FR 2894756 A1 20070615 FR 0553852 A 20051213 PROCEDE DE CONTROLE D'ACCES A UN CONTENU EMBROUILLE DOMAINE TECHNIQUE L'invention se situe dans le domaine de la distribution de contenus et concerne plus spécifiquement un procédé de contrôle d'accès à un contenu embrouillé fourni à un terminal de réception par un opérateur auquel est associée une unité de gestion d'accès, le terminal de réception étant muni d'au moins un module de contrôle d'accès, ledit procédé comportant les étapes suivantes : associer audit contenu une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, - transmettre ledit contenu avec ladite condition d'accès audit terminal. L'invention concerne également un système de contrôle d'accès comportant un dispositif d'émission comprenant un serveur de contenu embrouillé, une unité 20 de gestion d'accès associée audit dispositif, un terminal de réception muni d'au moins un module de contrôle d'accès au contenu embrouillé fourni par ledit serveur et auquel est associé une condition d'accès comportant une pluralité d'informations nécessaires au 25 désembrouillage dudit contenu. L'invention concerne également un programme d'ordinateur comportant un premier module de traitement mémorisé dans le terminal coopérant avec un deuxième module de traitement mémorisé dans l'unité de gestion 30 d'accès, ledit programme étant destiné à la mise en oeuvre d'un procédé de contrôle d'accès conforme à l'invention.15 ÉTAT DE LA TECHNIQUE ANTÉRIEURE Dans un contexte de diffusion en multicast, il est difficile de réagir efficacement à certaines formes de piratage telles que par exemple la génération frauduleuse de droits ou clés requis pour accéder à des contenus ou encore les tentatives d'empêcher la prise en compte par le système de réception de messages de contremesures émis par l'opérateur. Cette situation requiert alors de l'opérateur d'effectuer des modifications du système de réception de l'ensemble des abonnés pour changer son signal de façon telle qu'il ne soit plus exploitable par les dispositifs pirates. Les modifications à réaliser doivent donc être suffisamment profondes, et leur déploiement est alors une opération lourde et coûteuse. Ces inconvénients proviennent, notamment, du fait que les systèmes de contrôle d'accès connus présentent généralement une architecture sans voie de retour. Dans ce type d'architecture, le terminal fonctionne de façon autonome par rapport à la tête de réseau. De ce fait, une fois le contenu mis à la disposition des abonnés, l'opérateur ne dispose plus d'aucun moyen lui permettant de contrôler, en temps réel, les droits des abonnés ciblés dès lors que tout le contrôle d'accès est effectué au niveau du terminal de réception. L'invention a pour but de pallier ces inconvénients. Plus spécifiquement, l'invention vise à répartir les opérations de contrôle d'accès entre la partie amont du système, et la partie aval, c'est-à-dire entre, d'une part, les équipements installés chez l'opérateur, dont les opérations sont directement sous le contrôle de ce dernier, et, d'autre part, le terminal de réception qui effectue de façon classique des vérifications des droits des abonnés au moyen du module de contrôle d'accès. Cette répartition permet de limiter, voire supprimer, l'autonomie du terminal par rapport à l'opérateur au cours des traitements du contrôle d'accès. Un autre but de l'invention est de tenir compte des configurations dans lesquelles le terminal de réception ne dispose pas d'une grande puissance de traitement. Ceci peut être le cas lorsque les terminaux de réception sont des terminaux mobiles (téléphone mobile, PDA, ordinateur portable...) avec une autonomie limitée en termes d'énergie et de puissance de traitement. L'invention s'applique dans les cas classiques où le terminal est muni d'un module physique de contrôle d'accès, typiquement une carte à puce, mais elle s'applique avantageusement lorsque le module de contrôle d'accès n'est pas un module physique mais un module logiciel stocké préférentiellement de façon sécurisée dans une mémoire du terminal. EXPOSÉ DE L'INVENTION L'invention préconise un procédé de contrôle d'accès à un contenu embrouillé fourni à un terminal de réception par un opérateur auquel est associée une unité de gestion d'accès, ledit terminal étant muni d'au moins un module de contrôle d'accès. Ce procédé comporte les étapes suivantes a- associer au contenu fourni une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, b- transmettre le contenu avec la condition d'accès au terminal, Selon l'invention, ce procédé comporte en outre les étapes suivantes : à la réception de la condition d'accès par le terminal, c- renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès du terminal à l'unité de gestion d'accès via une liaison point-à-point, d- traiter ladite information par l'unité de gestion d'accès pour permettre ou empêcher l'utilisation du contenu par le terminal de réception en fonction du résultat dudit traitement. Ainsi, lorsque