FR 2865592 A1 20050729 FR 0400819 A 20040128 Procédé de diffusion sécurisée de programmes de télévision, système de diffusion, décodeur et support de données correspondants. Le domaine de l'invention est celui de la diffusion de signaux de télévision vers des décodeurs. Plus précisément, l'invention concerne la diffusion de signaux de télévision cryptés, qui nécessite un contrôle fiable et efficace des autorisations de décryptage des décodeurs. L'invention s'applique notamment, mais non exclusivement, à la diffusion par satellite. A l'origine, tous les programmes de télévision étaient d'accès libre. Il suffisait donc à l'utilisateur de s'équiper d'un téléviseur pour recevoir, en clair. Sont ensuite apparues les chaînes, ou bouquets de chaînes, dites payantes. Dans les systèmes payants connus, l'utilisateur possède un décodeur, généralement équipé d'un lecteur de carte à microprocesseur. L'utilisateur s'acquitte périodiquement de frais d'abonnement, par exemple sur une base mensuelle. En contrepartie, l'opérateur transmet à la carte à microprocesseur des données de décryptage, ou d'autorisation de décryptage, pour la période réglée. Cette approche ne met pas complètement les opérateurs à l'abri des actes de piratage. Il suffit en effet qu'une personne mal intentionnée reproduise la carte d'un abonné pour recevoir une autorisation de décryptage. En outre, cette approche est essentiellement dépendante du mécanisme d'abonnement. Elle est difficilement adaptable au cas où le décodeur serait vendu, une fois pour toutes. Il convient d'ailleurs de noter que cette démarche n'a jamais été envisagée. L'aspect de la vente de décodeur, sans abonnement, est nouveau, et pose des problèmes nouveaux, qui nécessitent des solutions techniques nouvelles, comme on le verra par la suite. L'invention a en effet notamment pour objectif d'apporter de telles solutions, et plus généralement de résoudre les inconvénients de l'art antérieur, en particulier en matière de contrôle et de sécurisation. Ainsi, un objectif de l'invention est de fournir une technique de diffusion permettant une lutte efficace contre les fraudeurs éventuels, et notamment de détecter rapidement les copies de décodeurs ou de cartes. Un autre objectif de l'invention est de fournir une telle technique, ne nuisant pas à l'utilisateur dont le décodeur ou la carte a été copiée. L'invention a également pour objectif, plus généralement, de fournir une nouvelle technique de diffusion, ne reposant pas sur un mécanisme d'abonnement, et permettant aux utilisateurs de recevoir à la fois des programmes gratuits et des programmes cryptés, à coût réduit et sans nécessiter de matériel complexe. Ces objectifs, ainsi que d'autres qui apparaîtront plus clairement par la suite, sont atteints selon l'invention à l'aide d'un procédé de diffusion de programmes de télévision, dont au moins certains sont des programmes cryptés, vers une pluralité de décodeurs, caractérisé en ce qu'il met en oeuvre un double niveau de contrôle de chacun desdits décodeurs: un premier niveau de contrôle effectué par chacun desdits décodeurs, par comparaison entre des données inscrites dans ledit décodeur et des données inscrites sur un support de données sécurisé indépendant, puis - un second niveau de contrôle effectué à distance par un centre de contrôle distant, par comparaison entre des données transmises par ledit décodeur et des données stockées dans une base de données dudit centre de contrôle, ledit centre de contrôle transmettant des données d'autorisation de décryptage d'au moins un desdits programmes cryptés uniquement lorsque les deux contrôles sont positifs. L'approche de l'invention repose donc en particulier sur la mise en oeuvre d'une voie de retour, qui permet au centre de contrôle de recevoir régulièrement les données de l'utilisateur, et de les contrôler, par comparaison au contenu de sa base de données. On dispose ainsi d'un système très sûr, et très fiable. Le centre de contrôle peut détecter les copies, les fausses cartes, les doublons... Il suffit alors d'invalider le décodeur correspondant. Le titulaire autorisé se voit quant à lui 3 2865592 affectées de nouvelles données valides. De façon avantageuse, lesdites données d'autorisation de décryptage comprennent des informations permettant le décryptage. Ainsi, le décodeur ne peut en aucun cas décrypter les signaux cryptés, si les deux contrôles ne sont pas positifs (même si le fraudeur tente de simuler une acceptation du centre de contrôle). Préférentiellement, ledit second niveau de contrôle comprend deux étapes de contrôle: comparaison de l'identifiant dudit support de données sécurisé avec celui attribué au décodeur; contrôle de l'exactitude d'un ensemble d'informations présentes dans ledit support de données sécurisé. Ledit ensemble d'informations peut notamment comprendre au moins une des informations appartenant au groupe comprenant: identifiant dudit décodeur et/ou dudit support de données sécurisé, de façon unique; identifiant du titulaire dudit décodeur; numéro de série dudit décodeur et/ou dudit support de données sécurisé ; numéro de licence; - mot de passe; - date d'achat et/ou de mise en service; - adresse du titulaire dudit décodeur; adresse du vendeur dudit décodeur; données relatives à la garantie dudit décodeur; - données relatives aux pannes dudit décodeur, et aux interventions correspondantes. Dans ce cas, on vérifie préférentiellement au moins les informations suivantes: identifiant dudit support de données sécurisé ; - numéro de série dudit support de données sécurisé ; - numéro de licence; mot de passe. Préférentiellement, lorsque ledit centre de contrôle distant détecte, lors dudit second niveau de contrôle, l'existence d'au moins deux identifiants dudit support de données sécurisé identiques, il met en oeuvre des étapes de: - suppression dudit identifiant dans ladite base de données; création d'un nouvel identifiant et attribution dudit nouvel identifiant audit titulaire du décodeur dans ladite base de données. En effet, en cas de piratage d'un support de données sécurisé, le centre de contrôle distant peut détecter un doublon d'identifiant de support, à savoir un premier identifiant de support de données sécurisé associé au titulaire du décodeur, qui est effectivement autorisé à recevoir les programmes de télévision, et un second identifiant identique, correspondant au support de données pirate. Il suffit alors au centre de contrôle, pour résoudre ce problème de piratage, de changer le support de données sécurisé de l'abonné qui a été piraté, de supprimer l'identifiant doublonné de la base de données, et d'attribuer un nouvel identifiant à l'abonné autorisé. Ce dernier peut alors continuer à recevoir les programmes de télévision, contrairement au pirate qui ne dispose plus d'un identifiant de support de données sécurisé valide, et répertorié dans la base de données. Selon un mode de réalisation avantageux de l'invention, lesdits programmes sont transmis par satellite, et lesdites données transmises par le décodeur pour le second niveau de contrôle sont également transmises par satellite vers ledit centre de contrôle. Selon plusieurs mises en oeuvre avantageuses de l'invention, lesdites données transmises par le décodeur pour le second niveau de contrôle peuvent être transmises audit centre de contrôle selon au moins une des procédures suivantes: de façon périodique; à la réception d'une demande dudit centre de contrôle; au début d'un élément de programme prédéterminé ; à chaque démarrage dudit décodeur. De façon avantageuse, le procédé de l'invention assure la diffusion d'un premier bouquet de programmes non cryptés et d'un deuxième bouquet de programmes cryptés vers une pluralité de récepteur. Préférentiellement, chacun desdits décodeurs coopère avec une antenne unique pour recevoir lesdits deux bouquets. Dans ce cas, de façon préférentielle, ledit double niveau de contrôle n'est mis en oeuvre que pour les programmes du deuxième bouquet, les programmes du premier bouquet étant directement traités sans contrôle par lesdits décodeurs. Dans un mode de réalisation particulier de l'invention, le procédé de diffusion comprend les étapes suivantes: réception dudit deuxième bouquet dans un centre de rediffusion, dans une première bande de fréquence; réémission dudit deuxième bouquet par ledit centre de rediffusion, sur une seconde bande de fréquence, identique à celle utilisée pour ledit premier bouquet, de façon à ne nécessiter qu'une antenne pour chaque décodeur. Ladite première bande de fréquence peut ainsi être la bande Ku et ladite deuxième bande de fréquence la bande C. L'invention concerne encore un système de diffusion de programmes de télévision, mettant en oeuvre le procédé décrit ci-dessus. Un tel système comprend: dans chacun desdits décodeurs, des moyens de mise en oeuvre d'un premier niveau de contrôle effectué par chacun desdits décodeurs, par comparaison entre des données inscrites dans ledit décodeur et des données inscrites sur un support de données sécurisé indépendant, et - un centre de contrôle distant assurant un second niveau de contrôle à distance, par comparaison entre des données transmises