Brevet FR3052009A1 — publié le 20171201

Procédé et dispositif d'amélioration de la protection d'un signal multimédia contre une attaque malveillante. Des modes de réalisation et de mise en oeuvre de l'invention concernent la protection des systèmes et des signaux numériques contre des attaques malveillantes, par exemple dans le contexte de la gestion des droits numériques et des systèmes d'accès conditionnels. Les services en ligne « à la demande » sont de plus en plus courants et présents sur de multiples supports, tels que les ordinateurs personnels, les décodeurs de télévision connectés à l'Internet, les téléphones mobiles ou encore les tablettes. Or ces services ont besoin d'être protégés contre des utilisateurs ou des logiciels malveillants cherchant à exploiter illicitement les données fournies par ces services, en particulier dans le domaine des vidéos à la demande ou de la télévision payante. Des mesures techniques de protection sont donc mises en oeuvre afin de contrôler l'utilisation qui est faite des oeuvres numériques. Par exemple un système d'accès conditionnel (CAS, de l'anglais « Conditional Access System ») est généralement mis en place dans le cadre d'une diffusion d'un contenu vidéo et audio, ou contenu multimédia. Sommairement, dans un processus CAS, le contenu multimédia est chiffré par des serveurs grâce à une clé symétrique et le contenu diffusé n'est accessible qu'aux clients détenteurs de ladite clé. D'autre part, notamment dans le cadre d'un téléchargement d'un flux de donnée (« Streaming » en anglais) ou d'un téléchargement massif de données, des systèmes de gestions des droits numériques (DRM, de l'anglais « Digital Right Management ») sont mis en place. Sommairement, dans un processus DRM, un client envoie à un serveur une clé d'identification qui lui est propre. Si ce client est autorisé à accéder au contenu, le serveur encode une clé de contenu grâce à la clé d'identification et transmet la clé de contenu encodée au client autorisé qui est le seul à pouvoir la décoder. Le contenu 3052009 2 multimédia chiffré est ensuite transmis au client qui peut le déchiffrer grâce à la clé de contenu décodée. Les processus de chiffrement-déchiffrement sont mis en oeuvre par des moyens de chiffrement-déchiffrement, généralement formés 5 par des blocs matériels autonomes et sécurisés. Les moyens de chiffrement-déchiffrement sont commandés et gérés par un moyen de gestion des droits numérique DRM et un moyen d'accès conditionnel CAS, nommés par la suite moyen de gestion. Le moyen de gestion peut être réalisé dans une zone sécurisée 10 (TEE, de l'anglais « Trusted Execution Environment ») d'un système de calcul du support électronique, qui est généralement le processeur principal. Le TEE permet notamment d'exécuter de manière sûre des logiciels sécurisés, dit applications fiables, en disposant d'une 15 capacité de calcul et d'une mémoire sécurisée allouée moyenne. Les systèmes de calcul comportent généralement un élément matériellement sécurisé (SE, de l'anglais « Secure Element ») présentant peu de capacité de calcul mais une excellente sécurité. A l'inverse, les systèmes de calcul comportent une zone allouée à un 20 système d'exploitation (REE, de l'anglais « Rich Execution Environment ») disposant de ressources importantes mais peu sécurisée et donc très exposée aux attaques extérieures. D'autre part, des protections d'interfaces de sorties multimédia ont été développées et sont 25 prestations des fournisseurs de version de la protection HDCP sortie vidéo et audio numérique Il existe également des audio analogiques, du type exigées notamment en fonction des contenu multimédia. Par exemple, une peut être requise sur une interface de du type HDMI ou DVI. protections pour des sorties vidéo et CGMS-A ou « Macrovision ». Des 30 protections de transcodage peuvent être requises, notamment le protocole DTCP dans le cadre d'une communication sans fil du type WiFi. Des protections spécifiques du type marquage par filigrane numérique, consistant à intégrer au contenu multimédia une marque 3052009 3 invisible à l'homme mais traçable par machine, peuvent encore être requises. L'application de la protection d'interface de sortie multimédia requise et la délivrance d'un signal multimédia sur une interface de 5 sortie multimédia sont généralement commandées par des pilotes respectifs à partir du REE. Le moyen de mise en oeuvre de ladite protection d'interface de sortie multimédia, dit moyen de protection, et le moyen de délivrance, dit interface de sortie multimédia, sont généralement formés par des 10 blocs matériels autonome et sécurisés. Face à la diversification des supports pouvant bénéficier de services multimédia protégés par CAS et DRM, et donc à la diversification des risques de fraudes, il est souhaitable que les systèmes électroniques sur puces (SoC, de l'anglais « System