le terminal de réception établit une communication avec l'unité de gestion via la liaison point à point, cette dernière "prend la main" pour contrôler les droits dudit terminal à accéder au contenu demandé et permet ou empêche l'utilisation du contenu par le terminal en fonction du résultat de ce contrôle. Dans un mode préféré de mise en oeuvre du procédé, le traitement de l'information reçue par l'unité de gestion comprend une première étape consistant à vérifier si cette information est compatible avec des données d'accès mémorisées dans le terminal, et une deuxième étape consistant à transmettre au terminal au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de la première étape. Grâce au procédé selon l'invention, le contrôle d'accès n'est plus effectué exclusivement au niveau du terminal de réception. Ceci renforce la protection du contenu. Préférentiellement, à la réception de la condition d'accès par le terminal, le module de contrôle d'accès vérifie si la condition d'accès reçue est satisfaite par les données d'accès préalablement mémorisées dans ledit terminal de réception. Dans une variante de réalisation, le terminal renvoie une partie ou la totalité des informations contenues dans la condition d'accès à l'unité de gestion d'accès uniquement si la condition d'accès reçue n'est pas satisfaite. Dans une autre variante, le terminal envoie lesdites informations systématiquement, indépendamment du résultat du contrôle effectué par le module de contrôle d'accès. Cette deuxième variante est particulièrement avantageuse lorsque le contrôle d'accès est géré essentiellement au niveau de l'opérateur afin d'améliorer la sécurité du système de protection de contenu sans renforcer les mécanismes proprement sécuritaires du terminal, voire en les réduisant. Dans le mode préféré de réalisation, la première étape de traitement de l'information reçue par l'unité de gestion et le contrôle de la condition d'accès par le terminal de réception sont effectués indépendamment l'un de l'autre, systématiquement ou occasionnellement, selon un cadencement défini par l'opérateur. L'opérateur est ainsi en mesure de moduler finement la répartition spatiale et temporelle du contrôle d'accès entre l'opérateur et le terminal de réception. Préférentiellement, le cadencement défini 10 par l'opérateur est imprévisible pour le terminal de réception. Dans une première application du procédé, la condition d'accès est transmise au terminal dans un message ECM comportant au moins un critère d'accès CA, 15 un cryptogramme CW*Kecm d'un mot de contrôle CW chiffré par une clé Kecm• Dans cette application, les données d'accès mémorisées dans le terminal comportent des droits d'accès au contenu et au moins une clé de déchiffrement. L'étape c) du procédé consiste alors à renvoyer du terminal vers l'unité de gestion au moins le cryptogramme CW*Kecm si le module de contrôle d'accès ne dispose pas de la clé Kecm pour déchiffrer ledit cryptogramme CW*xecm. Le paramètre envoyé, ensuite, par 25 l'unité de gestion d'accès au terminal est un mot de contrôle CW déchiffré avec la clé Kecm et rechiffré par une clé Kter connue spécifiquement du terminal. Dans une deuxième application, le procédé est mis en oeuvre pour contrôler le droit à la ré- 30 utilisation d'un contenu. Dans ce cas, le paramètre envoyé par l'unité de gestion d'accès au terminal est 20 un message ECMR destiné à être enregistré dans le terminal avec le contenu et comportant des critères d'accès destinés au contrôle de la relecture dudit contenu. Dans une troisième application, le procédé peut également être mis en oeuvre pour contrôler l'accès à un contenu protégé par une licence DRM. Dans ce cas, l'information renvoyée par le terminal à l'unité de gestion d'accès est la licence DRM. Le système selon l'invention est caractérisé en ce que le terminal de réception est relié à ladite unité de gestion d'accès par une liaison point à point à travers laquelle ledit module de contrôle d'accès renvoie, systématiquement ou occasionnellement, à ladite unité de gestion d'accès au moins une information contenue dans ladite condition d'accès de manière à permettre à l'unité de gestion d'accès de traiter ladite information pour permettre ou empêcher l'utilisation du contenu par le terminal de réception en fonction du résultat du traitement effectué par l'unité de gestion. L'unité de gestion de ce système comporte des moyens pour vérifier si l'information reçue du module de contrôle d'accès est compatible avec les données d'accès mémorisées dans le terminal, et des moyens pour générer et transmettre au terminal au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de ladite vérification. L'invention concerne également un terminal de réception d'un contenu embrouillé distribué par un dispositif de distribution de contenus associé à une unité de gestion d'accès. Ce terminal comporte au moins un module de contrôle d'accès communiquant par une liaison point à point avec ladite