FR 3053497 A1 20180105 FR 1656081 A 20160629 1 Procédé de renforcement de la sécurité d'un système de télévision à péage à base de retro-communication périodique obligatoire. 1. Domaine de l'invention Le domaine de l'invention est celui de la protection du contenu numérique, et en particulier du contenu audiovisuel. Plus précisément, l'invention concerne une technique applicable, entre autres, aux systèmes de contrôle d'accès et de protection de contenu dont l'objectif est de prévenir l'accès non-autorisé au contenu produit par des fournisseurs de contenu numérique. Plus précisément, la présente technique concerne la mise en oeuvre d'une architecture de protection de contenu numérique, en particulier audiovisuel, dans des processeurs, microprocesseurs, ordinateurs, boitiers de déchiffrement et dispositifs de calcul dédiés. Une telle architecture procure (1) une sécurité meilleure que l'état de l'art, (2) assure une rétrocompatibilité avec les systèmes existants dédiés à la protection de contenu. La présente technique concerne tout particulièrement les réseaux de télévision à péage et les diffuseurs de contenu sur Internet, où il est désirable de ne permettre l'accès au contenu numérique diffusé en mode direct qu'aux utilisateurs ayant effectivement acquis les droits d'accéder à un tel contenu. L'invention a de nombreuses applications, telles que par exemple la protection de contenu de divertissement, les téléconférences, les flux vidéo sortant des téléphones portables, ou toute application dans laquelle un contenu numérique diffusé en mode direct ne doit être accessible qu'à un ensemble restreint de destinataires ou d'abonnés. Plus généralement, l'invention peut s'appliquer dans tous les cas où de tels systèmes de diffusion de contenu en mode direct, c'est-à-dire à flux continu (en anglais « st rea m ing ») sont utilisés ou déployés. L'invention concerne en particulier un procédé de transmission de contenu numérique à flux continu sur un réseau Internet de communication de données structuré selon un mode de routage en multidiffusion. L'invention concerne également un produit programme d'ordinateur pour la mise en oeuvre d'un tel procédé, ainsi qu'un support d'enregistrement sur lequel est enregistré un programme d'ordinateur pour la mise en oeuvre d'un tel procédé. 3053497 2 2. Art Antérieur On s'attache plus particulièrement dans la suite de la présente invention à décrire la problématique existant dans le domaine de la diffusion contrôlée de contenu audiovisuel chiffré, à laquelle ont été confrontés les inventeurs. L'invention ne se limite, 5 bien sûr, pas à ce domaine particulier d'application, mais présente un intérêt pour toute technique devant assurer la protection de contenu audiovisuel ou pour toute technique devant faire face à une problématique proche ou similaire. 2.1. Les systèmes d'accès conditionnel Les termes « accès conditionnel » (en anglais « Conditional Access » ou « CA ») et 10 « systèmes d'accès conditionnel » (en anglais « CA Systems » ou « CAS ») désignent un ensemble de dispositifs, procédés et logiciels ayant pour but la protection du contenu numérique ou analogique. Les CAS mettent en oeuvre la protection du contenu en s'assurant qu'un ensemble d'exigences sont respectées avant d'autoriser l'accès au contenu. Le terme CAS est souvent associé aux systèmes de télévision numérique (à la 15 fois ceux diffusés via satellite et ceux diffusés par câble) même si, historiquement, les premiers CAS furent analogiques (e.g. le système Videocrypt de l'entreprise Thomson Consumer Electronics). La norme Digital Video Broadcasting (DVB), définit les normes de CAS dans les documents de spécification dits DVB-CA (« Conditional Access »), DVB-CSA (« Common 20 Scrambling Algorithm ») et DVB-CI (« Common Interface »). Ces normes définissent une méthode permettant d'embrouiller un flux de télévision numérique tout en permettant un accès à ce flux aux utilisateurs ayant une carte à puce de déchiffrement valide. Les spécifications DVB de l'accès conditionnel sont disponibles en ligne et sont connues à l'homme du métier. Des centaines de millions de décodeurs de télévision à péage 25 mettent actuellement en oeuvre les spécifications DVB. La protection du contenu est effectuée en combinant l'embrouillage du signal vidéo et le chiffrement des clés d'embrouillage. Le flux de données vidéo est embrouillé avec une clé cryptographique secrète de 48 bits dite « mot de contrôle » (en anglais « Control Word » ou « CW »). La connaissance d'un CW à un moment donné dans le 30 temps n'est pas de nature à compromettre sérieusement la sécurité du système d'accès conditionnel dans la mesure où les fournisseurs de contenu changent le CW plusieurs fois par minute. La durée de validité d'une clé donnée (cette durée étant un paramètre du 3053497 3 CAS) est appelée la « période cryptographique » (en anglais « Crypto Period » ou « CP »). Le CW est généré d'une manière telle que la connaissance du CW de la CP numéro n ne permet pas de deviner ou de calculer les CWs des CPs numéro n+1 et au-delà. La connaissance du CW de la CP numéro n ne permet pas non plus de deviner ou de calculer 5 les CWs des CPs n-1 et avant. Les spécifications DVB recommandent d'utiliser un procédé physique afin de ce faire. Afin que le destinataire puisse déchiffrer le flux de données entrant, le dispositif destinataire doit être tenu informé de manière permanente des CWs successifs. En pratique, le dispositif destinataire doit même être informé des CWs légèrement en 10 avance afin d'éviter toute interruption de l'affichage du contenu pour l'utilisateur. Le chiffrement est utilisé afin de protéger le CW durant sa transmission au destinataire : le CW est chiffré afin de devenir un Message de Droit de Contrôle (en anglais « Entitlement Control Message » ou « ECM »). Le CAS du dispositif destinataire déchiffre l'ECM pour en extraire le CW seulement si le destinataire est autorisé à le faire. 