FR 2755809 A1 19980515 FR 9613822 A 19961113 PROCEDE DE PROTECTION D'INFORMATION TRANSMISE D'UN ELEMENT DE SECURITE VERS UN DECODEUR ET SYSTEME DE PROTECTION UTILISANT UN TEL PROCEDE L'invention concerne un procédé de protection d'information transmise d'un élément de sécurité tel que, par exemple, une carte- utilisateur de système à accès conditionnel, vers un décodeur. L'invention s'applique plus particulièrement aux systèmes à accès conditionnels pour lesquels l'opération de désembrouillage est effectuée dans l'élément de sécurité qui est alors, par exemple, une carte de type PCMCIA conforme au standard d'interface connu de l'homme de l'art sous la dénomination "CENELEC/DVB - Common Interface" ou d'une carte à puce conforme au standard américain NRSS (de 1' anglais "National Renewable Security System"). L'invention s'applique à tout type de système à accès conditionnel, que ce système soit de type en ligne ou de type autonome. Dans un système à accès conditionnel en ligne, I'information embrouillée est une information constituée d'un signal distribué simultanément à différents utilisateurs. Dans un système à accès conditionnel autonome, l'information embrouillée est contenue sur des supports autonomes d'information tels que, par exemple, des disques compacts ou des disques vidéo numériques. L'information constituant les différents programmes provenant de la source émettrice, telle que, par exemple, un prestataire de services, est transmise à l'élément de sécurité. L'élément de sécurité désembrouille le programme sélectionné par l'utilisateur (sous réserve de la présence des droits de l'utilisateur dans l'élément de sécurité) et envoie ce programme, ainsi que les autres programmes demeurés inchangés, au décodeur. Un tel procédé présente l'inconvénient de transmettre en clair le programme sélectionné par l'utilisateur. Une telle transmission est facilement exploitable par un pirate qui peut l'utiliser pour distribuer le programme piraté de manière illégale. 2 2755809 L' invention ne présente pas cet inconvénient. L'invention concerne un procédé permettant de transférer d'un élément de sécurité vers un décodeur un flux de données issues d'un désembrouilleur inclus dans l'élément de sécurité. Le procédé comprend une première étape permettant de chiffrer, dans l'élément de sécurité, l'information issue du désembrouilleur sous l'action d'une première clé de chiffrement et une deuxième étape permettant de déchiffrer, dans le décodeur, I'information chiffrée issue de la première étape, sous l'action d'une deuxième clé de chiffrement. L'invention concerne également un élément de sécurité contenant un désembrouilleur permettant de désembrouiller l'information qu'il reçoit sous l'action de mots de contrôle. L'élément de sécurité comprend un dispositif de chiffrement de l'information désembrouillée issue du désembrouilleur sous l'action d'une première clé de chiffrement. L'invention concerne aussi un décodeur permettant de décoder une information désembrouillée, caractérisé en ce qu'il comprend un dispositif de déchiffrement permettant de déchiffrer l'information désembroullée sous l'action d'une deuxième clé de déchiffrement. L'invention concerne encore un ensemble constitué d'un élément de sécurité et d'un décodeur. L'élément de sécurité est un élément de sécurité selon l'invention tel que celui mentionné ci-dessus et le décodeur est un décodeur selon l'invention tel que celui mentionné ci- dessus. Comme cela a été mentionné précédemment, un avantage de l'invention consiste à protéger la transmission du programme sélectionné par 1' utilisateur de l'élément de sécurité vers le décodeur. D'autres caractéristiques et avantages de l'invention apparaitront à la lecture de modes de réalisation de l'invention faits avec référence aux figures ci-annexées parmi lesquelles: - la figure 1 représente le synoptique d'un ensemble élément de sécurité/décodeur selon