unité de gestion d'accès. L'invention concerne également un programme d'ordinateur destiné à la mise en oeuvre d'un procédé de contrôle d'accès à un contenu embrouillé fourni par un opérateur auquel est associée une unité de gestion d'accès, à un terminal de réception comportant un module de contrôle d'accès. Ce programme comporte un premier module mémorisé dans le terminal comprenant des instructions pour renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès, du terminal à l'unité de gestion d'accès via une liaison point à point, ledit premier module coopérant avec un deuxième module mémorisé dans l'unité de gestion d'accès comprenant des instructions pour traiter ladite information et des instructions pour permettre ou empêcher l'utilisation du contenu par le terminal de réception en fonction du résultat dudit traitement. BRÈVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages de l'invention ressortiront de la description qui va suivre, prise à titre d'exemple non limitatif, en référence aux figures annexées dans lesquelles : - la figure 1 représente un schéma général d'un système de contrôle d'accès selon l'invention ; - la figure 2 représente schématiquement un premier exemple du système de la figure 1 ; - la figure 3 est un schéma bloc illustrant une application particulière du procédé selon l'invention ; - les figures 4 à 6 représentent un chronogramme illustrant le cadencement du procédé selon l'invention ; la figure 7 est un organigramme illustrant les étapes d'un mode de mise en oeuvre du procédé selon l'invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS L'invention va maintenant être décrite dans une application particulière du procédé pour contrôler l'accès à des programmes ou des contenus multimédias diffusés à des abonnés munis de droits d'accès. Dans la description qui suit, des références identiques désigneront les éléments des différentes figures remplissant des fonctions identiques ou équivalentes. Notons que le procédé peut être mis en oeuvre dans tout réseau connecté doté d'une voie de retour à débit suffisant, tel qu'un réseau câblé du type DSL (Pour Digital Subscriber Line), ou un réseau sans fil du type Wi-Fi ou Wi-Max (ou ASFI, pour Accès Sans Fil à Internet), ou encore un réseau mobile 3G. La figure 1 illustre un schéma général d'un système de distribution de contenu dans lequel le 30 procédé selon l'invention est susceptible d'être mis en oeuvre. Ce système comporte un dispositif d'émission 2 associé à une unité de gestion d'accès 4, et un terminal de réception 6. Le dispositif d'émission 2 comporte un serveur de contenu 8 distribuant des contenus embrouillés vers le terminal 6 via un réseau 7 de transport, tel qu'un réseau câblé ou un réseau de diffusion hertzienne, ou encore via une ligne DSL, et le terminal 6 comporte un module de contrôle d'accès 10 qui peut être une carte à puce ou, préférentiellement, un module logiciel réalisant les fonctions de contrôle. Le terminal 6 est relié à l'unité de gestion d'accès 4 par une liaison point à point bidirectionnelle 12. En référence à la figure 2, illustrant schématiquement un exemple particulier de système de la figure 1, le terminal de réception 6 est un décodeur numérique installé chez l'abonné et la liaison entre l'opérateur et les abonnés est réalisée par une ligne DSL via un équipement intermédiaire 14 comportant un multiplexeur DSLAM 15 (pour Digital Subscriber Line Access Multiplexer en anglais ou Multiplexeur d'Accès pour Lignes d'Abonnés Numériques) communiquant avec une unité de gestion d'accès 4 (ou UGA). Cette dernière est intégrée à l'équipement 14. Notons que l'unité de gestion d'accès 4 peut être installée chez un tiers de confiance ayant pour fonction de contrôler les droits des abonnés sous la supervision de l'opérateur sans sortir du cadre de l'invention. Le dispositif d'émission 2 comporte un module ECM-G 16 (pour Entitlement Control Message Generator) destiné à calculer et à diffuser des messages d'exploitation ECMg, un module SAS 18 (pour Subscriber Authorization System), destiné à calculer et à diffuser des messages EMM (pour Entitlement Management Message) nécessaires entre autres à l'envoi des droits et des clés aux abonnés et un multiplexeur MUX 20 destiné à constituer un bouquet de contenus à partir de programmes et/ou services fournis par l'opérateur. Le terminal 6 est constitué par exemple d'un décodeur/désembrouilleur de contenus multimédias, connu dans l'art antérieur en tant que Set Top Box en anglais (ou STE). Il dispose d'un processeur de sécurité 10 spécialement conçu pour traiter le contrôle d'accès aux contenus et la gestion des droits et des secrets cryptographiques (clés). Un exemple bien connu d'un tel processeur de sécurité est la carte à puce connectée au terminal. Un autre exemple du processeur de sécurité 10 peut également être réalisé par une fonction logicielle dédiée et intégrée dans le terminal. Le procédé selon l'invention va maintenant 25 être décrit