Brevet FR3068560A1 — publié le 20190104

PROCÉDÉ DE RÉCEPTION ET DE DÉCHIFFREMENT D'UN CRYPTOGRAMME D'UN MOT DE CONTRÔLE [1] L'invention concerne un procédé de réception et de déchiffrement d'un 5 cryptogramme d'un mot de contrôle utilisable pour désembrouiller une cryptopériode d'un contenu multimédia. L'invention concerne aussi un procédé de génération et d'émission d'un cryptogramme d'un mot de contrôle utilisable pour désembrouiller une cryptopériode d'un contenu multimédia. L'invention a également pour objet un support d'enregistrement d'informations, une tête de réseau et un processeur de 10 sécurité pour la mise en oeuvre de ces procédés. [2] Par contenu multimédia on désigne un contenu audio et/ou visuel destiné à être restitué sous une forme directement perceptible et compréhensible par un être humain. Typiquement, un contenu multimédia correspond à une succession d'images formant un film, une émission de télévision ou de la publicité. Un contenu multimédia 15 peut également être un contenu interactif tel qu'un jeu. [3] Pour sécuriser et soumettre la visualisation des contenus multimédias à certaines conditions, dites conditions d'accès, comme la souscription d'un abonnement payant, ou un achat à la séance, par exemple, les contenus multimédias sont fournis sous forme embrouillée et non pas en clair. Plus précisément, par 20 exemple, chaque contenu multimédia est divisé en une succession de segments de durée de jeu prédéterminée dite « cryptopériode », segments eux-mêmes appelés habituellement « cryptopériodes » dans la suite de ce document. Pendant toute la durée d'une cryptopériode, les conditions d'accès au contenu multimédia embrouillé demeurent inchangées. En particulier, pendant toute la durée d'une cryptopériode, le 25 contenu multimédia est embrouillé avec une même clé cryptographique, dite mot de contrôle. Généralement, le mot de contrôle varie d'une cryptopériode à l'autre. De plus, le mot de contrôle est généralement spécifique à un contenu multimédia, et aléatoirement ou pseudo aléatoirement tiré. [4] Ici, les termes « embrouiller » et « désembrouiller » et « chiffrer » 30 et « déchiffrer », sont respectivement considérés comme des synonymes. [5] Le contenu multimédia en clair correspond au contenu multimédia avant que celui-ci ne soit embrouillé. Celui-ci peut être rendu compréhensible par un être humain directement, c'est-à-dire sans avoir recours à des opérations de désembrouillage, et donc sans que ce désembrouillage, ni donc la visualisation du 35 contenu multimédia, soit soumise à des conditions d'accès. [6] Les mots de contrôle nécessaires pour désembrouiller les contenus multimédias sont transmis de manière synchronisée avec les contenus multimédias. Par exemple, les mots de contrôle nécessaires pour désembrouiller la t-ième cryptopériode sont reçus par chaque terminal pendant la (t-1)-ième cryptopériode. 2 Pour cela, par exemple, les mots de contrôle sont multiplexés avec le contenu multimédia embrouillé. [007] Pour sécuriser la transmission des mots de contrôle, ceux-ci sont transmis aux terminaux sous forme de cryptogrammes contenu dans des messages de 5 contrôle d'accès connu sous le terme de « message de contrôle des titres d'accès », ou « message ECM » (Entitlement Control Message). Pour améliorer la sécurité de cette transmission, les messages ECM peuvent en outre contenir une donnée supplémentaire, telle qu'une redondance cryptographique, qui permette de confirmer ou infirmer l'intégrité du cryptogramme du mot de contrôle. 10 [008] On désigne ici par cryptogramme du mot de contrôle une information permettant d'obtenir le mot de contrôle, mais insuffisante à elle seule pour ce faire. Ainsi, si la transmission du mot de contrôle est interceptée, la seule connaissance du cryptogramme du mot de contrôle ne permet pas de retrouver le mot de contrôle permettant de désembrouiller le contenu multimédia. Pour retrouver le mot de 15 contrôle, le cryptogramme du mot de contrôle doit être combiné avec une information secrète. Par exemple, le cryptogramme du mot de contrôle est obtenu en chiffrant le mot de contrôle avec une clé cryptographique appelée « clé d'exploitation ». Dans ce cas, l'information secrète est la clé d'exploitation permettant de déchiffrer ce cryptogramme. Le cryptogramme du mot de contrôle peut aussi être une référence à 20 un mot de contrôle stocké dans une table contenant une multitude de mots de contrôle possibles. Dans ce cas, l'information secrète est la table associant à chaque référence un mot de contrôle. [009] L'information secrète doit être préservée en lieu sûr. Pour cela, il a déjà été proposé de stocker l'information secrète dans des processeurs de sécurité tels que 25 des cartes à puce directement connectées à chacun des terminaux. [0010] Dans ce contexte, des attaques ont été développées pour permettre à des utilisateurs de désembrouiller des contenus multimédias pour lesquels ils n'ont pas acquis licitement des droits d'accès. [0011] Lune de ces attaques consiste à extraire d'un processeur de sécurité les 30 informations secrètes par des techniques de cryptanalyse connues sous les termes de « attaque par canaux auxiliaires » ou «side-channel attack » en anglais. Par exemple, une fois que la clé d'exploitation ke et la fonction de déchiffrement fde sont connues, un pirate informatique peut facilement développer un terminal dit « pirate » capable de désembrouiller illicitement le contenu multimédia. Typiquement, un tel 35 terminal pirate reçoit les messages ECM diffusés par une tête de réseau, en extrait les cryptogrammes des mots de contrôle puis déchiffre ces cryptogrammes à l'aide de la fonction fde et de la clé ke. Il obtient ainsi les mots de contrôle en clair qui permettent de désembrouiller les cryptopériodes du contenu multimédia embrouillé. 3 [0012] Généralement, de tels terminaux pirates se contentent de faire le strict nécessaire pour déchiffrer les cryptogrammes des mots de contrôle. Par exemple, contrairement à des terminaux licites : - ils ne comparent pas les conditions d'accès contenues dans les messages ECM à 5 des titres d'accès préenregistrés dans le terminal afin d'autoriser et, en alternance, d'interdire l'accès au contenu multimédia, et - ils ne vérifient pas l'intégrité des cryptogrammes des mots de contrôle contenus dans les messages ECM. [0013] L'invention vise à proposer un procédé de réception et de déchiffrement d'un 10 cryptogramme d'un mot de contrôle plus robuste vis-à-vis de ce type d'attaque. Elle a donc pour objet un tel procédé comportant : a) la réception d'un message de contrôle d'accès contenant : - une plage de bits à partir de laquelle un cryptogramme CW*t du mot de contrôle peut être obtenu, et 15 - une redondance cryptographique qui permet de vérifier l'intégrité du cryptogramme b) l'obtention d'une variante du cryptogramme CW*t, à partir de la plage de bits du message de contrôle d'accès reçu, en traitant cette plage de bits à l'aide d'une fonction d'extraction prédéterminée apte à générer, lorsqu'elle est exécutée par un 20 microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou 25 égal à deux, puis c) la vérification de l'intégrité de la variante obtenue, à partir de la redondance cryptographique contenue dans le message de contrôle d'accès reçu, en exécutant une fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de la variante obtenue, lorsque cette fonction est 30 exécutée par un microprocesseur, d) uniquement si, lors de l'étape c), l'intégrité de la variante obtenue est confirmée, le déchiffrement de la variante obtenue, avec une clé d'exploitation, pour obtenir le mot de contrôle déchiffré, puis la transmission du mot de contrôle déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia 35 embrouillé, e) si, lors de l'étape c), l'intégrité de la variante obtenue est infirmée, la non-transmission au désembrouilleur de la variante obtenue, et le retour du procédé à l'étape b) pour obtenir une nouvelle variante du cryptogramme CW*t pour laquelle l'étape c) n'a pas encore été exécutée, puis la réitération de l'étape c) et de l'étape d) 40 ou e) pour cette nouvelle variante. 