pour chiffrer le mot de contrôle CW. Le contrôle par l'unité de gestion d'accès est ineffectif. Cette phase est similaire à la phase C décrite plus haut et doit bénéficier de la même implémentation particulière pour éviter que, hors du contrôle par le terminal, il puisse y avoir accès au programme. Les étapes du procédé selon l'invention vont maintenant être décrites en référence à la figure 7. Sur cette figure 7, les étapes représentées à la partie gauche correspondent aux traitements réalisés par le terminal 6, et celles de la partie droite aux traitements réalisés par l'unité de gestion d'accès 4. Quand l'abonné veut accéder à un programme, le terminal 6 acquiert les flux numériques contenant les composantes vidéo, audio et autres du programme ainsi que les messages ECM. A chaque message ECM reçu (étape 30), le terminal vérifie s'il est dans une période où il doit contrôler la condition d'accès (étape 32). Le test effectué à l'étape 32 matérialise le cadencement du procédé au niveau du terminal 6. Si ce dernier doit effectuer ce contrôle (flèche 34), la condition d'accès contenue dans l'ECM est comparée aux droits présents dans le terminal (étape 36). Si aucun droit ne satisfait la condition d'accès (flèche 38), le traitement de l'ECM est terminé, il n'y a pas d'accès au programme et le terminal 6 attend le message ECM suivant (étape 30). Si la condition d'accès est satisfaite par un droit présent dans le terminal (flèche 40), le terminal 6 vérifie (étape 42) s'il dispose de la clé Kecm lui permettant de déchiffrer le mot de contrôle CW. Cette étape matérialise l'activation du procédé par l'opérateur Si le terminal 6 dispose de la clé Kecm (flèche 44), il déchiffre le mot de contrôle CW (étape 46) et peut accéder au programme par désembrouillage (étape 48). Sinon, il envoie le message ECM à l'unité de gestion d'accès 4 (étape 52). Dans le cas où le terminal 6 n'est pas dans une période où il doit contrôler la condition d'accès (flèche 54), deux scénarios sont à envisager : 10 soit il vérifie (étape 42) s'il peut obtenir lui-même le mot de contrôle CW sans recourir à l'unité de gestion d'accès 4, soit il renvoie systématiquement (étape 52) l'ECM à l'unité de gestion d'accès 4. 15 Dans le premier cas, comme cela est décrit ci-dessus, il déchiffre (étape 46) le mot de contrôle CW si la vérification est positive. Le traitement du contrôle d'accès est alors effectué par le terminal 6. Dans le deuxième cas, le terminal 6 doit 20 systématiquement solliciter l'unité de gestion d'accès 4. Dans ce cas, il ne peut pas y avoir un accès au programme sans contrôle de la condition d'accès par l'unité de gestion d'accès 4. Lorsque le terminal envoie (étape 52) un 25 ECM à l'unité de gestion d'accès 4, celle-ci vérifie (étape 60) si elle est dans une période où elle doit contrôler la condition d'accès de l'ECM. L'étape 60 matérialise le cadencement du procédé au niveau de l'unité de gestion d'accès 4. 30 Si l'unité de gestion d'accès 4 doit contrôler la condition d'accès (flèche 62), elle5 compare (étape 64) cette condition d'accès aux droits du terminal 6. Comme cela a été décrit plus haut, l'unité de gestion d'accès 4 effectue cette comparaison à partir de sa propre base de données des droits des terminaux d'abonnés sans interroger explicitement le terminal 6. Seuls les droits licites sont considérés dans ce traitement pour accorder ou refuser l'accès aux programmes. En variante elle peut également effectuer cette comparaison en interrogeant à distance le processeur de sécurité du terminal. Dans ce cas la présence de droits illicites peut être détectée par exemple par des contrôles de checksum sur les droits constatés dans ce processeur. Si la condition d'accès est satisfaite (flèche 66) ou si l'unité de gestion d'accès 4 n'a pas à contrôler la condition d'accès (flèche 68), l'unité de gestion d'accès 4 déchiffre le mot de contrôle CW de l'ECM (étape 70), chiffre le mot de contrôle CW (étape 72) obtenu avec une clé Kter dédiée au terminal 6 et envoie (étape 74) le cryptogramme obtenu au terminal 6. Ce dernier déchiffre (étape 76) avec sa clé dédiée le mot de contrôle CW et désembrouille (48) le programme. Si l'unité de gestion d'accès 