FR 2895630 A1 20070629 FR 0513278 A 20051223 Domaine d'application L'invention décrite dans ce document permet la distribution, la programmation et la lecture de contenus audiovisuels numériques pré-enregistrés dans de multiples salles distantes. Cette invention est plus particulièrement destinée à l'usage du cinéma. État de l'art Actuellement, la distribution des films pour le cinéma est majoritairement effectuée grâce à des copies réalisées sur pellicule. Avec l'introduction des technologies numériques dans la filière du cinéma, il est peu à peu apparu qu'un film pouvait être entièrement produit et exploité sous forme numérique. Dans ce domaine, les techniques de production et de post-production ont pris de l'avance sur les techniques de diffusion, notamment à cause de la nécessité pour les salles de cinéma de s'équiper en coûteux systèmes de projection. De plus, l'équipement des salles en matériel numérique suppose une adaptation du système de distribution: il n'est plus question de transporter des pellicules. Des services de distribution de films numériques sur supports physiques (DVD-RAMs, disques-durs) ont ainsi vu le jour. Toutefois, ces services, comme pour le transport de bobines, nécessitent une logistique lourde pour transporter les films. De plus, les copies transitent entre plusieurs intermédiaires, augmentant le risque de vol et de piratage. Une alternative à ces services est de créer un réseau numérique de distribution des films. Cette voie a déjà été décrite dans plusieurs brevets, tels US 2003/0204851, WO 02/057848, WO 99/66728 ou US 2002/0038460. Les systèmes et méthodes proposés varient notamment selon les technologies employées pour la transmission (satellite, filaire) et le type de données transportées (flux audiovidéos, fichiers informatiques). Pour faciliter l'adoption du cinéma numérique par tous les acteurs de la filière, des tentatives de standardisation ont récemment vu le jour. Aux États-Unis, Le Digital Cinema Initiative (DCI), organisme regroupant sept grands studios américains, a défini des recommandations qui devraient faire l'objet d'une standardisation par la Society of Motion Picture & Television Engineers (SMPTE). En France, l'Association Française de Normalisation (AFNOR), sous 2895630 -2- l'égide de la Comission Supérieure des Techniques de l'Image et du Son (CST), devrait bientôt publier la norme S27-100 sur les salles de projection électronique de type cinéma numérique. Cette norme devrait être compatible avec celle que définira la SMPTE. 5 Les problèmes auxquels se confronte la distribution d'oeuvres audiovisuelles numériques sont principalement liés aux problématiques suivantes: la sécurité, dans le but de protéger les détenteurs des droits relatifs aux films, notamment contre les vols, les copies illicites 10 ou l'exploitation illicite. le coût, résultant des besoins en achat de nouveaux matériels et liés à l'exploitation des nouveaux systèmes. l'extensibilité, pour permettre une adoption aisée par tous les intervenants de la filière (studios, distributeurs, exploitants...) et 15 pour pouvoir équiper toutes les salles de cinéma quelle que soit leur localisation géographique. le respect des standards du cinéma numérique nouvellement mis en place ou en phase de l'être. 20 Exposé de l'invention L'invention consiste en un système sécurisé et automatisé de distribution, de programmation et de lecture de contenus audiovisuels numériques, traités sous forme de fichiers informatiques. Tout le processus, depuis la prise en charge des fichiers originaux jusqu'à leur 25 lecture dans de multiples lieux distants équipés pour la projection d'oeuvres audiovisuelles, est effectué dans un environnement sécurisé. Trois catégories d'utilisateurs ont accès à ce système: les studios, qui regroupent tout détenteur d'une oeuvre audiovisuelle sous forme de fichiers numériques, en particulier 30 les studios de production. les distributeurs; qui regroupent tous les intermédiaires dans la chaîne de distribution des oeuvres audiovisuelles. les exploitants, propriétaires de salles équipées pour la projection d'oeuvres audiovisuelles. 35 Outre ces utilisateurs, des administrateurs veillent à la maintenance et la sécurité du système. Chaque utilisateur dispose de son propre compte personnel. Il accède à ce compte en utilisant un ordinateur et 2895630 -3-en se connectant, via une connexion sécurisée, à un site web qui sert d'interface utilisateur pour le système. Chaque compte est créé par un administrateur après s'être assuré de l'identité de l'utilisateur, de préférence lors d'une rencontre physique. Le profil de l'utilisateur est 5 enregistré dans une :base de données lors de cette étape et devient son moyen d'identification auprès des autres utilisateurs. Les clés de chiffrement que l'utilisateur utilisera ultérieurement pour se connecter au système sont également générées à ce moment. Elles sont certifiées par un administrateur puis remises à l'utilisateur. 