15 Le pouvoir de ce faire est envoyé au destinataire sous la forme d'un Message de Gestion de Droits (en anglais « Entitlement Management Message » ou « EMM »). Les EMMs sont spécifiques à chaque abonné, identifié à l'aide de la carte à puce insérée dans son boîtier de déchiffrement ou à un groupe d'abonnés. Les EMMs sont habituellement émis ou renouvelés une fois par mois. Suite à des attaques sur le terrain, il est apparu qu'une telle 20 fréquence de diffusion des EMMs n'est pas suffisante à prévenir la fraude. Ainsi, l'entreprise TPS a réduit l'intervalle de diffusion des EMMs à 12 minutes. Cette fréquence peut grandement différer entre fournisseurs de contenu : par exemple, BSkyB utilise une durée de validité d'un mois et demi. Lorsque le système Nagravision 2 fut compromis, l'entreprise Digital+ a commencé à renouveler les EMMs à des intervalles de trois jours 25 afin de perturber la visualisation du contenu par les pirates. Les contenus des ECMs et des EMMs ne sont pas standardisés. Ainsi, leurs formats dépendent des CASs particuliers en utilisation. Le CW peut parvenir au dispositif destinataire via plusieurs ECMs en même temps, ce qui permet l'utilisation de plusieurs CASs en même temps. Cette technique, spécifiée 30 par DVB, et connue sous le terme « Simulcrypt », permet d'économiser de la bande passante et encourage plusieurs opérateurs à multiplexer leurs informations et à coopérer. Le Simulcrypt DVB est très courant en Europe. Certains canaux, tels que CNN 3053497 4 International Europe diffusé à partir des satellites Hot Bird, peuvent utiliser jusqu'à 7 CASs différents en parallèle. Les cartes de déchiffrement sont lues et parfois mises à jour avec des droits de visionnement spécifiques, soit via un module d'accès conditionnel (en anglais 5 « Conditional-Access Module » ou « CAM »), un lecteur de cartes au format PCMCIA (format aussi dit « PC card ») satisfaisant les normes DVB-CI standards, ou via un lecteur de cartes embarqué compatible ISO/IEC 7816, tel que celui de la Sky Digibox. Etant donnée l'utilisation fréquente et commune du CA dans les systèmes DVB, il existe de nombreux outils illégaux permettant de faciliter ou de contourner le chiffrement 10 DBV. Les émulateurs de CAM et des CAMs multi-format existent. Les CAMs multi-format peuvent soit lire plusieurs formats de cartes soit déchiffrer directement un CAS compromis. La plupart des CAMs à format multiple, et tous les CAMs pouvant déchiffrer un signal sont basés sur la retro-conception du CAS correspondant. De nombreux CAS ont été compromis à ce jour. 15 2.2. La Gestion des Droits Numériques La Gestion Numérique des Droits, ou Gestion des Droits Numériques, (en anglais « Digital Rights Management » ou « DRM »), ou encore les Mesures Techniques de Protection, ont pour objectif de contrôler l'utilisation qui est faite des oeuvres numériques. 20 Le DRM peut s'appliquer à tous types de supports numériques physiques (disques, Digital Versatile Disc, Blu-ray, logiciels, etc.) ou de transmission (télédiffusion, services Internet, etc.) grâce à un CAS, tel que décrit précédemment. Les dispositifs techniques ou logiciels de DRM peuvent viser à : restreindre la lecture du support d'information à une zone géographique prévue 25 (par exemple les zones des DVD) ; restreindre la lecture du support d'information à du matériel spécifique (par exemple les versions smartphone ou tablette) ; restreindre la lecture du support d'information à un constructeur ou vendeur (afin de bloquer la concurrence) ; 30 restreindre ou empêcher la copie privée du support d'information (transfert vers un appareil externe) ; 3053497 5 restreindre ou verrouiller certaines fonctions de lecture du support (désactivation de l'avance rapide sur certains passages d'un DVD). Ceci est très utile pour obliger l'exposition aux annonces publicitaires ; identifier et tatouer numériquement toute oeuvre et tout équipement de lecture 5 ou enregistrement (pour faciliter le pistage des copies non autorisées, mais surtout empêcher la personnalisation et donc le contrôle d'une technologie, par exemple empêcher l'installation d'un autre système d'exploitation sur un ordinateur). Les mesures techniques exploitent un chiffrement de l'ceuvre, combiné à un CA. 10 L'éditeur ou le distributeur qui exploite ce CAS ne confie la clé de contrôle d'accès du produit, qu'en échange d'une preuve d'achat ou de souscription pour y accéder (abonnement à une chaîne payante, VOD, téléchargement, etc.). L'accès à la lecture (et/ou sa copie) du document ainsi protégé n'est alors autorisée que pour l'équipement ou pour l'identification logicielle certifiée par le fournisseur. 15 Les notions concernant les mesures techniques de protection du contenu existent dans le droit (DMCA en Europe comme aux États-Unis, le DADVSI en France) et font l'objet d'un accord international. La loi reconnaît le CA comme une mesure de protection et punit les usagers qui le contournent ou en publient les secrets. Une architecture de DRM est basée sur le chiffrement des oeuvres. Seul un 20 dispositif ayant la clé de déchiffrement est capable de consulter l'ceuvre. Ce principe pose le problème de l'inviolabilité du matériel utilisé par le public pour consulter les oeuvres, afin que les clés de déchiffrement restent secrètes. Ainsi, les secrets des lecteurs de DVD ont été percés et les DVD sont désormais décryptables par des logiciels qui ne disposent pas des clés. Pour conserver dans l'ordinateur de chaque utilisateur des secrets 25 inviolables, les fabricants développent des systèmes de DRM profondément intégrés au matériel des ordinateurs. Le but est que chaque ordinateur puisse être identifié à distance (par connexion Internet) et de manière fiable. Ainsi, une architecture client-serveur permet de vérifier continuellement l'utilisation et la dissémination de chaque exemplaire d'une oeuvre. 