4 considère que, conformément aux droits du terminal 6, la condition d'accès n'est pas satisfaite (flèche 78), elle ne fournit pas au terminal 6 le mot de contrôle CW permettant le désembrouillage du programme. Dans une variante de mise en oeuvre du 30 procédé illustrée par les traits pointillés, (flèche 80), dans laquelle le terminal 6 a précisé via l'ECM, lors de l'étape 52, qu'il dispose d'un droit satisfaisant la condition d'accès, l'unité de gestion d'accès 4 corrèle alors (étape 84) cette information avec sa propre conclusion et peut détecter (flèche 86) que le terminal 6 tente d'accéder illicitement au contenu et déclencher (étape 88) un traitement approprié d'une telle tentative de fraude. Le procédé selon l'invention peut également être mis en oeuvre dans un contexte de réutilisation d'un contenu préalablement obtenu selon le procédé, pour la relecture ou la redistribution d'un contenu enregistré, par exemple. Dans ce cas, le paramètre envoyé par l'unité de gestion d'accès 4 au terminal 6 est un message ECMR destiné à être enregistré dans le terminal avec le contenu et comportant des critères d'accès destinés au contrôle de la réutilisation dudit contenu, relecture ou redistribution, par exemple. Lors de la relecture du contenu ou de sa réutilisation, le message ECMR sera, selon sa constitution, traité selon le procédé, en faisant appel à l'unité de gestion d'accès 4, ou selon l'art antérieur par le seul terminal. Le procédé peut également s'appliquer pour renforcer le contrôle d'accès dans un système DRM. Dans ce cas, une unique clé est généralement requise pour désembrouiller l'ensemble d'un contenu. Cette clé est mise à disposition indépendamment du contenu lui-même, encapsulée dans une licence spécifique au système de réception 30 destinataire.25 Dans ce contexte, le procédé proposé s'applique en constituant la licence de façon spécifique au système amont, de façon à ce que le système de réception ne puisse pas exploiter cette 5 licence sans recourir au système amont, le système amont pouvant alors vérifier le droit du système de réception à accéder au contenu considéré, puis reconstituer le cas échéant la licence de façon spécifique à ce système de réception. La figure 8 illustre schématiquement une architecture de distribution de contenus et/ou de services, désignés par la suite en tant que contenus , dans laquelle un opérateur 100 fournit un contenu embrouillé à un ensemble de terminaux (102, 15 104, 106, 108) d'une même entité, telle qu'un même foyer familial, regroupant plusieurs terminaux pour permettre à un abonné de visualiser sur plusieurs récepteurs audiovisuels des contenus différents, en fonction des divers droits attribués à cet abonné par 20 l'opérateur. Dans l'exemple illustré par cette figure 8, le terminal maître 102 et les terminaux esclaves sont munis de dispositifs de démodulation (démodulateur DVBS, DVB-C, DVB-T, modem IP, ...) adaptés aux réseaux de 25 distribution auxquels ils sont connectés. En outre, dans cet exemple, le terminal maître 102 est muni d'un processeur de sécurité, tel qu'une carte à puce 109 et les terminaux esclaves (104, 106, 108) ne disposent pas de carte à puce mais permettent d'accéder aux contenus 30 de l'opérateur en se connectant au terminal maître 102 10 par lequel ils pourront obtenir l'accès auxdits contenus. Notons que terminal maître 102 peut être utilisé par l'abonné pour accéder aux contenus de façon classique. Le terminal maître 102 et le terminal esclave 104 reçoivent directement (flèches 105) de l'opérateur 100 un contenu embrouillé, le terminal esclave 106 reçoit (flèche 107) un contenu via le terminal maître 102, le terminal esclave 108 reçoit (flèche 110) un contenu enregistré dans une mémoire locale 111 du terminal maître 102 ou dans une mémoire locale du terminal esclave 106, (flèche 112). Notons cependant qu'un terminal esclave (104, 106, 108) peut être doté néanmoins d'une carte à puce permettant d'effectuer le contrôle d'accès aux contenus partiellement par le terminal esclave et partiellement par le terminal maître, selon un cadencement contrôlé par l'opérateur tel que cela a été décrit précédemment. L'architecture décrite à la figure 8 s'applique