l'art antérieur; 3 2755809 - la figure 2 représente le synoptique d'un ensemble élément de sécurité/décodeur selon un premier mode de réalisation de l'invention; la figure 3 représente le synoptique d'un ensemble élément de sécurité/décodeur selon un deuxième mode de réalisation de l'invention; la figure 4 représente le synoptique d'un ensemble élément de sécurité/décodeur selon un troisième mode de réalisation de l'invention. Sur toutes les figures, les mêmes repères désignent les mêmes éléments. La figure 1 représente le synoptique d'un ensemble élément de sécurité/décodeur selon l'art antérieur. Le système de la figure 1 comprend une source d' information 1, un décodeur 6, et un élément de sécurité 1. Le décodeur comprend un dispositif de démodulation 7 et un dispositif de démultiplexage et de décodage 8. L'élément de sécurité 1 contient un dispositif de filtrage 2, un dispositif de désembrouillage 3, un dispositif de contrôle d' accès 4 et un dispositif de stockage des droits de 1' utilisateur 5. L'information I émise par la source émettrice contient un ou plusieurs programmes multiplexés, par exemple, suivant le standard MPEG-2 transport (de 1' anglais "Moving Picture Expert Group"). Comme cela est connu de l'homme de l'art, les programmes issus de la source émettrice sont des programmes embrouillés. L'information I contient, dans des messages qui seront par la suite notés ECM, les mots de contrôle chiffrés permettant, après déchiffrement, le désembrouillage des programmes embrouillés. Après réception de l'information I par le décodeur, celle-ci est démodulée par le dispositif 7 puis transmise dans son intégralité à l'élément de sécurité 1. Ce dernier filtre, à l'aide du dispositif 2, les ECM (notés ECMA sur la figurer) correspondant au programme sélectionné par 1' utilisateur et les transmet au dispositif 4 pour traitement. La partie non filtrée de l'information est transmise sans modification au désembrouilleur 3. Le dispositif 4 réalise les fonctions classiques de traitement des ECM, et, en particulier, déchiffre les mots de controle CWi qu' ils contiennent, à 4 2755809 condition que les droits D nécessaires au désembrouillage du programme sélectionné et issus du dispositif 5 soient appliqués au dispositif 4.. Les mots de controle CWi sont par la suite transmis au dispositif de désembrouillage 3 qui les utilise pour désembrouiller le programme sélectionné par l'utilisateur. L'information issue du désembrouilleur 3 est transmise au dispositif de démultiplexage et de décodage 8 de façon à générer l'information ECG1 utilisable, c'est-à- dire, par exemple, visualisable, dans le cas d'un film. La figure 2 représente le synoptique d'un ensemble élément de sécurité/décodeur selon un premier mode de réalisation de l'invention. En plus des éléments décrits dans la figure 1, le décodeur 6 comprend un dispositif de déchiffrement 9 et l'élément de sécurité 1 comprend un dispositif de chiffrement 10. Le programme sélectionné par l'utilisateur est chiffré par le dispositif 10 en utilisant une clé de chiffrement K. Réciproquement, le dispositif 9 déchiffre le programme grâce à la même clé K. Avantageusement, ceci évite d'avoir une transmission du programme en clair entre l'élément de sécurité et le décodeur. Selon l'invention, la clé de chiffrement et de déchiffrement K peut être commune à l'ensemble des couples élément de sécurité/décodeur, mais aussi peut être spécifique à chaque couple ou groupe de couples élément de sécurité/décodeur. Avantageusement, la production de clones pirates d'éléments de sécurité s'en trouve affectée. En effet, cette technique oblige les pirates à personnaliser chacun de leurs clones en fonction du décodeur auquel ils sont connectés. Ceci a pour conséquence de compliquer leur tâche et donc de réduire les bénéfices qu'ils peuvent tirer du piratage. Selon une mise en oeuvre particulière du mode de réalisation de la figure 2, un algorithme à clé publique peut être utilisé pour les dispositifs 9 et 10. Dans ce cas, la clé de chiffrement est différente de la clé de déchiffrement et, de façon préférentielle, la clé secrète est utilisée pour le chiffrement dans l'élément de sécurité alors que la clé publique est utilisée pour le déchiffrement dans le décodeur. 