30 Plusieurs fabricants mettent déjà en oeuvre des systèmes de DRM purement logiciels, qui sont toutefois sujet au contournement. Voici le fonctionnement général d'un tel système de DRM: 3053497 6 Le serveur de contenus S dispose du contenu protégé C par droits d'auteur (par exemple de la musique) ; Le client K est le logiciel ou le périphérique qui permet de consulter C (par exemple un lecteur multimédia ou un baladeur numérique) ; 5 Lorsqu'un utilisateur U souhaite télécharger un fichier F, K fournit un identifiant unique à S. S chiffre F (afin d'obtenir C) spécifiquement pour U ; C est ensuite transféré de S vers K, usuellement via l'Internet ; Lorsque U souhaite consulter le contenu F qu'il a ainsi téléchargé, le lecteur vérifie s'il a déjà une licence pour F. Si le lecteur ne dispose pas d'une licence, il se 10 connecte à S. Si U est autorisé (par exemple en ayant acquitté le paiement), le lecteur télécharge une licence L. L est une structure de données qui contient la clé de déchiffrement ainsi que les conditions d'utilisation du contenu F. L est protégée en confidentialité et en intégrité ; Le lecteur vérifie que les conditions d'utilisation définies par L sont respectées. 15 Dans ce cas, le lecteur peut déchiffrer C avec la clé de déchiffrement stockée dans la licence afin de délivrer F à U. Cependant, si U change de client (nouveau logiciel, nouvel ordinateur, nouveau baladeur), il devra demander une nouvelle licence L' selon les conditions du contrat passé avec le fournisseur (par exemple, iTunes permet sept licences liées à un changement de 20 matériel sans restriction de durée pour l'achat d'un titre). 2.3. Inconvénients de l'art antérieur Les environnements traditionnels de diffusion de télévision reposent sur des CASs pour fournir des services de gestion de droits d'accès et d'embrouillage (chiffrement) de contenu audiovisuel. Ces systèmes utilisent habituellement une carte-à-puce insérée dans 25 la STB. La carte-à-puce sert à gérer des clés de contenu et fournit périodiquement ces clés de contenu au système de désembrouillage. Les cartes-à-puce peuvent être couplées avec une STB spécifique de sorte à n'être utilisables qu'avec ce décodeur-là. Ce système classique, dont le niveau de sécurité est connu et étudié, est déjà déployé depuis trois décennies. Malgré cela, les inconvénients de ce système classique sont connus des 30 opérateurs de réseaux télévisuels et de l'homme de l'art. L'un des inconvénients majeurs de ces systèmes réside dans le fait qu'une fois des droits transmis via un EMM, ces droits restent acquis à l'utilisateur. Ainsi, un attaquant contrôlant la communication entre la STB 3053497 7 et le réseau pourrait accéder au contenu sans limitation. Certes, si la STB est équipée d'une horloge à temps réel, le CAS peut se rendre compte de l'expiration de l'EMM mais la sécurisation d'une horloge à temps réel est difficile. Il s'en suit qu'un attaquant qui contrôle à la fois la communication entre la STB et le réseau et l'horloge temps réel de la 5 STB peut accéder efficacement au contenu. 3053497 8 3. Résumé de l'invention La technique inventive proposée ne présente pas au moins certains des inconvénients de l'art antérieur. La présente invention permet de protéger du contenu numérique à flux continu et 5 du contenu numérique à la demande même face à un attaquant contrôlant à la fois le lien entre la STB et le réseau et l'horloge temps réel de la STB. La présente invention permet également de réduire le coût et la complexité de systèmes hybrides permettant de protéger à la fois du contenu numérique en mode direct et non seulement du contenu numérique à la demande. 10 À ces fins, il est proposé, selon un premier aspect de l'invention, un procédé de transmission de contenu numérique à flux continu sur un réseau Internet de communication de données, ledit réseau Internet étant structuré selon un mode de routage en multidiffusion, ledit procédé étant mis en oeuvre par un système de transmission de contenu numérique comportant : 15 - un dispositif de gestion de droits numériques comprenant : o au moins un module de chiffrement d'un contenu numérique, relié à une source de contenu numérique à flux continu via ledit réseau Internet de communication de données ; o un module de stockage de clefs de chiffrement cryptographiques et 20 d'identifiants de contenus, relié au module de chiffrement ; - un dispositif client d'accès audit contenu numérique à flux continu, relié au dispositif de gestion de droits numériques via ledit réseau Internet de communication de données, et comprenant : o un module d'accès, d'exploration, et de visualisation dudit contenu 25 numérique à flux continu ; o un module client de gestion de droits numériques, relié au module d'accès, d'exploration, et de visualisation dudit contenu numérique à flux continu ; chaque module étant formé d'un composant logiciel, d'un composant matériel, ou d'un ensemble de composants matériels et logiciels ; 30 le procédé comprenant les étapes suivantes : 3053497 9 - la transmission au module de chiffrement d'un contenu numérique, par la source de contenu numérique, d'un contenu numérique à flux continu, via le réseau Internet de communication de données ; - le chiffrement, par le module de chiffrement d'un contenu numérique, dudit 5 contenu numérique via une clef de chiffrement cryptographique secrète ; - la détermination, par le module de chiffrement d'un contenu numérique, si le dispositif client a précédemment transmis au module de chiffrement la valeur d'une variable représentative d'un état du dispositif client ; et, le cas échéant, la comparaison, par le module de chiffrement d'un contenu numérique, entre la 10 valeur courante et la valeur précédente de ladite variable, puis la détermination, par le module de chiffrement, d'un taux de similarité entre la valeur courante et la valeur précédente de ladite variable ; - si, à l'issue de l'étape de détermination d'un taux de similarité, le module de chiffrement détermine que le taux de similarité est supérieur à un taux-seuil 15 prédéterminé : o la transmission au module de stockage de clefs de chiffrement cryptographiques et d'identifiants de contenus, par le module de chiffrement d'un contenu numérique, de critères d'accès requis pour un canal donné, ledit canal contenant tout ou partie dudit contenu 20 numérique ; o la traduction, par le module de stockage de clefs de chiffrement cryptographiques et d'identifiants de contenus, desdits critères d 'accès requis en un identifiant de contenu spécifique et en une clef de contenu spécifique ; 25 o la transmission au module de