4 [0014] Les modes de réalisation de ce procédé de réception et de déchiffrement peuvent comporter une ou plusieurs des caractéristiques suivantes : - la redondance cryptographique est un code d'authentification de message et, lors de l'étape c), le procédé comporte à la fois la vérification de l'intégrité du cryptogramme CW*t et la vérification de l'authenticité du cryptogramme CW*t; - N est compris entre trois et huit ; - la plage de bits contenue dans le message de contrôle d'accès comporte exactement le même nombre de bits que le cryptogramme CW*t et, lors de l'étape b), la fonction d'extraction prédéterminée est apte à générer, lorsqu'elle est exécutée par un microprocesseur, les N variantes différentes comportant chacune exactement le même nombre de bits que le cryptogramme CW*t à partir de cette plage de bits ; - uniquement en réponse au fait que les étapes c) et e) ont été réitérées pour toutes les variantes de la liste, le procédé comporte l'émission d'un signal indiquant que l'intégrité du cryptogramme CW*t est infirmée. [0015] L'invention a également pour objet un procédé de génération et d'émission d'un cryptogramme d'un mot de contrôle utilisable pour désembrouiller une cryptopériode d'un contenu multimédia, le cryptogramme généré et émis étant apte à être reçu et déchiffré à l'aide du procédé revendiqué de réception et de déchiffrement. Ce procédé comporte : , a) la génération d'un mot de contrôle Ce utilisé pour embrouiller la cryptopériode du contenu multimédia, b) le chiffrement du mot de contrôle Ce avec la clé d'exploitation pour obtenir le cryptogramme CW*t de ce mot de contrôle, c) la construction d'une redondance cryptographique à partir du cryptogramme cette redondance cryptographique permettant de vérifier l'intégrité du cryptogramme CW*t en exécutant la fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de ce cryptogramme lorsque cette fonction est exécutée par un microprocesseur, d) la construction d'une plage de bits à partir du cryptogramme CW*t permettant, en traitant cette plage de bits à l'aide de la fonction d'extraction prédéterminée, de générer, lorsque la fonction d'extraction est exécutée par un microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t, qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou égal à deux, e) la génération du message de contrôle d'accès comportant la plage de bits construite et la redondance cryptographique construite, et 5 f) la transmission du message de contrôle d'accès construit vers un récepteur apte à déchiffrer le cryptogramme CW*t contenu dans ce message de contrôle d'accès. [0016] Les modes de réalisation de ce procédé de génération et d'émission peuvent comporter la caractéristique suivante : 5 - les étapes a) à b) sont exécutées pour un premier mot de contrôle CWt destiné à embrouiller une première cryptopériode, puis les étapes a) à f) sont exécutées pour un deuxième mot de contrôle CNAft.,1 destiné à embrouiller une deuxième cryptopériode, les première et deuxième cryptopériodes étant des cryptopériodes immédiatement successives dans le temps, 10 - lors de l'exécution l'étape e) exécutée pour le deuxième mot de contrôle CWt.,i, le message de contrôle d'accès généré comprend le cryptogrammes CW*t et la plage de bits est construite de manière à coder N variantes du cryptogramme CW*t_n et aucune variante du cryptogramme [0017] L'invention a également pour objet un support d'enregistrement d'informations 15 comportant des instructions pour la mise en oeuvre d'un des procédés revendiqués, lorsque ces instructions sont exécutées par un microprocesseur électronique. [0018] L'invention a aussi pour objet une tête de réseau pour la mise en oeuvre du procédé revendiqué de génération et d'émission, cette tête de réseau comportant : a) un générateur apte à générer un mot de contrôle CWt utilisé pour embrouiller la 20 cryptopériode du contenu multimédia, b) un système d'accès conditionnel apte : - à chiffrer le mot de contrôle CWt avec la clé d'exploitation pour obtenir le cryptogramme CW*t de ce mot de contrôle, - à construire une redondance cryptographique à partir du cryptogramme CW*t, cette 25 redondance cryptographique permettant de vérifier l'intégrité du cryptogramme CW*t en exécutant la fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de ce cryptogramme lorsque cette fonction est exécutée par un microprocesseur, dans lequel le système d'accès conditionnel est également apte : 30 - à construire une plage de bits à partir du cryptogramme CW*t permettant, en traitant cette plage de bits à l'aide de la fonction d'extraction prédéterminée, de générer, lorsque la fonction d'extraction est exécutée par un microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au 35 cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t, qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou égal à deux, - à générer le message de contrôle d'accès comportant la plage de bits construite et la redondance cryptographique construite, et 6 - à transmettre le message de contrôle d'accès construit vers un récepteur apte à déchiffrer le cryptogramme CW*t contenu dans ce message de contrôle d'accès. [0019] Enfin, l'invention a également pour objet un processeur de sécurité pour la mise en oeuvre du procédé revendiqué de réception et de déchiffrement, ce 5 processeur de sécurité comportant un microprocesseur programmé pour réaliser l'étape suivante : a) la réception d'un message de contrôle d'accès contenant : - une plage de bits à partir de laquelle un cryptogramme CW*t du mot de contrôle peut être obtenu, et 10 - une redondance cryptographique qui permet de vérifier l'intégrité du cryptogramme dans lequel ce microprocesseur est également programmé pour réaliser les étapes suivantes b) l'obtention d'une variante du cryptogramme CW*t, à partir de la plage de bits du 15 message de contrôle d'accès reçu, en traitant cette plage de bits à l'aide d'une fonction d'extraction prédéterminée apte à générer, lorsqu'elle est exécutée par un microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres 20 variantes étant des leurres distincts les uns des autres du cryptogramme CW*t, qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou égal à deux, puis c) la vérification de l'intégrité de la variante obtenue, à partir de la redondance cryptographique contenue dans le message de contrôle d'accès reçu, en exécutant 25 une fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de la variante obtenue, lorsque cette fonction est exécutée par un microprocesseur, d) uniquement si, lors de l'étape c), l'intégrité de la variante obtenue est confirmée, le déchiffrement de la variante obtenue avec une clé d'exploitation pour obtenir le mot 30 