par ledit décodeur et des données stockées dans une base de données dudit centre de contrôle, 30 ledit centre de contrôle transmettant des données d'autorisation de décryptage d'au moins un desdits programmes cryptés uniquement lorsque les deux contrôles sont positifs, de façon à mettre en oeuvre un double niveau de contrôle de chacun desdits décodeurs. L'invention concerne également les décodeurs pour le procédé de diffusion décrit ci-dessus. Un tel décodeur comprend: des moyens de mise en oeuvre d'un premier niveau de contrôle effectué par chacun desdits décodeurs, par comparaison entre des données inscrites dans ledit décodeur et des données inscrites sur un support de données sécurisé indépendant, et des moyens de transmission de données de contrôle à un centre de contrôle distant assurant un second niveau de contrôle à distance, par comparaison entre lesdites données de contrôle transmises par ledit décodeur et des données stockées dans une base de données dudit centre de contrôle, - des moyens de réception de données d'autorisation de décryptage d'au moins un desdits programmes cryptés, transmises par ledit centre de contrôle transmettant uniquement lorsque les deux contrôles sont positifs, de façon à mettre en oeuvre un double niveau de contrôle de chacun desdits décodeurs. L'invention concerne enfin les supports de données sécurisés pour le procédé de diffusion décrit ci-dessus. Un tel support de données permet notamment une vérification d'une habilitation dudit décodeur, à l'aide d'un identifiant unique et affecté audit décodeur. Avantageusement, ce support de données sécurisé appartient au groupe comprenant: les cartes à microprocesseur; les microprocesseurs intégrés; 15 20 les systèmes de reconnaissance à code barre. D'autres caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante d'un mode de réalisation préférentiel de l'invention, donnée à titre de simple exemple illustratif et non limitatif, et des dessins annexés, parmi lesquels: la figure 1 illustre de façon schématique un système de diffusion selon l'invention; la figure 2 est un schéma illustrant le contrôle de validité des décodeurs du système de la figure 1. L'invention concerne donc une nouvelle approche de la diffusion de programmes cryptés. Le mode de réalisation préférentiel décrit ci-après concerne un système de diffusion mêlant des programmes gratuits (en anglais: FTA: Free To Air ) et des programmes cryptés. Chaque utilisateur est titulaire d'un décodeur acheté, et non loué. La figure 1 illustre ce système, de façon schématique. Il est clair qu'il s'agit d'un exemple, et que de nombreux aspects, comme la rediffusion sur une autre bande, sont optionnels dans le cadre de l'invention. Un premier bouquet de programmes gratuits 11 est diffusé par satellite par un opérateur, par exemple sur la bande C. Un autre opérateur (ou le même, le cas échéant), diffuse un deuxième bouquet de programmes cryptés 12, sur la bande Ku. Ce deuxième bouquet 12 est reçu par une station 13, qui va le réémettre (14), via satellite, dans la bande C. Cette réémission permet que les deux bouquets soient diffusés dans la bande C, et donc de réduire les coûts à la réception. En effet, chaque décodeur 15 peut être équipé d'une antenne satellite 16 unique, présentant deux têtes 161 et 162, pour chacun des bouquets respectivement. Cette antenne 16 permet également l'émission 17 de données de contrôle vers un centre de contrôle distant 18 (qui peut être la station d'émission 13) Le décodeur 15 comprend également des moyens de lecture d'une carte à 8 2865592 microprocesseur 19, afin d'effectuer un premier contrôle de validité du décodeur, comme expliqué par la suite. Le centre de contrôle 18 comprend une base de données 181, et des moyens de comparaison 182, en fonction des données émises 17. Le centre de contrôle effectue un second contrôle de validité, et envoie des données de décryptage 110 spécifiques à chaque décodeur, si le contrôle est bon. Ce contrôle s'effectue donc en deux niveaux, selon l'invention, comme illustré par la figure 2. Le premier niveau 21 s'effectue en local, dans le décodeur. Lorsqu'il est mis sous tension (211), la carte à microprocesseur (ou tout autre moyen de sécurisation) vérifie (212) qu'elle se trouve dans le décodeur qui lui a été affecté. Il y a en effet une liaison bijective entre les décodeurs et les cartes. Chaque carte comprend notamment les informations suivantes: numéro de série, saisi en usine; mot de passe, saisi en usine; identifiant de la base, sous la forme d'une clé primaire stocké dans la base de données: saisi à l'achat; numéro du décodeur: saisi à l'achat; numéro de licence NTBS, permettant de confirmer que le produit est bien issu du titulaire, sous la forme d'un identifiant unique: saisi à l'achat; titulaire de la carte: saisi à l'achat; etc. La carte peut notamment encore contenir des informations relatives à la date et au lieu d'achat, à la garantie, à l'adresse du client, son téléphone... Si le résultat de la première vérification 212 n'est pas bon, le récepteur ne peut pas recevoir (2121). Il n'y a pas de transmission. Si ce résultat est correct (2122), le décodeur envoie (213), par satellite, ses données d'identification, vers le centre de contrôle distant. Le second niveau de contrôle 22 est en effet mis en oeuvre dans un centre de contrôle distant, et non dans les décodeurs. Tout d'abord, le centre de contrôle vérifie (221) que le numéro de la carte est bien affecté au décodeur associé, dans sa base de données. Si cela n'est pas le cas (2211), l'autorisation est refusée. Dans le cas contraire (2212), on passe à un deuxième contrôle 222. Parmi toutes les informations de la base de données des clients, le centre de contrôle vérifie l'exactitude: du numéro de licence NTBS 2221; du titulaire 2222; du mot de passe 2223. A nouveau, si ces informations ne sont pas identiques, l'autorisation est refusée (23). Dans le cas contraire, l'autorisation est affectée, et transmise (24) vers le décodeur. Cette autorisation comprend notamment des données de décryptage des programmes. Quand un utilisateur décide d'acheter un décodeur selon l'invention, les informations de la carte listées ci-dessus sont enregistrées dans la base de données, par exemple sous 2 ou 3 jours. Les informations inscrites en usine sur la carte sont fournies par cette usine, par exemple sous la forme d'un CD-ROM. En cas de piratage, il suffit de changer la carte de l'utilisateur, en modifiant les informations suivantes: identifiant attribué à la base; licence NTBS; mot de passe. L'ancien identifiant sera détruit dans la base. REVENDICATIONS 1. Procédé de diffusion de programmes de télévision, dont au moins certains sont des programmes cryptés, vers une pluralité de décodeurs, caractérisé en ce qu'il met en oeuvre un double niveau de contrôle de chacun desdits décodeurs: un premier niveau de contrôle effectué par chacun desdits décodeurs, par comparaison entre des données inscrites dans ledit décodeur et des données inscrites sur un support de données sécurisé indépendant, puis un second niveau de contrôle effectué à distance par un centre de contrôle distant, par comparaison entre des données transmises par ledit décodeur et des données stockées dans une base de données dudit centre de contrôle, ledit centre de contrôle transmettant des données d'autorisation de décryptage d'au moins un desdits programmes cryptés uniquement lorsque les deux contrôles sont positifs. 2. Procédé de diffusion selon la revendication 1, caractérisé en ce que lesdites données d'autorisation de décryptage comprennent des informations permettant le décryptage. 3. Procédé de diffusion selon l'une quelconque des revendications 1 et 2, caractérisé en ce que ledit second niveau de contrôle comprend deux étapes de contrôle: comparaison de l'identifiant dudit support de données sécurisé avec celui attribué au décodeur; - contrôle de l'exactitude d'un ensemble d'informations présentes dans ledit support de données sécurisé. 4. Procédé de diffusion selon la revendication 3, caractérisé en ce que ledit ensemble d'informations comprend au moins une des informations appartenant au groupe comprenant: identifiant dudit décodeur et/ou dudit support de données sécurisé, de façon unique; identifiant du titulaire dudit décodeur; numéro de série dudit décodeur et/ou dudit support de données sécurisé ; - numéro de licence; mot de passe; - date d'achat et/ou de mise en service; adresse du titulaire dudit décodeur; adresse du vendeur dudit décodeur; données relatives à la garantie dudit décodeur; données relatives aux pannes dudit décodeur, et aux interventions correspondantes. 5. Procédé de diffusion selon la revendication 4, caractérisé en ce qu'on vérifie les informations suivantes: identifiant dudit support de données sécurisé ; numéro de série dudit support de données sécurisé ; numéro de licence; - mot de passe. 6. Procédé de diffusion selon l'une quelconque des revendications 4 et 5, caractérisé en ce que, lorsque ledit centre de contrôle distant détecte, lors dudit second niveau de contrôle, l'existence d'au moins deux identifiants dudit support 20 de données sécurisé identiques, il met en oeuvre des étapes de: suppression dudit identifiant dans ladite base de données; création d'un nouvel identifiant et attribution dudit nouvel identifiant audit titulaire du décodeur dans ladite base de données. 