chiffrement d'un contenu numérique, par le module de stockage de clefs de chiffrement cryptographiques et d'identifiants de contenus, dudit identifiant de contenu spécifique et de ladite clef de contenu spécifique ; o l'insertion, par le module de chiffrement d'un contenu numérique, dudit 30 identifiant de contenu spécifique et de ladite clef de contenu spécifique dans le contenu numérique chiffré, un flux de données multiplexées étant obtenu à l'issue de cette étape d'insertion, le flux de données 3053497 10 multiplexées contenant ledit contenu numérique chiffré, ledit identifiant de contenu spécifique et ladite clef de contenu spécifique ; o la transmission au module d'accès, d'exploration, et de visualisation du dispositif client, par le module de chiffrement d'un contenu numérique, 5 dudit flux de données multiplexées, via ledit réseau Internet de communication de données ; o la récupération, par le module d'accès, d'exploration, et de visualisation, de l'identifiant de contenu spécifique contenu dans le flux de données multiplexées, et la transmission dudit identifiant de contenu 10 numérique au module client de gestion de droits numériques ; o la vérification, par le module client de gestion de droits numériques, si un objet correspondant audit identifiant de contenu spécifique existe et, le cas échéant, la délivrance d'un droit d'accès, d'exploration, et de visualisation du contenu numérique au module d'accès, d'exploration, et 15 de visualisation. Avantageusement, lors de l'étape de détermination si le dispositif client a précédemment transmis au module de chiffrement la valeur d'une variable représentative d'un état du dispositif client, le module de chiffrement d'un contenu numérique vérifie si le dispositif client a transmis la valeur de ladite variable depuis un 20 nombre d'unités de temps prédéterminé. Avantageusement, la variable représentative d'un état du dispositif client est une liste de données indicatives de l'état du dispositif ; et la détermination, par le module de chiffrement, d'un taux de similarité entre la valeur courante et la valeur précédente de ladite variable consiste en ce que les données de la liste courante et les données de la 25 liste précédente sont comparées une à une de sorte à déterminer un taux de données identiques entre les deux listes. Avantageusement, les données de la liste de données indicatives de l'état du dispositif forment un historique de visualisation du contenu numérique par l'utilisateur. Avantageusement, le module de chiffrement d'un contenu numérique comprend 30 un premier sous-module d'embrouillage du contenu numérique, et un deuxième sous- module de génération de messages de droits de contrôle, relié au premier sous-module. 3053497 11 Avantageusement, le premier sous-module d'embrouillage du contenu numérique est un multiplexeur. Avantageusement, le réseau Internet de communication de données est un réseau conforme au standard télévision sur IP, et le contenu numérique à flux continu est un flux 5 audiovisuel de télévision en mode direct. Avantageusement, le dispositif de gestion de droits numériques et le dispositif client forment une architecture client - serveur, au moins un des modules du dispositif de gestion de droits numériques étant un serveur. L'invention concerne en outre, selon un deuxième aspect, un produit programme 10 d'ordinateur téléchargeable depuis un réseau de communication et/ou enregistré sur un support lisible par ordinateur et/ou exécutable par un processeur, comprenant des instructions de programme, lesdites instructions de programme étant adaptées pour mettre en oeuvre les étapes du procédé de transmission de contenu numérique tel que décrit ci-dessus lorsque le produit programme est exécuté sur un ordinateur. 15 Ce produit programme d'ordinateur peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou sous la forme d'un circuit synthétisé à partir d'un langage de description matérielle (tel que VHDL ou Verilog) ou dans n'importe quelle autre forme souhaitable. 20 L'invention concerne enfin, selon un troisième aspect, un support d'enregistrement sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour mettre en oeuvre les étapes du procédé de transmission de contenu numérique tel que décrit ci-dessus. Le support d'enregistrement peut être n'importe quelle entité ou dispositif 25 capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une RAM, une mémoire Flash, une clé USB, une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'enregistrement peut être un support transmissible tel 30 qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon la technique proposée peut être en particulier téléchargé sur un réseau de type Internet. 3053497 12 Alternativement, le support d'enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Selon un mode de réalisation, la technique proposée est mise en oeuvre au moyen 5 de composants logiciels et/ou matériels. Dans cette optique, le terme "module" peut correspondre dans ce document aussi bien à un composant logiciel, qu'a un composant matériel ou à un ensemble de composants matériels et logiciels. Un composant logiciel correspond à un ou plusieurs programmes d'ordinateur, un(e) ou plusieurs procédures ou sous-programmes d'un programme, ou de manière plus 10 générale à tout élément d'un programme ou d'un logiciel apte à mettre en oeuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné. Un tel composant logiciel est exécuté par un processeur de données d'une entité physique (terminal, serveur, passerelle, routeur, etc.) et est susceptible d'accéder aux ressources matérielles de cette entité physique (mémoires, supports 15 d'enregistrement, bus de communication, cartes électroniques d'entrées/sorties, interfaces utilisateur, etc.). De la même manière, un composant matériel correspond à tout élément d'un ensemble matériel (ou hardware) apte à mettre en oeuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné. Il peut s'agir 20 d'un composant matériel programmable ou avec processeur intégré pour l'exécution de logiciel, par exemple un processeur, un coprocesseur cryptographique dédié, une unité centrale, un