de contrôle déchiffré, puis la transmission du mot de contrôle déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia embrouillé, e) si, lors de l'étape c), l'intégrité de la variante obtenue est infirmée, la non-transmission, au désembrouilleur, de la variante obtenue, et le retour du procédé à 35 l'étape b) pour obtenir une nouvelle variante du cryptogramme CW*t pour laquelle l'étape c) n'a pas encore été exécutée, puis la réitération de l'étape c) et de l'étape d) ou e) pour cette nouvelle variante. [0020] L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif et faite en se référant aux dessins 40 sur lesquels : 7 - la figure 1 est une illustration schématique d'un système d'émission et de réception de contenus multimédias embrouillés, - la figure 2 est une illustration schématique et partielle de la structure d'un message ECM utilisé dans le système de la figure 1, 5 - la figure 3 est un organigramme d'un procédé de diffusion et d'embrouillage d'un contenu multimédia mis en oeuvre dans le système de la figure 1, - la figure 4 est un organigramme d'un procédé de réception et de désembrouillage d'un contenu multimédia embrouillé mis en oeuvre dans le système de la figure 1, - la figure 5 est un organigramme d'un mode de réalisation alternatif du procédé de la 10 figure 3, et - la figure 6 est un organigramme partiel d'un mode de réalisation alternatif du procédé de la figure 4. [0021] Dans ces figures, les mêmes références sont utilisées pour désigner les mêmes éléments. Dans la suite de cette description, les caractéristiques et fonctions 15 bien connues de l'homme du métier ne sont pas décrites en détail. De plus, la terminologie utilisée est celle des systèmes d'accès conditionnels à des contenus multimédias. Pour plus d'informations sur cette terminologie, le lecteur peut se reporter au document suivant : « Functional Model of Conditional Access System », EBU Review, Technical European Broadcasting Union, Brussels, BE, n° 266, 20 21 décembre 1995. [0022] La figure 1 représente un système 2 d'émission et de réception de contenus multimédias embrouillés. Les contenus multimédias émis sont typiquement des contenus multimédias linéarisés. Par exemple, un contenu multimédia correspond à une séquence d'un programme audiovisuel tel qu'une émission de télévision ou un 25 film [0023] Les contenus multimédias en clair sont générés par une ou plusieurs sources 4 et transmis à une tête 6 de réseau. La tête 6 diffuse les contenus multimédias vers une multitude de terminaux de réception à travers un réseau 8 de transmission d'informations. Les contenus multimédias diffusés sont synchronisés temporellement 30 les uns avec les autres pour, par exemple, respecter une grille préétablie de programmes. [0024] Le réseau 8 est typiquement un réseau grande distance de transmission d'informations tel que le réseau Internet ou un réseau satellitaire ou tout autre réseau de diffusion tel que celui utilisé pour la transmission de la télévision numérique 35 terrestre (TNT). [0025] Pour simplifier la figure 1, un seul terminal 10 de réception est représenté. [0026] La tête 6 comprend un encodeur 16 qui compresse le contenu multimédia qu'il reçoit. L'encodeur 16 traite des contenus multimédias numériques. Par exemple, cet encodeur fonctionne conformément à la norme MPEG2 (Moving Picture Experts Group - 2) ou la norme UIT-T H264. 8 [0027] Les contenus multimédias compressés sont dirigés vers une entrée 20 d'un embrouilleur 22. L'embrouilleur 22 embrouille chaque contenu multimédia compressé pour conditionner sa visualisation par un terminal de réception, à certaines conditions, dites conditions d'accès, telles que l'achat d'un titre d'accès par un utilisateur du 5 terminal de réception. Les contenus multimédias embrouillés sont restitués sur une sortie 24 raccordée à l'entrée d'un multiplexeur 26. [0028] L'embrouilleur 22 embrouille chaque cryptopériode CPt du contenu multimédia compressé à l'aide d'un mot de contrôle Ce qui lui est fourni par un générateur 32 de mots de contrôle. Le générateur 32 fournit également chaque mot 10 de contrôle Ce à un système 28 d'accès conditionnel. Le système 28 est plus connu sous l'acronyme CAS (Conditional Access System). Il se présente typiquement sous la forme d'une unité électronique de traitement comportant un microprocesseur programmable et une mémoire. L'indice t est un numéro d'ordre identifiant la cryptopériode CR. Ici, l'indice t identifie la position temporelle de cette cryptopériode 15 CR par rapport aux autres cryptopériodes du contenu multimédia. La notation Ce désigne le mot de contrôle utilisé pour embrouiller la cryptopériode CPt. [0029] Typiquement, cet embrouillage est conforme à une norme telle que la norme DVB-CSA (Digital Video Broadcasting - Common Scrambling Algorithm), ISMA Cryp (Internet Streaming Media Alliance enCryption and Authentication), SRTP (Secure 20 Real-time Transport Protocol), AES (Advanced Encryption Standard), ou à tout autre algorithme de chiffrement. [0030] Le système 28 génère des messages ECM. Ces messages ECM permettent de communiquer aux terminaux de réception des cryptogrammes des mots de contrôles utilisables pour désembrouiller le contenu multimédia. Ces messages ECM 25 et le contenu multimédia embrouillé sont multiplexés par le multiplexeur 26 avant d'être émis sur le réseau 8. [0031] Typiquement, le système 28 insère notamment dans chaque message ECM: - une plage de bits PBt à partir de laquelle il est possible de retrouver un cryptogramme CW*t du mot de contrôle Ce, 30 - des conditions d'accès CAt destinées à être comparées à des titres d'accès acquis par l'utilisateur et enregistrés dans le terminal 10, et - une redondance cryptographique MACt permettant de vérifier l'intégrité d'au moins une partie du message contenant le cryptogramme CW*t et les conditions d'accès CAt. 35 [0032] La notation ECM t désigne le message ECM contenant le cryptogramme CW*t. La notation CW*t désigne le cryptogramme du mot de contrôle Ce. Les notations CAt et MACt désignent, respectivement, les conditions d'accès et la redondance cryptographique contenues dans le message ECM. [0033] Ici, la redondance cryptographique est un code d'authentification de message 40 connu sous l'acronyme MAC (« Message Authentification Code »). Une telle 9 redondance cryptographique, en plus de permettre de vérifier l'intégrité du message ECM, permet aussi de vérifier l'authenticité du message ECM. [0034] Chaque cryptogramme CW*t est codé sur Np bits. Typiquement, Np est supérieur à 50 ou 100 et, généralement, inférieure à 300 ou 500. Par déchiffrement, 5 le cryptogramme CW*t permet d'obtenir le mot de contrôle Ce. [0035] A titre d'illustration, tous les terminaux du système 2 sont identiques et seul le terminal 10 est décrit plus en détail. [0036] Le terminal 10 comporte au moins une ligne 60 de désembrouillage permettant le désembrouillage d'un canal pour l'afficher sur un afficheur 84. La ligne 10 60 comprend un récepteur 70 de contenus multimédias diffusés. Ce récepteur 70 est raccordé à l'entrée d'un démultiplexeur 72. Le démultiplexeur 72 transmet d'un côté le contenu multimédia embrouillé à un désembrouilleur 74 et d'un autre côté les messages ECM t et messages de gestion des titres d'accès, ou EMM (Entitlement Management Message) à un processeur 76 de sécurité. 