également à d'autres entités telles qu'un serveur passerelle (home gateway) ou une antenne collective sans sortir du cadre de l'invention. Dans tous les cas, les terminaux esclaves 104, 106 et 108 disposent chacun d'une liaison point-àpoint (flèche 115) avec le terminal maître 102, et renvoient audit terminal maître 102 via cette liaison point-à-point une information extraite de la condition d'accès associée au contenu pour permettre au terminal maître 102 de gérer le contrôle d'accès à ce contenu. Cette architecture peut en outre être étendue à une organisation en cascade des terminaux. En effet, un terminal esclave peut être le terminal maître d'autres terminaux esclaves qui lui sont connectés. Cette capacité d'extension permet de construire des topologies fonctionnelles particulières de terminaux. La limitation d'une telle extension d'architecture provient des temps de réponse induits par les cascades multiples de terminaux. Dans un mode préféré de réalisation, les terminaux esclaves sont équipés d'une puce électronique sécurisée avec laquelle ils procèdent au déchiffrement du cryptogramme du mot de contrôle fourni par le terminal maître. Dans ce cas, la sécurisation de l'accès au contenu par l'un des terminaux esclaves 104, 106 et 108 est obtenu grâce à l'utilisation conjointe de l'unique carte à puce insérée dans le terminal maître 102 et de la puce électronique dans chacun des terminaux esclaves 104, 106 et 108. Dans un autre mode de réalisation cette fonction de déchiffrement est effectuée par un module logiciel dédié sécurisé du terminal esclave. La solution s'applique aussi bien aux contenus diffusés en direct qu'aux contenus préalablement enregistrés par le terminal maître 102 ou par un autre terminal esclave 106. L'opérateur peut définir depuis son système amont les terminaux esclaves autorisés à être gérés par le terminal maître, introduisant ainsi une notion de domaine. Ainsi, un terminal esclave non autorisé ne pourra pas déchiffrer les contenus issus du terminal maître. Dans un mode préféré de réalisation, l'opérateur contrôle les terminaux esclaves habilités à fonctionner avec un terminal maître en contrôlant la distribution de la clé de session, comme cela sera décrit plus loin. En variante, l'opérateur peut également limiter le nombre de terminaux esclaves qui peuvent faire appel à un même terminal maître en créant une liste explicite contenant les identifiants des terminaux autorisés ou interdits. Dans ce cas le contrôle d'un terminal esclave résulte de son habilitation à disposer d'une liaison point à point établie avec le terminal maître. Le nombre de terminaux autorisés dans la liste peut alors être choisi par l'opérateur. Dans tous les cas, seuls les terminaux esclaves autorisés reçoivent une clé de session compatible avec le terminal maître auquel ils sont rattachés. L'élimination d'un terminal esclave de la liste des terminaux autorisés est également contrôlée par l'opérateur typiquement en excluant ce terminal de la liste de terminaux esclaves auxquels est envoyée une nouvelle clé de session. Réception et enregistrement des contenus par le terminal maître L'accès aux contenus par le terminal maître, pour leur utilisation, leur enregistrement ou30 leur relecture, est contrôlé conformément au procédé de la figure 1 décrit précédemment, par sollicitation de sa carte à puce si le terminal en est doté et/ou de l'unité de gestion d'accès 4 de l'opérateur. A la réception de la condition d'accès, le terminal maître 102 renvoie au moins une information de ladite condition d'accès à l'unité de gestion d'accès 4 via la liaison point-à-point 12. Cette dernière traite ladite information pour autoriser ou empêcher l'utilisation du contenu par le terminal maître 102. Ce traitement des contenus par le terminal maître n'est pas modifié du fait que des terminaux esclaves peuvent le solliciter par ailleurs. Par contre, de par son statut de maître, le terminal maître 102 dispose de la fonctionnalité supplémentaire lui permettant d'être sollicité par des terminaux esclaves 104, 106, 108 pour contrôler leur accès à des contenus. Il peut en outre être doté de la capacité à transmettre à des terminaux esclaves les contenus