FR2884996A1 - Procede de transfert d'un droit d'usage d'un contenu numerique entre deux terminaux numeriques - Google Patents

Abstract

L'invention concerne un procédé de transfert d'un droit d'usage d'un contenu numérique entre un premier terminal et un deuxième terminal susceptibles de coopérer successivement avec un même processeur de sécurité amovible, ledit droit d'usage étant constitué de données de sécurité et de données non sensibles.Ce procédé comporte les étapes suivantes :- transférer lesdites données de sécurité dans le processeur de sécurité,- transférer lesdites données non sensibles du premier terminal vers le deuxième terminal,- connecter ledit processeur de sécurité au deuxième terminal pour exploiter le droit d'usage dans ce deuxième terminal.

Description

PROCÉDÉ DE TRANSFERT D'UN DROIT D'USAGE D'UN CONTENU

NUMERIQUE ENTRE DEUX TERMINAUX NUMÉRIQUES

DESCRIPTION

DOMAINE DE L'INVENTION L'invention se situe dans le domaine de la protection de contenus numériques et concerne plus spécifiquement un procédé de transfert d'un fichier numérique comportant un droit d'usage d'un contenu numérique et des données de sécurité associées audit droit d'usage entre un premier terminal et un deuxième terminal susceptibles de coopérer avec un même processeur de sécurité amovible.

L'invention s'applique dans le contexte des réseaux de distribution en mode connecté ou en mode diffusé (Internet, téléphonie mobile, diffusion par satellite, xDSL, ...), dans lesquels les contenus échangés sont protégés par un système de gestion de droits numériques (DRM, pour Digital Rights Management).

ÉTAT DE LA TECHNIQUE ANTÉRIEURE Dans les systèmes actuels de distribution de contenus, aussi bien dans le contexte des réseaux connectés que dans le contexte des réseaux diffusés, un contenu numérique est mis à la disposition du bénéficiaire après avoir été conditionné par au moins une information relative à l'équipement terminal destiné à recevoir ce contenu telle que, par exemple, l'adresse IP (pour Internet Protocol), le numéro de série d'un ordinateur, un numéro d'appel téléphonique, l'identifiant unique du décodeur de télévision, ou l'adresse unique d'une carte à puce associée au décodeur,.... Or, il est souhaitable qu'un bénéficiaire d'un droit d'usage puisse accéder au contenu au moyen d'un ou de plusieurs autres terminaux (téléphones mobiles, ordinateurs portables, PDA...) tout en évitant un accès multiple et simultané à ce contenu.

La figure 1 est une représentation schématique d'un objet contenu 2 (Content Object) et d'un objet droit 4 (Right Object) désignant respectivement un contenu numérique et le droit associé à ce contenu dans le contexte DRM (pour Digital Right management).

L'objet contenu 2 comporte un identifiant du contenu 6 et un document 8 comportant les données (vidéo, audio...) chiffrées par une clé CEK dont le cryptogramme CEK*REK est présent dans l'objet droit 4. Le cryptogramme CEK*REK est obtenu par chiffrement de la clé CEK par une clé REK qui dépend de l'émetteur du droit et qui est fournie de façon sécurisée au terminal auquel est destiné le contenu.

L'objet droit 4 est une collection de données décrivant la manière dont un contenu numérique ou une ressource informatique peut être utilisé.

Généralement, l'objet droit est décrit dans un documents XML (pour Extensible Markup Language) contenant notamment l'identifiant 10 de ce droit, un attribut 12 (Stateful/Stateless) précisant si le droit se modifie au cours de son utilisation, une ou plusieurs désignations de contenu 14 (Asset) comprenant notamment l'identifiant 6 du contenu (ContentId) et le cryptogramme 16 de la clé CEK. L'objet droit 4 comporte en outre une description 18 de permissions et de contraintes indiquant l'usage qui peut être fait du contenu. Le degré de sécurité du contenu ou de la ressource dépend essentiellement du degré de sécurité du droit associé à ce contenu ou à cette ressource.