15 [0037] Le processeur 76 déchiffre le cryptogramme CW*t pour obtenir le mot de contrôle Ce, qu'il transmet ensuite au désembrouilleur 74. [0038] A cet effet, le processeur 76 contient les informations confidentielles telles que des clés cryptographiques. Pour préserver la confidentialité de ces informations, il est conçu pour être le plus robuste possible vis-à-vis des tentatives d'attaques 20 menées par des pirates informatiques. Il est donc plus robuste vis-à-vis de ces attaques que les autres composants du terminal 10. Par exemple, le processeur 76 est une carte à puce. [0039] Typiquement, le processeur 76 comporte un microprocesseur 77 électronique programmable apte à exécuter des instructions enregistrées dans une mémoire. A cet 25 effet, le processeur 76 comporte aussi une mémoire 78 contenant les instructions nécessaires pour l'exécution du procédé de la figure 4 ou 6. [0040] La mémoire 78 contient également : - une clé Ke d'exploitation permettant de déchiffrer les cryptogrammes des mots de contrôle, 30 - un code exécutable secret d'une fonction tex d'extraction, - un code exécutable d'une fonction fmAc, - une clé Kv, - un code exécutable d'une fonction fde de déchiffrement, et - des titres d'accès TA. 35 [0041] La fonction tex permet, lorsqu'elle est exécutée par le microprocesseur 77, de générer, à partir de la plage PBt du message ECM t reçu, une variante parmi une liste de N variantes différentes du cryptogramme CW*t, où N est un nombre entier strictement supérieur à un et, de préférence, supérieur à trois. Généralement, N est aussi inférieur ou égal à huit. Cette liste contient le cryptogramme CW*t et N-1 40 leurres. Un leurre est une valeur qui est codée sur le même nombre de bits que le 10 cryptogramme CW*t mais qui ne permet pas de désembrouiller la cryptopériode CPt de manière à obtenir cette cryptopériode en clair. A cet effet, chaque leurre du cryptogramme CW*t est différent du cryptogramme CW*t. Il n'est pas possible à partir du seul examen de la structure des différentes variantes de la liste de faire la 5 distinction entre un leurre et le cryptogramme [0042] La combinaison de la clé Kv et de la fonction fmAc forme ici une fonction secrète fve de vérification de l'intégrité du message ECMt. La fonction fve permet de vérifier l'intégrité du cryptogramme CW*t à partir de la redondance cryptographique MACt. Cette fonction retourne soit une confirmation de l'intégrité du cryptogramme 10 CW*t soit, au contraire, une infirmation de l'intégrité de ce cryptogramme CW*t. [0043] La fonction fde permet de déchiffrer le cryptogramme CW*t à l'aide de la clé Ke pour obtenir le mot de contrôle en clair CWt. [0044] Les titres d'accès TA sont comparés aux conditions d'accès CAt reçues pour autoriser et, en alternance, interdire le déchiffrement du cryptogramme CW*t. 15 [0045] Enfin, le désembrouilleur 74 désembrouille le contenu multimédia embrouillé à partir du mot de contrôle transmis par le processeur 76. Le contenu multimédia désembrouillé est transmis à un décodeur 80 qui le décode. Le contenu multimédia décompressé ou décodé est transmis à une carte graphique 82 qui pilote l'affichage en clair de ce contenu multimédia sur l'afficheur 84 équipé d'un écran 86. 20 [0046] La figure 2 représente schématiquement la structure du message ECMt. Les symboles PBt, CAt et MACt sur cette figure correspondent à ceux déjà définis dans ce texte. Les lignes verticales ondulées indiquent que des parties de ce message ECMt n'ont pas été représentées. [0047] La figure 3 représente un premier procédé d'embrouillage des cryptopériodes 25 du contenu multimédia susceptible d'être mis en oeuvre dans le système 2. Pour chaque cryptopériode CPt du contenu multimédia, les étapes suivantes sont réitérées. [0048] Une étape 120, lors de laquelle le générateur 32 génère le mot de contrôle CWt, puis le transmet à l'embrouilleur 22 et au système 28. [0049] Une étape 122 lors de laquelle l'embrouilleur 22 embrouille la cryptopériode 30 CPt du contenu multimédia à l'aide du mot de contrôle CWt. [0050] Une étape 124 lors de laquelle le système 28 génère le message ECMt. À cet effet, l'étape 124 comporte notamment les opérations suivantes : - une opération 126 lors de laquelle le système 28 chiffre le mot de contrôle CWt, à l'aide de la clé Ke et d'une fonction fch de chiffrement, pour obtenir le cryptogramme 35 CW*t, - une opération 128 lors de laquelle le système 28 construit la redondance cryptographique MACt. [0051] Ici, la redondance cryptographique MACt est par exemple construite en chiffrant le cryptogramme CW*t et les conditions d'accès CAt à l'aide de la clé secrète 40 Kv et en utilisant la fonction de chiffrement fmAc. La clé Kv est utilisée seulement par la 11 tête de réseau 6 ou seulement par un groupe restreint de têtes de réseau d'un même opérateur. Cette clé Ky est uniquement communiquée aux terminaux autorisés à désembrouiller le contenu multimédia. [0052] Lors d'une opération 130, le système 28 construit la plage de bits PBt. La 5 plage PBt est construite de manière à ce qu'il soit possible de générer, à partir de cette plage PBt et en exécutant la fonction tex, la liste des N variantes du cryptogramme CW*t. [0053] Dans ce premier mode de réalisation, à cet effet, le système 28 tire de façon aléatoire ou pseudo-aléatoire N-1 nombres compris chacun entre 0 et 2NP. Chacun de 10 ces nombres est différent du cryptogramme CW*t et constitue un leurre. Ensuite, ces N-1 leurres et le cryptogramme CW*t sont agencées les uns après les autres dans un ordre aléatoire ou pseudo-aléatoire pour former la plage de bits PBt. Ainsi, à chaque fois qu'un message ECM t est généré, le cryptogramme CW*t ne se trouve pas systématiquement au même endroit à l'intérieur de la plage PBt. Au contraire, la 15 probabilité que le cryptogramme CW*t occupe une position donnée à l'intérieur de la plage PBt est la même quelle que soit la position donnée considérée. [0054] Lors d'une opération 132, le système 28 génère le message ECM t contenant la plage PBt construite, les conditions d'accès CAt et la redondance cryptographique MACt. Ce message ECM ne contient aucune information permettant d'identifier dans 20 la plage PBt la position à laquelle se trouve le cryptogramme CW*t. [0055] À l'issue de l'étape 124, lors d'une étape 136, le message ECM t généré est multipléxé avec le contenu multimédia embrouillé puis transmis sur le réseau 8. Plus précisément, généralement, le message ECM t est émis plusieurs fois dont au moins une fois vers la fin de la cryptopériodre CPt_i et une fois au début de la cryptopériode 25 CR. Le multiplexage des messages ECM avec les cryptopériodes embrouillées permet de synchroniser temporellement les messages ECM par rapport aux cryptopériodes. [0056] La figure 4 représente le procédé de désembrouillage par un terminal du contenu multimédia embrouillé et diffusé en mettant en oeuvre le procédé de la 30 figure 3. Ce procédé est décrit dans le cas particulier du terminal 10 et de la cryptopériode CR. [0057] Lors d'une étape 140, le récepteur 70 reçoit le message ECM t et la cryptopériode CR embrouillée du contenu multimédia. [0058] Lors d'une étape 142, le démultiplexeur 72 transmet le message ECM t reçu 35 au processeur 76. En parallèle ou, plus généralement et de préférence, après, le démultiplexeur 72 transmet la cryptopériode au désembrouilleur 74. [0059] Lors d'une étape 144, le processeur 76 reçoit le message ECM t et le traite pour obtenir, si cela est autorisé, le mot de contrôle Ce