supercalculateur, un circuit intégré, une carte à puce, une carte à mémoire, une carte électronique pour l'exécution d'un micrologiciel (firmware), etc. Chaque composante du système précédemment décrit met bien entendu en 25 oeuvre ses propres modules logiciels. Les différents modes de réalisation mentionnés ci- dessus sont combinables entre eux pour la mise en oeuvre de la technique proposée. D'autres caractéristiques et avantages apparaîtront plus clairement à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent. 4. Description des figures 30 D'autres caractéristiques et avantages de la technique proposée apparaîtront plus clairement à la lecture de la description suivante d'un mode de réalisation préférentiel, 3053497 13 donné à titre de simple exemple illustratif et non limitatif, et des dessins annexés, parmi lesquels : la figure 1 illustre le système inventif ; la figure 2 illustre le procédé de transmission de contenu numérique à flux continu 5 selon l'invention, mis en oeuvre par le système de la figure 1; la figure 3 illustre une architecture matérielle et logicielle mettant en oeuvre l'invention ; 5. Description Le système objet de l'invention se compose des modules suivants : 10 Les modules appartiennent à trois catégories : une catégorie « Système dorsal » (12), une catégorie « Système frontal » (13) et une catégorie « Client » (14) ; et s'interfacent à une quatrième catégorie, à savoir une catégorie « Système Externe » (11). 5.1. La catégorie « Système externe » comporte les éléments suivants : 15 5.1.1. La Source CDN (111) (en anglais : « Content Delivery Network » ou « CDN ») : La source CDN fournit le contenu audiovisuel au système inventif. Le contenu audiovisuel est acquis sous la forme d'un signal clair (intelligible) de divers types de fournisseurs de contenu (par exemple des liaisons satellite, des agrégateurs de contenu, des liaisons directes de diffuseurs etc.). Le contenu est 20 délivré au pôle de tête (en anglais "Head End") sous la forme d'un flux MPEG (en anglais « MPEG Single Program Transport Stream multicast ») avec des débits variés et des formats de codage vidéo variés (MPEG/AVC). Ces informations transitent via une pluralité de points de trafic Internet d'échange de contenu. 5.1.2. Le Système CRM (112): Le système de gestion de relation clients (en anglais 25 « Customer Relationship Management system ») gère les abonnés, leurs abonnements, leurs bouquets et les offres commerciales, les dispositifs d'accès au contenu des abonnés et les droits des abonnés. Le Système CRM (112) fournit l'information nécessaire au processus de facturation. Le Système CRM (112) est utilisé par les services commerciaux et opérationnels de l'opérateur afin 30 d'attribuer des droits d'accès au contenu aux clients et gérer leurs données techniques et leurs données de facturation. Le Système CRM (112) est également désigné par l'acronyme « SMS » (de l'anglais « Subscriber Management System »). 3053497 14 Le Système CRM (112) peut être hébergé dans les locaux d'un fournisseur de service externe ou, au contraire, être hébergé par l'entité exploitant le système inventif. 5.2. La catégorie « Système dorsal » comporte les éléments suivants : 5 5.2.1. L'embrouilleur (121) : Un embrouilleur est un multiplexeur ayant la capacité d'embrouiller un flux de transport MPEG entrant. Un embrouilleur typique utilise un embrouillage de type « TS-packet » avec une rotation de CW et un chiffrement AES-128 du signal vidéo, audio et contenu des sous-titres. Un autre exemple de réalisation est l'utilisation de DVB-CSA. Afin de permettre le défilement rapide 10 (avant ou arrière) de contenu, certaines portions de contenu peuvent être laissées en clair (paquets PUSI ou, par exemple, 5% des paquets). 5.2.2. Le générateur d'ECMs (122): génère des ECMs ("Entitlement Control Messages") afin que le multiplexeur insère ces ECMs dans le flux de transport embrouillé. L'interface entre l'embrouilleur (121) et le générateur d'ECMs (122) 15 est définie par la norme « Head-End Simulcrypt Standard (ETSI TS 103 197) ». Les ECMs contiennent l'identifient de contenu DRM correspondant à un bouquet donné. Le générateur d'ECMs (122) utilise un Serveur de clés (124) afin d'obtenir la clé de contenu correspondant à l'identifiant de contenu DRM reçu de l'embrouilleur (121). 20 5.2.3. Le Système Dorsal de DRM (123) : est une base de données d'objets DRM et des transactions qui doivent être récupérés par des clients DRM. Chaque objet DRM est par exemple une licence d'accès à un contenu numérique, un noeud d'abonnement ou encore un lien entre un utilisateur DRM et un identifiant de contenu numérique. Ainsi, le Système Dorsal de DRM (123) regroupe à la fois 25 l'information technique des objets DRM (utilisateurs DRM, noeuds d'abonnement, identifiants de contenu) et l'information de logique commerciale associée (bouquets, dispositifs). Le Système Dorsal de DRM (123) fournit au Système Frontal de DRM (132) toutes les données nécessaires afin de générer des éléments DRM tels que les licences, les noeuds et les liens. 30 5.2.4. Le Serveur de Clés (124) : Gère les identités de contenus et les clés de contenu de tous les bouquets DRM. Le Serveur de Clés (124) offre des services de base de données sécurisée aux autres composants du système lorsque ces autres 3053497 15 composants du système ont besoin d'accéder à des clés de contenu correspondant à des identifiants de contenu spécifiques. 5.2.5. Le Système Dorsal de Jetons (125) est le coeur de la logique commerciale du système dorsal. Le Système Dorsal de Jetons (125) génère des jetons d'action 5 (listes d'opérations) pour les Clients DRM (142), indiquant aux Clients DRM (142) sur quelles données les Clients DRM (142) devraient interroger le Système Frontal de DRM (132). Le Système Dorsal de Jetons (125) applique les données CRM aux données des paquets des abonnés afin de générer les transactions de récupération d'objets DRM correspondant aux abonnements dans le Système 10 Dorsal DRM (123). En se basant sur les données CRM, le Système Dorsal de Jetons (125) gère également l'état courant du statut du dispositif de visualisation de contenu de l'abonné. Le Système Dorsal de Jetons (125) gère également les données de bouquet dans la base de données du Système Dorsal de DRM (123). 