10 Les relations entre les utilisateurs sont principalement définies par trois concepts: Une autorisation d'exploitation donne le droit à un utilisateur exploitant d'exploiter une oeuvre audiovisuelle, c'est à dire 15 d'organiser des séances de projection de celle-ci. Les autorisations d'exploitation sont limitées soit dans le temps, soit par un nombre maximum de séances de projection. Elles sont également attribuées en fonction de l'implantation géographique des équipements audiovisuels des exploitants. 20 Une autorisation de distribution donne le droit à un utilisateur distributeur de céder tout ou partie de cette autorisation à un autre distributeur et/ou d'attribuer des autorisations d'exploitation aux utilisateurs exploitants, dans les limites définies par sa propre autorisation de distribution. Les 25 autorisations de distribution sont caractérisées par une dimension spatiale (couverture géographique) et une dimension temporelle (date de début et durée de l'autorisation). La cession d'une partie d'une autorisation de distribution n'est pas nécessairement exclusive du droit d'attribuer des autorisations 30 d'exploitation pour cette même partie. Pour toute nouvelle oeuvre audiovisuelle introduite dans le système, la première autorisation de distribution est délivrée par un administrateur au distributeur qui en a fait la demande. Les limites de cette première autorisation sont déterminées en fonction des termes 35 du contrat de distribution que possède le distributeur. • Une autorisation d'introduction, délivrée par un distributeur, permet à un studio d'introduire une nouvelle oeuvre 2895630 -4- audiovisuelle dans le système. Cette autorisation peut être limitée dans le temps. Une seule autorisation d'introduction peut être accordée pour chaque autorisation de distribution accordée par un administrateur. 5 Ces autorisations n'ont aucun caractère réglementaire, il s'agit simplement d'une terminologie propre à ce document pour désigner les concepts nécessaires à la distribution et l'exploitation des oeuvres audiovisuelles présentes dans le système. La lecture d'une oeuvre audiovisuelle, c'est à dire le décodage d'un ou plusieurs fichiers 10 audiovisuels en flux audio et vidéo, opération sous contrôle du système, est strictement soumise à ces autorisations et fait l'objet de retours informatiques. Un exploitant ne peut donc pas exploiter une oeuvre à l'insu du distributeur dont il a reçu son autorisation d'exploitation. 15 Le système est constituée d'un ensemble de serveurs informatiques reliés par deux réseaux sécurisés: l'un pour contrôler le système (réseau de contrôle), l'autre pour transférer les oeuvres audiovisuelles (réseau de distribution). Le réseau de contrôle est un 20 réseau point à point qui peut se présenter sous la forme d'un réseau privé virtuel dont le support est Internet. Les protocoles de communication utilisés doivent garantir la bonne transmission des messages entre les noeuds. Le réseau de contrôle sert notamment à transporter les messages de l'application réseau qui régit le système 25 et dont un module est installé sur chaque serveur. Ce réseau permet également aux administrateurs d'effectuer la maintenance du système à distance. Le réseau de distribution et le réseau de contrôle ne sont pas 30 nécessairement distincts. Ils peuvent être fusionnés lorsque la méthode de distribution choisie ne nécessite pas une infrastructure différente de celle utilisée pour le réseau de contrôle. Quelle que soit la méthode de transfert de fichiers utilisée, il est requis que celle-ci soit sécurisée et fiable en ce qu'elle conserve l'intégrité des fichiers. 35 On distinguera particulièrement les méthodes suivantes: la diffusion ( broadcast ). Les fichiers sont envoyés par satellite, par exemple, et ne transitent pas par le réseau de 2895630 -5- contrôle. Les serveurs de stockage doivent être connectés à un émetteur et chaque serveur de lecture doit être connecté à une antenne réceptrice. • le transfert point à multipoint ( multicast ). Les fichiers 5 peuvent transiter par le même réseau sécurisé que les messages de contrôle si celui-ci permet l'utilisation d'un protocole point à multipoint. Inversement, les fichiers peuvent être transférés à l'aide de datagrammes chiffrés transportés au travers d'un réseau point à multipoint qui n'est pas protégé. 