par référence aux figures 3 à 7. Les contenus fournis représentent des programmes multimédias diffusés sous forme embrouillée par un mot de contrôle CW. Le terminal 6 dispose d'une clé KDiff commune 30 aux terminaux adressés par l'opérateur, d'une clé Kier spécifique à ce terminal et d'un droit Doper. Ces clés et ce droit ont été chargés préalablement dans le processeur de sécurité, typiquement par message EMM. En outre, en cas d'action illicite de l'abonné, le processeur de sécurité contient un droit DFraud acquis frauduleusement. L'unité de gestion 4 dispose préalablement de la clé Koper, de la clé Kier de chaque terminal et sait de quel droit Doper dispose chaque terminal. En référence à la figure 3, la condition d'accès est transmise au terminal (flèche 22) dans un message ECM généré par l'ECM-G 16 du dispositif d'émission 2. Ce message ECM comporte un critère d'accès CAoper et le cryptogramme CW*xecm du mot de contrôle CW chiffré par une clé Kecm qui est soit la clé Koper connue seulement de l'opérateur, soit la clé KDiff connue de tous les terminaux de l'opérateur. Ainsi, l'accès à un programme auquel le message ECM est associé est possible dès lors que le terminal dispose d'au moins un droit Doper satisfaisant le critère d'accès CAoper et de la clé Kecm permettant d'obtenir le mot de contrôle CW par déchiffrement du cryptogramme CW*Kecm ce qui est le cas dans cet exemple si la clé KECm est la clé KDiff. A la réception des programmes, le terminal 6 renvoie (flèche 24) l'ECM reçu à l'unité de gestion d'accès 4. Dans une première variante de mise en oeuvre du procédé dans laquelle l'opérateur veut contrôler systématiquement le désembrouillage du contenu par le terminal, la clé Kecm est la clé Koper qui n'est pas transmise au terminal 6. Dans ce cas, le terminal renvoie systématiquement l'ECM à l'unité de gestion d'accès 4. Dans une autre variante de mise en oeuvre où le contrôle du désembrouillage du contenu est partagé entre le terminal et l'opérateur, le terminal renvoie occasionnellement l'ECM à l'unité de gestion d'accès 4 après une vérification préalable du critère d'accès par le module 10. Dans cette variante, le terminal renvoie l'ECM si, par exemple, l'abonné ne dispose pas du droit Doper qui permettrait de vérifier le critère d'accès ou si le terminal ne dispose pas de la clé Kecm de déchiffrement du cryptogramme CW*Kecm. Si au contraire le terminal dispose du droit vérifiant le critère d'accès et si le cryptogramme CW*Kecm peut être déchiffré avec la clé KDiff, le terminal accède au programme comme dans l'art antérieur. Lorsque l'unité de gestion d'accès 4 reçoit l'ECM du terminal 6, elle vérifie si le terminal 6 dispose des droits nécessaires pour accéder aux programmes reçus. Dans un premier mode de réalisation, l'unité de gestion d'accès dispose d'une base de données dans laquelle sont mémorisées les descriptions des droits que l'opérateur a envoyés au terminal de l'abonné. L'unité de gestion d'accès effectue ainsi la vérification du critère d'accès par rapport aux droits dont l'abonné dispose officiellement. Ce mode inhibe toute vérification du critère d'accès par rapport à des droits illicites que l'abonné aurait pu charger frauduleusement dans son terminal. Dans un second mode de réalisation, l'unité de gestion d'accès lit à distance le contenu du processeur de sécurité du terminal et effectue la vérification du critère d'accès par rapport aux droits effectivement présents dans le terminal. Ce mode dispense l'unité de gestion d'accès de supporter une base de données des droits de tous les abonnés et permet en outre de vérifier le contenu des processeurs de sécurité par contrôle de checksum ou autre procédé analogue. Lorsque la vérification des droits du terminal par l'unité de gestion des droits est positive, celle-ci renvoie au terminal un paramètre de commande pour permettre l'accès au contenu. Dans le cas contraire, elle ne renvoie pas ce paramètre au terminal empêchant ainsi l'accès au contenu. Lorsque le critère d'accès est vérifié positivement par l'unité de gestion 4, celle-ci 20 déchiffre le cryptogramme CW*Kecm avec la clé Kecm, rechiffre le mot de contrôle CW avec la clé Kter connue spécifiquement du terminal et renvoie au terminal (flèche 26) le cryptogramme CW*liter du mot de contrôle ainsi rechiffré. La clé Kier est déterminée selon 25 l'identification du terminal faite par l'unité de gestion d'accès lors de l'établissement de la liaison point à point 12 selon une méthode quelconque d'authentification de l'état de l'art et extérieure au procédé. 