DVD Marking Copy Protection for DVD Video

Transkript

1 DVD Marking Copy Protection for DVD Video Autor: Lukas Gut Betreuender Dozent: Prof. Carlos Nicola FH-Aargau, 22. Juni 2002

2 Inhaltsverzeichnis 1 Einleitung Geschichte der DVD Technische Eigenschaften der DVD CoDecs Copy Protection System Überblick Realisierte Standards CSS Regional Codes Analog Protection System APS Copy Generation Management System CGMS Geplante Standards C Medien Identifizierung Watermarking CSS Kryptoanalysis System Ueberblick Die Schlüssel Session Überblick Disk- und Playerkey CSS Streamcipher Liner Feedback Shift Registers (LSFRs) Die Initialisierung LSFR Addition Die Vier Betriebs-Modi Die Schwächen Brute Force Attacke LSFR Output Attacke auf Disk Key Hash Fazit Politische Machtverhältnisse

3 INHALTSVERZEICHNIS Motion Picture Association (MPAA) Consumer Electronics Manufacturers (CEMA) Copy Protection Working Group (CPWG) Computer und Anwender

4 Kapitel 1 Einleitung 1.1 Geschichte der DVD Als vor rund 10 Jahren die CD-ROM entwickelt wurde, konnte eine Datenmenge von 650 MB gespeichert werden. Zu dieser Zeit schien diese Kapazität sehr gross, ausreichend auch für zukünftige Bedürfnisse. Der Bedarf an Speicher wuchs weiter. Medien, welche die 650 MB Kapazitäts-Barriere überschreiten, werden heute gefordert. Die zweite Generation der Disk Technologie ist im Stande hohe Datenmengen für Video, Multimedia und andere Formate zu speichern. Die neue Technologie heisst DVD. Die meistbenutzte Anwendung für den neuen Standard ist das digitale Video. Das Ziel der Unterhaltungs- und Filmindustrie sowie der CD Industrie war, einen kompletten MPEG-2 komprimierten Videofilm auf einer einzige Seite der CD-ROM unterzubringen. 1.2 Technische Eigenschaften der DVD Die DVD hat ein Speichervolumen von 4.7 bis 17.0 Gigabytes. Durch Zusammenfügen von jeweils zwei physikalisch unabhängigen, 0.6mm dicken Scheiben entsteht eine reguläre DVD. Eine reguläre DVD kann bis zu zwei optische Schichten enthalten. Wobei jede einzelne Schicht ungefähr 133 Minuten MPEG-2 Video Information enthalten kann. Diese Datenmenge reicht aus, um die meisten Spielfilme auf einer Seite speichern zu können. 4.7 GB (Single Sided, Single Layer), referred to as DVD GB (Single Sided, Dual Layer), referred to as DVD GB (Double Sided, Single Layer), referred to as DVD GB (Double Sided, Dual Layer), referred to as DVD 18. 4

5 KAPITEL 1. EINLEITUNG CoDecs Es gibt mehrere Video-Codierungs-Standarts (Codecs), JPEG für einzelne Bilder, MPEG2 für digitales Video und H.261 für ISDN Video Conferencing. H.263 dient hauptsächlich für die Codierung von Low Bit Video Compression bei Video-Conferencing und Video-Telefonie Übertragungen. 1 Videoübertragungen benötigen eine grosse Bandbreite. Deshalb arbeiten solche Applikationen mit Komprimierungsverfahren oder Codierungsverfahren um die Datenmenge zu reduzieren. Der bei der MPEG2 Verfahren eingesetzte DCT 2 Algorithmus sucht nach gleichen, adjazent zueinander liegenden Pixelwerten. 3 Eine Reduktion der Bitrate wird damit erreicht, dass hochfrequente Elemente, welche meistens keine relevanten Bildinformationen tragen, nicht übertragen werden. 1 Übertragungen von kbps. 2 Discrete Cosine Transform. 3 Entweder physikalisch aneinander im Bild oder aufeinanderfolgend in verschiedenen Bildern.

6 Kapitel 2 Copy Protection System Überblick Das Abspeichern von Bildmaterial auf digitalen Medien führt zu technischen Problemen mit dem Kopierschutz. Es ist schwierig, digitale Medien urheberrechtlich zu schützen. Die Motion Picture Association of America (MPAA) und die Consumer Electronics Manufacturers Association (CEMA), sowie Mitglieder der Computer- Industrie bildeten 1996 eine Gruppe um die Probleme zu lösen. 2.1 Realisierte Standards CSS CSS ist eine Methode, MPEG-2 Videodaten zu scrambeln 1. Erstens soll CSS verhindern, byte-for-byte Kopien von MPEG Streams abspielfähig zu machen, da in Kopien die Schlüssel nicht übernommen werden. Weiter dient CSS dazu, den Geräteherstellern vorzuschreiben, sogennante kompatible DVD Geräte herzustellen. Nicht-kompatible Geräte können keine CSS DVS abspielen. So muss also jeder Hersteller beim Konsortium eine Lizenz erwerben Regional Codes DVD Disks enthalten einen Regional Code, welcher das Abspielen bestimmter Disks vom geografischen Ort der Vorführung abhängig macht. In den meisten Fällen können in einer bestimmten Region hergestellte Disks nur auf DVD Geräten abgespielt werden, welche in der selben Region hergestellt wurden. Weltweites Handeln und der Import von DVDs wird damit verhindert. 1 Eine Art verschlüsselter digitaler Information. 6