10 le transfert point à point ( unicast ). Dans ce cas également, réseau de contrôle et réseau de distribution peuvent n'être qu'un. Le système est composé de cinq types différents de serveurs, qui 15 peuvent être situés indifféremment sur une même machine ou sur des machines séparées: Les serveurs de stockage sont utilisés pour stocker les oeuvres audiovisuelles tant que celles-ci doivent rester dans le système. Les points d'entrée sont des cas particuliers de serveurs de 20 stockage qui sont destinés à accueillir les copies originales des oeuvres audiovisuelles introduites dans le système. Ces serveurs sont accessibles depuis l'extérieur du système pour que les studios puissent y copier de nouvelles oeuvres audiovisuelles. • Les serveurs de lecture sont équipés de lecteurs multimédia qui 25 décodent les fichiers audiovisuels en flux audio et vidéo et les transmettent chiffrés à des systèmes de sonorisation et à des systèmes de projection. Ces serveurs sont installés dans les locaux des exploitants, connectés à leurs équipements. Toutefois, ils ne disposent pas d'interface utilisateur et sont 30 protégés contre les tentatives d'utilisation locale (par exemple: protection physique, mémoires chiffrées, ...). Dans une salle de projection automatisée, ils peuvent également commander le système d'automatisation (par exemple: gestion de l'intensité de l'ambiance lumineuse, de l'ouverture / fermeture d'un éventuel 35 rideau masquant un écran de projection, etc). ^ Un serveur de base de données est utilisé pour enregistrer toutes les informations nécessaires au bon fonctionnement du 2895630 -6- système (les termes des autorisations, par exemple) ainsi que pour sauvegarder les retours informatiques ( logs ) des actions les plus significatives exécutées par les éléments du système (redémarrage d'un serveur, transfert d'une oeuvre 5 audiovisuelle entre deux serveurs, instants de début et de fin de la lecture d'une oeuvre audiovisuelle, etc). • Un serveur web permet d'implémenter l'interface utilisateur du système sous la forme d'un site web dynamique. Les actions des utilisateurs sont soit enregistrées en base de données, soit 10 transmises à l'application réseau qui pilote le système. Puisque le système prend en charge la lecture des oeuvres audiovisuelles, il doit respecter précisément des horaires de programmation définis par les exploitants. Pour cela, il est nécessaire de synchroniser les serveurs du système sur une horloge de référence. 15 Cette synchronisation peut être mise en oeuvre grâce à un logiciel installé sur chaque serveur et qui utilise le protocole NTP (Network Time Protocol), par exemple. L'interface utilisateur et unique moyen de contrôle du système 20 est un site web dynamique. D'une part, ce site permet d'enregistrer les saisies des utilisateurs dans une base de données et de consulter les informations qui y sont stockées. D'autre part, lorsque les actions des utilisateurs impliquent un traitement immédiat, le site transmet directement les messages correspondants à une application réseau qui 25 pilote le système. Selon leur catégorie, les utilisateurs peuvent effectuer des opérations différentes depuis le site web. Les actions possibles pour un distributeur sont: accorder une autorisation d'introduction à un studio, lorsqu'un administrateur a délivré au distributeur l'autorisation de 30 distribution préalable. retirer une autorisation d'introduction, afin de prévenir toute modification ultérieure de l'oeuvre une fois celle-ci introduite dans le système. enregistrer à l'intention des autres utilisateurs la description 35 d'une oeuvre audiovisuelle dont il détient une autorisation de distribution. 2895630 -7- • accorder des autorisations de distribution et/ou d'exploitation à d'autres distributeurs dans la limite de ses propres autorisations. • consulter un historique des évènements relatifs aux oeuvres 5 audiovisuelles pour lesquelles il détient des autorisations de distribution; évènements comprenant notamment les actions effectuées par les utilisateurs à qui il a accordé des autorisations. Les actions possibles pour un studio sont: 10 consulter les termes des autorisations d'introduction qui lui ont été attribuées. confirmer la fin du téléchargement d'une oeuvre audiovisuelle sur un point d'entrée. vérifier la prise en charge par le système des fichiers qu'il y a 15 téléchargés. Enfin, les actions possibles pour un exploitant sont: consulter les descriptions des oeuvres audiovisuelles présentes dans le système. établir et consulter la programmation de séances de projection 20 des oeuvres audiovisuelles qu'il a choisi et qui seront projetées avec son équipement. consulter un historique des actions qu'il a effectuées et qui ont été effectuées par les serveurs de lecture situés dans ses locaux. piloter en temps réel ces mêmes serveurs. Les commandes 25 comprennent le départ, l'arrêt, la pause et la reprise d'une lecture, sans que cette liste soit exhaustive. De ces diverses actions, celles liées aux autorisations d'introduction et au contrôle en temps réel du serveur de lecture sont transmises à l'application réseau décrite ci-dessous. Les autres actions donnent lieu 30 à l'exécution de requêtes sur la base de données. Ainsi, la création et l'attribution d'autorisations sont effectuées sous la forme d'opérations de lecture/écriture en base de données. Les termes d'une autorisation sont d'abord saisis par un utilisateur et sont enregistrés dans la base de données. La consultation de ces informations permet d'identifier 35 les utilisateurs auxquels l'autorisation s'applique ainsi que d'en déduire les actions qu'elle leur accorde. 