Bilag 17: Adgangskontrol

Bilag 17: Adgangskontrol

Indholdsfortegnelse 1. Sammendrag...3 2. Sikkerhed på platformen...4 2.1 Komponentbeskrivelse... 5 SAS Subscription Authorisation System... 6 EMM injektor... 6 ECM generator... 6 Multiplexer... 7 SMS - Subscriber Management System... 7 Smartkortet... 7 STB Set Top Boks eller digital dekoder... 7 2.2 Brug af CA-leverandørens teknologi... 8 3. Funktionsbeskrivelse...9 3.1 Pairing... 9 3.2 Distribution og kontraktregistrering... 9 Forhandlernet... 9 Forhandlerweb... 10 3.3 Beskrivelse af forhandlerweb grænsesnit... 10 Grænsesnit mod operatør SMS... 10 Sælger tjenester til flere operatører... 10 Grænsesnit for smartkort og STB database... 10

3 1. Sammendrag I forbindelse med digitalisering af det danske DTT-net vil DDTV benytte en CA-leverandør, som baserer sig på åbne standarder. DDTV ønsker at gennemføre en udbudsproces om denne ydelse hvor der vil blive lagt vægt på åbne standarder, sikkerhed og økonomi. DDTV har en option fra leverandøren Conax, som opfylder disse krav. Adgangskontrol benyttes primært for at kontrollere adgang til tjenesterne på platformen. Det vil sige, at dem som har betalt for en tjeneste får adgang, mens dem som ikke har betalt ikke får adgang. For at en husstand skal have muligheden for at købe sig adgang til signalerne, må kunden have et autoriseret smartkort. Smartkortet giver signaler til STB om, at kortet har adgang til indholdet og giver dekoderne rigtige signaler (kontrolord) for at dekryptere indholdet. Figur 1: Adgangskontrollen i den samlede platform Grænsesnit til TV-broadcastere Grænsesnit til seerne Signalpakker (MUX) Distributionsnet Regionalportal Sendestationer Antenne, Settop-boks m. smartkort Tjenesteplatform (EPG, MHP VOD, PVR mv.) Adgangskontrol (CA) Grænsesnit til gatekeepers kundesystem Kundedatabase (SMS) Alle de DDTV-godkendte dekodere til DTT i Danmark skal leve op til kravene til krypteringsstandarden, som skal være en åben standard. Alle programmer krypteres med samme CA-system. Der vil også være støtte i systemet for at en tjeneste kan gå ukrypteret eller periodevis ukrypteret, hvis det er ønskeligt for en tjenesteleverandør. Med tjeneste menes et tvprogram, dele af et tv-program som audio og video, radiokanal eller en anden digital tjeneste som EPG og applikationer.

4 Hensigten med dette dokument er at beskrive de sikkerhedselementer, som lægges ind i DTT nettet for at beskytte det indhold der leveres. Dokumentet er beskriver over ordnet de forskellige elementer og mekanismer, som er nødvendige for at have adgangskontrol i DTT-nettet. Når sikkerhed beskrives i dette dokumentet er det udelukkende sikkerheden for at beskytte tjenesterne mod uautoriseret adgang. Driftssikkerhed på platformen som sikkerhedskopier, firewall og anden infrastruktur behandles i det separate bilag om platformens infrastruktur (Bilag 18). Adgangskontrol i DTT nettet, hvor CA-leverandørens teknologi benyttes, er baseret på elementer, som er beskrevet i afsnittet Komponentbeskrivelse i denne tekst. Løsningen for DTT nettet er relativ enkel, da kompleksiteten i tjenesterne, som skal leveres indledningsvis, er lav. Adgangskontrol i DTT nettet baserer sig på en løsning med pairing for at få det højest muligt sikkerhedsniveau. Pairing er en sikkerhedsmekanisme, som sørger for, at et smartkort kun virker sammen med et givet antal digitale dekodere, typisk alle digitale dekodere i en husstand. Pairing er også et modtiltag mod piratproblemer. Den konkurrencemæssige behandling af pairing er behandlet i udbudsmaterialets bilag 1.4. og kapitel 5.3 i den samlede ansøgningstekst. Distributionen af smartkort og digitale dekodere vil blandt andet ske gennem et forhandlernet, og i den forbindelse vil en del af registreringsfunktionaliteten blive lagt ud til forhandlerne. 2. Sikkerhed på platformen For at kunne beskytte signalerne på DTT platformen er der tre hovedelementer, som skal beskrives. Det er: Sendesiden, hvor indholdet krypteres for at gøres utilgængelig for dem, som ikke har lov til at se indholdet STB, hvor indholdet modtages og som eventuelt afkoder signalerne i forbrugerens hjem og overfører signalerne til tv-skærmen Smartkortet, hvor det nødvendige nøglemateriale for at kunne afkode indholdet opbevares. Smartkortet er også den enhed hos kunden, som indeholder information om, hvilke programmer forbrugeren har adgang til. Disse elementer og sammenspillet mellem disse beskrives i dette dokument for at give en forståelse af hvad sikkerhed på platformen indebærer.