on 15 Chip ») qui mettent en oeuvre ces services soient robustes aux attaques malveillantes, et notamment en matière de protections d'interface multimédia. A cet égard, il peut être envisagé de migrer intégralement le pilotage et l'engagement des protections d'interface multimédia dans 20 une zone sécurisée TEE. Or cela nécessite que le TEE ait une capacité de calcul suffisamment importante pour piloter directement la protection d'interface de sortie multimédia, et une migration de tels systèmes est très contraignante technologiquement. En effet, de nombreux blocs matériels existants, assurant chacun une fonction 25 établie et conçus dans une filière technologique donnée, subiraient de lourdes modifications voire de nouvelles conceptions. Pour remédier à ces contraintes, il est proposé des modes de réalisation et de mise en oeuvre simples d'amélioration de la protection d'un signal, par exemple en sorties audio/vidéo de dispositifs 30 multimédia, notamment contre une attaque malveillante, en vérifiant de manière sécurisée si la commande d'une protection d'interface de sortie multimédia, ou protection d'interface, est engagée de manière conforme avec la protection normalement requise. 3052009 4 Ainsi, selon un premier aspect, il est proposé un procédé de protection d'au moins un signal multimédia entrant dans un système multimédia, comportant une activation ou une désactivation commandable d'une application d'au moins une protection d'interface 5 sur au moins un signal sortant issu dudit au moins un signal entrant et délivré par au moins une interface multimédia de sortie du système. Selon une caractéristique générale de cet aspect, on autorise ou non la commande d'activation ou de désactivation d'application de protection d'interface en fonction de règles de sécurité. 10 A titre d'exemple, les règles de sécurité représentent et prescrivent la protection éventuellement requise pour le signal en cours de traitement sur une interface multimédia de sortie visée, étant entendu que d'autres signaux entrants peuvent respectivement requérir des protections d'interface spécifiques, lesquelles peuvent être 15 comprises dans les même règles de sécurité, pour de potentielles autres interfaces multimédia de sorties du système. Selon un mode de mise en oeuvre, on autorise la commande de l'application d'une protection d'interface si cette application sur le signal sortant offre un degré de protection au moins égal à un degré de 20 protection défini dans lesdites règles de sécurité. Le signal multimédia entrant peut requérir une protection d'interface spécifique, auquel cas lesdites règles de sécurité comprennent la protection d'interface spécifique requise par ledit signal pour l'interface multimédia de sortie. 25 En d'autres termes, les règles de sécurité peuvent prescrire, ou indiquer, le degré de protection minimal requis pour chacun des signaux entrant dans le système multimédia sur chacune des interfaces multimédia de sorties dudit système. Selon un mode de mise en oeuvre, dans le cas où les règles de 30 sécurité ne prescrivent aucune protection pour ledit signal entrant, une commande éventuelle d'activation d'une application d'une protection d'interface pour le signal sortant est toujours autorisée. Selon un mode de mise en oeuvre, une commande de désactivation d'une application d'une protection d'interface 3052009 5 précédemment activée pour le signal sortant est autorisée seulement si le signal sortant a été délivré dans son intégralité sur une interface multimédia de sortie. Le signal sortant peut être traité par paquets de données, les 5 règles de sécurité étant actualisées lors de la délivrance par ladite interface de sortie de chaque paquet, conformément à la protection spécifique requise par chaque paquet délivré. Le signal multimédia entrant peut requérir une protection d'interface spécifique, auquel cas on exerce une action de protection 10 sur le signal sortant si le signal sortant délivré par ladite interface multimédia de sortie du système ne présente pas une protection d'interface de degré de protection au moins égal au degré de protection de ladite protection d'interface spécifique. Selon un mode de mise en oeuvre, le signal sortant comprend un 15 flux de données multimédia issu d'un déchiffrement d'un flux entrant de données chiffrées du signal entrant. Par exemple, l'action de protection comporte le non-engagement du déchiffrement. Le déchiffrement peut être réalisé avant ladite activation ou 20 désactivation commandable d'une application d'une protection d'interface, auquel cas l'action de protection comprend l'interruption du déchiffrement. Selon un autre aspect, il est proposé un produit programme d'ordinateur chargeable directement dans une mémoire d'un système 25 informatique, comprenant des portions de code de logiciel pour l'exécution du procédé de protection