30 Dans une variante particulière du procédé, le terminal envoie (24) à l'unité de gestion d'accès15 seulement le cryptogramme CW*KECm extrait de l'ECM. Dans ce cas, l'unité de gestion d'accès 4 considère que le critère d'accès est implicitement toujours vérifié et effectue seulement le déchiffrement/rechiffrement du mot de contrôle CW. Ainsi l'opérateur continue à contrôler le désembrouillage par le terminal par l'utilisation de la clé spécifique Kier. Selon une caractéristique avantageuse du procédé, la vérification du critère d'accès par le module de contrôle d'accès 10 du terminal de réception 6 et le traitement de l'ECM par l'unité de gestion 4 sont effectués indépendamment l'un de l'autre selon un cadencement défini par l'opérateur. Ce cadencement sera décrit ci-après par 15 référence aux figures 4 à 6. Comme décrit précédemment, le terminal 6 dispose typiquement : de la clé KDiff représentant une instance de Keom qui lui permet d'obtenir le CW quand l'ECM transporte le 20 cryptogramme CW*KDiff. Cette clé est commune à un ensemble de terminaux. de la clé Kier, dédiée à ce terminal 6, permettant d'obtenir le mot de contrôle CW à partir du cryptogramme CW*Kier envoyé au terminal par l'unité de 25 gestion 4. d'un titre d'accès Doper reçu officiellement de l'unité de gestion 4 qui en connaît l'existence dans le terminal 6. d'un titre d'accès DFraud obtenu frauduleusement par 30 l'utilisateur du terminal. La détention de ce titre d'accès par le terminal n'est donc pas connue de l'unité de gestion 4. L'unité de gestion 4 dispose typiquement : de la clé Koper représentant une autre instance de Kecm qui lui permet d'obtenir le mot de contrôle CW quand l'ECM transporte le cryptogramme CW*Koper. Cette clé est connue uniquement de l'unité de gestion 4. de la clé Kier, dédiée au terminal 6 considéré, qui permet de fournir à ce terminal 6 le mot de contrôle CW sous la forme d'un cryptogramme CW*Kier• du titre d'accès Doper que l'unité de gestion 4 a envoyé officiellement au terminal 6. Afin d'illustrer les différentes situations, on définit trois valeurs distinctes pour la condition d'accès CA: CAoper : cette condition est satisfaite par la détention (licite) du droit Doper par le terminal, CAFraud : cette condition est satisfaite par la détention frauduleuse d'un droit DFraud par le terminal 6, CAAutre : cette condition n'est pas satisfaite par le terminal qui ne détient aucun droit correspondant. Les phases A, B et C illustrent l'effet du cadencement du contrôle de la condition d'accès par le terminal sur l'accès au programme. En A : L'ECM est renvoyé à l'unité de gestion 4 par le terminal 6 soit parce que ce dernier ne contrôle pas l'ECM, soit parce qu'il a trouvé un droit satisfaisant la condition d'accès mais que le mot de contrôle est chiffré par la clé Koper dont il ne dispose pas. Durant cette période, il y a accès au programme car l'unité de gestion 4 constate que la condition d'accès est satisfaite. Elle envoie au terminal le cryptogramme CW*KTer du mot de contrôle chiffré avec la clé du terminal. En B : L'ECM est renvoyé à l'unité de gestion 4 soit parce que le terminal 6 ne contrôle pas l'ECM, soit parce qu'il a trouvé un droit illicite satisfaisant la condition d'accès alors qu'il n'a pas la clé Koper. Durant cette période, l'accès au programme est interdit car l'unité de gestion 4 constate que la condition d'accès ne peut pas être satisfaite par les droits officiels du terminal 6. Elle n'envoie pas de cryptogramme du mot de contrôle CW. En C : L'ECM n'est pas envoyé à l'unité de gestion 4 car le terminal dispose de la clé KDiff permettant de déchiffrer le cryptogramme CW*xECm• Si le terminal est dans une phase du cadencement où il doit contrôler le critère d'accès (Cl), il n'y a pas d'accès au programme puisque le critère d'accès CAAutre ne peut pas être satisfait par un droit disponible dans le terminal. Si du fait du cadencement le terminal ne contrôle pas le critère d'accès (C2), il y a accès au programme par le seul déchiffrement du mot de contrôle. Il est évident que ce dernier cas C2 doit être évité dans la mise en oeuvre du procédé, par exemple en forçant le contrôle du critère d'accès indépendamment du cadencement dès lors que le cryptogramme CW*xECm peut être déchiffré par le terminal. Les phases D et E illustrent l'effet du cadencement du contrôle de la condition d'accès par l'unité de gestion 4 sur l'accès au programme. En D : Il y a accès au programme soit parce que l'unité de gestion 4 ne contrôle pas la condition d'accès et la considère par défaut comme satisfaite, soit parce que cette unité de gestion 4 vérifie la condition d'accès et la constate satisfaite. En E : Il y a accès au programme parce que l'unité de gestion 4 ne vérifie pas la condition d'accès et la considère par défaut comme satisfaite alors que le terminal 6 exploite un droit illicite. Les phases K à p illustrent l'effet, sur l'accès au programme, du cadencement du contrôle de la condition d'accès conjointement par le terminal et par l'unité de gestion 4. En K : l'accès au programme est autorisé car la condition d'accès est constatée satisfaite par le terminal 6 et/ou par l'unité de gestion 4 et éventuellement estimée satisfaite par défaut par un seul de ces deux modules. En L : l'accès au programme est autorisé car la condition d'accès est constatée satisfaite par défaut par le terminal 6 et par l'unité de