en clair. [0060] Pour cela, lors d'une opération 146, le microprocesseur 77 compare les 40 conditions d'accès CAt aux titres d'accès TA enregistrés dans la mémoire 78. Si les 12 conditions CAt correspondent aux titres d'accès TA, alors le traitement du message ECMt se poursuit par une opération 148. Dans le cas contraire, le traitement du message ECMt est interrompu. [0061] Lors de l'opération 148, le microprocesseur 77 extrait du message ECMt la 5 plage PBt et la redondance cryptographique MACt. [0062] Lors d'une opération 150, le microprocesseur 77 obtient une variante du cryptogramme CW*t à partir de la plage PBt. Pour cela, le microprocesseur 77 exécute la fonction tex. Ici, à chaque fois que la fonction tex est exécutée, elle génère une nouvelle variante du cryptogramme CW*t, différente de la précédente, à partir de 10 la plage PBt. Plus précisément, elle génère dans l'ordre, une première variante lors de la première exécution, puis une deuxième variante lors de la deuxième exécution et ainsi de suite jusqu'à la N-ième variante lors de la N-ième exécution de la fonction fex. Cette fonction tex est donc apte à construire la liste des N variantes codées par la plage PBt. 15 [0063] Dans ce mode de réalisation, la fonction f ex utilise un indice p qui repère la position d'une variante dans la plage PBt. L'indice p est ici un nombre entier qui varie de 1 à N, où la valeur 1 désigne la première position et donc la première variante. A l'inverse, la valeur N désigne la dernière position et donc la dernière variante. Initialement, l'indice p est égal à 1. 20 [0064] Lors de l'exécution de la fonction tex, le microprocesseur 77 sélectionne la variante située à la position repérée par la valeur actuelle de l'indice p. Ensuite, l'indice p est incrémenté, par exemple de un, après chaque exécution de la fonction fex jusqu'à atteindre sa valeur maximale N. [0065] Lors d'une opération 152, le microprocesseur 77 vérifie l'intégrité de la 25 variante obtenue à l'issue de l'opération 150. Pour cela, le microprocesseur 77 exécute la fonction fve. Lorsque la fonction fve est exécutée, elle construit, à partir de la variante obtenue, une redondance cryptographique MAC't qui correspond à cette variante. Ensuite, cette redondance cryptographique MAC't est comparée à la redondance MACt extraite du message ECMt. Si les redondances cryptographiques 30 MAC't et MACt correspondent, c'est-à-dire typiquement qu'elles sont identiques, alors l'intégrité et l'authenticité de la variante obtenue est confirmée. Dans le cas contraire, l'intégrité et/ou l'authenticité de la variante obtenue est infirmée. Ici, la fonction f ve est identique à la fonction mise en oeuvre pour construire la redondance cryptographique MACt. Si la redondance cryptographique MACt a été construite en prenant en compte 35 des données supplémentaires contenues dans le message ECMt, comme par exemple les conditions CAt, la redondance cryptographique MAC't est elle aussi construite en prenant en compte les mêmes données supplémentaires contenues dans le message ECMt reçu. Par exemple, dans ce mode de réalisation, chaque redondance cryptographique MAC't est construite à partir de la variante obtenue et 40 des conditions d'accès CAt. 13 [0066] Si l'intégrité de la variante obtenue est infirmée, à l'issue de l'opération 152, le microprocesseur 77 ne transmet pas de mot de contrôle au désembrouilleur 74. De plus, ici, le microprocesseur 77 ne déchiffre pas la variante obtenue. Ensuite, dans le cas où l'indice p est inférieur ou égal à N, le procédé retourne à l'opération 150 pour 5 obtenir une nouvelle variante et vérifier son intégrité. A l'inverse, dans le cas où l'indice p est strictement supérieur à N, cela signifie que l'intégrité a été infirmée pour chacune de ces N variantes de la liste. Une telle situation résulte généralement d'une corruption du message ECMt lors de sa transmission jusqu'au terminal 10. Dans ce cas, le microprocesseur 77 exécute une opération 154. 10 [0067] Lors de l'opération 154, le microprocesseur 77 émet et transmet au terminal 10 un signal d'erreur qui indique qu'une erreur d'intégrité a été détectée dans le message ECMt reçu. En réponse à ce signal, le terminal 10 déclenche une action prédéterminée. Par exemple, le terminal 10 affiche un message sur l'écran 86 pour informer le spectateur d'une telle erreur de transmission. Une autre action possible 15 est de demander à la tête 6 de retransmettre le message ECMt. [0068] Si l'intégrité de la variante obtenue est confirmée, à l'issue de l'opération 152, le procédé se poursuit par une opération 156. [0069] Lors de l'opération 156, la variante obtenue est déchiffrée par le microprocesseur 77 en exécutant la fonction fde paramétrée par la clé Ke. En effet, si 20 l'intégrité de la variante obtenue est confirmée, cela signifie que cette variante est identique au cryptogramme CW*t. Dès lors, le déchiffrement de cette variante permet d'obtenir le mot de contrôle Ce en clair. Le mot de contrôle ainsi obtenu est ensuite transmis par le microprocesseur 77 au désembrouilleur 74. [0070] À l'issue de l'étape 144, lors d'une étape 160, le désembrouilleur 74 utilise le 25 mot de contrôle Ce transmis par le processeur 76 pour désembrouiller la cryptopériode CR du contenu multimédia embrouillé. [0071] Ensuite, lors d'une étape 162, la cryptopériode désembrouillée est décodée par le décodeur 80, puis affichée en clair sur l'écran 86 par la carte graphique 82. [0072] Ce qui a été décrit dans le cas particulier de la cryptopériode OPt et du 30 message ECMt est ensuite réitéré pour chaque cryptopériode et chaque message ECM de manière à désembrouiller chaque cryptopériode du contenu multimédia au fur et à mesure qu'elles sont reçues. [0073] La figure 5 représente un autre procédé possible d'embrouillage des cryptopériodes du contenu multimédia. Cet autre procédé est identique à celui de la 35 figure 3 sauf que l'étape 124 est remplacée par une étape 170. L'étape 170 est identique à l'étape 124 sauf que l'opération 130 est remplacée par une opération 172 de construction de la plage de bits PBt. Lors de l'opération 172, la taille de la plage PBt construite est égale à N. La page PBt est construite à partir du cryptogramme CW*t en modifiant de façon aléatoire ou pseudo-aléatoire la valeur de x bits de ce 40 cryptogramme, où x est un nombre entier tel que N = 2x. Dans ce mode de 14 réalisation, les x bits dont les valeurs sont modifiées sont situés à des positions prédéterminées et constantes dans la plage PBt. Par exemple, il s'agit des x premiers bits de la plage PBt. [0074] La figure 6 représente le procédé de désembrouillage mis en oeuvre lorsque 5 le procédé d'embrouillage utilisé est celui de la figure 5. Le procédé de la figure 6 est identique au procédé de la figure 4 sauf que l'étape 144 est remplacée par une étape 180. L'étape 180 est identique à l'étape 144 sauf que l'opération 150 est remplacée par une opération 182. Pour simplifier la figure 6, seule l'étape 180 est représentée. 