défini ci-avant lorsque ledit programme est exécuté sur ledit système informatique. Il est également proposé un support lisible par un système informatique, ayant des instructions exécutables par ordinateur 30 adaptées pour provoquer l'exécution par le système informatique du procédé de protection défini ci-avant. Selon un autre aspect, il est proposé un dispositif de protection d'au moins un signal multimédia entrant, comportant au moins un moyen de protection commandable par un moyen de commande 3052009 6 respectif et configuré pour activer ou désactiver une application d'une protection d'interface sur au moins un signal sortant issu dudit au moins un signal entrant et au moins une interface de sortie configurée pour délivrer ledit au moins un signal sortant sur au moins une sortie. 5 Le dispositif comporte, selon une caractéristique générale de cet aspect, un moyen d'autorisation configuré pour autoriser ou non la commande d'activation ou de désactivation d'application de protection d'interface en fonction de règles de sécurité. Selon un mode de réalisation, le moyen d'autorisation est 10 configuré pour autoriser une commande d'activation ou de désactivation d'une application d'une protection d'interface si cette application sur le signal sortant offre un degré de protection au moins égal à un degré de protection défini dans les règles de sécurité. Selon un mode de réalisation, le signal entrant requiert une 15 protection d'interface spécifique, et un moyen de gestion est configuré pour que lesdites règles de sécurité comprennent ladite protection d'interface spécifique requise par ledit signal pour ladite interface multimédia de sortie, étant entendu que d'autres signaux multimédia entrants peuvent requérir des protections d'interface spécifiques 20 respectives, lesquelles peuvent être comprises dans les même règles de sécurité, pour de potentielles autres interfaces multimédia de sorties du système. Le moyen d'autorisation peut notamment être configuré pour, dans le cas où les règles de sécurité ne prescrivent aucune protection 25 pour ledit signal entrant, toujours autoriser une éventuelle commande d'activation d'application de protection d'interface pour le signal sortant. Selon un mode de réalisation, le moyen d'autorisation est configuré pour autoriser une commande de désactivation d'une 30 application d'une protection d'interface précédemment activée si le signal sortant a été délivré dans son intégralité sur une interface multimédia de sortie. Avantageusement, le dispositif de protection est configuré pour traiter le signal entrant par paquets de données, et le moyen de gestion 3052009 7 est configuré pour actualiser les règles de sécurité lors de la délivrance par ladite interface de sortie de chaque paquet, conformément à la protection spécifique requise par chaque paquet délivré. 5 Le signal entrant peut requérir une protection d'interface spécifique, auquel cas le moyen de gestion est avantageusement configuré pour exercer une action de protection sur le signal sortant si le signal sortant délivré par ladite interface multimédia de sortie du système ne présente pas une protection d'interface de degré de 10 protection au moins égal au degré de protection de ladite protection d'interface spécifique. Selon un mode de réalisation, le signal sortant comprend un flux de données multimédia issu d'un déchiffrement, engagé par le moyen de gestion et mis en oeuvre par un moyen de déchiffrement, 15 d'un flux entrant de données chiffrées du signal entrant. Par exemple, le moyen de gestion peut être configuré pour exercer l'action de protection en n'engageant pas le déchiffrement. Le moyen de gestion peut être configuré pour engager le déchiffrement avant ladite activation ou désactivation commandable 20 d'une application d'une protection d'interface, et pour exercer l'action de protection en interrompant le déchiffrement. Le moyen de gestion peut être configuré pour lire l'état de la protection d'interface de sortie multimédia par exemple dans un registre de statut du moyen de protection. 25 Le moyen d'autorisation est avantageusement incorporé dans au moins une zone sécurisée d'au moins un processeur. Il est proposé, selon un autre aspect, un système lecteur multimédia apte à lire un flux de données multimédia, comportant un dispositif de protection tel que défini ci-avant. 