2895630 -8- L'application réseau qui contrôle le système est constituée d'un module central qui interagit avec le site web et de modules installés sur chaque serveur qui permettent à l'application de contrôler les logiciels nécessaires à la mise en oeuvre des commandes des 5 utilisateurs. Sans y être limitée, l'application a aussi pour rôle d'optimiser l'utilisation du système, notamment en terme de quantité d'espace de stockage, de bande passante entre chaque serveur, de délais de programmation à respecter. 10 Lorsque l'application réseau reçoit un message correspondant à l'attribution d'une autorisation d'introduction, elle crée un répertoire sur un point d'entrée. Ce répertoire est créé avec des droits d'écriture qui sont attribués uniquement au studio détenteur de l'autorisation d'introduction. Le studio, via une connexion sécurisée, peut alors 15 copier dans ce répertoire l'oeuvre audiovisuelle qui fait l'objet de l'autorisation d'introduction. L'opération inverse (télécharger un fichier depuis le serveur) est interdite. Lorsque l'autorisation d'introduction est retirée ou qu'elle arrive à son terme, les droits en écriture sont retirés. L'oeuvre audiovisuelle ne peut alors plus être 20 modifiée. Une oeuvre audiovisuelle peut être introduite dans le système sous deux formes. Soit en un seul fichier comprenant, par exemple mais sans s'y limiter, images, bande son, sous-titres et méta-données. 25 Soit en ces mêmes éléments dans des fichiers distincts. Dans le second cas, les fichiers ne sont assemblés qu'après avoir été transférés sur le serveur de lecture. Cette méthode permet de s'adapter aux différentes contraintes de versions (langages, sous-titres différents par exemple) tout en optimisant la quantité de données à 30 transférer sur les serveurs de lecture. Les programmations effectuées par les exploitants engendrent la majorité des actions opérées par l'application réseau. Le module central de l'application lit régulièrement le contenu de la base de 35 données. Lorsqu'elle y détecte une nouvelle programmation, l'application met en route deux processus: le transfert de l'oeuvre audiovisuelle jusqu'au serveur de lecture concerné et la 2895630 -9- programmation du module de l'application situé sur le serveur pour que celui-ci déclenche la lecture aux instants déterminés par la programmation. Le transfert des fichiers est assuré en utilisant le réseau de distribution décrit plus haut. La programmation du serveur 5 de lecture peut être réalisée grâce à une application qui permet d'utiliser l'horloge du serveur pour planifier des évènements (envois de signaux à une autre application, par exemple). Le contrôle en temps réel d'un serveur de lecture s'effectue par 10 une interaction directe entre le site web, l'application réseau, et le lecteur multimédia installé sur le serveur de lecture. La commande de l'utilisateur est successivement transmise du site web au module central de l'application réseau, du module central au module installé sur le serveur de lecture, de ce dernier au lecteur multimédia. Le 15 résultat de l'action est envoyé en sens inverse par la même voie pour que cette information soit finalement affichée sur le site web, à l'intention de l'exploitant qui avait initié la commande. Si cette commande entraîne un conflit avec la programmation établie (par exemple, lorsque la fin d'une lecture et le début de la suivante se 20 chevauchent à cause d'une pause intervenue durant la première lecture), l'application propose à l'utilisateur un nouvel ordonnancement de la programmation. Enfin, l'application réseau gère l'enregistrement des retours 25 informatiques liés à l'utilisation du système. Ces retours sont enregistrés localement sur chaque serveur et sont également dupliqués dans la base de données. Les utilisateurs peuvent alors consulter depuis le site web un historique des retours qui les concernent. Si une perte de connectivité intervient entre un serveur et 30 le réseau, les retours informatiques enregistrés sont transmis au serveur de base de données dès que le réseau est à nouveau fonctionnel. Afin de s'assurer que les informations de la base de données sont à jour, les modules de l'application réseau peuvent interroger la base de données pour connaître les dernières 35 informations en leur provenance que celle-ci a enregistré. 