La figure 2 illustre schématiquement un terminal 1 comportant une première mémoire 20 pour stocker un fichier de description d'un droit d'accès à un contenu numérique et une deuxième mémoire 22 pour stocker une clé CT spécifique au terminal 1.

Le fichier numérique de droit comporte en outre le cryptogramme CEK*REK résultant du chiffrement de la clé CEK par la clé REK, et le cryptogramme REK*cT résultant du chiffrement de la clé REK par une clé CT spécifique au terminal.

Le terminal 1 comporte en plus une unité centrale (non représentée) comprenant un logiciel (agent DRM) destiné à gérer le droit d'accès au contenu numérique.

Pour exploiter le contenu dans le terminal 1, l'agent DRM extrait la clé CT de la mémoire 22 et utilise cette clé (étape 24) pour déchiffrer le cryptogramme REK*cT. La clé REK obtenue à l'étape 24 est utilisée (étape 26) pour déchiffrer le cryptogramme CEK*REK. La clé CEK obtenue à l'étape 26 est ensuite utilisée pour déchiffrer le contenu 8 (étape 28). Le contenu déchiffré 30 peut alors être utilisé par le bénéficiaire du droit par la fonction 42 de décodage.

Un inconvénient de l'art antérieur décrit ci-dessus provient du fait que l'obtention des clés CEK et REK dépend étroitement du terminal 1 en raison du chiffrement de la clé REK par la clé CT. Par conséquent, ces clés CEK et REK ne peuvent pas être obtenues dans un autre terminal à partir du fichier de droit contenant les cryptogrammes CEK*REK et REK*cT.

Une autre solution de l'art antérieur pour exploiter un même contenu dans deux terminaux distincts consiste à mutualiser le droit d'accès au contenu en définissant un Domaine de droit dans lequel un ensemble d'équipements possèdent en commun une clé dite clé de Domaine. Ces équipements peuvent partager les droits de ce Domaine et peuvent ainsi exploiter et partager les contenus contrôlés par le droit du Domaine.

Cette solution comporte des contraintes qui proviennent, d'une part, du fait que le contenu doit être conditionné avec la clé du domaine, et d'autre part, du fait que le droit doit comporter des données spécifiques au domaine.

En outre, cette solution nécessite des procédures lourdes d'inscription et de suppression des équipements dans le domaine.

Par ailleurs, du fait qu'un domaine soit lié à un seul serveur de droit, si l'utilisateur recourt à des serveurs de droits liés à des domaines différents, il dépendra d'autant de domaines différents que de serveurs de droits différents.

Un premier but de l'invention est de 30 permettre le transfert d'un droit acquis par un utilisateur entre deux terminaux tout en assurant l'intégrité et la confidentialité du droit.

Un deuxième but de l'invention est de permettre le transfert du droit sans devoir faire appel au serveur de droits pour le conditionner afin de le rendre compatible avec le nouveau terminal.

Un troisième but de l'invention est de permettre à l'utilisateur bénéficiaire d'un droit d'accéder au contenu correspondant au moyen de tout équipement terminal tout en empêchant plusieurs usages simultanés de ce contenu sur plusieurs terminaux distincts.

EXPOSÉ DE L'INVENTION Ces buts sont atteints au moyen d'un procédé de transfert d'un fichier de droit d'usage d'un contenu numérique entre un premier terminal et un deuxième terminal susceptibles de coopérer successivement avec un même processeur de sécurité amovible, ledit droit d'usage étant constitué de données de sécurité sensibles et de données non sensibles.

Ce procédé comporte les étapes suivantes: - transférer lesdites données de sécurité 25 dans le processeur de sécurité, - transférer lesdites données non sensibles du premier terminal vers le deuxième terminal, - connecter ledit processeur de sécurité au deuxième terminal pour exploiter le droit d'usage dans 30 ce deuxième terminal.

Par données non sensibles, on entend les données du droit d'usage n'intervenant dans la sécurité.

