BRPI0115979B1

BRPI0115979B1 - método de transmissão segura de dados digitais a partir de uma fonte para um receptor

Info

Publication number: BRPI0115979B1
Application number: BRPI0115979A
Authority: BR
Inventors: Eric Diehl; Jean-Pierre Andreaux; Sylvain Chevreau
Original assignee: Thomson Licensing Sa
Priority date: 2000-12-07
Filing date: 2001-12-04
Publication date: 2015-12-01
Also published as: US7466826B2; HUP0303569A2; JP4714402B2; WO2002047356A3; FR2818062B1; FR2818062A1; HU229139B1; BR0115979A; AU2002229601A1; MXPA03004804A; ZA200304024B; PL362175A1; CN1478350A; JP2004515972A; EP1348291A2; WO2002047356A2; US20040083364A1; KR20030059303A; KR100924106B1

Abstract

"método de transmissão segura de dados digitais a partir de uma fonte para um receptor". para a transmissão de dados digitais que representam um conteúdo a partir de uma fonte (1) para um receptor (2) através de um canal de comunicação digital, os dados sendo embaralhados por pelo menos uma palavra de controle (cw), o método inclui as etapas a seguir. a fonte gera uma chave de encriptação (kcw), a qual ele armazena temporariamente. ele encripta a palavra de controle com a chave de encriptação e transmite para o receptor os dados digitais embaralhados (3) e a palavra de controle encriptada (4), a última sendo transmitida através de um canal de comunicação encriptado (21). o receptor, então, executa uma operação (22) de autenticação da fonte. quando a fonte é autenticada pelo receptor, ele transmite a chave de encriptação (kcw) para ela. o receptor, então, desencripta a palavra de controle e desembaralha os dados, de modo a apresentá-los para um usuário. a chave de encriptação, então, é apagada das memórias da fonte e do receptor, quando o conteúdo tiver sido inteiramente transmitido.

Description

Relatório Descritivo da Patente de Invenção para "MÉTODO DE TRANSMISSÃO SEGURA DE DADOS DIGITAIS A PARTIR DE UMA FONTE PARA UM RECEPTOR", Campo da Invenção [001] A presente invenção refere-se» de uma maneira geral, ao campo de proteção de cópia de dados digitais. É mais particularmente concernida a um método de transmissão de dados digitais representando um conteúdo a partir de uma fonte para um receptor, em particular, em uma rede digital, tornando possível impedir a cópia desses dados, ou, no mínimo, tornando qualquer cópia não utilizável. Técnica Anterior [002] É uma prática conhecida associar a dados digitais que representam um conteúdo, em particular, uma sequência de vídeo ou de áudio, itens de informação de controle de cópia com um ente denotados como CCI (que quer dizer Informação de Controle de Cópia") ou, ainda, CGMS (que quer dizer "Sistema de Gerenciamento de Geração de Cópia"). [003] Esses itens de informação, os quais são inseridos nos dados pelo provedor de conteúdo, geral mente, definem quatro possíveis estados para os dados: - cópia autorizada (“cópia livre1’); - uma geração única (ou um dado número de gerações) de cópia autorizada ("copiar uma vez" ou “copiar N vezes"); - cópia não mais autorizada (“não mais copiar"); - cópia nunca autorizada ("copiar nunca”). [004] Guando os dados pertencem às duas últimas categorias, eles não podem ser copiados. Isso quer dizer que eles podem ser vistos apenas e/ou ouvidos, quando se lida com dados de vídeo e/ou de áudio, por exemplo, mas eles não podem ser gravados, ou se uma gravação for feita de forma ilícita, não deve ser possível reutilizá-la mais tarde. [005] Uma primeira abordagem para garantia deste resultado consiste em ter qualquer aparelho de gravação verificando os dados de controle mencionados anteriormente, e caso seja detectado um dado cuja cópia é não autorizada, desabilitando a gravação. [006] Entretanto, este tipo de abordagem tem restrições, uma vez que ele pode operar apenas com um aparelho de gravação conforme ("não pirateado"). [007] Além disso, um outro método foi proposto, de modo que quando os dados forem difundidos em uma rede digital, tal como uma rede digital doméstica, eles possam ser copiados apenas na rede. Para se fazer isso, os dados, os quais são difundidos na rede digital, são embaralhados com palavras de controle e essas palavras de controle são cifradas com o auxilio de chaves específicas para a rede digital em torno da qual os dados fluem. Assim, se cópias desses dados forem feitas, elas só podem ser executadas na rede digital na qual elas foram copiadas. Referência é feita ao Pedido de Patente Francesa de THOMSON multimedia, publicado como N° FR-A-2 792 482, para maiores detalhes em relação a este assunto. [008] Entretanto, este método não permite a completa prevenção de feitura de cópias. De fato, há casos em que os provedores de conteúdo desejam que os dados sejam difundidos “ao vivo" em uma rede digital, mas não querem que seja possível fazer cópias, de modo a re-exibirem este conteúdo mais tarde na rede. Um exemplo típico se refere à difusão de filmes por operadores de televisão digital.