2755809 Selon ce premier mode de réalisation de l'invention, la clé K est une clé stockée en permanence à la fois dans l'élément de sécurité et dans le décodeur. La figure 3 représente le synoptique d'un ensemble élément de sécurité/décodeur selon un deuxième mode de réalisation de l'invention. En plus des éléments décrits dans la figure 2, le décodeur comprend un dispositif 11 de génération d'aléa ou mots aléatoires AL et un dispositif 12 de génération de clés de déchiffrement et l'élément de sécurité comprend un dispositif de génération de clés de chiffrement 13. Au lieu d'utiliser une clé fixe K, comme dans la figure 2, les clés de chiffrement et de déchiffrement sont ici générées de manière dynamique. Pour ce faire, le décodeur 6 génère un aléa AL par le biais du dispositif 11 et le transmet au dispositif 13 de l'élément de sécurité. Par ailleurs, le dispositif 11 transmet l'aléa au dispositif 12. Ce dernier chiffre l'aléa AL sous l'action d'une clé K1 pour donner la clé de déchiffrement K. De la même façon, le dispositif 13 de l'élément de sécurité chiffre l'aléa sous l'action d'une clé K1 et produit la clé de chiffrement K. Suivant un mode particulier de réalisation de l'invention décrit en figure 3, I'algorithme de chiffrement utilisé par les dispositifs 12 et 13 peut être remplacé par une fonction à "sens unique" à clé K1. Une telle fonction est par exemple décrite dans la demande de brevet européenne déposée sous le numéro 96401336.1- 2209. Avantageusement, les dispositifs 12 et 13 empêchent tout pirate de découvrir la clé de chiffrement/déchiffrement K par la seule donnée de AL qui transite entre le décodeur et l'élément de sécurité. Suivant un autre mode particulier de réalisation de l'invention, la clé K1 utilisée par les dispositifs 13 et 12 peut être spécifique au couple élément de sécurité/décodeur, présentant ainsi les avantages mentionnés précédemment. Suivant un autre mode particulier avantageux de l'invention, le processus de génération de la clé K de chiffrement et de déchiffrement peut être renouvelé à chaque session ou bien plusieurs fois par session. 6 2755809 Par session il faut entendre une séquence non interrompue de réception d'un même programme par un utilisateur. Ces renouvellements des clés K présentent, entre autres, les intérêts suivants: - d'une part, ils permettent d'augmenter la solidité de l'algorithme de chiffrement/déchiffrement des dispositifs 9 et 10. Par solidité de l'algorithme, il faut entendre, la résistance de l'algorithme au piratage par cryptanalyse. En effet, la fréquence de renouvellement des clés influe directement sur la quantité de donnée chiffrées avec une même clé mise à la disposition d'un pirate pour cryptanalyser l'algorithme. Puisque la limitation de cette quantité augmente la résistance de l'algorithme aux attaques, des renouvellements fréquents de la clé K augmentent la solidité de l'algorithme de chiffrement/déchiffrement des dispositifs 9 et 10. - d'autre part, il permet d'éviter de rejouer des programmes préalablement sélectionnés. En effet, si un utilisateur mal intentionné ou un pirate enregistre l'information issue du dispositif 10, et donc enregistre, à l'instant t, le programme sélectionné sous forme chiffrée avec une clé notée Kt, il ne sera pas capable d'utiliser ledit programme par la suite puisque la clé de déchiffrement à l'instant t+At, notée Kt+,t,sera différente de la clé de chiffrement Kt. La figure 4 représente le synoptique d'un ensemble élément de sécurité/décodeur selon un troisième mode de réalisation de l'invention. En plus des