2895630 -10- La sortie du système est matérialisée par les connexions entre les serveurs de lecture et les divers équipements des lieux où ils sont installés: projecteurs numériques, systèmes de sonorisation, systèmes d'automatisation. Comme les liaisons entre le système et ces 5 équipements ne sont pas considérées fiables, les flux qui résultent du décodage des fichiers audiovisuels sont chiffrés pour éviter qu'une personne non-autorisée ne les intercepte et ne les enregistre. Les équipements destinataires de ces flux doivent donc être équipés d'un système de déchiffrement et de gestion de clés. Cela nécessite que le 10 système et les équipements qui y sont reliés utilisent une même méthode, un standard tel les certificats X.509. Avant leur transmission, les flux peuvent être également marqués par des filigranes insérés par le lecteur multimédia ( watermarking ). Les informations contenues dans ces filigranes peuvent ainsi regrouper 15 des informations permettant d'identifier de façon unique une séance de projection (lieu, date, heure). Cela afin d'identifier l'origine d'une copie illicite qui serait enregistrée en filmant un écran de projection lors d'une séance. L'insertion de filigranes peut également être opérée par les serveurs de stockage sur les fichiers source, avant chaque 20 transfert à un serveur de lecture. Cela permettrait d'identifier la source d'une fuite si des fichiers volés étaient retrouvés. Pour conclure, une utilisation typique du système suit le processus suivant: 25 • Un administrateur attribue une autorisation de distribution à un distributeur selon les termes d'un contrat de distribution que ce dernier possède. ^ Le distributeur attribue l'autorisation d'introduction qui correspond à sa propre autorisation de distribution à un studio. 30 • Le studio copie les fichiers constitutifs d'une oeuvre audiovisuelle sur un point d'entrée. ^ Le distributeur. retire l'autorisation d'introduction. • Le distributeur attribue à un ou plusieurs autres distributeurs des autorisations de distribution. Dans les limites définies par 35 son autorisation de distribution, chaque distributeur peut à son tour concéder tout ou partie de son autorisation à un autre 2895630 - 11 - intermédiaire ou bien il peut attribuer des autorisations d'exploitation à des exploitants. ^ Depuis le site web, un exploitant autorisé sélectionne l'oeuvre audiovisuelle et lui attribue les dates et les heures des séances 5 durant lesquelles il souhaite la projeter. ^ L'application réseau assure le transfert de l'oeuvre depuis le serveur de stockage où elle est présente jusqu'au serveur de lecture. L'ordonnancement de la programmation est également transmis au serveur de lecture. 10 • Aux instants prédéterminés par l'exploitant, l'application réseau effectue le décodage des oeuvres audiovisuelles grâce à un lecteur multimédia installé sur le serveur. ^ L'exploitant souhaite arrêter momentanément une projection. Il se connecte au site et commande l'interruption de la lecture. 15 L'application réseau stoppe alors le lecteur multimédia et propose si besoin un nouvel agencement de la programmation à l'exploitant. Le système peut être réalisé dans des versions différentes de 20 celle exposée ci-dessus. Selon des modes particuliers de réalisation: l'introduction d'une oeuvre audiovisuelle dans le système peut être effectuée par la copie sur un point d'entrée d'un support physique (de type DVD-RAM ou disque dur, par exemple) contenant l'oeuvre. L'opération doit être réalisée en présence 25 d'un administrateur puisqu'elle nécessite un accès local au serveur qui ne doit pas compromettre la sécurité du système. ^ au lieu de se présenter sous la forme d'un site web, l'interface utilisateur peut être intégrée dans des modules clients de l'application réseau qui pilote le système, lesquels modules sont 30 installés sur l'ordinateur personnel de chaque utilisateur. Ces modules se connectent au module central et échangent avec lui des messages similaires à ceux échangés, dans la description ci-dessus, entre le site web et le module central de l'application réseau. 35 au lieu d'être décodés sur des serveurs dans les locaux de l'exploitant, les fichiers sont décodés sur un serveur de lecture distant et les flux audio et vidéo sont transportés à travers le 2895630 - 12 - réseau de distribution jusqu'aux équipements de projection ( streaming ). • lorsque l'ordinateur d'un exploitant et son serveur de lecture sont placés sur un même réseau local, un site web uniquement 5 accessible depuis ce réseau local peut être installé sur le serveur de lecture pour que l'exploitant puisse contrôler ce dernier sans passer par l'Internet. Cette méthode peut également être implémentée à l'aide d'une application réseau dont un module serveur est installé sur le serveur de lecture et 10 un module client est installé sur l'ordinateur de l'exploitant. Présentation des dessins La figure 1 présente une version du système et met en évidence les différents équipements qui la composent. 