30 Par exemple, un tel système peut être formé ou être compris dans un décodeur télévision, un ordinateur personnel, un téléphone mobile ou une tablette tactile. Ainsi les modes de mise en oeuvre et de réalisation précédemment définis apportent des solutions simples d'amélioration 3052009 8 de la protection des oeuvres numériques, dans un système dans lequel les pilotes de protection d'interface sont majoritairement mis en oeuvre dans une zone non protégé d'un système de calcul. Par conséquent la contrainte de haute puissance de calcul d'une 5 zone sécurisée TEE pour effectuer le pilotage est évitée. D'autre part la solution apportée peut facilement s'appliquer à des systèmes sur puce pour lesquels aucune protection n'était originairement développée. En outre cette solution est compatible avec de futures règles de 10 durcissement de la sécurité des systèmes du type DRM ou CAS sans modification majeure d'un système sur puce les mettant en oeuvre. D'autres avantages et caractéristiques de l'invention apparaîtront à la description détaillée de modes de mise en oeuvre et de réalisation, nullement limitatifs, et des dessins annexés sur lesquels : 15 - Les figures 1 et 2 illustrent schématiquement différents modes de mise en oeuvre et de réalisation de l'invention. La figure 1 représente un diagramme fonctionnel d'un mode de mise en oeuvre d'un procédé de protection d'un signal contre une attaque malveillante. 20 Un signal de flux entrant de données multimédia chiffrées 10 est réceptionné par un client 12, pouvant être par exemple un programme de vidéo à la demande d'un décodeur de télévision relié à l'Internet, et est destiné à être déchiffré 22 et délivré sur une interface multimédia de sortie 30. 25 Le flux entrant 10 requiert l'application d'une protection d'interface de sortie multimédia spécifique, c'est-à-dire que les données du flux entrant 10 indiquent au client 12 quelle doit être la protection d'interface à appliquer pour la délivrance de ce flux de données, après déchiffrement 22. 30 Une telle requête, ou indication, provient généralement du fournisseur de contenu multimédia en fonction du contenu multimédia. De manière habituelle, des pilotes 14 mis en oeuvre dans une zone non sécurisée REE d'un processeur, sont aptes en tant que tels à commander et configurer un moyen permettant d'appliquer une 3052009 9 protection d'interface de sortie sur le flux destiné à être délivré en sortie 30. Or si un pilote 14 est corrompu par exemple par un programme malveillant, il est possible que ce pilote commande de manière erronée 5 la protection d'interface. Ainsi, dans ce mode de mise en oeuvre, on effectue avantageusement une vérification 18 de la conformité de la commande du pilote 14 avec des règles de sécurité 16. Les règles de sécurité 16 représentent et prescrivent la protection requise pour le flux en cours 10 de traitement, dit flux courant, sur une interface de sortie visée. Si la commande est conforme avec les règles de sécurité 16, alors la commande est autorisée 18. Par exemple, si la commande ne commande pas une protection ayant un degré de protection plus faible que le degré de protection de 15 la protection prescrite par les règles de sécurité, la commande est transmise. La commande d' activation ou de désactivation d'une application d'une protection d'interface ainsi transmise peut alors configurer le moyen permettant d'appliquer une protection d'interface 20 26. Si la commande 14 est une activation d'une application d'une protection d'interface de sortie, par exemple dans le cas où les règles de sécurité ne prescrivent aucune protection pour ledit signal entrant, alors la commande 14 est toujours autorisée (18). 25 Si la commande 14 est une désactivation alors que les règles de sécurités prescrivent une protection active, alors la commande n'est autorisée que dans le cas où le signal a été délivré dans son intégralité sur une interface de sortie visée. En d'autres termes, une protection d'interface activée pour un 30 signal donné ne peut être désactivée qu'après la fin du traitement dudit signal. Sinon, la commande n'est pas autorisée et la protection d'interface de sortie n'est pas modifiée. 3052009 10 Si la commande 14 est une désactivation et que les règles de sécurité 16 ne prescrivent aucune protection sur l'interface de sortie visée, alors la commande est autorisée, c'est notamment le cas pour des données entrantes ne requérant pas de protection. 5 En parallèle, la protection d'interface 26 est comparée (24) avec la protection d'interface requise par le flux entrant de données chiffrées 10. Si la protection 26 n'est pas conforme à la protection requise, alors, dans un premier cas, le déchiffrement 22 n'est pas engagé, ou 10 bien, dans un deuxième cas, interrompu dans le cas où le déchiffrement 22 est mis en oeuvre avant la commande 14 de la protection d'interface de sortie. Le premier cas correspond à un contexte de DRM dans lequel la protection d'interface requise est connue avant déchiffrement, par 15 exemple pour un téléchargement en flux descendant continu. Le deuxième cas correspond à un contexte de CAS dans lequel la protection d'interface requise n'est pas connue avant déchiffrement du flux entrant de données, par exemple pour une diffusion d'un contenu multimédia payant. 