Sumário da Invenção [009] Um objetivo da invenção, portanto, é propor um método que torne possível difundir um conteúdo, em particular em uma rede digital, sem ser possível copiá-lo, [0010] A invenção, assim sendo, se refere, de acordo com um pri- meiro aspecto, a um método de transmissão de dados digitais representando um conteúdo a partir de uma fonte para um receptor, através de um canal de comunicação digital, o dado digital sendo embaralhado com pelo menos uma palavra de controle. O método inclui as etapas a seguir, implementadas pela fonte. [0011] A primeira etapa consiste na geração de uma chave de ci-fragem efêmera armazenada temporariamente pela fonte. [0012] A segunda etapa consiste na cifragem da palavra de controle com esta chave de cifragem efêmera. [0013] A terceira etapa consiste na transmissão para o receptor: - do dado digital embaralhado; e - da palavra de controle encriptada, a última sendo transmitida através de um canal de comunicação encriptado entre a fonte e o receptor. [0014] A quarta etapa consiste em responder a uma operação de autenticação da fonte pelo receptor e, quando a fonte for autenticada pelo receptor, transmitir a chave de cifragem para o receptor. [0015] A quinta etapa consiste no apagamento da chave de cifragem. [0016] De acordo com uma característica particular da invenção, uma nova chave de cifragem efêmera é gerada aleatoriamente pela fonte para cada conteúdo transmitido. [0017] De acordo com uma modalidade particular da invenção, um item de informação relativo ao período de validade do dado digital a ser transmitido é afixado ao dado, e a quinta etapa é realizada após a expiração deste período de validade. [0018] De acordo com uma outra montagem em particular, um i-tem de informação indicando o número de vezes que o conteúdo pode ser transmitido para um receptor é afixado aos dados. Este item de informação é armazenado temporariamente pela fonte em um contador de acesso ao conteúdo e, portanto, antes da quinta etapa, o con- tador de acesso ao conteúdo é diminuído; e um teste é realizado para se verificar se o contador de acesso é igual a zero. A quinta etapa é executada apenas no caso de uma resposta positiva ao teste. [0019] De acordo com uma característica particular da invenção, o método, além disso, inclui, antes ou depois da primeira etapa, uma e-tapa que consiste na geração de uma chave de autenticação efêmera, a chave de autenticação sendo transmitida para o receptor, na terceira etapa, através do canal de comunicação cifrado. [0020] Preferencialmente, uma nova chave de autenticação efêmera é gerada aleatoriamente pela fonte para cada conteúdo transmitido. [0021] De acordo com uma modalidade particular da invenção, na quarta etapa, a operação de autenticação compreende as subetapas que consistem no recebimento de um número randômico do receptor; na execução de um cálculo com base no número randômico e na chave de autenticação; e na transmissão do resultado do cálculo para o receptor. [0022] De acordo com uma característica particular desta modalidade, a chave de cifragem é transmitida para o receptor com o resultado do cálculo na terceira subetapa acima. [0023] De acordo com uma outra modalidade em particular da invenção, a chave de encriptação é transmitida para o receptor, na quarta etapa, através do canal de comunicação encriptado. [0024] A invenção também se refere, de acordo com um segundo aspecto, a um método de transmissão de dados digitais representando um conteúdo a partir de uma fonte para um receptor, através de um canal de comunicação digital, o dado digital sendo embaralhado por pelo menos uma palavra de controle. O método compreende as etapas a seguir, implementadas pelo receptor. [0025] A primeira etapa consiste no recepção do dado digital em- baralhado. [0026] A segunda etapa consiste no recebimento da palavra de controle cifrada, cifrada com uma chave de cifragem, a palavra de controle cifrada sendo transmitida através de um canal de comunicação cifrado entre a fonte e o receptor. [0027] A terceira etapa consiste na execução de uma operação de autenticação da fonte e, quando a fonte for autenticada pelo receptor: receber e temporariamente armazenar a chave de cifragem; decifrar a palavra de controle com a chave de cifragem; desembaralhar, com o auxílio da palavra de controle decifrada, os dados digitais, de modo a transformá-los em um sinal capaz de ser apresentado para um usuário; e apagar a chave de cifragem. [0028] De acordo com uma modalidade em particular da invenção, uma chave de autenticação efêmera é, além disto, recebida na segunda etapa mencionada anteriormente, a chave de autenticação sendo transmitida através do canal de comunicação cifrado. [0029] De acordo com uma característica particular desta modalidade, a operação de autenticação executada na terceira etapa mencionada anteriormente compreende as subetapas que consistem: na geração de um número randômico; no envio do número randômico para a fonte; no recebimento a partir da fonte do resultado de um cálculo realizado com base no número randômico e na chave de autenticação; e na verificação do resultado do cálculo, com base no número randômico gerado na primeira subetapa e na chave de autenticação recebida na segunda etapa. [0030] De acordo com uma outra característica particular desta , modalidade, a chave de cifragem é recebida pelo receptor com o resultado do cálculo na terceira subetapa acima. [0031] De acordo com um outro aspecto da invenção, itens de informação de controle de cópia são fixados aos dados digitais a serem transmitidos, e as etapas dos métodos descritos acima são implementadas apenas quando os itens de informação de controle de cópia indicarem que os dados digitais são do tipo de "cópia não autorizada”. [0032] De acordo ainda com um outro aspecto da invenção, os métodos descritos acima são implementados em uma rede digital doméstica entre um dispositivo para acesso a um conteúdo e um dispositivo para apresentação do conteúdo. O canal de comunicação digital ê formado por um barramento digital, ao qual o dispositivo de acesso e o dispositivo de apresentação são afixados. [0033] Preferencialmente, as etapas 1 a 5 do método de acordo com o primeiro aspecto da invenção são implementadas em um módulo de segurança removível afixado à fonte. Da mesma forma, as etapas 1 a 3 do método de acordo com o segundo aspecto da invenção são implementadas em um módulo de segurança removível afixado ao receptor.