Afin d'assurer l'unicité d'usage du contenu à un instant donné, les données de sécurité restent confinées dans le processeur de sécurité. L'exploitation de ces données dans le deuxième terminal à partir du processeur de sécurité est effectuée via une interface sécurisée reliant le processeur de sécurité et les modules d'exploitation du droit dans le deuxième terminal. Cette sécurisation peut être obtenue par un protocole de communication prévu spécifiquement à cet effet.

Ainsi, ce n'est qu'en déplaçant physiquement le processeur de sécurité du premier terminal au deuxième terminal que les données de sécurité mémorisées dans le processeur de sécurité pourront être utilisées pour exploiter le droit d'usage sur ce deuxième terminal.

Dans une première variante de réalisation, les données de sécurité comportent un identifiant du droit, un identifiant du contenu, au moins une clé de déchiffrement du contenu et un condensé cryptographique de la description du droit.

Dans une autre variante de réalisation, lesdites données de sécurité comportent en outre une information de date.

Dans une application particulière du procédé selon l'invention, les premier et deuxième 30 terminaux sont des téléphones mobiles et le processeur de sécurité est une carte SIM (pour Subscriber Identity Module) d'un abonné.

Dans un mode particulier de réalisation, les données non sensibles sont transférées du premier terminal vers un serveur central et du serveur central vers le deuxième terminal.

Optionnellement, les données non sensibles peuvent être sauvegardées dans ledit serveur central afin de permettre à l'utilisateur, en cas de perte ou d'altération de ce droit, de récupérer le droit sur son terminal ou sur un autre. La sauvegarde desdites données non sensibles dans le serveur central peut être réalisée automatiquement de façon programmée ou manuellement sur requête de l'abonné.

Dans un autre mode particulier de réalisation, les données non sensibles sont transférées du premier terminal vers le deuxième terminal par une liaison directe établie entre les deux terminaux.

L'invention concerne également un terminal de télécommunication mobile susceptible de recevoir un contenu numérique protégé par un droit d'usage et de coopérer avec un processeur de sécurité amovible pour exploiter ledit contenu, ledit droit étant décrit dans un fichier numérique comportant notamment des données de sécurité secrètes.

Le terminal selon l'invention comporte un espace sécurisé destiné à mémoriser les données de sécurité, et un espace public destiné à stocker les données non sensibles.

Avantageusement, l'espace sécurisé est situé dans le processeur de sécurité amovible.

Le terminal selon l'invention comporte en outre des moyens pour transférer les données non sensibles vers un autre terminal susceptible de coopérer avec le même processeur de sécurité amovible.

Lorsque l'utilisateur a acquis plusieurs droits d'usage distincts pour plusieurs contenus distincts, les données de sécurité spécifiques à ces droits sont organisées préférentiellement en tables, agencées dans le processeur de sécurité, contenant un identifiant de chaque droit d'usage, un identifiant de chaque contenu (ContentId), une clé CEK permettant le déchiffrement de chaque contenu, et un condensé cryptographique de chaque droit d'usage.

BRÈVE DESCRIPTION DES DESSINS

D'autres caractéristiques et avantages de l'invention ressortiront de la description qui va suivre, prise à titre d'exemple non limitatif, en référence aux figures annexées dans lesquelles: - la figure 1, décrite précédemment, est une représentation schématique d'une licence DRM contrôlant le droit d'accès à un contenu numérique.

- la figure 2, décrite précédemment, est une représentation schématique d'un terminal dans lequel est exploité un contenu protégé par une licence DRM selon l'art antérieur.

- la figure 3 est une représentation schématique d'un terminal dans lequel est mis en oeuvre le procédé selon l'invention.

EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS La description qui suit concerne un transfert de droit d'usage d'un contenu numérique représentant des données audio, des données vidéo ou des données multimédia entre deux terminaux mobiles UMTS par exemple. Le droit d'usage associé au contenu est décrit dans une licence DRM.

Dans la suite de la description, des références identiques désigneront les éléments communs 10 à l'invention et à l'art antérieur.