20 Si la protection 26 présente un degré de protection au moins égal à celui de la protection requise, le déchiffrement 22 est engagé et le flux sortant de données multimédia déchiffrées peut être transmis sur une interface de sortie. En outre, les règles de sécurité sont actualisées pour le traitement de ce signal 10. 25 La figure 2 représente plus précisément un mode de réalisation d'un dispositif de protection d'un signal, en particulier pour un système lecteur multimédia 500. Le système lecteur multimédia est apte à lire un flux de données multimédia, par exemple dans le cadre d'un service de vidéo à la demande ou de télévision payante. Par 30 exemple, ce type de système 500 peut être un système électronique sur puce formant ou étant compris dans un décodeur télévision, un ordinateur personnel, un téléphone portable, une tablette ou tout autre système apte à lire un contenu multimédia. 3052009 11 Le système 500 comporte un élément de calcul, tel qu'un microprocesseur par exemple, comportant une zone alloué au système d'exploitation (REE) 100, généralement peu sécurisée par nature, ainsi qu'une zone sécurisée (TEE) 200. 5 Dans le REE 100, un client 110, par exemple un programme de vidéo à la demande d'un décodeur de télévision connecté à l'Internet, est notamment apte à gérer des pilotes de protection d'interface, dans l'exemple représenté ici au nombre de trois, 101, 102, 103. Les pilotes de protection d'interface 101-103 forment un 10 moyen de commande de moyens de protection d'interface 311-313 respectifs, et configurés pour appliquer une protection d'interface sur un signal sortant 401-403 délivré sur des interfaces multimédia respectives 301, 302, 303. En outre, le système 500 comporte un moyen de déchiffrement 15 250 configuré pour déchiffrer un signal entrant chiffré 10, et commandé par un moyen de gestion 231. Le moyen de déchiffrement 250 ainsi que les interfaces 301303 et leurs moyens de protections respectifs 311-313 sont généralement formés par des blocs matériels indépendants et sécurisés. 20 Les interfaces multimédia 301-303 peuvent être par exemple une sortie HDMI, une sortie DVI, un port sans fil du type WiFi, ou une sortie audio-vidéo analogique, et peuvent évidemment être plus nombreuses, ou moins nombreuses, en fonction des capacités et de la technologie du système lecteur multimédia 500. 25 Les pilotes de protection d'interface 101-103 du REE sont destinés ici à commander des moyens de protection respectifs 311, 312, 313, mais n'en sont pas capable à eux seuls. En effet, dans ce mode de réalisation, des pilotes dits fiables 201, 202, 203, incorporées dans le TEE sont nécessaires à la finalisation de la commande des 30 moyens de protection 311-313. Les moyens de gestion des droits numériques et d'accès conditionnel DRM/CAS (moyen de gestion) 231 ainsi qu'un moyen d'autorisation 221, sont incorporés en outre dans le TEE 200. 3052009 12 En alternative, le moyen d'autorisation 221 et le moyen de gestion 231 peuvent être incorporés dans des TEE distincts, respectivement référencés 220 et 230, auquel cas ils partagent une mémoire sécurisé 225 afin de pouvoir communiquer entre eux. Par 5 exemple le TEE 220 peut être une zone sécurisé d'un processeur graphique ou d'affichage d'écran et le TEE 230 peut être une zone sécurisée du processeur principal. La mémoire partagée et sécurisée 225 peut être formée par un bloc matériel autonome ou par une région de mémoire sécurisée et allouée à cette fonction. 10 De même, les pilotes fiables 201-203 peuvent être incorporés dans un TEE 210 distinct du ou des TEE 220, 230 incorporant le moyen de gestion 231 et le moyen d'autorisation 221. Auquel cas une mémoire sécurisée 215 permet aux pilotes fiables 201-203 de communiquer avec le moyen d'autorisation 221 par exemple pour 15 recevoir les autorisations de commande des moyens de protection. Lors d'une lecture d'un contenu multimédia par le système 500, le client 110 du REE reçoit un flux entrant 10 de données multimédia chiffrées requérant une protection d'interface spécifique et engage une procédure de délivrance des données multimédia. 20 Le moyen de gestion 231 vérifie quant à lui si le client 110 est autorisé à accéder au contenu multimédia. Si le client est autorisé, le moyen de gestion 231 engage le déchiffrement des données reçues 10 par le moyen de déchiffrement 250, les données déchiffrées 401-403 étant ensuite transmises sur une interface de sortie multimédia 301- 25 303. Sommairement, dans le cas d'une interface de sortie multimédia du type HDMI et d'une protection d'interface HDCP2.2, dès que le client 110 du REE l'exige, le pilote de protection négocie une clé de session avec un appareil connecté (généralement un 30 afficheur du type téléviseur) au cours d'une étape d'authentification et d'échange de clé. Le pilote de protection transmet ensuite la clé de session au moyen de protection et commande l'activation d'un chiffrement du flux multimédia sortant délivré par une interface de sortie multimédia. 