Breve descricão dos desenhos [0034] A invenção será mais bem compreendida mediante uma leitura da descrição a seguir de modalidades particulares não-limitativas da mesma, dada com referência aos desenhos em anexo, nos quais: - a Figura 1 ilustra de forma diagramática uma primeira modalidade da invenção; - a Figura 2 é um diagrama na forma de blocos funcionais de uma rede digital doméstica, na qual a invenção é implementada de acordo com uma segunda modalidade da invenção; - a Figura 3 ilustra de modo diagramático a forma dos dados representando um conteúdo digital na segunda modalidade da invenção; e - a Figura 4 ilustra as trocas envolvidas entre os elementos da Figura 2, durante a implementação da segunda modalidade da invenção. Descricão das modalidades preferidas [0035] A Figura 1 representa, de forma diagramática, uma fonte 1, capaz de enviar dados digitais representando um conteúdo para um receptor 2. A fonte 1 é um dispositivo o qual envia dados digitais a partir de um provedor de conteúdo, de modo a transmiti-los, através de um canal de comunicação digital, para um dispositivo receptor 2, capaz de apresentá-los para um usuário final. [0036] O método da invenção tem por objetivo impedir a feitura de cópias ilícitas de dados, quando os últimos viajam através do canal de comunicação digital entre a fonte e o receptor. É objetivado, mais precisamente, impedir, caso os dados sejam gravados, a possibilidade de eles serem “reexecutados” pelo dispositivo receptor, de modo a serem apresentados a um usuário. [0037] Mais especificamente, a fonte 1, por exemplo, é um decodi-ficador digital recebendo programas de televisão digital de uma difusora, e o receptor 2 é uma televisão digital, enquanto o canal de comunicação é uma rede digital doméstica. [0038] O conteúdo é transmitido da fonte 1 para o receptor 2 na forma de dados embaralhados 3, embaralhados por uma palavra de controle comumente denotada CW. Será notado que os dados são embaralhados no nível da fonte 1 ou pelo provedor de conteúdo. [0039] Para se garantir a segurança da transmissão e impedir os dados de serem gravados e depois reexecutados pelo receptor 2, as medidas a seguir são adotadas. [0040] Em primeiro lugar, a fonte 1 gera, para cada conteúdo transmitido, uma chave de cifragem efêmera KCW, a qual na descrição subsequente será referida como a chave de conteúdo e a qual é armazenada temporariamente em uma memória 7 da fonte. Esta chave de conteúdo KCW é produzida por um gerador de número pseudo-randômico localizado dentro da fonte 1. Este gerador é a aproximação mais próxima possível de um gerador de número verdadeiramente randômico (“True Random Number Generatof como descrito em “Handbook of applied cryptography, Aifred J. Menezes, Paul C. van Oorschot, Scott A. Vanstone, 1997, páginas 165-173”), de modo que a probabilidade de geração do mesmo valor de chave de conteúdo duas vezes seja muito baixa. [0041] Da mesma maneira, a fonte 1 também gera um identificador secreto I para cada conteúdo e o armazena em sua memória 7. Este identificador I, subsequentemente, servirá para a autenticação da fonte 1, como será visto aqui abaixo. [0042] A palavra de controle CW, então, é cifrada com a chave de conteúdo KCW. Em seguida, a palavra de controle cifrada EKcw (CW) 4 bem como o identificador secreto I 5 são transmitidos a partir da fonte para o receptor, através de um canal de comunicação cifrado 21. [0043] Será notado que por toda a descrição, a notação a seguir é adotada: - EK(M) representa uma operação de cifragem de dados M com uma chave K independentemente do algoritmo de cifragem usado; - DK(M) representa uma operação de decifragem de dados M com uma chave K independentemente do algoritmo de decifragem usado; e -1 representa uma operação de concatenação de dados. [0044] O canal de comunicação cifrado 21 a partir da fonte 1 para o receptor 2 pode ser criado, de uma maneira conhecida por si, pela execução de uma cifragem simétrica ou assimétrica da informação, a qual viaja através deste canal. [0045] Em uma primeira modalidade variante, usando-se uma cifragem simétrica, é assumido que a fonte 1 e o receptor 2 já possuem uma chave secreta pré-compartilhada S. A fonte 1 (mas, possivelmente, o receptor 2) aleatoriamente gera uma chave de sessão SSK. A fonte 1 cifrada a SSK pelo uso de sua chave S, e transmite o resultado Es(SSK) para o receptor 2. O receptor 2 decifra Es(SSK), pelo uso da chave secreta pré-compartilhada S, e recupera SSK. Então, a palavra de controle cifrada EKcw (CW) 4 e o identificador secreto I 5 são cifrados com esta chave de sessão SSK no nível da fonte 1, antes de serem transmitidos para o receptor 2, o qual os decifra com o auxílio da mesma chave de sessão SSK. [0046] Para resumir, as operações a seguir são realizadas: [0047] Em uma segunda modalidade variante, usando-se uma ci-fragem assimétrica, é assumido que o receptor 2 possui um par de chave privada KPR|_R e chave pública KPUBR e que ele transmitiu previamente sua chave pública, certificada, de uma maneira conhecida por si, por uma autoridade de certificação, para a fonte 1. [0048] A fonte 1, portanto, executa a operação a seguir para a ci-fragem da informação a ser transmitida (a qual compreende a palavra de controle cifrada 4 e o identificador secreto I 5) com a chave pública do receptor KPUBR: [0049] Uma vez que receba esses itens de informação, o receptor 2, então, executa a operação inversa para a decifragem, com sua chave privada KPR!