5.2.6. Le Module CRM (126) est la partie du système inventif responsable de la 15 communication avec le Système CRM (112). Le Module CRM (126) est une couche d'abstraction des fournisseurs de contenu permettant l'intégration de systèmes de CRM différents. Il suffit qu'un ensemble minimal d'opérations requises soit supporté pour que tout système de CRM puisse être utilisé pour gérer les données des bouquets des abonnés. 20 5.3. La catégorie « Système frontal » comporte les éléments suivants : 5.3.1. Le Réseau de Livraison de Contenu CDN (131) (en anglais « Content Delivery Network » ou « CDN ») pour canaux IPTV : Les canaux sont délivrés aux opérateurs dans un format embrouillé UDP MPEG SPTS multicast. Cette livraison de contenu s'effectue via de multiples points d'échange Internet. Les opérateurs reçoivent 25 tout le trafic IPTV dans leurs locaux en utilisant un routeur multicast indépendant du protocole (en anglais « Protocol-Independent Multicast Router » ou PIM router) ou s'abonnent dynamiquement au contenu requis via le protocole IGMP (en anglais « Internet Group Management Protocol ») en utilisant un routeur PIM tête de réseau. 30 5.3.2. Le Système Frontal de DRM (132) est un serveur DRM fourni par l'entreprise Intertrust (le Système Frontal de DRM (132) est aussi appelé "Bluewhale Server"). Le Système Frontal de DRM (132) est responsable de la communication sécurisée 3053497 16 avec les Clients DRM (142). Le Système Frontal de DRM (132) utilise le Système Dorsal de DRM (123) pour récupérer les données commerciales nécessaires à la génération des objets DRM requis par les Clients DRM (142). 5.3.3. Le Système Frontal de Jetons (133) est un serveur HTTP Proxy accessible à 5 partir d'Internet. Le Système Frontal de Jetons (133) fournit un accès sécurisé aux services offerts par le Système Dorsal de Jetons (125) à l'intention des Applications Interface Utilisateur UI (143). 5.3. La catégorie « Système client » comporte les éléments suivants : 5.4.1. Le Client IPVT (141) fait partie de la pile applicative du dispositif de 10 visualisation de l'abonné. Le Client IPVT (141) est responsable de l'accès au contenu IPTV, et de l'exploration du contenu (en anglais « media parsing »). Le Client IPVT (141) est également responsable de la visualisation du contenu (en anglais « playout »). Le Client IPVT (141) manipule les flux entrants IPTV et leur encodage. Le Client IPVT (141) utilise le Client DRM (142) pour obtenir les clés 15 nécessaires au désembrouillage du contenu. 5.4.2. Le Client DRM (142) est une librairie logicielle de l'entreprise Intertrust (connue de l'homme de l'art sous le nom de « Wasabi / ExpressPlay SDK »). Le Client DRM (142) est embarqué à bord du dispositif d'accès au contenu de l'abonné. Le Client DRM (142) communique confidentiellement avec le Système 20 Frontal de DRM (132) pour obtenir les objets et licences DRM et offre une interface de programmation d'applications (en anglais « Application Programming Interface » ou « API ») au sous-système de d'affichage de contenu (en anglais « media playout subsystem ») permettant de vérifier les droits de contenu par rapport aux licences disponibles. Les objets DRM sont récupérés à partir de 25 "jetons d'action" générés par le Système Dorsal de Jetons (125) et sont fournis au Client DRM (142) par l'Application UI (143). 5.4.3. L'Application Interface Utilisateur UI (143) est une interface utilisateur de haut niveau présente dans le dispositif d'accès au contenu de l'abonné (par exemple son téléphone ou sa tablette): Périodiquement, ou en réponse aux 30 actions de l'abonné, l'Application Interface Utilisateur UI (143) contacte le Système Frontal de Jetons (133) pour récupérer un « jeton d'action » pour des droits DRM. Le jeton d'action est ensuite passé à la librairie du Client DRM (142) 3053497 17 qui effectue l'opération de récupération des droits. L'Application d'Interface Utilisateur UI (143) fournit à l'utilisateur une interface permettant de démarrer la visualisation du contenu (par exemple le zapping de canaux IPTV) et permettant la gestion locale des autorisations DRM en la librairie du Client DRM (142). 5 6. Description d'un mode de réalisation particulier Dans ce mode de réalisation, le système précédemment explicité met en oeuvre un fonctionnement en deux phases: 6.1. Phase d'acquisition de droits DRM 1. L'application UI (143) déclenche une mise à jour de droits DRM en envoyant 10 l'identifiant dispositif (en anglais : « device ID ») et l'identifiant de Gestion des Droits Numériques GDN (en anglais : « DRM ID ») au portail jeton (133) du système inventif. 2. La requête est transmise par le Portail jeton (133) au Dorsal jeton (125). 3. Sur la base du « device ID », le dorsal jeton (125) interroge le module CRM 15 (126) afin de récupérer les droits de l'utilisateur. 4. La requête est transmise par module CRM (126) au système externe de gestion de souscripteurs (112). 5. Les informations de droits récupérées par le dorsal jeton (125) sont envoyées au serveur de DRM (123). Lesdites informations de droits sont traduites en 20 objets DRM par le dorsal DRM (123). A chaque transaction de récupération d'objet DRM pour un client DRM le dorsal DRM assigne un identifiant unique (ID). 6. L'application UI (143) donne instruction au client DRM (142) de récupérer les objets DRM en créant et en passant au frontal DRM (132) un jeton d'action 25 contenant les actions devant être effectuées ainsi que leurs IDs respectifs. 7. Le client DRM (142) contacte le serveur DRM (123) via le frontal DRM (132) pour chacune des actions spécifiées en passant un ID de transaction dans le jeton d'action. 8. Le frontal DRM (132) récupère du dorsal DRM (123) l'objet DRM 30 correspondant au client DRM (142) sur la base de l'ID de transaction. 3053497 18 9. Pour construire une licence pour le contenu DRM, le dorsal DRM (123) contacte le serveur de clés (124) afin de traduire l'ID de contenu en une clé faisant partie de la licence. 