5 2.1 Komponentbeskrivelse SAS, EMM injektor og ECM generator, som er beskrevet i dette kapitel, er standard hyldevarer fra flere CA-leverandører. Der benyttes teknologi, som har vist sig at være meget stabil og som benyttes i operationer over hele verden. Hardwaren som benyttes er servere fra SUN, som kører Solaris operativsystem. Databasen som findes i SAS er en Oracle database. Løsningen som tilbydes vil have redundans både på hardware niveau og procesniveau. CA- systemet vil være tilkoblet 24/7 overvågning. Figur 2: Adgangskontrol beskrevet som proces CA-leverandør SAS 1 3 4 Kunde DDTV SMS Forhandler/ forhandlerweb 2 5 CA leverandør smart kort og STB database 6 Multiplex 7 9 EMM injektor STB, smart kort og TV 10 8 ECM generator Procesbeskrivelsen ovenfor tjener til at illustrere DDTVs generelle tilgang til hvordan CA-teknologien indlejres og driftes i DDTVs platform: 1. 2. 3. 4. Kunden går til en radio- og tv-forhandler for at anskaffe sig STB og smartkort. Forhandleren tjekker om serienummer på smartkort og serienummer på STB er gyldige og opgiver pairing information. Gennem forhandlerens web sendes kundeinformation til den/de betalings-tv operatører, som kunden vil abonnere på tjenester fra. En autorisationsforespørgsel sendes til den virtuelle SAS hos CA-leverandøren, som kun denne operatør har adgang til.

6 5. 6. 7. 8. 9. 10. Pairing forespørgsel sendes til CA SAS fra CA smartkort og STB database. Krypteret EMM sendes til EMM injektor (én gang). Krypterede EMMer sendes kontinuerligt så længe EMMen er gyldig. TV-signalet krypteres og DVB kontrolordet sendes til ECM generator. ECM generator krypterer kontrolordet og returnerer det som en ECM. Signal som indeholder audio, video, EPG, EMM, ECM og anden signalinformation sendes til kunden via DTT nettet. SAS Subscription Authorisation System SAS er hjernen i Conditional Access Systemet, hvor informationen om tilgængelige smartkort og produkter er lagret. SAS modtager en melding fra en ekstern enhed, typisk en SMS, om at et kort skal have adgang til ét eller flere produkter. Meldingerne indeholder en forespørgsel om at åbne eller lukke et kort for en tjeneste. Samme teknik benyttes også for at paire en eller flere digitale dekodere med en eller flere smartkort. SAS verificerer meldingen og hvis meldingen er gyldig, genereres en EMM, som er en krypteret melding adresseret til det kort den angår, og som kan tolkes af dette kortet alene. EMM-meldingen sendes til en EMM injektor. Grænsesnittet mellem SMS og SAS skal have et XML-lignende format. EMM injektor EMM injektor er en intelligent datakarrusel, som er koblet op mod multiplexeren for udspilning af EMM-meldinger i transportstrømmen, så EMM-meldingen kan læses af kundens smartkort. EMM injektoren kommunikerer med multiplexeren over DVB Simulcrypt protokol 1, som er en standard defineret af DVB. På EMM injektoren er der en rutine, som dagligt rydder op på datakarrusellen og sørger for, at EMM-meldingerne fjernes fra datakarrusellen, når de udgår (forældes). Dette gøres for at kapacitetsbrug i transportstrømmen skal være så lille som mulig. EMM-meldingerne vil dermed være tilgængelige i transportstrømmen, så længe de er gyldige. ECM generator ECM generatoren er enheden, som genererer meldinger, der indeholder den nøgle, som er nødvendig for at dekryptere tv-signalet. En ECM indeholder et krypteret kontrolord, som igen benyttes af DVB-chip set i STB for at gøre tv-signalet tilgængeligt for seeren. ECM generatoren får tilsendt et kontrolord ca. hvert 15. sekund fra multiplexeren og leverer dette krypteret tilbage for udsendelse i tv-signalet. ECM generatoren kommunikerer med MUX ved at benytte DVB Simulcrypt 2, som er en omforenet standard defineret af DVB. 1 ETSI TS 103 197 2 Se note op.cit.