3052009 13 Le chiffrement est par exemple réalisé notamment au moyen d'une clé secrète et d'une porte ou-exclusif (en langue anglaise XOR) entre le flux de donnée multimédia et la clé de session, formant généralement un chiffrement du type AES (de l'anglais « Advanced 5 Encryption Standard »). Par conséquent, à partir du REE, il est possible qu'une attaque malveillante 20 parvienne à bloquer la commande émise par un pilote de protection d'interface 102 et que par conséquent le flux de données multimédia sortant 402 sur l'interface respective 302 ne soit pas 10 protégé et soit alors vulnérable à une utilisation frauduleuse. Or, dans ce mode de réalisation, le moyen de gestion 231, le moyen d'autorisation 221 et les pilotes fiables 201-203 fonctionnent en collaboration afin d'assurer une amélioration des différentes protections d'interface multimédia, et permettent de contrer une telle 15 attaque. Le moyen d'autorisation contient des règles de sécurité 222, établies de manière à correspondre aux protections d'interfaces de sortie spécifiques à chaque flux entrant 10, potentiellement pluriel et simultanés, et pour chaque interface de sortie multimédia 301-303. 20 Par exemple, si la commande ne commande pas une application d'une protection ayant un degré de protection plus faible que le degré de protection de la protection prescrite par les règles de sécurité 222, la commande est transmise par les pilotes fiables 201-203 aux moyens de protection respectifs 311-313. 25 Généralement, un flux de données est traité par paquets, formants des « sous-flux ». Ainsi, pour chaque sous-flux en cours de traitement, ou courant, une commande des pilotes de protection 101103 destinée aux moyens de protection 311-313 respectifs est émise, en fonction de l'interface de sortie 301-303 respectivement utilisée et 30 de la protection spécifique au sous-flux courant requise. Une session de déchiffrement du sous-flux courant est ensuite engagée par le moyen de gestion 231. 3052009 14 La conformité par rapport aux règles de sécurité 222 de chacune des commandes des pilotes de protection 101-103 est vérifiée par le moyen d'autorisation 221. Une commande d' activation ou de désactivation d'une 5 application d'une protection d'interface est autorisée si cette application sur le signal sortant offre un degré de protection au moins égal au degré de protection prescrit par lesdites règles de sécurité 222. Lorsqu'une commande est conforme avec les règles de sécurité 222, les pilotes fiables 201-203 sont autorisés par le moyen 10 d'autorisation 221 à finaliser la commande et à configurer les moyens de protection 311-313. Lorsque la commande est une activation d'une protection d'interface, le moyen d'autorisation 221 autorise toujours le pilote fiable de protection 201-203 à activer la protection respective 311- 15 313. En outre, le moyen de gestion 231 vérifie que les moyens de protections 311-313 sont configurés en accord avec la protection spécifique requise par le sous-flux courant. Par exemple, le moyen de gestion 231 vérifie que le signal 20 sortant 401-403 ne supporte pas une protection d'interface offrant un degré de protection inférieur au degré de protection prescrit par les règles de sécurité 222. L'état de configuration d'un moyen de protection 311-313 est par exemple lu dans un registre de statut du moyen de protection visé. 25 Si les moyens de protection 311-313 sont configurés en accord avec la protection spécifique requise par le sous-flux courant, alors la session de déchiffrement du sous-flux courant est engagée et le moyen de gestion 231 communique la protection requise du sous-flux courant au moyen d'autorisation 221, qui actualise alors les règles de sécurités 30 222 pour le prochain sous-flux. Si le moyen de protection 311-313 n'est pas configuré conformément à la protection requise, alors le déchiffrement n'est pas engagé, ou est interrompu, afin de ne pas délivrer de données non conformément sécurisée. 3052009 15 Ce non-engagement ou cette interruption du déchiffrement constituent deux exemples d'actions de protections sur le signal sortant mises en oeuvre par le moyen de gestion 231. Une action de protection peut être formée par tout exercice empêchant la délivrance 5 d'un signal non protégé selon sa protection spécifique requise. Lorsque la commande est une désactivation d'une protection d'interface, le moyen d'autorisation 221 vérifie si le moyen protection d'interface 311-313 commandée offre un degré de protection au moins égal au degré de protection prescrit par les règles de sécurité 222. 