qu'il reçoit (terminal 106) ou des contenus qu'il a enregistrés (terminal 108). Cette opération est contrôlée par l'opérateur en programmant, dans le terminal maître 102, les flux/services qui peuvent être redirigés vers l'un des (ou les) terminaux esclaves 104, 106 ou 108. Utilisation d'un contenu par un terminal esclave Un terminal esclave reçoit les contenus/services directement (terminal 104) de la source amont, via une liaison satellite par exemple, par l'intermédiaire (terminal 106) du terminal maître, ou après leur enregistrement (terminal 108) sur un autre terminal maître ou esclave. A la réception du contenu et de la condition d'accès associée (ECM), le terminal esclave 104, 106 ou 108 se connecte au terminal maître 102 via le canal de communication 115, et transmet le message ECM au terminal maître 102 pour traitement. Dans la mesure où les données envoyées au terminal maître 102 par le terminal esclave 104, 106 et 108 sont chiffrées, le canal de communication 115 peut ne pas être sécurisé. Le terminal maître 102 soumet ensuite l'ECM à la carte à puce 109 qui déchiffre le mot de contrôle CW si les conditions d'accès sont remplies, et le rechiffre localement avec une clé de session KS. Le mot de contrôle CW ainsi rechiffré localement est envoyé par le terminal maître 102 au terminal esclave 104, 106 ou 108. A la réception du mot de contrôle CW ainsi rechiffré, le terminal esclave 104, 106 ou 108 soumet le cryptogramme du CW à la puce électronique sécurisée qui en effectue le déchiffrement avec la clé de session KS et applique le mot de contrôle déchiffré CW au désembrouilleur. Notons que l'opérateur peut contrôler si un terminal esclave 104, 106 ou 108 est associé au terminal maître 102 en maîtrisant la présence de la clé de session KS dans ce terminal esclave. Ainsi seul un terminal esclave disposant de la bonne clé de session KS est en mesure d'obtenir le mot de contrôle CW, et donc de déchiffrer les contenus redistribués par le terminal maître 102 ou reçus directement. Notons également que la fonction de la puce électronique sécurisée peut être remplie par un processeur de sécurité, tel qu'une carte à puce, ou un module logiciel sans sortir du cadre de l'invention. Le procédé selon l'invention s'applique également lorsque le terminal esclave 106, au lieu d'exploiter directement (typiquement visualiser) le contenu, l'enregistre dans une mémoire locale 120. Dans ce cas, si les conditions d'accès sont satisfaites, le terminal maître 102 fournit au terminal esclave 106 des messages ECM à enregistrer avec le flux. A la relecture d'un contenu enregistré, le terminal esclave 106 ou 108 fait appel, comme pour un contenu traité à sa réception, au terminal maître 102 pour traiter les conditions d'accès. Gestion de la clé de session La clé de session destinée à chiffrer le mot de contrôle CW que le terminal maître 102 envoie au terminal esclave 104, 106 ou 108 est connue du terminal maître 102 et des terminaux esclaves 104, 106 et 108 d'un même parc. Cette clé de session est chargée dans les terminaux 102, 104, 106, 108 à la constitution du parc, lors d'une étape d'initialisation de ces terminaux. Dans un mode préféré de réalisation cette clé de session est chargée par l'opérateur dans la carte à 30 puce du terminal maître 102 par un message de gestion (EMM). Elle est envoyée également par l'opérateur au 25 terminal esclave 104, 106 ou 108, par exemple par message EMM, pour être enregistrée dans la puce électronique sécurisée. Ces chargements par EMM peuvent porter sur la clé de session elle-même ou sur une donnée, typiquement secrète, servant aux deux parties pour calculer la clé de session. La figure 9 illustre schématiquement une procédure de contrôle de l'habilitation d'un terminal esclave à exploiter le contenu numérique. Dans l'exemple illustré par cette figure 9, une adresse @i est attribuée à chaque terminal du parc. Les terminaux 102 et 104, d'adresses respectives @0 et @1, disposent de la même clé de session K1 chargée par l'opérateur alors que le terminal 106 d'adresse @2 dispose d'une autre clé de session K2. Le terminal esclave 104 peut coopérer avec le terminal maître 102, puisqu'il peut déchiffrer le