10 [0075] Lors de l'opération 182, à chaque fois que la fonction f ex est exécutée, elle remplace les x premiers bits de la plage PBt par une nouvelle valeur possible différente de celles déjà proposées lors des précédentes exécutions de la fonction f ex sur la même plage PBt. La nouvelle variante générée est alors égale à la concaténation de cette nouvelle valeur possible et des bits restants de la plage PBt 15 situés entre le (x+1)-ième et le Np-ième bits de cette plage. [0076] Variantes de la .la .e PB et de la fonction fex: [0077] De nombreux autres modes de réalisation sont possibles pour construire la plage PBt et pour la fonction fex. Par exemple, la taille de la plage PBt est constante est égale à Np + N - 1. Ensuite, la position du cryptogramme CW*t à l'intérieur de cette 20 plage PBt est tirée de façon aléatoire ou pseudo-aléatoire. Les valeurs des bits de la plage PBt situés avant et/ou après le cryptogramme CW*t sont aussi, par exemple, tirées de façon aléatoire ou pseudo-aléatoire. Dans une telle plage PBt, il existe donc N positions possibles pour le cryptogramme CW*t. À chaque fois que la fonction fex est exécutée, elle retourne, en tant que nouvelle variante, une suite de Np bits qui se 25 trouve à une position différente dans la plage PBt. Par exemple, lors de sa première exécution, la fonction fex retourne la variante codée entre le premier et le Np-ième bits de la plage PBt, lors de la deuxième exécution, elle retourne la variante située entre le deuxième et le (N+1)-ième bits de la plage PBt et ainsi de suite. [0078] Dans une autre variante, la taille de la plage PBt est égale à la taille du 30 cryptogramme CW*t et, initialement, la valeur de la plage PBt est égale à la valeur du cryptogramme CW*t. Cette plage PBt est ensuite construite en modifiant systématiquement la valeur de x bits du cryptogramme CW*t. La position des x bits modifiés est tirée de façon aléatoire ou pseudo-aléatoire. Par « modifier systématiquement », on désigne ici le fait que lorsque la valeur du bit à modifier est 35 égale à 0, on le remplace par 1 et vice-versa. Dans ce cas, à chaque fois que la fonction fex est exécutée, elle génère une nouvelle variante en modifiant systématiquement la valeur de x bits de la plage PBt reçue. Par exemple, si x est égal à 1, lors de la première exécution de la fonction fex, seul le premier bit de la plage PBt est modifié. Lors de la deuxième exécution de la fonction f ex, seul le deuxième bit est 40 modifié et ainsi de suite. 15 [0079] La fonction f' peut être paramétrable par un ou plusieurs paramètres. Par exemple, le nombre x de bits et la position de ces x bits à l'intérieur de la plage PBt peuvent être des paramètres réglables du procédé des figures 5 et 6. Dans le cas où les valeurs de ces paramètres sont modifiées, les nouvelles valeurs de ces 5 paramètres sont, par exemple, transmises au processeur 76 par l'intermédiaire d'un message EMM ou d'un message ECM. [0080] Un autre mode de réalisation possible pour construire la plage PBt consiste à appliquer au cryptogramme CW*t une transformation inversible T, sélectionnée aléatoirement ou pseudo-aléatoirement dans un groupe GA composé de 10 N transformations inversibles T1 à TN. La plage de bits PBt est alors prise égale au résultat de la transformation du cryptogramme CW*t par la transformation T, sélectionnée. À titre d'exemple, le groupe GA est composé des transformations inversibles et bijectives suivantes et des compositions de plusieurs des transformations inversibles de ce groupe : 15 - une rotation de y bits vers la droite ou vers la gauche des bits du cryptogramme CW*t, - une permutation de plusieurs bits du cryptogramme CW*t situés à des positions prédéterminées à l'intérieur de ce cryptogramme, et - une fonction de chiffrement symétrique du cryptogramme CW*t avec une clé Ka,. 20 [0081] Lors de la réception d'un message ECMt comportant une plage PBt construite comme décrit au paragraphe précédent, à chaque exécution de la fonction fax, celle-ci sélectionne l'inverse d'une transformation du groupe GA. Par « l'inverse d'une transformation » on désigne la transformation inverse ou la transformation réciproque, c'est-à-dire la transformation bijective qui à chaque élément T(z) associe l'élément z 25 de départ. Ensuite, elle applique la transformation inverse sélectionnée à la plage PBt du message ECMt reçue pour obtenir la nouvelle variante. La fonction fax sélectionne les unes après les autres les transformations inverses de toutes les transformations du groupe GA. [0082] Pour générer un plus grand nombre de variantes à partir d'une même plage 30 de bits PBt, les différents modes de construction de la plage PBt décrits ici peuvent être combinés les uns avec les autres. Dans ce cas, pour obtenir les différentes variantes, la fonction fax exécutée est aussi une combinaison des différentes fonctions fax décrites ici. [0083] Dans une autre variante, chaque message ECMt comporte, non pas 35 seulement le cryptogramme CW*t mais aussi le cryptogramme CW*t_n. Le cryptogramme CW*t_n contenu dans le message ECMt est utilisé pour transmettre, avant la diffusion de la cryptopériode CR-4, le mot de contrôle Ce_n à utiliser pour désembrouiller cette cryptopériode CPt_n. Pour cela, typiquement, le message ECMt comporte la paire de cryptogrammes CW*t/CW*t_n des mots de contrôle Ce et Oen, 40 et est diffusé pendant une fin de la cryptopériode CPt suivie d'un début de la 16 cryptopériode CPt_n. Cette paire de cryptogrammes CW*t/CW*t_n est obtenue en chiffrant les mots de contrôle Ce et Cen avec la clé Ke comme décrit dans le cas particulier du cryptogramme CW*t seul. Les différents modes de réalisation décrits ici peuvent facilement être adaptés à cette situation en appliquant à la paire de 5 cryptogrammes CW*t/CW*t_n tout ce qui a été décrit dans le cas particulier du cryptogramme CW*t seul. De plus, avantageusement, seules des variantes du cryptogramme CW*t_n sont codées dans la plage PBt. Dès lors, lors de la réception d'un message ECMt, l'exécution de la fonction tex permet d'obtenir une variante parmi une liste de N variantes de la paire CW*t/CW*t_n. Toutefois, dans cette liste, seuls les 10 bits situés à l'emplacement du cryptogramme CW*t+i changent. Les bits situés à l'emplacement du cryptogramme CW*t sont quant à eux identiques pour toutes les variantes de cette liste. Par exemple, les bits situés à l'emplacement du cryptogramme CW*t dans chacune des variantes de cette liste sont identiques à ceux du cryptogramme CW*t. Par conséquent, lors de la réception du message ECMt, 15 l'exécution de la fonction fex permet de générer une variante parmi la liste de N variantes du cryptogramme CW*t/CW*t_n dans laquelle seul le cryptogramme CW*t-n change d'une variante à une autre. Dès lors, le cryptogramme CW*t est commun à toutes les paires de cryptogrammes de la liste. Il n'est donc pas possible d'utiliser ce cryptogramme CW*t, éventuellement déjà connu puisqu'ayant précédemment été 20 diffusé dans le message ECMt_i, pour identifier dans la liste le cryptogramme CW*t_n parmi les leurres. [0084] Autres variantes : [0085] L'invention n'est pas limitée aux modes de synchronisation des cryptopériodes et des messages ECM décrits ici en exemples, mais s'applique 25 notamment dans tous les modes autorisés par la norme DVB SimulCrypt (ETSI TS 103 197). [0086] En variante, la redondance cryptographique est construite en prenant seulement en compte le cryptogramme CW*t et sans prendre en compte les conditions d'accès CAt. À l'inverse, la redondance cryptographique peut être 30 construite en prenant en compte des informations supplémentaires, en plus du cryptogramme CW*t et/ou des conditions d'accès CAt, contenus dans le message ECMt. [0087] Dans une autre variante, la redondance cryptographique n'est pas un code d'authentification