15 La figure 2 représente les principaux composants logiciels et les protocoles de communication utilisés pour implémenter une version du système selon la figure 1. La figure 3 représente une alternative pour le contrôle en temps réel d'un serveur de lecture depuis un site web accessible uniquement 20 depuis un réseau local. Exposé détaillé de l'invention L'invention peut être assemblée dans sa globalité avec des composants, matériels et logiciels, largement disponibles sur le 25 marché. Le site web (20) et l'application réseau (14) font exception et peuvent avoir à être créés entièrement. L'exposé suivant détaille une des implémentations possibles du système. Dans des versions différentes, plusieurs éléments, notamment logiciels, peuvent être substitués par d'autres aux fonctionnalités similaires. 30 Dans cet exemple, le réseau de contrôle et le réseau de distribution sont rassemblés en un seul réseau sécurisé dans lequel est intégré chaque serveur compris dans l'invention (1, 2, 3, 4). Le réseau peut être assemblé sous la forme d'un réseau privé virtuel (9) 35 sur Internet auquel chaque serveur de lecture est raccordé par une liaison xDSL. Par exemple, on peut utiliser pour cela le protocole IPSec (Internet Protocol Security) en mode ESP (Encapsulating 2895630 - 13 - Security Payload). Le chiffrement peut être réalisé avec l'algorithme AES (Advanced Encryption Standard) en mode CBC (Cipher Block Chaining) avec une clé de 128 bits de long (voir la RFC n 3602 de l'Internet Engineering Task Force). Selon la finalité du système, les 5 protocoles et les méthodes de chiffrement peuvent être modifiées pour respecter les standards en vigueur. La gestion des clés nécessaires au chiffrement des connexions entre les éléments du réseau mais également au chiffrement des connexions entre le système et les éléments extérieurs (utilisateurs (5, 10 6, 7), administrateurs (8), équipements de projection (a, b, c)) peut être réalisée en utilisant des certificats selon le standard X.509v3. L'autorité de certification qui délivre les certificats valides dans le système est contrôlée par les administrateurs. A chaque utilisateur (personne physique) et chaque élément du système est attribué un 15 certificat propre, renouvelé régulièrement. Exceptionnellement, des certificats peuvent être délivrés par une autorité de certification extérieure au système, si elle est admise par les administrateurs. Cela concerne particulièrement les certificats des équipements de projection (projecteurs numériques (a), systèmes de sonorisation (b)) 20 qui peuvent être délivrés par les constructeurs et attribués lors de la fabrication. En plus de l'utilisation de techniques de chiffrement, les éléments du réseau doivent comporter des programmes de sécurité standards tels que pare-feux, systèmes de détection d'intrusion 25 (réseau et système), antivirus, etc. Quant au nombre de ports de communication utilisé par les applications, il doit être maintenu au strict minimum nécessaire. Les logiciels doivent aussi être régulièrement mis à jour. Pour cela, seuls les administrateurs disposent d'un accès total aux systèmes d'exploitation des serveurs. 30 Les ordinateurs depuis lesquels ils opèrent doivent donc être également sécurisés. D'une manière générale, les administrateurs - et les utilisateurs - doivent se conformer aux bonnes pratiques de sécurité en vigueur. 35 Les serveurs ne sont pas considérés comme étant placés dans un environnement fiable. Cela concerne plus particulièrement les serveurs de lecture qui ne sont pas situés dans des locaux protégés. 2895630 -14-Aussi, le contenu des serveurs est protégé contre une attaque locale. Pour chaque serveur, l'utilisation et l'administration se faisant à distance, le système d'exploitation doit être paramétré pour n'autoriser les accès que par l'intermédiaire d'une connexion réseau. 