_R, dos itens de informação recebidos: [0050] Será notado que a transmissão 20 dos dados embaralhados 3 não necessariamente é síncrona com a transmissão 21 da palavra de controle cifrada 4 e do identificador secreto I. [0051] Quando o receptor 2 tiver recebido os dados embaralhados 3 correspondentes a um conteúdo, bem como o identificador secreto I 5 e a palavra de controle cifrada 4 relativos a este conteúdo, ele armazena o identificador I em sua memória 8 e executa uma operação 22 para autenticação da fonte 1. [0052] Esta operação, conhecida na literatura e por pessoas versadas na técnica como a operação de “identificação” ou a operação de “autenticação de entidade” (veja, em particular, o trabalho “Handbook of applied cryptography, Alfred J. Menezes, Paul C. van Oorschot, Scott A. Vanstone, 1997, páginas 24-25'), tem por objetivo assegurar ao receptor 2 que o dispositivo o qual recém lhe enviou um conteúdo é, de fato, a fonte 1 e que esta última está ativa no momento em que ocorre a operação de autenticação. [0053] Na prática, o receptor 2 autentica, através de um protocolo, conhecido pelas pessoas versadas na técnica como o “protocolo de resposta a desafio”, o fato de que a fonte 1 conhece a identidade secreta I associada ao conteúdo recebido. Por exemplo, o receptor 2 envia um número randômico n, (também denominado “desafio”) para a fonte 1, de modo que a última execute um cálculo F(l, n,), onde F é uma função de modo que seja impossível calcular F(l, n,) conhecendo-se F, n, e não se conhecendo I. Dito de outra forma, apenas uma entidade que conheça I pode calcular F(l, n,). Em particular, será possível usar a função HMAC-SHA-1, descrita em particular em “Keyed-Hashing for Message Authenti-cation, RFC 2104, fevereiro de 1997, Krawczyck et ai”, disponível no endereço a seguir da Internet: ftp://ftp.isi.edu/in-notes/rfc2104.txt. [0054] O resultado F(l, n,) é enviado para o receptor 2, o qual, assim, pode verificar, pelo cálculo de F(l, n,) em sua extremidade e pela comparação do resultado com o valor recebido, que a fonte 1 conhece I e, de fato, é a entidade a qual enviou o conteúdo, bem como a informação EKcw(CW)|l. [0055] Será notado que se uma gravação ilícita dos fluxos, os quais viajam entre a fonte 1 e o receptor 2, for executada, o aparelho o qual executará a gravação não terá acesso ao identificador secreto I (transmitido pelo canal de comunicação cifrado 21) e, portanto, não será capaz de responder corretamente à operação de autenticação 22. O receptor, neste caso, se recusará a desembaralhar os dados embaralhados 3. [0056] Se a fonte 1 for autenticada pelo receptor 2, então, a chave de conteúdo KCW 6 é transmitida para o receptor na etapa 23, e é armazenada temporariamente pelo receptor na sua memória 8. O receptor é então capaz de descriptografar a palavra de controle CW pela realização da seguinte operação: Dkcw(Ekcw(CW)); para então desembaralhar os dados 3 de modo a apresentá-los ao u-suário. [0057] Uma vez que o conteúdo foi apresentado ao usuário, o receptor não precisa mais do identificador secreto I e da chave de conteúdo KCW, e apaga-os da sua memória 8. [0058] No nível da fonte 1, quando a chave de conteúdo KCW 6 tiver sido enviada ao receptor 2 (etapa 23), ela é apagada da memória 7, bem como seu identificador secreto I. Portanto, não é mais possível transmitir estes itens de informação para possível reprodução subsequente do dado correspondente ao conteúdo transmitido. [0059] Assim, o objetivo da invenção é atingido e os dados representando o conteúdo são lidos somente uma vez pelo receptor. [0060] Como uma variante, com a finalidade de aumentar ainda mais a segurança do método proposto, é possível transmitir a chave de conteúdo KCW por meio do canal de comunicação cifrado 21. Neste caso, será notado que quando a primeira concretização variante do canal cifrado é usada, a chave de sessão SSK é armazenada pela fonte 1 e pelo receptor 2 em suas respectivas memórias 7 e 8, até a chave de conteúdo KCW ser transmitida, após o que a chave de sessão SSK é apagada das memórias da fonte e do receptor.