de message. Par exemple, il n'est pas nécessaire que la 35 redondance cryptographique permette en plus de vérifier l'authenticité du message ECMt. Ainsi, la redondance cryptographique peut aussi être obtenue à l'aide d'une simple fonction de hachage (« hash function » en anglais) ou de toute autre fonction similaire permettant d'obtenir une redondance cryptographique à partir de laquelle il est possible de vérifier l'intégrité du cryptogramme CW*t. 17 [0088] Dans une autre variante, la fonction f' n'est pas identique à celle mise en oeuvre pour construire la redondance cryptographique MACt. C'est en particulier le cas si, au lieu d'utiliser une fonction de chiffrement symétrique, des fonctions de chiffrement asymétriques sont utilisées. Par exemple, dans ce dernier cas, la 5 redondance cryptographique MACt construite par le système 28 est obtenue en chiffrant le cryptogramme CW*t avec une clé privée et une fonction de chiffrement asymétrique. Pour vérifier une telle redondance cryptographique MACt, le microprocesseur 77 déchiffre la redondance cryptographique MACt reçue à l'aide d'une clé publique qui correspond à la clé privée. Il obtient ainsi une donnée en clair 10 qu'il compare à la variante obtenue. Si la donnée en clair correspond à la variante obtenue, l'intégrité est confirmée. Dans le cas contraire, elle est infirmée. [0089] Si la fonction fmAc de chiffrement utilisée pour construire la redondance cryptographique MACt est inversible, alors la fonction f' peut aussi être l'inverse de la fonction fmAc. Dans ce cas, le microprocesseur 77 construit une donnée en clair en 15 déchiffrant à l'aide de la fonction f' la redondance cryptographique MACt. Ensuite, cette donnée en clair est comparée à la variante obtenue. Si elles sont identiques ou si elles correspondent, l'intégrité de la variante obtenue est confirmée. Dans le cas contraire, elle est infirmée. C'est en particulier le cas lorsque les procédés de construction et de vérification de la redondance cryptographique objets du brevet 20 FR2918830, sont utilisés pour construire et vérifier MACt. [0090] En variante, la fonction fex est exécutée une seule fois pour chaque message ECMt reçu. Dans ce cas, lors de cette unique exécution, la fonction fex génère en une seule fois la liste des N variantes au lieu de les générer les unes après les autres. Ensuite, le procédé est identique à ce qui a été décrit ici, sauf qu'au lieu d'exécuter à 25 chaque fois la fonction tex pour obtenir une nouvelle variante, cette nouvelle variante est sélectionnée dans la liste générée en une seule fois lors de l'unique exécution de cette fonction fex. [0091] Dans une autre variante, même si l'intégrité de la variante est infirmée, celle-ci est déchiffrée mais n'est pas transmise au désembrouilleur 74. 30 [0092] La transmission du signal d'erreur lorsque l'intégrité des N variantes est infirmée peut être omise. [0093] Le processeur de sécurité n'est pas nécessairement une carte à puce. Il peut aussi s'agir d'un composant matériel intégré de façon définitive au terminal 10. Par exemple, il peut s'agir d'un coprocesseur de sécurité intégré au microprocesseur du 35 terminal 10. Le processeur de sécurité peut également être un composant logiciel. [0094] Avantages des différents modes de réalisation décrits : [0095] Dans les procédés décrits, pour distinguer le cryptogramme CW*t parmi les N-1 leurres, il faut utiliser la fonction f'. Dès lors, pour réussir à déchiffrer le cryptogramme CW*t, un pirate informatique doit, en plus de réussir la cryptanalyse de 40 la fonction fde et de la clé Ke, également réussir la cryptanalyse de cette fonction fve. 18 Cela rend donc les procédés décrits plus robustes vis-à-vis des tentatives de cryptanalyse. [0096] L'utilisation en tant que redondance cryptographique d'un code d'authentification de message rend les procédés décrits encore plus robustes vis-à- 5 vis des tentatives de cryptanalyse. En effet, la construction des codes d'authentification de message fait appel à des fonctions cryptographiques qui sont difficiles à cryptanalyser. [0097] Choisir N compris entre trois et huit permet d'obtenir un bon compromis entre la robustesse du procédé et sa rapidité d'exécution. 10 [0098] Générer les N variantes à partir d'une plage PBt qui a la même taille que le cryptogramme CW*t ou que la paire de cryptogrammes CW*t/CW*t_n permet de mettre en oeuvre les procédés décrits sans augmenter la taille des messages ECM et donc sans augmenter la bande passante requise pour la transmission de ces messages. Cela peut en outre présenter l'avantage supplémentaire d'interdire la détection de la 15 mise en oeuvre des procédés selon l'invention par la seule analyse de la structure des messages ECM diffusés. [0099] La transmission du signal d'erreur au terminal permet de déclencher les mêmes actions que celles qui seraient exécutées en absence d'implémentation des procédés décrits ici. Grâce à cela, la mise en oeuvre des procédés décrits ne 20 nécessite pas nécessairement de modifier le terminal 10. [00100] Comme expliqué précédemment, dans le cas où chaque message ECM contient à la fois les cryptogrammes CW*t et CW*t_n, le fait de coder uniquement des variantes du cryptogramme CW*t_n dans le message ECMtpermet de rendre plus difficile l'identification du cryptogramme CW*t_n REVENDICATIONS1. Procédé de réception et de déchiffrement d'un cryptogramme d'un mot de contrôle utilisable pour désembrouiller une cryptopériode d'un contenu multimédia, ce 5 procédé comportant : a) la réception (144) d'un message de contrôle d'accès contenant : - une plage de bits à partir de laquelle un cryptogramme CW*t du mot de contrôle peut être obtenu, et - une redondance cryptographique qui permet de vérifier l'intégrité du 10 cryptogramme caractérisé en ce que ce procédé comporte ensuite : b) l'obtention (150 ; 182) d'une variante du cryptogramme CW*t, à partir de la plage de bits du message de contrôle d'accès reçu, en traitant cette plage de bits à l'aide d'une fonction d'extraction prédéterminée apte à générer, lorsqu'elle est exécutée par 15 un microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou 20 égal à deux, puis c) la vérification (152) de l'intégrité de la variante obtenue, à partir de la redondance cryptographique contenue dans le message de contrôle d'accès reçu, en exécutant une fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de la variante obtenue, lorsque cette fonction est 25 exécutée par un microprocesseur, d) uniquement si, lors de l'étape c), l'intégrité de la variante obtenue est confirmée, le déchiffrement (156) de la variante obtenue, avec une clé d'exploitation, pour obtenir le mot de contrôle déchiffré, puis la transmission (156) du mot de contrôle déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia 30 embrouillé, e) si, lors de l'étape c), l'intégrité de la variante obtenue est infirmée, la non-transmission au désembrouilleur de la variante obtenue, et le retour du procédé à l'étape b) pour obtenir une nouvelle variante du cryptogramme CW*t pour laquelle l'étape c) n'a pas encore été exécutée, puis la réitération de l'étape c) et de l'étape d) 35 ou e) pour cette nouvelle variante. 