La figure 3 représente schématiquement un terminal 29 comportant une première mémoire 20 dans laquelle est mémorisé un fichier numérique comprenant une description d'un droit d'usage d'un contenu numérique, et une deuxième mémoire 22 contenant une clé CT spécifique au terminal 29.

Le fichier de droit comporte une licence DRM assurant la gestion et la maîtrise des usages du contenu numérique. Le fichier de droit peut comporter plusieurs licences distinctes sans sortir du cadre de l'invention.

Le terminal 29 comporte en outre un agent DRM 34 destiné à assurer le contrôle de conformité des droits de l'usager avec la licence DRM, une mémoire tampon 36, une carte SIM amovible 40 constituant le processeur de sécurité, un lecteur/décodeur de contenu 42 et un module 44 de dialogue avec l'utilisateur.

En plus des fonctions classiques d'identification de l'utilisateur, la carte SIM amovible 40 est utilisée en tant qu'espace sécurisé destiné au stockage et au transfert des données de sécurité entre le terminal 29 et un ou plusieurs terminaux de l'utilisateur.

Dans un mode préféré de réalisation, la licence est décomposée en données sensibles, dites données de sécurité, et en données non sensibles. Les données de sécurité comportent un identifiant de la licence, un identifiant du contenu, la clé CEK de déchiffrement du contenu, et un condensé cryptographique de la description du droit. La clé CEK de déchiffrement du contenu est préalablement obtenue par déchiffrement du cryptogramme CEK*REK avec une clé REK dépendante de l'émetteur du droit et elle-même obtenue par déchiffrement du cryptogramme REK*cT avec la clé CT spécifique au terminal.

Transfert d'un droit d'usage Lorsque l'utilisateur de la licence d'un contenu numérique reçu sur le premier terminal 29 souhaite exploiter ce contenu sur un deuxième terminal, il doit d'abord transférer le droit d'usage que représente la licence du terminal 29 vers le deuxième terminal. L'utilisateur active le transfert de ce droit via le module 44 de dialogue. Ce transfert concerne d'une part les données de sécurité du droit et d'autre part les données non sensibles de ce droit. Les données de sécurité sont transférées d'un terminal à l'autre en les chargeant dans la carte SIM, en déconnectant la carte SIM du premier terminal et en la connectant au deuxième terminal. Les données non sensibles sont transférées d'un terminal à l'autre par transfert de fichier ou par une procédure similaire.

Transfert des données de sécurité Le transfert des données de sécurité du droit est effectué de façon à assurer la sécurité et l'intégrité du droit au cours du transfert. Pour cela, les données de sécurité sont extraites du fichier de droit présent dans le terminal 29 et transférées dans la carte SIM 40.

Le transfert des données de sécurité dans la carte SIM comporte les étapes suivantes: - extraction de la clé CT de la mémoire 22 et déchiffrement (étape 24) de la clé REK*uT par cette clé CT, - déchiffrement (étape 26) de la clé CEK*REK par la clé REK obtenue à l'étape 24, - transfert (flèche 28) dans la carte SIM 40 des données suivantes.

- clé CEK obtenue à l'étape 26, - identifiant du droit, -identifiant du contenu, et

- condensé cryptographique de la description du

droit.

Plusieurs licences peuvent être transférées d'un terminal à un autre sans sortir du cadre de l'invention. Dans ce cas, les données de sécurité transférées dans la carte SIM 40 sont organisées en table des droits et table des désignations. La table des droits contient en particulier les condensés cryptographiques de chaque droit destiné à vérifier l'intégrité de ce droit après son transfert dans le deuxième terminal. La table des désignations contient en particulier les associations entre les identifiants de droits, les identifiants de contenus et les clés CEK de déchiffrement de chaque contenu.

En connectant la carte SIM au deuxième terminal, les données de sécurité du droit sont disponibles dans le deuxième terminal. Grâce à leur transfert par la carte SIM, on comprend que les données de sécurité transférées d'un terminal à l'autre restent confinées dans la carte SIM et ne sont de ce fait pas duplicables empêchant ainsi un usage multiple du contenu.