[0061] Na modalidade recém-descrita, a chave de conteúdo KCW e o identificador secreto I são apagados da memória 7 assim que o conteúdo tenha sido transmitido da fonte 1 para o receptor 2. [0062] Entretanto, também é possível, em uma variante preferida desta modalidade, que o conteúdo tenha um período de validade, durante o qual ele pode ser transmitido para o receptor ou para que ele seja possivelmente transmitido um número de vezes especificado, da fonte para o receptor. [0063] No caso em que o conteúdo tem um certo período de validade, o item de informação relativo a este período de validade é afixado aos dados representando o conteúdo, e este item de informação é armazenado pela fonte 1 ao mesmo tempo em que a chave de conteúdo KCW e o identificador I. Em seguida, quando a chave KCW 6 tiver sido enviada pela fonte 1 para o receptor 2, na etapa 23, uma verificação verifica se o período de validade do conteúdo correspondente expirou ou não (por exemplo, por uma comparação deste período com um clock interno da fonte) e, apenas no caso em que o período de validade expirou, a chave KCW e o identificador I são apagados da memória 7 da fonte. Também será notado que quando a primeira modalidade variante do canal cifrado é usada, a chave de sessão SSK é armazenada pela fonte 1 e pelo receptor 2 nas suas respectivas memórias 7 e 8, até o período de validade do conteúdo ter expirado. [0064] No caso em que o conteúdo pode ser transmitido um número especificado de vezes para o receptor, este número é afixado aos dados que representam o conteúdo e é armazenado pela fonte 1 em um contador, no momento em que a chave KCW e o identificador I são armazenados na memória 7 da fonte. Este contador, então, será de-crementado a cada vez que a chave KCW for enviada (etapa 23) para o receptor 2. Quando o contador está em zero, a chave KCW e o identificador I são apagados da memória 7 da fonte. Além disso, como a-cima, quando a primeira modalidade variante do canal cifrado é usada, a chave de sessão SSK é armazenada pela fonte 1 e pelo receptor 2 nas suas respectivas memórias 7 e 8, até o contador mencionado anteriormente ser igual a zero. [0065] Será descrita agora, em conjunto com as Figuras 2 a 4, uma segunda modalidade da invenção. [0066] É representada na Figura 2 uma rede digital doméstica que contém um dispositivo de acesso 10 ligado por um barramento digital bidirecional 40, preferencialmente, um barramento de acordo com a norma 1394 da IEEE, por um lado a um dispositivo de apresentação 12 e, por outro lado, a um dispositivo de gravação digital 13. [0067] O dispositivo de acesso 10 constitui a fonte dos dados na rede ou o ponto de entrada de qualquer conteúdo 30 na rede. Por e-xemplo, é um decodificador digital o qual recebe dados digitais difundidos por satélite, pelas ondas do ar (ou de forma terrestre) ou por um cabo. Ele também pode ser um aparelho de leitura de disco ótico difundindo pela rede digital dados lidos a partir de um disco, em particular, um DVD (que significa “Disco Versátil Digital”). Ele também pode ser um aparelho adaptado para o recebimento de dados da Internet por uma transferência em tempo real (também conhecido como “stre-aming”), quer dizer, enquanto se vê o conteúdo como e quando carregado. [0068] Naturalmente, mesmo se apenas um dispositivo de acesso estiver representado na Figura 2, uma rede digital doméstica pode conter vários dispositivos deste tipo, cada um dos quais constituindo fontes difundindo conteúdos digitais pelo barramento 40. [0069] O dispositivo de apresentação 12 torna possível transformar os dados digitais recebidos do barramento 40 em um sinal representativo do conteúdo pretendido para ser apresentado a um usuário final. Por exemplo, é uma televisão digital ou um alto-falante. [0070] O dispositivo de gravação digital 13, por sua vez, é capaz de gravar os fluxos de dados, os quais fluem em torno do barramento 40, de modo a se reexibi-los subsequentemente. Por exemplo, é um gravador de vídeo digital, um dispositivo de armazenamento tipo de disco rígido ou um aparelho capaz de gravar discos óticos do tipo DVD. [0071] Naturalmente, a rede digital doméstica também pode conter vários dispositivos de apresentação, bem como vários dispositivos de gravação. [0072] Além disso, mesmo se os três tipos de dispositivos mencionados acima tiverem sido representados separadamente, é inteiramente possível que um e o mesmo aparelho contenha dois tipos de dispositivos, ou mesmo três. Por exemplo, uma televisão digital pode conter um decodificador embutido, capaz de receber, diretamente, um conteúdo do exterior da rede. Neste caso, a invenção aplicar-se-á da mesma forma, exceto pelo fato de o dado digital viajar através de um barramento interno para o aparelho (entre a parte do aparelho que constitui o dispositivo de acesso e a parte que constitui o dispositivo de apresentação), ao invés de viajar através do barramento 40. [0073] Preferencialmente, o dispositivo de acesso 10 e o dispositivo de apresentação 12, cada um, possuem uma leitora de cartão inteligente adaptada para receber um cartão 14 e um cartão 15, respectivamente. Cada um dos cartões inteligentes 14, 15 inclui um processador seguro, o qual, como é bem-conhecido pelas pessoas versadas na técnica, permite um armazenamento seguro de dados, tal como de chaves criptográficas. A utilidade dos cartões inteligentes 14 e 15 será explicada subsequentemente. [0074] O conteúdo 30, o qual é recebido pelo dispositivo de acesso 10, preferencialmente, consiste em pacotes de dados digitais embaralhados por palavras de controle denotadas CW, como é comumente usado na difusão de programas de televisão digital de pay-per-view.