7 Multiplexer Multiplexerens opgave er at generere kontrolord og kryptere video -og audio PID med dette. Dette gøres ved hjælp af common scrambling algoritm 3. SMS - Subscriber Management System SMS er systemet, som indeholder kundedata såsom adresseinformation, hvilke tjenester kunden abonnerer på, betalingsinformation, kundens smartkort, kundens dekodere etc. SMS kommunikerer med CA-systemet ved at SMS sender forespørgsler til CAsystemet om at give eller fjerne adgang til tjenester på kundernes smartkort. Andre typer forespørgsler, som SMS kan sende til SAS, er forespørgsel om pairing af digitale dekodere og smartkort. Meldingerne modtages af SAS som beskrevet ovenfor. Smartkortet Smartkortet skal sidde i enhver STB og er den enhed, som tager vare på sikkerheden for signalleverancerne. Et smartkort er nødvendigt for at se krypterede tv-signaler. Alle smartkort har en unik adresse, som gør, at alle smartkort, i markedet, kan adresseres separat. Dette giver mulighed for at kunne opsætte en egen profil for hvert kort, i markedet, og kortet vil genspejle den information, som ligger i SMS-systemerne. Kortet indeholder en tabel med information, som afgør hvilke tv-programmer kortet skal give adgang til. I denne tabel vil hver enkelt operatør have sit område, som kontrolleres udelukkende af den aktuelle operatør. Området til operatøren mærkes med en valgfri tekst fra operatøren. Tabellen opdateres ved hjælp af meldinger (EMM), som genereres i SAS-serveren og som sendes til kortet. Disse meldinger er af en sådan karakter, at de kun kan forstås og læses af det kort, de er ment for. Digitale dekodere er designet med filtre, så det kun er relevante meldinger fra tv-signalet, der sendes videre til smartkortet. Det vil sige, at når en kunde skifter til en krypteret kanal, vil STB spørge smartkortet efter dekrypteringsnøglen. Smartkortet vil kun afgive denne nøgle, hvis den interne tabel i smartkortet siger, at kunden skal have adgang. STB Set Top Boks eller digital dekoder STB må alle have for at modtage digitale tv-signaler. I STB bliver signalet dekrypteret og dekomprimeret på en måde som gør, at tv-signalet kan forstås af et almindeligt tv-apparat. Dette indbefatter, at STB har et chip set, som støtter den komprimeringsalgoritme, som er benyttet i dette tilfælde MPEG-4, samt at STB har støtte for den algoritme, som benyttes i scrambling af signalet, i dette tilfælde CSA (Common Scrambling Algorithm). DDTV-godkendte dekodere understøtter, at applikationer kan beskyttes på en måde som gør, at udbyderen kan tage betaling for brug af applikationerne samt støtte for pairing. PVR eller Personal Video Recorder er en STB med harddisk, hvor kunden kan optage og lagre tv-programmer. Disse er allerede tilgængelige på markedet og har opnået at blive populære. PVR maskiner gør det også muligt at udvide forretningsmodellerne for en 3 ETSI ETR 289