gestion 4. Les deux décisions par défaut sont ici conformes à la combinaison condition d'accès/droit officiel. En M : l'accès au programme est autorisé car la condition d'accès est constatée satisfaite effectivement par le terminal 6 et par défaut par l'unité de gestion 4. Dans ce cas, l'unité de gestion 4 ne détecte pas que le terminal 6 exploite un droit illicite. En N : Il n'y a pas d'accès au programme car la condition d'accès est constatée comme non satisfaite par l'unité de gestion 4 qui ne connaît pas le droit illicite qu'exploite le terminal 6. Dans la première partie de ce cas, l'unité de gestion 4 détecte que le terminal 6 dispose d'un 5 droit illicite si le terminal 6 lui précise qu'il dispose d'un droit valide. En 0 : L'accès au programme est autorisé car la condition d'accès est estimée satisfaite par défaut par le terminal 6 et par l'unité de gestion 4. En P : l' ECM n'est pas envoyé à l'unité de gestion 4 car le terminal dispose de la clé KDiff utilisée pour chiffrer le mot de contrôle CW. Le contrôle par l'unité de gestion est ineffectif. Cette phase est similaire à la phase C décrite plus haut et 15 doit bénéficier de la même implémentation particulière pour éviter que, hors du contrôle par le terminal, il puisse y avoir accès au programme. Les étapes du procédé selon l'invention vont maintenant être décrites en référence à la figure 20 7. Sur cette figure 7, les étapes représentées à la partie gauche correspondent aux traitements réalisés par le terminal 6, et celles de la partie droite aux traitements réalisés par l'unité de gestion 25 d'accès 4. Quand l'abonné veut accéder à un programme, le terminal 6 acquiert les flux numériques contenant les composantes vidéo, audio et autres du programme ainsi que les messages ECM. 30 A chaque message ECM reçu (étape 30), le terminal vérifie s'il est dans une période où il doit 10 contrôler la condition d'accès (étape 32). Le test effectué à l'étape 32 matérialise le cadencement du procédé au niveau du terminal 6. Si ce dernier doit effectuer ce contrôle (flèche 34), la condition d'accès contenue dans l'ECM est comparée aux droits présents dans le terminal (étape 36). Si aucun droit ne satisfait la condition d'accès (flèche 38), le traitementde l'ECM est terminé, il n'y a pas d'accès au programme et le terminal 6 attend le message ECM suivant (étape 30). Si la condition d'accès est satisfaite par un droit présent dans le terminal (flèche 40), le terminal 6 vérifie (étape 42) s'il dispose de la clé Kecm lui permettant de déchiffrer le mot de contrôle CW. Cette étape matérialise l'activation du procédé par l'opérateur Si le terminal 6 dispose de la clé Kecm (flèche 44), il déchiffre le mot de contrôle CW (étape 46) et peut accéder au programme par désembrouillage (étape 48). Sinon, il envoie le message ECM à l'unité de gestion d'accès 4 (étape 52). Dans le cas où le terminal 6 n'est pas dans une période où il doit contrôler la condition d'accès (flèche 54), deux scénarios sont à envisager : - soit il vérifie (étape 42) s'il peut obtenir lui-même le mot de contrôle CW sans recourir à l'unité de gestion d'accès 4, - soit il renvoie systématiquement (étape 52) l'ECM à l'unité de gestion d'accès 4. Dans le premier cas, comme cela est décrit ci-dessus, il déchiffre (étape 46) le mot de contrôle CW si la vérification est positive. Le traitement du contrôle d'accès est alors effectué par le terminal 6. Dans le deuxième cas, le terminal 6 doit systématiquement solliciter l'unité de gestion 4. Dans ce cas, il ne peut pas y avoir un accès au programme sans contrôle de la condition d'accès par l'unité de gestion 4. 10 Lorsque le terminal envoie (étape 52) un ECM à l'unité de gestion 4, celle-ci vérifie (étape 60) si elle est dans une période où elle doit contrôler la condition d'accès de l'ECM. L'étape 60 matérialise le cadencement du 15 procédé au niveau de l'unité de gestion 4. Si l'unité de gestion 4 doit contrôler la condition d'accès (flèche 62), elle compare (étape 64) cette condition d'accès aux droits du terminal 6. Comme cela a été décrit plus haut, l'unité 20 de gestion 4 effectue cette comparaison à partir de sa propre base de données des droits des terminaux d'abonnés sans interroger explicitement le terminal 6. Seuls les droits licites sont considérés dans ce traitement pour accorder ou refuser l'accès aux 25 programmes. En variante elle peut également effectuer cette comparaison en interrogeant à distance le processeur de sécurité du terminal. Dans ce cas la présence de droits illicites peut être détectée par exemple par des contrôles de checksum sur les droits 30 constatés dans ce processeur.5 Si la condition d'accès est satisfaite (flèche 66) ou si l'unité de gestion 4 n'a pas à contrôler la condition d'accès (flèche 68), l'unité de gestion d'accès 4 déchiffre le mot de contrôle CW de l'ECM (étape 70), chiffre le mot de contrôle CW (étape 72) obtenu avec une clé Kter dédiée au terminal 6 et envoie (étape 74) le cryptogramme obtenu au terminal 6. Ce dernier déchiffre (étape 76) avec sa clé dédiée le mot de contrôle CW et désembrouille (48) le programme. Si l'unité de gestion 4 considère que, conformément aux droits du terminal 6, la condition d'accès n'est pas satisfaite (flèche 78), elle ne fournit pas au terminal 6 le mot de contrôle CW permettant le désembrouillage du programme. 