cryptogramme CW*K1 avec la clé K1 pour obtenir le mot de contrôle CW. Par contre, le terminal esclave 106 disposant de la clé de session K2 ne peut pas déchiffrer le cryptogramme CW*K1 qui lui serait envoyé par le terminal maître 102 utilisant la clé de session K1. Il en résulte que l'opérateur contrôle entièrement le partage de carte entre les terminaux par le contrôle de la clé de session partagée par le terminal maître 102 et les terminaux esclaves (104, 106),30 Contrôle de l'usage normal d'un terminal Le procédé selon l'invention peut être utilisé par un même terminal maître pour traiter un ou plusieurs ECM. En effet, un terminal peut solliciter l'unité de gestion d'accès 4 (figure 1) pour traiter la voie ECM lui permettant d'accéder à un contenu. Il peut également solliciter cette unité de gestion d'accès 4 pour traiter simultanément plusieurs contenus, ce qui se traduit par autant de voies ECM à traiter. L'accès simultané à plusieurs contenus par le même terminal maître 102 peut être normal. C'est le cas où un programme est constitué de plusieurs composantes telles que par exemple une condition d'accès sur l'image et le son original, une autre pour 15 une langue différente, une autre encore pour les sous-titres pour malentendants. C'est également le cas lorsque le terminal est un terminal passerelle, c'est-à-dire un équipement servant de point d'entrée dans une même entité (un même foyer par exemple) et fédérant les 20 accès de plusieurs terminaux aux contenus distribués. Par contre, l'accès simultané à plusieurs contenus par le même terminal maître 102 peut être utilisé pour détourner un accès officiel et multiplier l'accès à des contenus sans autorisation. 25 Une solution pour détecter ce détournement, consiste à observer, pendant une période donnée, le nombre et le type de requêtes formulées auprès de l'unité de gestion d'accès 4 par un même terminal maître 102, et diagnostiquer, selon le contexte, si ce 30 terminal est ou non frauduleusement utilisé.10 L'observation du type de requête permet de déterminer, notamment, si le terminal maître 102 soumet à traitement la même voie ECM ou plusieurs voies ECM, et dans ce dernier cas si ces voies ECM sont corrélées, c'est-à-dire, relatives au même programme, ou indépendantes, c'est-à-dire, relatives à des programmes différents. Il en est de même du constat que le terminal maître répète des requêtes d'accès à un contenu dont il n'a pas normalement les droits d'accès. Le nombre de requêtes ainsi relevées, selon leur type, est comparé à un seuil au-delà duquel l'unité de gestion d'accès 4 diagnostique qu'il s'agit d'une tentative de piratage et prend les mesures en conséquence, telles que l'arrêt de transmission, à ce terminal, des données permettant l'accès aux contenus La comptabilisation des requêtes, la prise en compte des types de requêtes, la détermination de la période d'observation, l'ajustement du seuil sont modulables en fonction de la permissivité ou la sévérité qu'on veut donner à ce contrôle. Le contrôle par le terminal maître de l'usage normal d'un terminal esclave peut également être effectué selon la même procédure. REVENDICATIONS 1. Procédé de contrôle d'accès à un contenu embrouillé fourni à un terminal de réception (6) par un opérateur auquel est associée une unité de gestion d'accès (4), ledit terminal (6) étant muni d'au moins un module de contrôle d'accès (10), procédé comportant les étapes suivantes . a -associer audit contenu une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, b -transmettre ledit contenu avec ladite condition d'accès audit terminal (6), Procédé caractérisé en outre par les étapes suivantes: à la réception de la condition d'accès par le terminal (6), c - renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès du terminal (6) à l'unité de gestion d'accès (4) via une liaison point-à-point (12), d - traiter ladite information par l'unité de gestion d'accès (4) pour permettre ou empêcher l'utilisation du contenu par le terminal de réception (6) en fonction du résultat dudit traitement. 