8 DTT operation, da det er muligt at lagre krypteret indhold på disken og sælge adgang til dette senere. CA-systemet gør det muligt at kontrollere hvilket indhold, der kan lagres på disken og hvordan der kan gives adgang til dette. CA-systemet indeholder en DRM (Digital Rights Management)-funktionalitet, som giver betalings-tv-operatøren frihed til at bestemme, hvordan det indhold, som er lagret på disken, skal tilbydes kunden. 2.2 Brug af CA-leverandørers teknologi Betalings-tv-platforme skal som et vigtigt element baseres på adgangskontrol på engelsk ofte forkortet som Conditional Access (CA). Som nævnt i sammendraget har DDTV har option på levering fra Conax. DDTV vil på dette område som på andre lignende områder gennemføre et åbent udbud med udgangspunkt i krav om åbne standarder. Conax teknologi er baseret på åbne standarder. Som eksempel på en CA-teknologi baseret på åbne standarder beskrives nedenfor den teknologi, som Conax, mere specifikt, anvender. Conax er leverandør af krypteringssystemer til digital-tv og løsninger til rettighedsbeskyttelse. Selskabet er en vigtig leverandør til bl.a. Canal Digital, RiksTV samt Digita og leverer sine sikkerhedsløsninger i omkring 40 lande. Ved hjælp af Conax-løsningerne har man lykkedes med at begrænse piratvirksomhed og beskytte rettighedshaverne. Conax er en af de ledende leverandører af CA systemer til betalings-tv-operatører. Foruden stort fokus på sikkerhed har åbenhed og fleksibilitet høj prioritet, både i forhold til STB og HE. Conax har altid motiveret STB-leverandører til at integrere Conax CA i sine STB på en ikke-diskriminerende basis uden nogen yderligere omkostning (royalty) fra Conax side. Conax CA følger DVB-Simulcrypt, som giver operatøren frihed i forhold til valg af CA leverandør. Conax kræver ingen licens bortset fra et lille administrationsgebyr for at dække produktionsomkostninger for levering af nødvendig dokumentation, testkort, teststrømme etc. Vigtigere er det, at Conax ikke kræver nogen afgift fra STB-leverandører, når de integrerer og sælger STB med Conax CA. Når det gælder fabrikat af multiplexere, har Conax også lagt stor vægt på åbenhed. Ved at Conax CA systemet støtter DVB Simulcrypt, giver det operatøren frihed i forhold til valg af CA leverandør. Conax støtter Common Interface og der findes flere leverandører af CA moduler som har integreret Conax i sine moduler. Conax leverer altså ikke selv kombinationsmodu-