15 Dans une variante de mise en oeuvre du procédé illustrée par les traits pointillés, (flèche 80), dans laquelle le terminal 6 a précisé via l'ECM, lors de l'étape 52, qu'il dispose d'un droit satisfaisant la condition d'accès, l'unité de gestion 4 20 corrèle alors (étape 84) cette information avec sa propre conclusion et peut détecter (flèche 86) que le terminal 6 tente d'accéder illicitement au contenu et déclencher (étape 88) un traitement approprié d'une telle tentative de fraude. Le procédé selon l'invention peut également être mis en oeuvre dans un contexte de réutilisation d'un contenu préalablement obtenu selon le procédé, pour la relecture ou la redistribution d'un contenu enregistré, par exemple. 30 Dans ce cas, le paramètre envoyé par l'unité de gestion d'accès 4 au terminal 6 est un 25 message ECMR destiné à être enregistré dans le terminal avec le contenu et comportant des critères d'accès destinés au contrôle de la réutilisation dudit contenu, relecture ou redistribution, par exemple. Lors de la relecture du contenu ou de sa réutilisation, le message ECMR sera, selon sa constitution, traité selon le procédé, en faisant appel à l'unité de gestion 4, ou selon l'art antérieur par le seul terminal. Le procédé peut également s'appliquer pour renforcer le contrôle d'accès dans un système DRM. Dans ce cas, une unique clé est généralement requise pour désembrouiller l'ensemble d'un contenu. Cette clé est mise à disposition indépendamment du contenu lui-même, encapsulée dans une licence spécifique au système de réception destinataire. Dans ce contexte, le procédé proposé s'applique en constituant la licence de façon spécifique au système amont, de façon à ce que le système de réception ne puisse pas exploiter cette licence sans recourir au système amont, le système amont pouvant alors vérifier le droit du système de réception à accéder au contenu considéré, puis reconstituer le cas échéant la licence de façon spécifique à ce système de réception. REVENDICATIONS 1. Procédé de contrôle d'accès à un contenu embrouillé fourni à un terminal de réception (6) par un opérateur auquel est associée une unité de gestion d'accès (4), ledit terminal (6) étant muni d'au moins un module de contrôle d'accès (10), procédé comportant les étapes suivantes . a-associer audit contenu une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, btransmettre ledit contenu avec ladite condition d'accès audit terminal (6), Procédé caractérisé en outre par les étapes suivantes: à la réception de la condition d'accès par le terminal (6), c- renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès du terminal (6) à l'unité de gestion d'accès (4) via une liaison point-à-point (12), d- traiter ladite information par l'unité de gestion d'accès (4) pour permettre ou empêcher l'utilisation du contenu par le terminal de réception (6) en fonction du résultat dudit traitement. 2. Procédé selon la revendication 1, dans lequel le traitement de l'information reçue par l'unité de gestion (4) comprend une première étape consistant à vérifier si cette information est compatible avec des données d'accès préalablement mémorisées dans leterminal (6), et une deuxième étape consistant à transmettre au terminal (6) au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de la première étape 3. Procédé selon la revendication 2, dans lequel, à la réception de la condition d'accès par le terminal (6), le module de contrôle d'accès (10) vérifie si la condition d'accès est satisfaite par les données d'accès préalablement mémorisées dans ledit terminal de réception (6). 4. Procédé selon la revendication 3, dans lequel le terminal (6) renvoie à l'unité de gestion d'accès (4) une partie ou la totalité desdites informations de la condition d'accès seulement si la condition d'accès reçue n'est pas satisfaite. 5. Procédé selon la revendication 3, dans lequel le terminal (6) renvoie à l'unité de gestion d'accès (4) une partie ou la totalité desdites informations de la condition d'accès même si la condition d'accès reçue est satisfaite. 6. Procédé selon la revendication 3, dans lequel ladite première étape consiste en outre à détecter la tentative d'accès illicite au contenu par le terminal (6). 7. Procédé selon la revendication 6, dans lequel l'unité de gestion (4) mémorise les tentativesd'accès illicites au contenu de manière à établir une liste des terminaux fraudeurs et à programmer des sanctions en conséquence. 8. Procédé selon la revendication 3, dans lequel la première étape de traitement de l'information reçue par l'unité de gestion (4) et le contrôle de la condition d'accès par le terminal (6) de réception sont effectués indépendamment l'un de l'autre 10 systématiquement ou occasionnellement selon un cadencement défini par l'opérateur. 