2. Procédé selon la revendication 1, dans lequel le traitement de l'information reçue par l'unité de gestion d'accès (4) comprend une première étape consistant à vérifier si cette information est compatible avec des données d'accès préalablementmémorisées dans le terminal (6), et une deuxième étape consistant à transmettre au terminal (6) au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de la première étape 3. Procédé selon la revendication 2, dans lequel, à la réception de la condition d'accès par le terminal (6), le module de contrôle d'accès (10) vérifie si la condition d'accès est satisfaite par les données d'accès préalablement mémorisées dans ledit terminal de réception (6). 4. Procédé selon la revendication 3, dans lequel le terminal (6) renvoie à l'unité de gestion d'accès (4) une partie ou la totalité desdites informations de la condition d'accès seulement si la condition d'accès reçue n'est pas satisfaite. 5. Procédé selon la revendication 3, dans lequel le terminal (6) renvoie à l'unité de gestion d'accès (4) une partie ou la totalité desdites informations de la condition d'accès même si la condition d'accès reçue est satisfaite. 6. Procédé selon la revendication 3, dans lequel ladite première étape consiste en outre à détecter la tentative d'accès illicite au contenu par le terminal (6).30 7. Procédé selon la revendication 6, dans lequel l'unité de gestion d'accès (4) mémorise les tentatives d'accès illicites au contenu de manière à établir une liste des terminaux fraudeurs et à programmer des sanctions en conséquence. 8. Procédé selon la revendication 3, dans lequel la première étape de traitement de l'information reçue par l'unité de gestion d'accès (4) et le contrôle de la condition d'accès par le terminal (6) de réception sont effectués indépendamment l'un de l'autre systématiquement ou occasionnellement selon un cadencement défini par l'opérateur. 9. Procédé selon la revendication 8, dans lequel ledit cadencement est imprévisible pour le terminal de réception (6). 10. Procédé selon la revendication 1, dans lequel la condition d'accès est transmise au terminal (6) dans un message ECM comportant au moins un critère d'accès CA, un cryptogramme CW*Kecm d'un mot de contrôle CW chiffré par une clé Kecm, et en ce que les données d'accès mémorisées dans le terminal (6) comportent des droits d'accès au contenu et au moins une clé de déchiffrement. 11. Procédé selon les revendications 4 et 10, dans lequel le terminal (6) envoie au moins le 30 cryptogramme CW*Kecm si le module de contrôle d'accès(10) ne dispose pas de la clé Kecm pour déchiffrer ledit cryptogramme CW*Kecm. 12. Procédé selon les revendications 2 et 10, dans lequel le paramètre envoyé par l'unité de gestion d'accès (4) au terminal (6) est un mot de contrôle CW déchiffré avec la clé Kecm et rechiffré par une clé Kter connue spécifiquement du terminal (6) et/ou un message ECMR destiné à être enregistré avec le contenu et comportant des critères d'accès destinés au contrôle de la réutilisation dudit contenu. 13. Procédé selon la revendication 1, dans lequel le contenu fourni au terminal (6) est protégé 15 par une licence DRM. 14. Procédé selon la revendication 13, dans lequel l'information renvoyée par le terminal (6) à l'unité de gestion d'accès (4) est la licence DRM. 20 15. Système de contrôle d'accès comportant un dispositif d'émission (2) comprenant un serveur de contenu (8), une unité de gestion d'accès (4) associée audit dispositif (2), un terminal de réception (6) muni 25 d'au moins un module de contrôle d'accès (10) à un contenu embrouillé fourni par ledit serveur (8) et auquel est associée une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, système caractérisé en 30 ce que ledit terminal de réception (6) est relié à ladite unité de gestion d'accès (4) par une liaisonpoint à point (12) à travers laquelle ledit module de contrôle d'accès (10) renvoie, systématiquement ou occasionnellement, à ladite unité de gestion d'accès (4) au moins une information contenue dans ladite condition d'accès de manière à permettre à l'unité de gestion d'accès (4) de traiter ladite information pour permettre ou empêcher l'utilisation du contenu par le terminal de réception (6) en fonction du résultat du traitement effectué par l'unité de gestion d'accès (4). 