9 ler, men systemet vil kunne håndtere de kunder som måtte ønske at installere et sådant CA-modul. 3. Funktionsbeskrivelse 3.1 Pairing Pairing er, at STB og smartkort knyttes til hinanden på en måde som gør, at kortet kun fungerer i den STB, det er ment til at fungere og at STB ikke accepterer andre kort end det, den er pairet med. De konkurrencemæssige aspekter af pairing behandles separat i bilag 1.4. For at afklare begrebet pairing lidt nærmere: et par kan bestå af mere end et smartkort og en STB. Et par kan eksempelvis være 2 smartkort og 3 digitale dekodere, som alle tilhører samme husstand. Kunden kan have en STB i stuen, en i soveværelset og en i sommerhuset. På det ene smartkort kan der kun være Must Carry kanaler som DR og TV2, mens der på de andre kan være premium betalings-tv. Det betyder, at man kan tage et af kortene med sig hjemmefra til sommerhuset uden problemer. Hvis kunden på et senere tidspunkt også køber en STB til køkkenet, må kunden henvende sig til nærmeste radio- og tv-forhandler for at få udvidet sit par til at indeholde den nye digitale dekoder også. Grundene til at pairing anbefales: I et sådant scenario kan information, som flytter mellem smartkort og STB, krypteres unikt og sikkerheden på platformen kan øges som følge af dette. Dette vil vanskeliggøre piratteknikker, såsom distribution af kontrolord. Piratkort vil ikke fungere i en pairing-stb Platformen vil blive mere rettet mod tjenester, hvor der tilbydes lagring af indhold på egen disk etc. At indføre pairing på en allerede eksisterende platform er meget dyrt og kompliceret. Derfor anbefales det at starte med pairing på platformen fra dag 1. 3.2 Distribution og kontraktregistrering Forhandlernet Danmarks Digital TV vil indgå aftaler med relevante aktører i detailhandlen (for eksempel radio- og tv-forhandlere, måske benzinstationer, kiosker og lignende). Disse forhandlere sælger abonnement og udstyr, som er nødvendigt for at kunne se tjenestetilbudet i det danske DTT-net. Forhandlere vil have et lager af smartkort og digitale dekodere, som sælges til kunderne. Når kunden køber smartkort og STB, kan han samtidig købe adgang til betalingstjenester.

10 Forhandleren vil rapportere dette til operatøren (DDTV), som vil sørge for at kunden får de nødvendige autorisationer til sit smartkort. Forhandleren vil også registrere hvilke digitale dekodere og smartkort, der skal virke sammen. Dette vil medføre, at en meddelelse om pairing-information bliver genereret. Forhandlerleddet vil også bytte eventuelle digitale dekodere og smartkort med fejl. Ligeledes kan kunder få udvidet deres abonnement på tjenester ved senere lejligheder. Dette betyder, at der altid vil være en lokal ressource som kender teknologien og mekanismerne, som bruges på DTT-platformen. Forhandlerweb Alle forhandlere skal have adgang til en fælles webløsning, som skal dække forhandlerens behov for at registrere abonnementskontrakten, som kunden indgår med DDTV. For at kunden skal have mulighed for at benytte sig af abonnementet, smartkort og STB umiddelbart efter kontraktindgåelse, må forhandlerne registrere dette i en onlineapplikation, som er tilknyttet de forskellige operatører. Det er vigtigt, at kunden får autoriseret smartkortet og STB med pairing autorisationer senest 30 minutter efter kontraktindgåelse. 3.3 Beskrivelse af forhandlerweb grænsesnit Grænsesnit mod operatør SMS Forhandlernes webapplikation skal være knyttet op imod SMS for DDTV, som sælger abonnementet. Operatøren skal tage imod forhandlerordren og sende en autorisation til kundens smartkort for de abonnementstjenester, som kunden har tegnet. Sælger tjenester til flere operatører En kunde kan vælge at tegne et abonnement hos en eller flere betalings-tv-operatører. Løsningen i DDTVs webapplikation tager hensyn til dette. Det betyder, at registreringen af smartkort og STB skal være en fælles funktion for alle operatører. Når det gælder abonnementsvilkår, vil der være forskellige betingelser pr. operatør. Denne funktionalitet bør derfor lægges op som underpunkter, som er forskellige fra operatør til operatør. Her registreres abonnementet efter de betingelser og vilkår, som hver operatør kræver. Grænsesnit for smartkort og STB database Forhandlerweb skal være knyttet op mod et smartkort og en STB database, som kan verificere, at forhandleren har tastet eller indlæst rigtigt, eller mod et gyldigt smartkort og/eller STB på kunden. Databasen vil få data fra STB-producenter, som importerer STB for det danske marked og fra CA-leverandøren, som vil producere smartkortene. Databasen vil også indeholde information om hvilke digitale dekodere og smartkort, der er pairet. Ved kontraktindgåelse eller bytte af smartkort eller STB hos en kunde, vil man skulle sende en ny pairing-meddelelse om udstyrsændringen hos kunden.