éléments décrits dans la figure 2, la figure 4 inclue, pour le décodeur, un générateur d'aléa 11 et un dispositif de chiffrement 14, et, pour l'élément de sécurité, un dispositif de déchiffrement 15. Le générateur 11 génère un aléa AL qui est directement utilisé comme clé de déchiffrement K par le dispositif 9. Par ailleurs, I'aléa AL est transmis au dispositif 14 qui le chiffre et le transmet au dispositif 15 de l'élément de sécurité. Le chiffrement effectué par le dispositif 14 est effectué sous l'action d'une clé K2. Côté élément de sécurité, I'aléa chiffré E(AL) est déchiffré par le dispositif 15 sous l'action d'une clé K2 et le 7 2755809 résultat AL est transmis au dispositif 10 pour qu'il serve de clé de chiffrement K. Selon un autre mode de réalisation de l'invention, un algorithme à clé publique peut être utilisé pour les dispositifs 14 et 15. Dans ce cas, la clé de chiffrement est différente de la clé de déchiffrement et, de façon préférentielle, la clé secrète est utilisée pour le déchiffrement dans le dispositif 15 alors que la clé publique est utilisée pour le chiffrement dans le dispositif 14. Avantageusement, les dispositifs 14 et 15, qu'ils utilisent un algorithme symétrique ou un algorithme à clé publique, empêchent tout pirate de découvrir la clé de chiffrement/déchiffrement K par la seule connaissance de E(AL). Suivant les modes particuliers de l'invention mentionnés précédemment: I'aléa AL peut être généré une fois par session ou bien plusieurs fois au cours de la même session; - la clé de chiffrement/déchiffrement K2 utilisée par les dispositifs 14 et 15 peut être rendue spécifique au couple élément de sécurité/décodeur présentant ainsi les avantages mentionnés ci - dessus. Dans le cadre de l'invention, pour tous les modes de réalisation décrits aux figures 2, 3 et 4, le choix de l'algorithme de chiffrement/déchiffrement des dispositifs 9 et 10 résulte d'un compromis entre le niveau désiré de protection des programmes et la complexité de I'algorithme mis en oeuvre dans le décodeur et dans l'élément de sécurité. Ainsi, un algorithme symétrique simple mis en oeuvre par un circuit dédié est - il préféré. Une telle disposition permet, avantageusement, de réduire le coût de la mise en oeuvre et d'assurer des débits de chiffrement/déchiffrement élevés, par exemple de l'ordre d'une dizaine de Mégabits par seconde. Le renouvellement des clés de chiffrement permet alors avantageusement l'utilisation d'un algorithme simple en diminuant les risques de piratage par cryptanalyse. D'autre part, le déchiffrement systématique effectué par le dispositif 9 du décodeur présente un intérêt particulier qui consiste en ce 8 2755809 que l'utilisateur ne peut visualiser, par l'intermédiaire du décodeur, que les programmes provenant de l'élément de sécurité. Ceci implique, par exemple, que des programmes pirates en clair ne peuvent être joués sur le seul décodeur. Dans le cas o les clés K1, K2 sont spécifiques à chaque couple élément de sécurité/décodeur, la propriété de déchiffrement systématique mentionnée ci - dessus présente un avantage additionnel qui est d'empêcher tout pirate de fournir le même programme à des décodeurs différents du décodeur qu'il a piraté. D'autre part, pour tous les modes de réalisation de l'invention décrits aux figures 2, 3, et 4, la mise en oeuvre consistant à intégrer les dispositifs 8 et 9 dans le même circuit électronique sera préférée. Ceci afin d'éviter que le contenu du programme sélectionné n'apparaisse en clair entre les deux dispositifs. 1.6 9 2755809 REVENDICATIONS 1. Procédé permettant de transférer d'un élément de sécurité (1) vers un décodeur (6) un flux de données issues d'un désembrouilleur (3) contenu dans l'élément de sécurité (1), caractérisé en ce qu'il comprend une première étape permettant de chiffrer dans l'élément de sécurité (1) l'information issue du désembrouilleur (3) sous l'action d'une première clé (K) et une deuxième étape permettant de déchiffrer dans le décodeur (6) I'information chiffrée issue de la première étape, sous l'action d'une deuxième clé (K). 