16. Système selon la revendication 15, dans lequel ladite unité de gestion d'accès (4) comporte : - des moyens pour vérifier si l'information reçue du module de contrôle d'accès (10) est compatible avec les données d'accès mémorisées dans le terminal (6), et - des moyens pour générer et transmettre au terminal au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de ladite vérification. 17. Système selon la revendication 16, dans lequel ladite unité de gestion d'accès (4) est distincte du dispositif d'émission (2). 18. Système selon la revendication 16, dans lequel ladite unité de gestion d'accès (4) est intégrée au dispositif d'émission (2). 30 19. Dispositif (2) de distribution d'un contenu embrouillé transmis, avec une condition d'accès25comprenant une pluralité d'informations nécessaires au désembrouillage dudit contenu, à au moins un terminal de réception (6) muni d'un module de contrôle d'accès (10), dispositif caractérisé en ce qu'il est associé à une unité de gestion d'accès (4) communiquant via une liaison point à point (12) avec le module de contrôle d'accès (10) du terminal de réception (6). 20. Terminal de réception (6) d'un contenu embrouillé distribué par un dispositif de distribution de contenu (2) associé à une unité de gestion d'accès (4), terminal (6) caractérisé en ce qu'il comporte au moins un module de contrôle d'accès (10) communiquant par une liaison point à point (12) avec ladite unité de gestion d'accès (4). 21. Programme d'ordinateur destiné à la mise en oeuvre d'un procédé de contrôle d'accès à un contenu embrouillé fourni par un opérateur auquel est associée à une unité de gestion d'accès (4) , à un terminal de réception (6) comportant un module de contrôle d'accès (10), programme comportant, un premier module mémorisé dans le terminal (6) comprenant des instructions pour renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès du terminal (6) à l'unité de gestion d'accès (4) via une liaison point à point (12), ledit premier module coopérant avec un deuxième module mémorisé dans l'unité de gestion d'accès (4) comprenant des instructions pour traiter ladite information et des instructions pour permettre ou empêcher l'utilisationdu contenu par le terminal de réception (6) en fonction du résultat dudit traitement. 22. Procédé de contrôle d'accès à un contenu embrouillé distribué à un parc de terminaux récepteurs comprenant un terminal maître (102) et au moins un terminal esclave (104, 106, 108) dépendant dudit terminal maître (102), procédé comportant les étapes suivantes . - associer audit contenu une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage du contenu distribué, - attribuer audit terminal maître et audit terminal esclave une clé de session Ks commune, - transmettre (105, 107, 110) aux terminaux (102, 104, 106, 108) dudit parc un flux comportant le contenu numérique embrouillé et la condition d'accès, procédé caractérisé en outre par les étapes suivantes . - à la réception dudit flux, le terminal esclave (104, 106, 108) extrait la condition d'accès du flux reçu et renvoie systématiquement ou occasionnellement au moins une information de ladite condition d'accès au terminal maître (102) via une liaison point-à-point (115) établie avec le terminal maître, et -à la réception de l'information renvoyée par le terminal esclave (104, 106, 108), le terminal maître (102) vérifie si cette information est compatible avec des droits d'accès préalablement alloués audit terminal esclave (104, 106, 108), et renvoie à ce terminal esclave (104, 106, 108) au moinsun paramètre de commande chiffré par la clé de session KS autorisant l'utilisation du contenu si ladite information est compatible avec lesdits droits d'accès, ou interdisant l'utilisation du contenu si ladite information n'est pas compatible avec lesdits droits d'accès. 23. Procédé selon la revendication 22, dans lequel la condition d'accès est transmise dans un message ECM comportant au moins un critère d'accès CA et un cryptogramme CW*Kecm d'un mot de contrôle CW utilisé pour chiffrer le contenu. 24. Procédé selon la revendication 23, dans lequel le terminal esclave (104, 106, 108) renvoie au moins le cryptogramme CW*Kecm au terminal maître (102). 