6.2. Phase de livraison de contenu et de déchiffrement, illustrée sur la figure 2 5 1. Le contenu en clair (31) est fourni par la source CDN (111) à l'embrouilleur (121) via un multicast Single-Program Transport Stream (dit « MPEG-TS over UDP »). 2. L'embrouilleur (121) contacte (32) le générateur d'ECMs (122) afin de construire une donnée ECM contenant le mot de contrôle (33) et les critères 10 d'accès requis pour un canal donné. Le générateur d'ECMs (122) vérifie si le dispositif client (14) a déjà contacté le générateur d'ECMs (122). Dans un mode de réalisation particulier, le générateur d'ECMs vérifie que le dispositif client (14) destinataire de l'ECM a contacté le générateur d'ECMs (122) depuis au moins T unités de temps. Si tel n'est pas le cas, le générateur d'ECMs (122) ne 15 continue pas à l'étape 3. Lors du contact entre le générateur d'ECMs (122) et le dispositif client (14), le générateur d'ECMs vérifie si le dispositif client (14) a précédemment transmis au générateur d'ECMs la valeur d'une variable E représentative d'un état du dispositif client (14). Plus précisément, lors du contact entre le générateur d'ECMs (122) et le dispositif client (14), le 20 générateur d'ECMs vérifie à distance que l'état E du dispositif client (14) est conforme à celui que le dispositif client avait lors du précédent contact. A titre d'exemple, l'état E pourrait être une liste {heure_date_debut[i], heure_date_fin[i], chaine[i]} contenant l'historique de visualisation de l'utilisateur. On considère dans la présente que « l'état E[t] est conforme à 25 l'état E[t-1] » si, après avoir déterminé un taux de similarité entre ces deux états, ce taux de similarité est supérieur à un taux-seuil prédéterminé. Dans le mode de réalisation particulier décrit ci-dessus, pour lequel l'état E est une liste contenant l'historique de visualisation de l'utilisateur, « l'état E[t] est conforme à l'état E[t-1] » si la plage d'intersection entre les listes E[t] et E[t-1] 30 est suffisamment grande, c'est-à-dire si les éléments communs entre les listes E[t] et E[t-1] représentent un pourcentage supérieur à un pourcentage-seuil prédéterminé (par exemple 25% des éléments). Dès que le dispositif client (14) 3053497 19 se rend compte que sa liste courante E[t] diffère significativement de E[t-1] (par exemple 50% des éléments) il déclenche une interaction avec le générateur d'ECMs. Ainsi, un clone pirate sera très vite désynchronisé et cessera de fonctionner. 5 3. Si le générateur d'ECMs (122) détermine que le taux de similarité entre les deux états E[t] et E[t-1] est supérieur au taux-seuil prédéterminé, le générateur ECM (122) utilise un serveur de clés (124) afin de traduire le critère d'accès en un ID de contenu spécifique et en une clé de contenu spécifique. 4. L'embrouilleur (121) insère l'ECM (33) ainsi construit dans le flux 10 d'informations chiffrées, obtenant ainsi une donnée multiplexée (34) envoyée au CDN (131). 5. Le flux d'informations chiffrées (35) est délivré au client IPTV (141) via le réseau de livraison de contenu CDN (131). 6. Le dispositif client (14) récupère l'ID du contenu des données ECM et consulte 15 (36) le client DRM (142) pour vérifier si une licence pour cet ID de contenu existe. Si tel est le cas les droits sont accordés. 7. Autres caractéristiques et avantages Une application pratique du système inventif est typiquement mise en oeuvre sur un dispositif matériel dont l'architecture matérielle est illustrée par la figure 3. Un 20 processeur 41, par exemple un microprocesseur, est connecté à un moyen d'interface d'entrée et de sortie de données 42, et à une mémoire 43 dans laquelle le processeur lit les instructions encodant un programme 44 mettant en oeuvre le procédé inventif. La mémoire 43 sert également à lire et écrire données, messages chiffrés et clés. Un grand avantage du système inventif par rapport à l'état de l'art est le suivant : 25 un clone pirate créé à un moment t évoluera de E[t] vers E'[t+1]. Pendant ce temps-là, le système légitime évoluera vers E[t+1]. Puisque le clone et le système légitime sont utilisés par deux utilisateurs différents, avec une très forte probabilité que E'[t+1] va différer de E[t+1], cette différence va rapidement s'accentuer et sera détectée par le système de CAS. Cela aura pour effet un arrêt du fonctionnement du clone. On conçoit ainsi que le 30 système et le procédé selon l'invention permettent d'améliorer significativement la sécurité et la sûreté du système. 3053497 20 L'invention résout donc efficacement et définitivement tous les inconvénients de l'art antérieur. REVENDICATIONS1. Procédé de transmission de contenu numérique à flux continu sur un réseau Internet de communication de données, ledit réseau Internet étant structuré selon un mode de routage en multidiffusion, ledit procédé étant mis en oeuvre par un système de transmission de contenu numérique comportant : - un dispositif (12,13) de gestion de droits numériques comprenant : o au moins un module (121, 122 ; 42) de chiffrement d'un contenu numérique, relié à une source (111) de contenu numérique à flux continu via ledit réseau Internet de communication de données ; o un module (124) de stockage de clefs de chiffrement cryptographiques et d'identifiants de contenus, relié au module de chiffrement (121, 122) ; - un dispositif client (14) d'accès audit contenu numérique à flux continu, relié au dispositif (12, 13) de gestion de droits numériques via ledit réseau Internet de communication de données, et comprenant : o un module (141) d'accès, d'exploration, et de visualisation dudit contenu numérique à flux continu ; o un module client (142) de gestion de droits numériques, relié au module (141) d'accès, d'exploration, et de visualisation dudit contenu numérique à flux continu ; chaque module (121-124, 141-142, 42) étant formé d'un composant logiciel, d'un composant matériel, ou d'un ensemble de composants matériels et logiciels ; le procédé comprenant les étapes suivantes : - la transmission au module de chiffrement (121, 122 ; 42) d'un contenu numérique, par la source (111) de contenu numérique, d'un contenu numérique à flux continu (31), via le réseau Internet de