9. Procédé selon la revendication 8, dans lequel ledit cadencement est imprévisible pour le 15 terminal de réception (6). 10. Procédé selon la revendication 1, dans lequel la condition d'accès est transmise au terminal (6) dans un message ECM comportant au moins un critère 20 d'accès CA, un cryptogramme CW*Kecm d'un mot de contrôle CW chiffré par une clé Kecm, et en ce que les données d'accès mémorisées dans le terminal (6) comportent des droits d'accès au contenu et au moins une clé de déchiffrement. 25 11. Procédé selon les revendications 4 et 10, dans lequel le terminal (6) envoie au moins le cryptogramme CW*Kecm si le module de contrôle d'accès (10) ne dispose pas de la clé Kecm pour déchiffrer ledit 30 cryptogramme CW*xecm.5 12. Procédé selon les revendications 2 et 10, dans lequel le paramètre envoyé par l'unité de gestion d'accès (4) au terminal (6) est un mot de contrôle CW déchiffré avec la clé Kecm et rechiffré par une clé Kter connue spécifiquement du terminal (6) et/ou un message ECMR destiné à être enregistré avec le contenu et comportant des critères d'accès destinés au contrôle de la réutilisation dudit contenu. 13. Procédé selon la revendication 1, dans lequel le contenu fourni au terminal (6) est protégé par une licence DRM. 14. Procédé selon la revendication 13, dans lequel l'information renvoyée par le terminal (6) à l'unité de gestion d'accès (4) est la licence DRM. 15. Système de contrôle d'accès comportant un dispositif d'émission (2) comprenant un serveur de contenu (8), une unité de gestion d'accès (4) associée audit dispositif (2), un terminal de réception (6) muni d'au moins un module de contrôle d'accès (10) à un contenu embrouillé fourni par ledit serveur (8) et auquel est associée une condition d'accès comportant une pluralité d'informations nécessaires au désembrouillage dudit contenu, système caractérisé en ce que ledit terminal de réception (6) est relié à ladite unité de gestion d'accès (4) par une liaison point à point (12) à travers laquelle ledit module de contrôle d'accès (10) renvoie, systématiquement ou occasionnellement, à ladite unité de gestion d'accès(4) au moins une information contenue dans ladite condition d'accès de manière à permettre à l'unité de gestion d'accès (4) de traiter ladite information pour permettre ou empêcher l'utilisation du contenu par le terminal de réception (6) en fonction du résultat du traitement effectué par l'unité de gestion (4). 16. Système selon la revendication 15, dans lequel ladite unité de gestion (4) comporte : - des moyens pour vérifier si l'information reçue du module de contrôle d'accès (10) est compatible avec les données d'accès mémorisées dans le terminal (6), et - des moyens pour générer et transmettre au 15 terminal au moins un paramètre de commande pour permettre ou empêcher l'utilisation du contenu en fonction du résultat de ladite vérification. 17. Système selon la revendication 16, dans 20 lequel ladite unité de gestion d'accès (4) est distincte du dispositif d'émission (2). 18. Système selon la revendication 16, dans lequel ladite unité de gestion d'accès (4) est intégrée 25 au dispositif d'émission (2). 19. Dispositif (2) de distribution d'un contenu embrouillé transmis, avec une condition d'accès comprenant une pluralité d'informations nécessaires au 30 désembrouillage dudit contenu, à au moins un terminal de réception (6) muni d'un module de contrôle d'accès10(10), dispositif caractérisé en ce qu'il est associé à une unité de gestion d'accès (4) communiquant via une liaison point à point (12) avec le module de contrôle d'accès (10) du terminal de réception (6). 20. Terminal de réception (6) d'un contenu embrouillé distribué par un dispositif de distribution de contenu (2) associé à une unité de gestion d'accès (4), terminal (6) caractérisé en ce qu'il comporte au moins un module de contrôle d'accès (10) communiquant par une liaison point à point (12) avec ladite unité de gestion d'accès (4). 21. Programme d'ordinateur destiné à la mise en oeuvre d'un procédé de contrôle d'accès à un contenu embrouillé fourni par un opérateur auquel est associée à une unité de gestion d'accès (4) , à un terminal de réception (6) comportant un module de contrôle d'accès (10), programme comportant, un premier module mémorisé dans le terminal (6) comprenant des instructions pour renvoyer systématiquement ou occasionnellement au moins une information de ladite condition d'accès du terminal (6) à l'unité de gestion d'accès (4) via une liaison point à point (12), ledit premier module coopérant avec un deuxième module mémorisé dans l'unité de gestion d'accès (4) comprenant des instructions pour traiter ladite information et des instructions pour permettre ou empêcher l'utilisation du contenu par le terminal de réception (6) en fonction du résultat dudit traitement.