Transfert des données non sensibles Parallèlement au transfert des données de sécurité, les données non sensibles de la licence sont stockées temporairement dans la mémoire tampon 36 du premier terminal avant d'être transférées dans la mémoire non sécurisée du deuxième terminal.

Dans un mode de réalisation du procédé, avant de connecter la carte SIM 40 sur le deuxième terminal, l'utilisateur active un service DRM de transfert de droit via le module de dialogue 44. A cet effet, l'agent DRM 34 envoie à un serveur distant de transfert de droit les données non sensibles, par exemple sous forme de message multimédia MMS (pour multimedia message), avec des paramètres d'identification tels que les données IMSI/IMEI pour (International Mobile Subscriber Identity/International Mobile Equipment Identity) qui sont respectivement l'identifiant de l'utilisateur bénéficiaire de l'abonnement lié à la carte SIM 40 et le numéro d'identification du terminal du bénéficiaire.

L'utilisateur procède alors au changement de terminal en gardant sa carte SIM 40. La connexion du nouveau terminal au réseau mobile (UMTS) provoque une notification au serveur de transfert de droit avec l'identifiant IMSI/IMEI. Le transfert peut également être requis par l'utilisateur via le module de dialogue 44. Lorsque le serveur de transfert de droit identifie une même carte SIM et un nouveau terminal, il propose le téléchargement du droit sur le nouveau terminal en utilisant par exemple la fonctionnalité de téléchargement WAP PUSH du protocole WAP (pour Wireless Application Protocol) vers le nouveau terminal. L'utilisateur envoie une confirmation pour valider le téléchargement des droits sur le terminal. Ce dernier peut immédiatement exploiter les contenus protégés après transfert des droits associés à ce contenu.

Dans un autre mode de réalisation, les données non sensibles peuvent être transférées du premier terminal dans le deuxième terminal en utilisant une liaison locale telle que IRDA (pour Infra Red Data Association) ou Bluetooth par exemple, selon un protocole d'échange tel que IrDA Object Exchange Protocol (OBEX) de Open Mobile Alliance (OMA - DRM Specification V2.0). L'opération consiste dans ce cas à recopier directement les données non sensibles du premier terminal dans le deuxième terminal auquel a été connecté la carte SIM 40 de l'utilisateur.

Dans une variante de réalisation, l'utilisateur d'un terminal peut souscrire à un abonnement de sauvegarde de ses droits. La sauvegarde peut être activée régulièrement par l'agent DRM 34 ou activée à la demande par l'utilisateur via le module 44 de dialogue. Cette sauvegarde consiste à transférer l'ensemble des droits du terminal vers un serveur de sauvegarde qui maintient ces données pour une éventuelle demande de restauration des droits. La restauration permet à l'utilisateur de récupérer les droits non consommés, n'ayant pas subi de changement d'état par rapport à ceux présents dans la carte SIM 40.

Utilisation du contenu sur le deuxième terminal Le contenu peut être utilisé dans le deuxième terminal après que les données non sensibles ont été transférées dans ce terminal et que la carte SIM a été connectée à ce même terminal. L'agent DRM récupère les données non sensibles à partir de la zone mémoire non sécurisée du deuxième terminal, contrôle l'authenticité et l'intégrité du droit transféré au moyen du condensé cryptographique stocké dans la carte SIM 40 puis autorise ou interdit l'usage du contenu dans le deuxième terminal en fonction du résultat de ce contrôle. Ce processus est exécuté en coopération avec la carte SIM qui fournit de façon sécurisée les données de sécurité à l'agent DRM sans les exporter dans la mémoire non sécurisée du deuxième terminal.

Le procédé selon l'invention permet ainsi d'empêcher l'utilisation dans un terminal d'un droit restauré par rechargement si ce droit a subi un changement d'état depuis sa dernière sauvegarde car dans ce cas le condensé cryptographique enregistré dans la carte SIM 40 est différent de celui du droit sauvegardé.