communication de données ; - le chiffrement, par le module de chiffrement (121, 122 ; 42) d'un contenu numérique, dudit contenu numérique (31) via une clef de chiffrement cryptographique secrète ; - la détermination, par le module de chiffrement (121, 122 ; 42) d'un contenu numérique, si le dispositif client (14) a précédemment transmis au module de chiffrement (121, 122 ; 42) la valeur d'une variable représentative d'un état du 3053497 22 dispositif client (14) ; et, le cas échéant, la comparaison, par le module de chiffrement (121, 122 ; 42) d'un contenu numérique, entre la valeur courante et la valeur précédente de ladite variable, puis la détermination, par le module de chiffrement (121, 122 ; 42), d'un taux de similarité entre la valeur courante et la 5 valeur précédente de ladite variable ; - si, à l'issue de l'étape de détermination d'un taux de similarité, le module de chiffrement (121, 122 ; 42) détermine que le taux de similarité est supérieur à un taux-seuil prédéterminé : o la transmission au module (124) de stockage de clefs de chiffrement 10 cryptographiques et d'identifiants de contenus, par le module de chiffrement (121, 122 ; 42) d'un contenu numérique, de critères d'accès requis pour un canal donné, ledit canal contenant tout ou partie dudit contenu numérique ; o la traduction, par le module (124) de stockage de clefs de chiffrement 15 cryptographiques et d'identifiants de contenus, desdits critères d 'accès requis en un identifiant de contenu spécifique et en une clef de contenu spécifique ; o la transmission au module de chiffrement (121, 122 ; 42) d'un contenu numérique, par le module (124) de stockage de clefs de chiffrement 20 cryptographiques et d'identifiants de contenus, dudit identifiant de contenu spécifique et de ladite clef de contenu spécifique ; o l'insertion, par le module de chiffrement (121, 122 ; 42) d'un contenu numérique, dudit identifiant de contenu spécifique et de ladite clef de contenu spécifique dans le contenu numérique chiffré, un flux de données 25 multiplexées (34, 35) étant obtenu à l'issue de cette étape d'insertion, le flux de données multiplexées (34, 35) contenant ledit contenu numérique chiffré, ledit identifiant de contenu spécifique et ladite clef de contenu spécifique ; o la transmission au module d'accès, d'exploration, et de visualisation (141) 30 du dispositif client (14), par le module de chiffrement (121, 122 ; 42) d'un contenu numérique, dudit flux de données multiplexées (34, 35), via ledit réseau Internet de communication de données ; 3053497 23 o la récupération, par le module d'accès, d'exploration, et de visualisation (141), de l'identifiant de contenu spécifique contenu dans le flux de données multiplexées (34, 35), et la transmission dudit identifiant de contenu numérique au module client (142) de gestion de droits 5 numériques ; o la vérification, par le module client (142) de gestion de droits numériques, si un objet correspondant audit identifiant de contenu spécifique existe et, le cas échéant, la délivrance d'un droit d'accès, d'exploration, et de visualisation du contenu numérique au module d'accès, d'exploration, et 10 de visualisation (141). 2. Procédé selon la revendication 1, caractérisé en ce que, lors de l'étape de détermination si le dispositif client (14) a précédemment transmis au module de chiffrement (121, 122 ; 42) la valeur d'une variable représentative d'un état du 15 dispositif client (14), le module de chiffrement (121, 122 ; 42) d'un contenu numérique vérifie si le dispositif client (14) a transmis la valeur de ladite variable depuis un nombre d'unités de temps prédéterminé. 3. Procédé selon la revendication 1 ou 2, caractérisé en ce que la variable 20 représentative d'un état du dispositif client (14) est une liste de données indicatives de l'état du dispositif (14) ; et en ce que la détermination, par le module de chiffrement (121, 122 ; 42), d'un taux de similarité entre la valeur courante et la valeur précédente de ladite variable consiste en ce que les données de la liste courante et les données de la liste précédente sont comparées une à 25 une de sorte à déterminer un taux de données identiques entre les deux listes. 4. Procédé selon la revendication 3, caractérisé en ce que les données de la liste de données indicatives de l'état du dispositif (14) forment un historique de visualisation du contenu numérique par l'utilisateur. 30 5. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le module (121, 122 ; 42) de chiffrement d'un contenu numérique comprend 3053497 24 un premier sous-module (121) d'embrouillage du contenu numérique, et un deuxième sous-module (122) de génération de messages de droits de contrôle, relié au premier sous-module (121). 5 6. Procédé selon la revendication 5, caractérisé en ce que le premier sous-module (121) d'embrouillage du contenu numérique est un multiplexeur. 7. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le réseau Internet de communication de données est un réseau conforme au 10 standard télévision sur IP, et en ce que le contenu numérique à flux continu est un flux audiovisuel de télévision en mode direct. 8. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le dispositif (12,13) de gestion de droits numériques et le dispositif client (14) 15 forment une architecture client - serveur, au moins un des modules (121-124, 141-142, 42) du dispositif (12,13) de gestion de droits numériques étant un serveur. 9. Produit programme d'ordinateur téléchargeable depuis un réseau de 20 communication et/ou enregistré sur un support lisible par ordinateur et/ou exécutable par un processeur, caractérisé en ce qu'il comprend des instructions de programme, lesdites instructions de programme étant adaptées pour mettre en oeuvre les étapes du procédé de transmission de contenu numérique selon l'une quelconque des revendications précédentes lorsque le produit programme est 25 exécuté sur un ordinateur. 10. Support d'enregistrement sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour mettre en oeuvre les étapes du procédé de transmission de contenu numérique selon l'une quelconque 30 des revendications 1 à 8.