10 Si la désactivation est conforme avec les prescriptions des règles de sécurité 222, alors les pilotes fiables 201-203 sont autorisées à désactiver les moyens de protection respectifs. Si la commande de désactivation n'est pas conforme avec les règles de sécurité, c'est-à-dire que les règles de sécurité prescrivent le 15 besoin de la protection d'interface de sortie en question active, alors les pilotes fiables 201-203 ne sont pas autorisés à commander les moyens de protection 311-313 correspondant. Cependant, lorsque le dernier sous-flux est déchiffré et transmis, le moyen de gestion 231 communique au moyen 20 d'autorisation 221 que le déchiffrement est terminé et le moyen d'autorisation 221 actualise les règles de sécurité 222 en accord. Ainsi, lorsque le dernier sous-flux d'un flux multimédia est déchiffré, la protection d'interface de sortie peut être désactivée. En variante, par exemple dans une application de diffusion 25 d'un contenu multimédia, il est possible que la protection d'interface de sortie ne puisse pas être engagée avant le déchiffrement du sous-flux courant. Alors le moyen de gestion 231 vérifie que les moyens de protections 311-313 sont configurés en accord avec la protection spécifique requise par le sous-flux courant, après le déchiffrement, ce 30 qui revient à retarder cette étape de vérification et la potentielle action de protection. REVENDICATIONS1. Procédé de protection d'au moins un signal multimédia (10) entrant dans un système multimédia, comportant une activation ou une désactivation commandable (14) d'une application d'au moins une protection d'interface (26) sur au moins un signal sortant issu dudit au moins un signal entrant et délivré par au moins une interface multimédia de sortie (30) du système, procédé dans lequel on autorise ou non (18) la commande d'activation ou de désactivation (14) d'application de protection d'interface (26) en fonction de règles de sécurité (16). 2. Procédé selon la revendication 1, dans lequel on autorise (18) la commande de l'application de la protection d'interface (14) si cette application sur le signal sortant offre un degré de protection au moins égal à un degré de protection défini dans lesdites règles de sécurité (16). 3. Procédé selon la revendication 2, dans lequel le signal multimédia entrant (10) requiert une protection d'interface spécifique, et lesdites règles de sécurité (16) comprennent ladite protection d'interface spécifique requise par ledit signal (10) pour ladite interface multimédia de sortie (30). 4. Procédé selon l'une quelconque des revendications précédentes, dans lequel, dans le cas où les règles de sécurité ne prescrivent aucune protection pour ledit signal entrant, une commande éventuelle d'activation (14) d'une application d'une protection d'interface pour le signal sortant est toujours autorisée (18). 5. Procédé selon l'une quelconque des revendications précédentes, dans lequel une commande de désactivation (14) de l'application d'une protection d'interface précédemment activée pour le signal sortant est autorisée seulement si le signal sortant a été délivré dans son intégralité sur une interface multimédia de sortie (30). 6. Procédé selon l'une quelconque des revendications précédentes, dans lequel ledit signal sortant est traité par paquets de 3052009 17 données, les règles de sécurité (16) étant actualisées (28) lors de la délivrance par ladite interface de sortie (30) de chaque paquet, conformément à la protection spécifique requise par chaque paquet délivré. 5 7. Procédé selon l'une quelconque des revendications précédentes, dans lequel le signal multimédia entrant (10) requiert une protection d'interface spécifique, et dans lequel on exerce une action de protection (24) sur le signal sortant si le signal sortant délivré par ladite interface multimédia de sortie du système ne présente pas une 10 protection d'interface (26) de degré de protection au moins égal au degré de protection de ladite protection d'interface spécifique. 8. Procédé selon l'une quelconque des revendications précédentes, dans lequel ledit signal sortant comprend un flux de données multimédia issu d'un déchiffrement (22) d'un flux entrant de 15 données chiffrées du signal entrant (10). 9. Procédé selon les revendications 7 et 8, dans lequel l'action de protection (24) comporte le non-engagement du déchiffrement (22). 10. Procédé selon les revendications 7 et 8 ou selon la revendication 9, dans lequel le déchiffrement (22) est réalisé avant 20 ladite activation ou désactivation commandable (14) d'une application d'une protection d'interface (26), et dans lequel l'action de protection (24) comprend l'interruption du déchiffrement (22). 11. Produit programme d'ordinateur chargeable directement dans une mémoire d'un système informatique, comprenant des portions 25 de code de logiciel pour l'exécution du procédé de protection selon l'une quelconque des revendications 1 à 10 lorsque ledit programme est exécuté sur ledit système informatique. 12. Support lisible par un système informatique, ayant des instructions exécutables par ordinateur adaptées pour provoquer 30 l'exécution par le système informatique du procédé de protection selon l'une quelconque des revendications 1 à 10. 