7. Procédé de diffusion selon l'une quelconque des revendications 1 à 6, caractérisé en ce que lesdits programmes sont transmis par satellite, et en ce que lesdites données transmises par le décodeur pour le second niveau de contrôle sont également transmises par satellite vers ledit centre de contrôle. 8. Procédé de diffusion selon l'une quelconque des revendications 1 à 7, caractérisé en ce que lesdites données transmises par le décodeur pour le second 30 niveau de contrôle sont transmises audit centre de contrôle selon au moins une des 10 15 procédures suivantes: de façon périodique; - à la réception d'une demande dudit centre de contrôle; - au début d'un élément de programme prédéterminé ; à chaque démarrage dudit décodeur. 9. Procédé de diffusion selon l'une quelconque des revendications 1 à 8, caractérisé en ce qu'il assure la diffusion d'un premier bouquet de programmes non cryptés et d'un deuxième bouquet de programmes cryptés vers une pluralité de récepteur, chacun desdits décodeurs coopérant avec une antenne unique pour recevoir lesdits deux bouquets. 10. Procédé de diffusion selon la revendication 9, caractérisé en ce que ledit double niveau de contrôle n'est mis en oeuvre que pour les programmes du deuxième bouquet, les programmes du premier bouquet étant directement traités sans contrôle par lesdits décodeurs. 11. Procédé de diffusion selon l'une quelconque des revendications 9 et 10, caractérisé en ce qu'il comprend les étapes suivantes: réception dudit deuxième bouquet dans un centre de rediffusion, dans une première bande de fréquence; réémission dudit deuxième bouquet par ledit centre de rediffusion, sur une seconde bande de fréquence, identique à celle utilisée pour ledit premier bouquet, de façon à ne nécessiter qu'une antenne pour chaque décodeur. 13. Procédé de diffusion selon la revendication 11, caractérisé en ce que ladite première bande de fréquence est la bande Ku et ladite deuxième bande de fréquence est la bande C. 14. Système de diffusion de programmes de télévision, dont au moins certains sont des programmes cryptés, vers une pluralité de décodeurs, caractérisé en ce qu'il comprend: dans chacun desdits décodeurs, des moyens de mise en oeuvre d'un 13 2865592 premier niveau de contrôle effectué par chacun desdits décodeurs, par comparaison entre des données inscrites dans ledit décodeur et des données inscrites sur un support de données sécurisé indépendant, et un centre de contrôle distant assurant un second niveau de contrôle à distance, par comparaison entre des données transmises par ledit décodeur et des données stockées dans une base de données dudit centre de contrôle, ledit centre de contrôle transmettant des données d'autorisation de décryptage d'au moins un desdits programmes cryptés uniquement lorsque les deux contrôles sont positifs, de façon à mettre en oeuvre un double niveau de contrôle de chacun desdits décodeurs. 14. Décodeur pour le procédé de diffusion selon l'une quelconque des revendications 1 à 12, caractérisé en ce qu'il comprend: des moyens de mise en oeuvre d'un premier niveau de contrôle effectué par chacun desdits décodeurs, par comparaison entre des données inscrites dans ledit décodeur et des données inscrites sur un support de données sécurisé indépendant, et des moyens de transmission de données de contrôle à un centre de contrôle distant assurant un second niveau de contrôle à distance, par comparaison entre lesdites données de contrôle transmises par ledit décodeur et des données stockées dans une base de données dudit centre de contrôle, des moyens de réception de données d'autorisation de décryptage d'au moins un desdits programmes cryptés, transmises par ledit centre de contrôle transmettant uniquement lorsque les deux contrôles sont positifs, de façon à mettre en oeuvre un double niveau de contrôle de chacun desdits décodeurs. 15. Support de données sécurisé pour le procédé de diffusion selon l'une 10 15 20 25 14 2865592 quelconque des revendications 1 à 12, caractérisé en ce qu'il permet une vérification d'une habilitation dudit décodeur, à l'aide d'un identifiant unique et affecté audit décodeur. 16. Support de données sécurisé selon la revendication 15, caractérisé en ce qu'il appartient au groupe comprenant: les cartes à microprocesseur; - les microprocesseurs intégrés; - les systèmes de reconnaissance à code barre.