2. Procédé selon la revendication 1, caractérisé en ce que la première étape comprend une étape permettant de générer des mots aléatoires (AL) dans le décodeur et une étape permettant de chiffrer les mots aléatoires générés (AL) sous l'action d'une troisième clé (K1) de façon à générer la première clé et en ce que la deuxième étape comprend une étape permettant de chiffrer les mots aléatoires (AL) de façon à générer la deuxième clé (K). 3. Procédé selon la revendication 1, caractérisé en ce que la première étape comprend une étape permettant de générer au moins un mot aléatoire (AL) de façon que ce mot aléatoire constitue la première clé (K) durant toute la session de désembrouillage du désembrouilleur (3) et en ce que la deuxième étape comprend une étape de chiffrement du mot aléatoire (AL) sous l'action d'une quatrième clé (K2) de façon à constituer une information constituée d'un mot aléatoire chiffré (E(AL)), et une étape constituée du déchiffrement du mot aléatoire chiffré (E(AL)) de façon que le mot aléatoire déchiffré constitue la deuxième clé (K). 4. Procédé selon la revendication 1, caractérisé en ce que la première clé (K) est stockée en permanence dans la carte-utilisateur (1) et en ce que la deuxième clé (K) est stockée en permanence dans la décodeur (6). 2755809 5. Elément de sécurité (1) contenant un désembrouilleur (3) permettant de désembrouiller l'information qu'il reçoit sous l'action de mots de contrôle (Cw1), caractérisé en ce qu'il comprend un dispositif de chiffrement (10) de l'information désembrouillée issue du désembrouilleur (3) sous l'action d'une première clé (K) de chiffrement. 6. Elément de sécurité (1) selon la revendication 5, caractérisé en ce qu'il comprend un dispositif de génération de chiffrement (13) permettant de générer la première clé (K) sous l'action d'un mot aléatoire (AL). 7. Elément de sécurité (1) selon la revendication 5, caractérisé en ce qu'il comprend un dispositif de déchiffrement (15) permettant de générer, sous l'action d'une clé de déchiffrement (K2), la première clé (K). 8. Décodeur (6) permettant de décoder une information désembrouillée, caractérisé en ce qu'il comprend un dispositif de déchiffrement (9) permettant de déchiffrer, sous l'action d'une deuxième clé (K) de chiffrement, l'information désembrouillée et chiffrée qu'il reçoit. 9. Décodeur (6) selon la revendication 8, caractérisé en ce qu'il comprend un générateur (11) de mots aléatoires générant au moins un mot aléatoire (AL) et un dispositif de génération de clé de déchiffrement (12) à partir du mot aléatoire ainsi généré, de façon que la clé de déchiffrement issue dudit dispositif de génération (12) soit la deuxième clé (K). 10. Décodeur (6) selon la revendication 8, caractérisé en ce qu'il comprend un générateur (11) de mots aléatoires permettant de générer au moins un mot aléatoire constituant la deuxième clé (K) et un dispositif de chiffrement (14) permettant de chiffrer le mot aléatoire constituant la deuxième clé sous l'action d'une clé de chiffrement (K2). 1i1 2755809 11. Ensemble constitué d'un élément de sécurité (1) et d'un décodeur (6) associé à cet élément de sécurité, caractérisé en ce que l'élément de sécurité est un élément de sécurité (1) selon la revendication 6 et en ce que le décodeur (6) est un décodeur selon la revendication 9. 12. Ensemble constitué d'un élément de sécurité (1) et d'un décodeur (6) associé à cet élément de sécurité, caractérisé en ce que l'élément de sécurité est un élément de sécurité (1) selon la revendication 7, et en ce que le décodeur (6) est un décodeur selon la revendication 10. 13. Ensemble selon la revendication 11 ou 12, caractérisé en ce que la première clé et la deuxième clé sont des clés spécifiques audit ensemble.