Le procédé selon l'invention permet d'effectuer un transfert de droits émanant de plusieurs serveurs de droits distincts du fait que les données de sécurité sensibles du droit sont mémorisées dans un espace indépendant du serveur de droit.

SP 26418 HM A6 2884996

Claims (16)

REVENDICATIONS

1. Procédé de transfert d'un fichier numérique comportant un droit d'usage d'un contenu numérique entre un premier terminal (29) et un deuxième terminal susceptibles de coopérer avec un même processeur de sécurité (40) amovible, ledit droit d'usage étant constitué de données de sécurité sensibles et de données non sensibles, procédé caractérisé en ce qu'il comporte les étapes suivantes: - transférer lesdites données de sécurité dans le processeur de sécurité (40), - transférer lesdites données non sensibles du premier terminal (29) vers le deuxième terminal, - connecter ledit processeur de sécurité (40) au deuxième terminal pour exploiter le droit d'usage dans ce deuxième terminal.

2. Procédé selon la revendication 1, dans 20 lequel lesdites données de sécurité sont confinées dans le processeur de sécurité (40).

3. Procédé selon la revendication 1, caractérisé en ce que lesdites données de sécurité comportent un identifiant du droit (10), un identifiant du contenu (6), au moins une clé de déchiffrement du contenu (16) et un condensé cryptographique de la description du droit.

4. Procédé selon la revendication 3, caractérisé en ce que lesdites données de sécurité comportent en outre une information de date.

SP 26418 HM 2884996

5. Procédé selon la revendication 1, dans lequel lesdites données non sensibles sont transférées d'une mémoire non sécurisée du premier terminal (29) 5 vers une mémoire non sécurisée du deuxième terminal.

6. Procédé selon la revendication 5, dans lequel le transfert desdites données non sensibles est effectué via un serveur distant.

7. Procédé selon la revendication 5, dans lequel le transfert desdites données non sensibles est effectué par une liaison directe entre les deux terminaux.

8. Procédé selon la revendication 2, dans lequel ledit processeur de sécurité (40) est une carte à puce.

9. Procédé selon la revendication 1, caractérisé en ce que lesdits premier et deuxième terminaux sont des téléphones mobiles.

10. Procédé selon la revendication 6, dans 25 lequel lesdites données non sensibles sont sauvegardées dans le serveur distant.

11. Procédé selon la revendication 10, dans lequel la sauvegarde desdites données non sensibles 30 dans le serveur distant est effectuée automatiquement de façon programmée.

SP 26418 HM 2884996

12. Procédé selon la revendication 10, dans lequel la sauvegarde desdites données non sensibles dans le serveur distant est effectuée manuellement sur requête.

13. Procédé selon l'une des revendications précédentes dans lequel ledit contenu représente des données audio, des données vidéo ou des données multimédia.

14. Procédé selon la revendication 1, dans lequel l'usage dudit contenu est soumis à des conditions d'accès contenues dans une licence DRM.

15. Terminal de télécommunication mobile susceptible de recevoir un contenu numérique protégé par un droit d'usage et de coopérer avec un processeur de sécurité (40) amovible pour exploiter ledit contenu, ledit droit étant décrit dans un fichier numérique comportant notamment des données de sécurité secrètes et des données non sensibles, terminal caractérisé en ce qu'il comporte: - des moyens pour extraire les données de sécurité du fichier numérique, - des moyens pour transférer lesdites données de sécurité dans le processeur de sécurité (40), - des moyens pour transférer lesdites 30 données non sensibles dudit terminal vers un autre terminal susceptible de coopérer avec ledit processeur SP 26418 HM 2884996 de sécurité de manière à exploiter le droit d'usage dans ce deuxième terminal.

16. Terminal selon la revendication 15, apte à gérer dans le processeur de sécurité les données de sécurité sous forme de tables contenant le droit d'usage et la désignation de contenu, ladite désignation de contenu comprenant notamment un identifiant du contenu (Contentld), une clé CEK permettant le déchiffrement de ce contenu et un condensé cryptographique de la description du droit d'usage.