5 Puisqu'il n'est pas besoin d'interface utilisateur locale (clavier, écran, ...), celle-ci est supprimée et les serveurs sont enfermés dans des coffres verrouillés. Cette protection ne peut être momentanément ôtée que pour des opérations de maintenance visant à remplacer un composant défectueux. Seuls les interrupteurs marche/arrêt et 10 réinitialisation restent accessibles pour que le serveur puisse être (re)démarré sans nécessiter l'intervention d'un personnel spécialisé. Cette protection n'est toutefois pas suffisante pour le cas où une personne mal intentionnée dispose de suffisamment de temps pour forcer la protection physique. Les mémoires sont donc aussi protégées 15 au niveau logique. Le système d'exploitation et les fichiers audiovisuels sont placés dans des mémoires différentes. Les mémoires contenant les fichiers audiovisuels sont chiffrées, la clé est elle-même chiffrée, protégée par un mot de passe connu des seuls administrateurs, et stockée avec le système d'exploitation. Cela 20 permet de pouvoir mettre en route le serveur sans devoir saisir de mot de passe depuis une interface locale. Au moment d'accéder à la mémoire chiffrée, le système d'exploitation est en marche et un administrateur peut prendre le relais à distance pour saisir le mot de passe. 25 Les serveurs sont équipés des composants standards que l'on retrouve dans tout ordinateur (disques durs, mémoire vive, processeur, cartes graphiques, etc). Les performances de l'ensemble doivent cependant se conformer aux standards en vigueur selon la 30 finalité du système. Pour éviter une panne due à la défaillance d'un disque dur, les serveurs peuvent être équipés de plusieurs disques couplés à l'utilisation de la technologie RAID (Redundant Array of Independent Disks). 35 Du point de vue logiciel, en plus du système d'exploitation et de l'application réseau, les serveurs (1, 2, 3, 4) sont équipés: 2895630 - ^ d'un site web (20), interface utilisateur du système, pour le serveur web (1). ^ d'un système de gestion de base de données (19) pour le serveur de base de données (3). 5 • de serveurs SFTP (15) pour les points d'entrée (2). • de serveurs FTP (16) pour les serveurs de stockage (2). • de clients FTP (17) et de lecteurs multimédia (18) pour les serveurs de lecture (4). • d'un client NTP, installé sur chaque serveur, pour assurer la 10 synchronisation de tous les serveurs avec une horloge de référence. Il existe des serveurs NTP disponibles à cet effet sur Internet. Pour des raisons de sécurité, un serveur proxy est utilisé pour faire le lien entre les serveurs NTP publics et les serveurs du système. 15 Trois types d'accès au système peuvent être effectués depuis l'extérieur: un accès en écriture (10) sur certains répertoires des mémoires des points d'entrée. Il s'agit de l'accès réservé aux studios (5) 20 pour qu'ils introduisent de nouvelles oeuvres audiovisuelles dans le système. Il s'effectue via une connexion sécurisée de type SFTP (Secure File Transfer Protocol), par exemple. Le serveur SFTP utilisé est alors configuré pour que l'opération inverse (télécharger un fichier depuis le serveur) soit interdite. 25 un accès à l'interface utilisateur du système (11), disponible aux studios (5), distributeurs (6) et aux exploitants (7). Cette interface est implémentée sous la forme d'un site web, les utilisateurs y accèdent en utilisant le navigateur Internet installé sur leurs ordinateurs personnels. La connexion est sécurisée en 30 utilisant le protocole SSL (Secure Socket Layer) ou TLS (Transport Layer Security). ^ un accès total aux systèmes d'exploitation et aux applications des serveurs (12). Cet accès s'effectue via une connexion sécurisée, de type SSH (Secure Shell), et il est réservé aux seuls 35 administrateurs (8). 2895630 -16- L'interface utilisateur du système est un site web dynamique (20): son contenu est notamment fonction des informations stockées dans la base de données et des actions effectuées par les utilisateurs. Pour pouvoir interroger la base de données et transmettre des 5 messages à l'application réseau, l'écriture des pages Internet nécessite l'utilisation d'un langage de script qui peut être interprété par le serveur web. Par exemple, HTML, CSS, PHP et Javascript sont des technologies largement déployées qui permettent de créer des pages qui répondent aux besoin du système. 10 L'application réseau (14) peut elle être indifféremment réalisée en utilisant des langages de programmation tels le C/C++, Java, etc. Tous les messages de contrôle échangés entre serveurs (commandes de lecture, envoi de retours informatiques, ...) doivent être envoyés 15 grâce à un protocole point à point fiable (exemple: TCP). En ce qui concerne les fichiers multimédia, ceux-ci peuvent être transférés au travers du réseau privé virtuel grâce à une application client/serveur (16, 17) utilisant le protocole FTP, par exemple. Dans le cas présenté par la figure 2, le réseau de distribution (13) et le réseau de contrôle 20 (9) forment un seul et même réseau. La figure 3 présente une autre forme de réalisation du contrôle en temps réel du serveur de lecture par un exploitant (7). Au lieu de commander le serveur de lecture depuis le site web global du système 25 (1), l'exploitant utilise