13. Dispositif de protection d'au moins un signal multimédia entrant (10), comportant au moins un moyen de protection (311-313) commandable par un moyen de commande respectif (101-103, 201- 3052009 18 203) et configuré pour activer ou désactiver une application d'une protection d'interface (311-313) sur au moins un signal sortant (401403) issu dudit au moins un signal entrant et au moins une interface multimédia de sortie (301-303) configurée pour délivrer ledit au moins 5 un signal sortant (401-403) sur au moins une sortie, le dispositif comportant un moyen d'autorisation (221) configuré pour autoriser ou non la commande d'activation ou de désactivation d'application de protection d'interface en fonction de règles de sécurité (222). 14. Dispositif selon la revendication 13, dans lequel le moyen 10 d'autorisation (221) est configuré pour autoriser une commande d'activation ou de désactivation d'une application d'une protection d'interface si cette application sur le signal sortant (401-403) offre un degré de protection au moins égal à un degré de protection défini dans lesdites règles de sécurité (222). 15 15. Dispositif selon la revendication 14, dans lequel le signal entrant (10) requiert une protection d'interface spécifique, et dans lequel un moyen de gestion (231) est configuré pour que lesdites règles de sécurité (222) comprennent ladite protection d'interface spécifique requise par ledit signal (10) pour ladite interface 20 multimédia de sortie (301-303). 16. Dispositif selon l'une quelconque des revendications 13 à 15, dans lequel le moyen d'autorisation (221) est configuré pour, dans le cas où les règles de sécurité ne prescrivent aucune protection pour ledit signal entrant, toujours autoriser une éventuelle commande 25 d'activation de l'application d'une protection d'interface (311-313) pour ledit signal. 17. Dispositif selon l'une quelconque des revendications 13 à 16, dans lequel le moyen d'autorisation (221) est configuré pour autoriser une commande de désactivation de l'application d'une 30 protection d'interface (311-313) précédemment activée pour le signal sortant si le signal sortant (401-403) a été délivré dans son intégralité sur une interface multimédia de sortie (301-303). 18. Dispositif selon l'une quelconque des revendications 13 à 17, configuré pour traiter ledit signal entrant (10) par paquets de 3052009 19 données, dans lequel le moyen de gestion (231) est configuré pour actualiser les règles de sécurité (222) lors de la délivrance par ladite interface de sortie (301-303) de chaque paquet, conformément à la protection spécifique requise par chaque paquet délivré. 5 19. Dispositif selon l'une quelconque des revendications 15 à 18, dans lequel le signal entrant (10) requiert une protection d'interface spécifique, et dans lequel le moyen de gestion (231) est configuré pour exercer une action de protection sur le signal sortant si le signal sortant délivré (401-403) par ladite interface multimédia de 10 sortie (301-303) du système ne présente pas une protection d'interface (311-313) de degré de protection au moins égal au degré de protection de ladite protection d'interface spécifique. 20. Dispositif selon l'une quelconque des revendications 15 à 19, dans lequel ledit signal sortant (401-403) comprend un flux de 15 données multimédia issu d'un déchiffrement, engagé par le moyen de gestion (231) et mis en oeuvre par un moyen de déchiffrement (250), d'un flux entrant de données chiffrées du signal entrant (10). 21. Dispositif selon les revendications 19 et 20, dans lequel le moyen de gestion (231) est configuré pour exercer l'action de 20 protection en n'engageant pas le déchiffrement. 22. Dispositif selon les revendications 19 et 20 ou la revendication 21, dans lequel le moyen de gestion est configuré pour engager le déchiffrement avant ladite activation ou désactivation commandable d'une application d'une protection d'interface (311- 25 313), et pour exercer l'action de protection en interrompant le déchiffrement. 23. Dispositif selon l'une quelconque des revendications 21 ou 22, dans lequel le moyen de gestion (231) est configuré pour lire l'état de la protection d'interface dans un registre de statut du moyen de 30 protection (311-313). 24. Dispositif selon l'une quelconque des revendications 13 à 23, dans lequel le moyen d'autorisation (221) est incorporé dans au moins une zone sécurisée (200, 220) d'au moins un processeur. 3052009 20 25. Système lecteur multimédia apte à lire un flux de données multimédia, comportant un dispositif selon l'une quelconque des revendications 13 à 24. 26. Système selon la revendication 25, formant ou compris dans 5 un décodeur de télévision, un ordinateur personnel, un téléphone mobile ou une tablette tactile. 10