As palavras de controle CW são periodicamente renovadas e são armazenadas em mensagens de controle denotadas ECM (significando “Mensagem de Controle de Intitulação”), as quais são afixadas aos pacotes de dados embaralhados correspondentes. [0075] A Figura 3 ilustra, de forma diagramática, o conteúdo de um pacote de dados 300, que representa o conteúdo 30. Este pacote de dados inclui os dados digitais embaralhados 302 e uma mensagem de controle ECM 301, a qual contém a palavra de controle CW usada para o embaralhamento dos dados. Naturalmente, um conteúdo, em particular uma sequência de vídeo pertencente a um programa televisionado, é formado por uma sucessão de padrões de dados do tipo do pacote 300. Também será notado que, geralmente, as mensagens ECM contendo as palavras de controle, as quais serviram para o embaralhamento dos dados digitais, são transmitidas de antemão, no fluxo de dados, em relação aos dados embaralhados com essas palavras de controle. [0076] Se o conteúdo 30 recebido pelo dispositivo de acesso 10 já não estiver na forma descrita acima, é convertido pelo dispositivo de acesso, de modo a consistir em padrões de dados como ilustrado na Figura 3. [0077] Será notado, além disso, que os dados digitais representando o conteúdo 30 contêm itens de informação de controle de cópia que definem o status dos dados em relação à feitura de cópias. Esses itens de informação, preferencialmente, são inseridos nas mensagens ECM e definem, como foi visto acima, quatro possíveis estados: - cópia autorizada (“cópia livre”); - uma geração única (ou um dado número de gerações) de cópia autorizada (“copiar uma vez” ou “copiar N vezes”); - cópia não mais autorizada (“não mais copiar”); - cópia nunca autorizada (“copiar nunca”). [0078] O protocolo de acordo com a invenção, como descrito abaixo em conjunto com a Figura 4, torna possível uma salvaguarda contra dados pertencentes às duas últimas categorias acima (dados do tipo de “cópia não autorizada”) serem copiados, quando eles forem transmitidos do dispositivo de acesso 10 para o dispositivo de apresentação 12. [0079] Além disso, outros itens de informação podem ser afixados aos dados que representam o conteúdo 30: - um item de informação relativo ao período de validade dos dados, quer dizer, o período durante o qual eles podem ser transmitidos do dispositivo de acesso 10 para o dispositivo de apresentação 12; e/ou - um item de informação relativo ao número de vezes que os dados podem ser transmitidos do dispositivo de acesso 10 para o dispositivo de apresentação 12. [0080] É representado na Figura 4, por dois eixos verticais para baixo, o eixo de tempo, de modo a se ilustrarem as operações de processamento realizadas pelo dispositivo de acesso 10 e pelo dispositivo de apresentação 12, bem como as trocas entre esses dispositivos, quando um novo conteúdo 30 é para ser difundido pela rede digital doméstica. [0081] Durante uma primeira etapa 100, o dispositivo de acesso 10 detecta, como uma função dos itens de informação de controle de cópia inseridos nos dados, se o conteúdo é tal que uma feitura de cópia seja não autorizada. [0082] Se a cópia do conteúdo for autorizada, então, os dados são transmitidos de uma maneira convencional pela rede. Se, por outro lado, o conteúdo recebido for do tipo “cópia não autorizada”, então, o dispositivo de acesso gera, na etapa 101: - um primeiro número randômico R, o qual constitui uma chave de ci-fragem efêmera, a qual será referida como “chave de conteúdo” na descrição subsequente, e - um segundo número randômico K, o qual constitui uma chave de autenticação efêmera, a qual será referida, por maior conveniência, como a “chave de autenticação” na descrição subsequente. [0083] K e R são gerados, para cada conteúdo 30 recebido, por um gerador de número pseudo-randômico, de modo que a probabilidade de geração do mesmo valor de chave de conteúdo R ou do mesmo valor de chave de autenticação K duas vezes seja muito baixa. [0084] A chave de conteúdo R e a chave de autenticação K são armazenadas temporariamente pelo dispositivo de acesso 10, o qual as apaga, como será visto abaixo, uma vez que o conteúdo tenha sido completamente transmitido para um dispositivo de apresentação, possivelmente após a expiração de um período de validade do conteúdo, ou após o último ter sido transmitido um número especificado de vezes para um dispositivo de apresentação 12. [0085] Se um item de informação relativo ao período de validade do conteúdo for afixado aos dados, este item de informação também é armazenado pelo dispositivo de acesso 10, antes ou depois da etapa 101. [0086] Da mesma forma, se um item de informação indicando o número de vezes que o conteúdo pode ser transmitido para um dispositivo de apresentação for afixado aos dados, este item de informação é armazenado em um contador pelo dispositivo de acesso 10, antes ou depois da etapa 101. [0087] Então, para cada mensagem ECM incluída no fluxo de dados que constitui o conteúdo, o dispositivo de acesso 10 extrai a palavra de controle CW e executa, na etapa 102, a operação a seguir para a cifragem desta palavra de controle com a chave de conteúdo R: [0088] CW Θ R; onde Θ representa a operação “OR exclusivo” (ou “XOR”). [0089] A palavra de controle cifrada CW Θ R, bem como a chave de autenticação K são inseridas na mensagem ECM no lugar da palavra de controle inicial. A mensagem ECM, assim transformada, é denotada LECM. A mensagem LECM compreende, em particular, itens de informação de controle de cópia, os quais, no presente caso, indicam que este conteúdo é do tipo de “cópia não autorizada”. [0090] A mensagem LECM, então, é cifrada, na etapa 103, de modo a ser transmitida de uma maneira segura para o dispositivo de apresentação 12. [0091] Em uma primeira variante preferida, uma cifragem assimétrica será usada. É assumido que, como é descrito no Pedido de Patente Francesa FR-A-2 792 482 mencionado anteriormente da requerente, a rede digital doméstica possui um par de chave privada KPRLRES e chave pública KPUBRES, e que cada dispositivo de acesso 10 da rede contém a chave pública KPUBRES da rede e que cada dispositivo de apresentação 12 contém a chave privada KPRLRES da rede. O dispositivo de gravação 13 não contém nem a chave pública nem a chave privada da rede. [0092] De acordo com esta modalidade preferida, a mensagem LECM é cifrada pelo dispositivo de acesso 10 com a chave pública da rede, pela execução da seguinte operação: [0093] O dispositivo de apresentação 12, então, pode decifrar esta mensagem com a chave privada da rede, pela execução da operação: [0094] Também é possível, em uma segunda variante, que cada dispositivo de apresentação 12 da rede possua seu próprio par de chave privada KPRLPD e chave pública KPUBPD. Neste caso, o dispositivo de apresentação 12, o qual deseja receber um conteúdo do tipo “cópia não autorizada” a partir de um dispositivo de acesso 10, envia sua chave pública KPUB_PD para este dispositivo, de antemão. A mensagem LECM, então, é cifrada, na etapa 103, com sua chave pública KPub_pd, pela execução da operação: [0095] O dispositivo de apresentação 12, então, decifra esta mensagem, pela execução da operação: [0096] Em uma terceira variante, é possível cifrar a mensagem LECM pelo uso de uma cifragem simétrica. Por exemplo, cada dispositivo de acesso 10 e cada dispositivo de apresentação 12 da rede contêm uma chave secreta da rede Ks res- A mensagem LECM, neste caso, é cifrada pelo dispositivo de acesso com a chave secreta da rede, pela execução da operação: [0097] Então, ela pode ser decifrada pelo dispositivo de apresentação 12, pela execução da operação: [0098] Finalmente, adicionalmente, é possível, em uma quarta variante, cifrar a mensagem LECM de acordo com um algoritmo de cifragem simétrica, pelo uso de uma chave secreta pré-compartilhada. [0099] Na descrição subsequente, será assumido que a mensagem LECM foi cifrada, na etapa 103, com a chave pública KPUB res da rede, como é descrito na primeira variante preferida acima. [00100] Na próxima etapa 104, o pacote de dados 305 contendo a mensagem cifrada LECM e os dados embaralhados correspondentes é despachada no barramento 40 da rede doméstica no canal síncrono do barramento da IEEE 1394, cujo canal, comumente, transporta os dados comprimidos de acordo com o padrão MPEG 2 (ISO/IEC 13818-1)· [00101] Este despacho é difundido pela rede, quer dizer, todos os dispositivos de apresentação 12 que estão afixados ao barramento 40 são capazes de receber o pacote de dados 305. [00102] Quando um dispositivo de apresentação 12 recebe o pacote 305, na etapa 105, ele decifra a mensagem LECM com a chave privada da rede KPR| REs, como foi visto acima, de acordo com a primeira variante preferida da invenção. [00103] Isso tendo sido feito, ele detecta se os dados embaralhados pertencem a um conteúdo do tipo “cópia não autorizada” e, neste caso, obtém a palavra de controle cifrada CW Θ R, bem como a chave de autenticação K, as quais ele armazena temporariamente. [00104] Na próxima etapa 106, com o objetivo de autenticação do dispositivo de acesso 10, o qual despachou o pacote 305 pela rede, o dispositivo de apresentação 12 gera um número randômico R, e o despacha para o dispositivo de acesso 10 (etapa 107), usando o canal assíncrono do barramento 40 (o despacho através do canal assíncro-no do barramento 40 é representado por uma seta pontilhada na Figura 4). A comunicação através do canal assíncrono do barramento é uma comunicação do tipo “ponto a ponto”, quer dizer entre dois dispositivos mencionados anteriormente da rede. Além disso, o canal assíncrono do barramento 40 apresenta o aspecto particular de não ser capaz de ser gravado pelos dispositivos de gravação convencionais, tal como o dispositivo 13. [00105] Na etapa 108, quando o dispositivo de acesso 10 recebe o número R,, ele executa o cálculo a seguir: hi = MACk(Rí), [00106] onde “MACK(x)” representa um “Código de Autenticação de Mensagem” para a mensagem x, usando-se uma chave K. Para maiores detalhes referentes a “MACs”, referência é feita ao trabalho “Hand-book of applied cryptography, Alfred J. Menezes, Paul C. van Oors-chot, Scott A. Vanstone, 1997, página 325". [00107] A função aludida previamente HMAC-SHA-1, preferencialmente, será usada para o cálculo de h,. [00108] Na próxima etapa 109, o dispositivo de acesso 10 despacha, através do canal assíncrono do barramento 40, a chave de conteúdo R, bem como o resultado do cálculo h, = MACK(Ri), para o dispositivo de apresentação 12. [00109] O último, então, executa, na etapa 110, o cálculo a seguir: [00110] h’i = MACk(Rí), usando o número R, gerado na etapa 106 e a chave de autenticação K obtida pela decifragem da mensagem LECM na etapa 105. [00111] Se h’j for diferente do número h, recebido do dispositivo de acesso 10, então, o dispositivo de apresentação 12 não continua mais com o processo. Uma mensagem é exibida, por exemplo, para atenção do usuário (se o dispositivo de apresentação compreender uma tela de exibição), de modo a advertir a este último que o conteúdo não pode ser visto (ou ouvido). [00112] Se, por outro lado, h’, = h,, então, o dispositivo de acesso 10 é autenticado. Neste caso, o dispositivo de apresentação 12 usa a chave de conteúdo R recebida para a decifragem da palavra de controle CW pela execução (etapa 111) da operação: [00113] CW Θ R Θ R = CW. [00114] O dispositivo de apresentação 12, então, pode desembara-Ihar os dados com a palavra de controle CW (etapa 112) e apresentar os dados para o usuário. [00115] As etapas 102 a 112 são repetidas, de modo a se transmitir cada pacote de dados 300 que forma o conteúdo. Em seguida, na eta- pa seguinte 113, o dispositivo de apresentação 12 apaga de sua memória a chave de conteúdo R e a chave de autenticação K, as quais ele tinha armazenado temporariamente, de modo a executar os cálculos acima. [00116] Uma vez que todos os padrões de dados (e as palavras de controle CW correspondentes) formando o conteúdo tenham sido transferidos do dispositivo de acesso 10 para o dispositivo de apresentação 12, três modalidades variantes são possíveis. [00117] De acordo com uma primeira variante, a chave de conteúdo R e a chave de autenticação K são imediatamente apagadas, na etapa 115, da memória do dispositivo de acesso 10, de modo que esses dados não possam mais ser transmitidos para um dispositivo de apresentação para uma possível “reexecução” do conteúdo. [00118] De acordo com uma segunda variante, é assumido que um item de informação relativo ao período de validade do conteúdo foi afixado aos dados representando o conteúdo e foi armazenado pelo dispositivo de acesso 10, antes ou depois da etapa 101. Neste caso, durante a etapa 114a, um teste é realizado, para se verificar se o período de validade do conteúdo expirou. Se a resposta ao teste 114a é positiva, então, a chave de conteúdo R e a chave de autenticação K são apagadas da memória do dispositivo de acesso 10, durante a etapa 115. Se, inversamente, a resposta ao teste 114a é negativa, então, a chave de conteúdo R e a chave de autenticação K são preservadas na memória do dispositivo de acesso 10, até a expiração do período de validade do conteúdo. [00119] De acordo com uma terceira modalidade variante, é assumido que um item de informação indicando o número de vezes que o conteúdo pode ser transmitido para um dispositivo de apresentação foi afixado aos dados. Este item de informação foi armazenado (antes ou depois da etapa 101) pelo dispositivo de acesso 10 em um contador, o qual será denotado como o “contador de acesso ao conteúdo”. Neste caso, durante uma etapa 114b1, o contador de acesso ao conteúdo é decrementado. Em seguida, durante uma etapa 114b2, um teste é e-xecutado para se avaliar se o contador de acesso ao conteúdo está em zero. Se a resposta a este teste 114b2 é positiva, então, a chave de conteúdo R e a chave de autenticação K são apagadas da memória do dispositivo de acesso 10, durante a etapa 115. Se, inversamente, a resposta ao teste 114b2 é negativa, então, a chave de conteúdo R e a chave de autenticação K são preservadas na memória do dispositivo de acesso 10, de forma tal que permita que um dispositivo de apresentação acesse o conteúdo subsequentemente. [00120] Será notado que uma vantagem da invenção é que ela permite que vários dispositivos de apresentação afixados à rede digital doméstica acessem simultaneamente um conteúdo difundido por um dispositivo de acesso pelo barramento 40. Neste caso em particular, o protocolo recém-descrito em conjunto com a Figura 4 é executado em paralelo entre o dispositivo de acesso e os vários dispositivos de apresentação (os quais compartilham, em particular, a chave de conteúdo R e a chave de autenticação K). [00121] Também será notado que, preferencialmente, as operações executadas nas etapas 100 a 115 recém-descritas não são implementadas diretamente pelo dispositivo de acesso 10 ou pelo dispositivo de apresentação 12, mas pelos processadores seguros dos cartões inteligentes 14 e 15, os quais são inseridos em respectivas leitoras de cartão do dispositivo de acesso 10 e do dispositivo de apresentação 12. [00122] Esta solução oferece uma segurança melhorada, uma vez que é quase impossível acessar os dados (tais como as chaves K e R no exemplo) contidos em um cartão inteligente.