un autre site web, installé sur le serveur de lecture (4). Dans ce cas, les messages de contrôle du serveur de lecture ne passent plus par l'intermédiaire de l'application réseau. De plus, si l'ordinateur de l'exploitant et le serveur de contrôle sont situés dans les mêmes locaux, cela évite que les messages transitent par 30 l'Internet. Dans le cas précis de la figure 3, la configuration permet d'isoler les communications du serveur de lecture (4) des communications sur le réseau de l'exploitant (7) grâce à un routeur et un pare-feux (21). Cette configuration permet également d'intégrer l'interface de contrôle du serveur de lecture dans l'interface globale 35 du système de manière transparente pour l'utilisateur. Les pages web peuvent être imbriquées les unes dans les autres tandis que le routeur permet de diriger les requêtes HTTP vers le bon site web selon que 2895630 - 17 - l'adresse de destination est une adresse publique sur Internet ou une adresse privée appartenant au réseau local du serveur de lecture. Application industrielle 5 Le système selon l'invention est particulièrement destiné à la distribution, à la programmation et à la lecture de tout type de film numérique (publicités, bandes-annonces, longs métrages, ...) dans les salles de cinéma. Revendications 1) Un système sécurisé et automatisé de distribution, de programmation et de lecture de contenus audiovisuels numériques, caractérisé par: ^ un ensemble de serveurs informatiques contrôlés à distance et sécurisés, notamment protégés contre une utilisation locale. • un ou des réseaux sécurisés, pour le contrôle et la maintenance du système et pour le transfert de fichiers entre les serveurs. • un site web disponible sur Internet par lequel les utilisateurs pilotent le système. Les actions possibles comprennent: la description d'oeuvres audiovisuelles, la gestion d'autorisations d'introduction, de distribution et d'exploitation d'oeuvres audiovisuelles entre utilisateurs du système, la. programmation et la lecture automatisée d'oeuvres audiovisuelles, le transfert de fichiers constitutifs d'oeuvres audiovisuelles, le contrôle en temps réel d'un serveur de lecture, la consultation de retours informatiques. une application réseau qui met en oeuvre les actions commandées par les utilisateurs. une base de données pour stocker toutes les informations utiles au fonctionnement du système et relatives à l'utilisation de celui-ci, notamment les retours informatiques. 2) Système selon la première revendication caractérisé en ce que le transfert des fichiers est réalisé par une méthode de diffusion ( broadcast ), point à multipoint ( multicast ) ou point à point ( unicast ). 3) Système selon l"une quelconque des revendications précédentes caractérisé en ce que le contrôle à distance du serveur de lecture est effectué à partir d'un site web installé sur le serveur de lecture. 4) Système selon l'une quelconque des revendications précédentes caractérisé en ce que l'interface utilisateur du système et/ou des serveurs de lecture est intégrée dans des programmes installés sur les ordinateurs personnels des utilisateurs. 2895630 -19- 5) Système selon l'une quelconque des revendications précédentes caractérisé en ce que la maintenance et la sécurité sont assurés à distance par des administrateurs depuis des ordinateurs connectés au réseau de contrôle. 5 6) Système selon l'une quelconque des revendications précédentes caractérisé en ce que des filigranes ( watermarking ) sont introduits: • dans les flux audio et vidéo générés par les lecteurs multimédia installés sur les serveurs de lecture. 10 • dans les fichiers audiovisuels avant chaque transfert de ceux-ci vers un serveur de lecture différent. 7) Système selon l'une quelconque des revendications précédentes caractérisé en ce que les clés de chiffrement utilisées sont stockées dans des certificats délivrés par les administrateurs 15 selon le standard X509. 8) Système selon l'une quelconque des revendications précédentes caractérisé en ce qu'il est protégé par des programmes de sécurité tels des pare-feux, antivirus, systèmes de détection d'intrusion réseaux ou système, systèmes de 20 chiffrement/déchiffrement. 9) Système selon l'une quelconque des revendications précédentes caractérisé en ce que les mémoires des serveurs contenant les fichiers audiovisuels sont chiffrées, en utilisant une clé qui est elle-même chiffrée, stockée avec le système d'exploitation du 25 serveur, et protégée par un mot de passe connu des seuls administrateurs. 10)Système selon l'une quelconque des revendications précédentes caractérisé en ce que l'introduction de nouvelles oeuvres audiovisuelles est effectuée par un accès distant sécurisé à un 30 serveur point d'entrée ou par la copie de supports physiques.