25. Procédé selon la revendication 24 dans lequel le paramètre transmis par le terminal maître (102) au terminal esclave (104, 106, 108) est le mot de contrôle CW déchiffré avec la clé Keom et rechiffré par la clé de session Ks. 26. Procédé selon la revendication 22, dans lequel le paramètre transmis par le terminal maître (102) au terminal esclave (104, 106, 108) est un message ECMR destiné à être enregistré avec le contenu et comportant des critères d'accès destinés au contrôle de la réutilisation dudit contenu.30 27. Procédé selon la revendication 22, dans lequel le contenu distribué est protégé par une licence DRM. 28. Procédé selon la revendication 27, dans lequel l'information renvoyée par le terminal esclave (104, 106, 108) au terminal maître (102) est la licence DRM. 10 29. Système de contrôle d'accès comportant un dispositif d'émission (2) comprenant un serveur de contenu (8), un terminal maître (4, 102), au moins un terminal esclave (6, 104, 106, 108) dépendant dudit terminal maître (4, 102), ledit serveur de contenu (8) 15 comportant des moyens pour distribuer auxdits terminaux (4, 6, 102, 104, 106, 108) un contenu numérique embrouillé auquel est associée une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, système caractérisé en 20 ce que le terminal esclave (6, 104, 106, 108) est susceptible d'être connecté au terminal maître (4, 102) via une liaison point-à-point (12, 115) à travers laquelle ledit terminal esclave (6, 104, 106, 108) renvoie au terminal maître (4, 102) systématiquement ou 25 occasionnellement au moins une information extraite de ladite condition d'accès de manière à permettre audit terminal maître (4, 102) de traiter ladite information pour autoriser ou empêcher l'utilisation du contenu par le terminal esclave (6, 104, 106, 108). 30 30. Système selon la revendication 29, dans lequel ledit terminal maître (4, 102) comporte : - des moyens pour vérifier si l'information reçue du terminal esclave (6, 104, 106, 108) est compatible avec des droits d'accès préalablement alloués audit terminal esclave (6, 104, 106, 108), et - des moyens pour générer et transmettre audit terminal esclave (6, 104, 106, 108) au moins un paramètre de commande pour autoriser ou empêcher l'utilisation du contenu en fonction du résultat de ladite vérification. 31. Système selon la revendication 29, dans lequel ledit terminal maître (4, 102) est intégré au dispositif d'émission (2). 32. Système selon la revendication 29, dans lequel ledit terminal maître est intégré à une antenne de réception collective. 33. Système selon la revendication 29 dans lequel ledit terminal maître remplit une fonction de passerelle entre le serveur de contenu (8) et les terminaux esclaves (6, 104, 106, 108) du parc. 25 34. Terminal de réception maître (4, 102) associé à au moins un terminal de réception esclave (6, 104, 106, 108) dans un système de distribution d'un contenu embrouillé, caractérisé en ce qu'il comporte un 30 logiciel apte à traiter une information transmise par le terminal esclave (6, 104, 106, 108) pour autoriser20ou empêcher l'utilisation du contenu par ledit terminal esclave (6, 104, 106, 108). 35. Programme d'ordinateur destiné à la mise en oeuvre d'un procédé de contrôle d'accès à un contenu embrouillé distribué à un parc de terminaux de réception comportant un terminal maître (4, 102) et au moins un terminal esclave (6, 104, 106, 108), l'accès audit contenu étant soumis à une condition d'accès comportant au moins un critère d'accès et une pluralité d'informations nécessaire au désembrouillage dudit contenu, programme caractérisé en ce qu'il comporte un premier module mémorisé dans le terminal esclave (6, 104, 106, 108) comprenant des instructions pour extraire la condition d'accès du flux reçu et renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès au terminal maître (4, 102), via une liaison point-à-point (12, 115) établie avec le terminal maître, ledit premier module coopérant avec un deuxième module mémorisé dans le terminal maître (4, 102) comprenant des instructions pour traiter ladite information et des instructions pour permettre ou empêcher l'utilisation du contenu par le terminal esclave (6, 104, 106, 108) en fonction du résultat dudit traitement.