Claims

1. Método para a transmissão de dados digitais que representam um conteúdo de uma fonte (1, 10) para um receptor (2, 12) através de um canal de comunicação digital, os dados digitais sendo embaralhados por pelo menos uma palavra de controle (CW), o método compreendendo na fonte: (a) gerar uma chave de cifragem efêmera armazenada temporariamente pela fonte (1,10); (b) cifrar a referida palavra de controle (CW), usando a referida chave de cifragem; e (c) transmitir para o receptor (2, 12): os dados digitais embaralhados; e a palavra de controle cifrada, a última sendo transmitida através de um canal de comunicação cifrado (21) entre a fonte e o receptor; caracterizado pelo fato de compreender adicionalmente: (d) responder a uma operação (22) de autenticação da fonte pelo receptor e, quando a fonte é autenticada pelo receptor, transmitir a referida chave de cifragem para o receptor; e (e) apagar a chave de cifragem.

2. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que uma nova chave de cifragem efêmera é gerada aleatoriamente pela fonte (1,10) para cada conteúdo transmitido.

3. Método, de acordo com uma das reivindicações 1 ou 2, caracterizado pelo fato de que um item de informação relativo ao período de validade dos dados digitais a serem transmitidos é afixado ao referido dado, e de a etapa (e) ser realizada após a expiração do referido período de validade.

4. Método, de acordo com a reivindicação 1 ou 2, caracterizado pelo fato de que um item de informação indicando o número de vezes que o conteúdo pode ser transmitido para um receptor ser afi- xado aos referidos dados, o item de informação sendo armazenado temporariamente pela fonte em um contador de acesso ao conteúdo, e de, antes da etapa (e): o contador de acesso ao conteúdo ser decrementado; e um teste ser realizado para verificar se o contador de acesso ao conteúdo é igual a zero; a etapa (e) sendo executada apenas no caso de uma resposta positiva ao teste.

5. Método, de acordo com qualquer uma das reivindicações precedentes, caracterizado pelo fato de incluir adicionalmente, antes ou depois da etapa (a), uma etapa que consiste na geração de uma chave de autenticação efêmera, a chave de autenticação sendo transmitida para o receptor, na etapa (c), através do canal de comunicação cifrado.

6. Método, de acordo com a reivindicação 5, caracterizado pelo fato de que uma nova chave de autenticação efêmera é gerada aleatoriamente pela fonte (1, 10) para cada conteúdo transmitido.

7. Método, de acordo com a reivindicação 5 ou 6, caracterizado pelo fato de que a etapa (d) compreende as subetapas que consistem: (d1) receber um número randômico do receptor (2, 12); (d2) formar um código de autenticação da mensagem, com base no referido número randômico e na referida chave de autenticação; e (d3) transmitir o resultado do cálculo para o receptor (2, 12).

8. Método, de acordo com a reivindicação 7, caracterizado pelo fato de que a chave de cifragem (R) é transmitida para o receptor com o resultado do cálculo (MACK(Ri)) na subetapa (d3).

9. Método, de acordo com qualquer uma das reivindicações precedentes, caracterizado pelo fato de que a chave de cifragem é transmitida para o receptor, na etapa (d), através do canal de comunicação cifrado.

10. Método para receber dados digitais que representam um conteúdo, os dados digitais sendo embaralhados por pelo menos uma palavra de controle (CW), caracterizado pelo fato de que compreende no receptor (2, 12): (i) receber os dados digitais embaralhados a partir de uma fonte (1,10) através de um canal de comunicação digital; (j) receber a palavra de controle cifrada usando-se uma chave de cifragem, a referida palavra de controle cifrada sendo transmitida através de um canal de comunicação cifrado (21) entre a fonte e o receptor, (k) executar uma operação (22) de autenticação da fonte e, quando a fonte é autenticada pelo receptor: receber e temporariamente armazenar a referida chave de cifragem; decifrar a referida palavra de controle com a chave de cifragem; desembaralhar, com o auxílio da palavra de controle decifrada, os referidos dados digitais, de modo a transformá-los em um sinal capaz de ser apresentado para um usuário; e apagar a referida chave de cifragem.

11. Método, de acordo com a reivindicação 10, caracterizado pelo fato de que uma chave de autenticação efêmera é adicionalmente recebida na etapa (j), a referida chave de autenticação sendo transmitida através do canal de comunicação cifrado.

12. Método, de acordo com a reivindicação 11, caracterizado pelo fato de que a operação de autenticação realizada na etapa (k) compreender as subetapas que consistem: (k1) gerar um número randômico; (k2) enviar o referido número randômico para a fonte (1, 10); (k3) receber a partir da fonte um código de autenticação de mensagem para o número randômico e para a chave de autenticação; e (k4) verificar o referido código de autenticação de mensagem utilizando o número randômico gerado na etapa (k1) e da chave de autenticação recebida na etapa (j).

13. Método, de acordo com a reivindicação 12, caracterizado pelo fato de que a chave de cifragem é recebida pelo receptor com o referido código de autenticação da mensagem na subetapa (k3).