2. Procédé selon la revendication 1, dans lequel la redondance cryptographique est un code d'authentification de message et, lors de l'étape c), le procédé comporte à la fois la vérification (152) de l'intégrité du cryptogramme CW*t et la vérification (152) de 40 l'authenticité du cryptogramme 20 3. Procédé selon l'une quelconque des revendications précédentes, dans lequel N est compris entre trois et huit. 4. Procédé selon l'une quelconque des revendications précédentes, dans lequel la plage de bits contenue dans le message de contrôle d'accès comporte exactement le même nombre de bits que le cryptogramme CW*t et, lors de l'étape b), la fonction d'extraction prédéterminée est apte à générer, lorsqu'elle est exécutée par un microprocesseur, les N variantes différentes comportant chacune exactement le même nombre de bits que le cryptogramme CW*t à partir de cette plage de bits. 5. Procédé selon l'une quelconque des revendications précédentes, dans lequel, uniquement en réponse au fait que les étapes c) et e) ont été réitérées pour toutes les variantes de la liste, le procédé comporte l'émission (154) d'un signal indiquant que 15 l'intégrité du cryptogramme CW*t est infirmée. 6. Procédé de génération et d'émission d'un cryptogramme d'un mot de contrôle utilisable pour désembrouiller une cryptopériode d'un contenu multimédia, le cryptogramme généré et émis étant apte à être reçu et déchiffré à l'aide d'un procédé 20 conforme à l'une quelconque des revendications précédentes, ce procédé comportant : a) la génération (120) d'un mot de contrôle Ce utilisé pour embrouiller la cryptopériode du contenu multimédia, b) le chiffrement (126) du mot de contrôle Ce avec la clé d'exploitation pour obtenir 25 le cryptogramme CW*t de ce mot de contrôle, c) la construction (128) d'une redondance cryptographique à partir du cryptogramme CW*t, cette redondance cryptographique permettant de vérifier l'intégrité du cryptogramme CW*t en exécutant la fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de ce cryptogramme lorsque 30 cette fonction est exécutée par un microprocesseur, caractérisé en ce que le procédé comporte ensuite : d) la construction (130; 172) d'une plage de bits à partir du cryptogramme CW*t permettant, en traitant cette plage de bits à l'aide de la fonction d'extraction prédéterminée, de générer, lorsque la fonction d'extraction est exécutée par un 35 microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t, qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou 40 égal à deux, 21 e) la génération (132) du message de contrôle d'accès comportant la plage de bits construite et la redondance cryptographique construite, et f) la transmission (136) du message de contrôle d'accès construit vers un récepteur apte à déchiffrer le cryptogramme CW*t contenu dans ce message de contrôle 5 d'accès. 7. Procédé selon la revendication 6, dans lequel : - les étapes a) à b) sont exécutées pour un premier mot de contrôle CWt destiné à embrouiller une première cryptopériode, puis les étapes a) à f) sont exécutées pour 10 un deuxième mot de contrôle CNAft.,1 destiné à embrouiller une deuxième cryptopériode, les première et deuxième cryptopériodes étant des cryptopériodes immédiatement successives dans le temps, - lors de l'exécution l'étape e) exécutée pour le deuxième mot de contrôle CWt.,i, le message de contrôle d'accès généré comprend le cryptogrammes CW*t et la plage 15 de bits est construite de manière à coder N variantes du cryptogramme CW*t_n et aucune variante du cryptogramme 8. Support d'enregistrement d'informations, caractérisé en ce qu'il comporte des instructions pour la mise en oeuvre d'un procédé conforme à l'une quelconque des 20 revendications précédentes, lorsque ces instructions sont exécutées par un microprocesseur électronique. 9. Tête (6) de réseau pour la mise en oeuvre d'un procédé conforme à l'une quelconque des revendications 6 à 7, cette tête de réseau comportant : 25 a) un générateur (32) apte à générer un mot de contrôle CWt utilisé pour embrouiller la cryptopériode du contenu multimédia, b) un système (28) d'accès conditionnel apte : - à chiffrer le mot de contrôle CWt avec la clé d'exploitation pour obtenir le cryptogramme CW*t de ce mot de contrôle, 30 - à construire une redondance cryptographique à partir du cryptogramme CW*t, cette redondance cryptographique permettant de vérifier l'intégrité du cryptogramme CW*t en exécutant la fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de ce cryptogramme lorsque cette fonction est exécutée par un microprocesseur, 35 caractérisé en ce que le système (28) d'accès conditionnel est également apte : - à construire une plage de bits à partir du cryptogramme CW*t permettant, en traitant cette plage de bits à l'aide de la fonction d'extraction prédéterminée, de générer, lorsque la fonction d'extraction est exécutée par un microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes 22 différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t, qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou égal à deux, 5 - à générer le message de contrôle d'accès comportant la plage de bits construite et la redondance cryptographique construite, et - à transmettre le message de contrôle d'accès construit vers un récepteur apte à déchiffrer le cryptogramme CW*t contenu dans ce message de contrôle d'accès. 10 10. Processeur (76) de sécurité pour la mise en oeuvre d'un procédé conforme à l'une quelconque des revendications 1 à 5, ce processeur de sécurité comportant un microprocesseur (77) programmé pour réaliser l'étape suivante : a) la réception d'un message de contrôle d'accès contenant : - une plage de bits à partir de laquelle un cryptogramme CW*t du mot de contrôle peut être obtenu, et - une redondance cryptographique qui permet de vérifier l'intégrité du cryptogramme caractérisé en ce que ce microprocesseur (77) est également programmé pour réaliser les étapes suivantes : b) l'obtention d'une variante du cryptogramme CW*t, à partir de la plage de bits du message de contrôle d'accès reçu, en traitant cette plage de bits à l'aide d'une fonction d'extraction prédéterminée apte à générer, lorsqu'elle est exécutée par un microprocesseur, à partir de cette plage de bits, une variante du cryptogramme CW*t parmi une liste de N variantes différentes du cryptogramme CW*t, cette liste comportant une variante identique au cryptogramme CW*t et toutes les autres variantes étant des leurres distincts les uns des autres du cryptogramme CW*t, qui ne permettent pas de désembrouiller la cryptopériode, N étant un entier supérieur ou égal à deux, puis c) la vérification de l'intégrité de la variante obtenue, à partir de la redondance cryptographique contenue dans le message de contrôle d'accès reçu, en exécutant une fonction prédéterminée et secrète de vérification apte à confirmer et, en alternance, à infirmer l'intégrité de la variante obtenue, lorsque cette fonction est exécutée par un microprocesseur, d) uniquement si, lors de l'étape c), l'intégrité de la variante obtenue est confirmée, le déchiffrement de la variante obtenue avec une clé d'exploitation pour obtenir le mot de contrôle déchiffré, puis la transmission du mot de contrôle déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia embrouillé, e) si, lors de l'étape c), l'intégrité de la variante obtenue est infirmée, la non-40 transmission, au désembrouilleur, de la variante obtenue, et le retour du procédé à 23 l'étape b) pour obtenir une nouvelle variante du cryptogramme CW*t pour laquelle l'étape c) n'a pas encore été exécutée, puis la réitération de l'étape c) et de l'étape d) ou e) pour cette nouvelle variante.