7 KAPITEL 2. COPY PROTECTION SYSTEM ÜBERBLICK 7 Regional Codes müssen von den DVD-ROM Player respektiert werden. Einige DVD Player können wenige Male neu gewählt werden. Andere wählen nach ein paar gespielten DVDs den Code selber. Abbildung 2.1: Ländercodes Region 1: The U.S., U.S. territories and Canada. Region 2: Europe, Japan, the Middle East, Egypt, South Africa. Region 3: Taiwan, Korea, the Philippines, Indonesia, Hong Kong. Region 4: Mexico, South America, Central America, Australia. Region 5: Russia, Eastern Europe, India, Africa, North Korea. Region 6: China Analog Protection System APS APS ist ein System, welches von Macrovision entwickelt wurde. Es ist eine Methode, NTSC/PAL Signale so zu modifizieren, dass diese zwar auf dem Fernseher dargestellt werden können, eine Aufnahme des Signals auf einem VCR jedoch unmöglich ist. APS funktioniert mittels einer Automatic Gain Confusion, welche zu einer schwerwiegenden Degradierung der Bildqualität führt. Bevor das APS System bei DVD zum Einsatz kam, stand es schon seit mehreren Jahren unter bewährtem Einsatz bei Videokassetten und Set-Top Boxen. Die Steuerinformation, ob ein Video-Stream mittels APS codiert wird und wie dieser angewendet wird, befindet sich im MPEG Header des Video- Streams. Das Kopieren auf analoge VHS Kassetten kann mit APS verhindert werden. In jedem DVD Player ist ein APS System integriert. Schnell modelierte Farb- Burst Signale, sogenannte Colorstripes, werden zusammen mit Pulsierungen im vertikalen Blanking Signal (AGC) zusammengefügt. So entsteht das Signal auf dem Video und S-Video Output. In den meisten VCR bringt dieses

8 KAPITEL 2. COPY PROTECTION SYSTEM ÜBERBLICK 8 erzeugte Signal die Synchronisation der Bildinformation durcheinander. Das Resultat sind Farbstreifen, Verzerrungen, Rollen und Schwarz-Weiss Bilder sowie Dunkel-Hell Flimmern. So wie bei den analogen Videokassetten sind auch bei den DVDs nicht alle Disks Macrovision geschützt. 2 [1] Copy Generation Management System CGMS Das Copy Generation Management System (CGMS) wurde entworfen, um beliebiges Kopieren von DVDs zu verhindern. CGMS Information wird zusammen mit dem Video Signal ab einer Disk geschickt. Das Equipment, welches die Kopie macht, muss die CGMS Information verstehen und respektieren. Analoge VCR erkennen das Signal nicht, digitale jedoch schon. CGMS ist ein Bit-Paar im Header eines MPEG Streams. Es können folgende Copy-Rules ausgewählt werden: beliebiges kopieren nie kopieren einmal kopieren 2.2 Geplante Standards C 5C ist ein geplantes System für den robusten Austausch von digitalen Daten über einen Datenbus. Es wurde von fünf verschiedenen Firmen gegründet. Es beschreibt einen Mechanismus, mit welchem geheime Schlüssel in einem authentifizierten Vorgang ausgetauscht werden. Schlussendlich können zwischen den beiden Parteien verschlüsselte Daten ausgetauscht werden, ohne dass ein anderes Gerät diese entschlüsseln kann. Der 1394 IEEE Standard ermöglicht high-speed Verbindungen für digitale Datenübertragungen. 5C soll verhindern, dass Information auf einem solchen Datenbus abgehört werden kann. DTCP 5C Die 5C DTCP Technologie ist ein Beispiel der Digitalen Transmission Solutions, welche von der DTDG Gruppe 3 vorgeschlagen wurde. Zwei AKE Prozeduren wurden definiert, um den Trade Off von Implementations-Komplexität und Wert des Inhalts zu handeln. Das DTCP ist nicht nur auf 1394 kompatible Busse anwendbar. Das Quellengerät initialisiert die Übertragung 2 Weitere Informationen unter 3 Die Digital Transmission Discussion Group. ist eine Untergruppe des CPTWG, welche beauftragt wurde, ein Content Protection System zu entwerfen.

9 KAPITEL 2. COPY PROTECTION SYSTEM ÜBERBLICK 9 und übergibt dem Zielgerät den Encrytion Mode Indicator (EMI). Daraufhin überprüft das Zielgerät den EMI Wert (eg. copy once, copy never, copy freely ). Dieser kann nun den Authentifizierungs-Modus auswählen. Sind die AKE Verhandlungen abgeschlossen, werden nun die Schlüssel ausgetauscht, um den verschlüsselten Inhalt des isochronen 4 Bit-Streams auszutauschen. Der Inhalt wird mittels einem M6 Block Cipher im Cipher Block Chaining Modus (CBC) und einem 56-Bit Schlüssel verschlüsselt.[1] Abbildung 2.2: DTCP Operationen Medien Identifizierung Eine Identifizierung des Mediums liefert dem DVD Player die Information, ob es sich bei einer abzuspielenden DVD um eine Kopie oder ein Original handelt. Eine solche physikalische Erkennungsmarke wird bei der Herstellung, unabhängig von digitalen Inhalt, angebracht Watermarking Watermarking ist eine Technik, um Information direkt im Videosignal zu integrieren. Kleine, unbemerkbare Verzögerungen und Verzerrungen in den einzelnen Frames enthalten die codierte Mitteilung. Watermarking sollte eine sicherere Form des CGMS werden. Da CGMS Bits bei einer digital zu analog Kopie 5 verloren gehen, verliert die Bildinformation auf der DVD gleichzeitig den Generationsschutz. Beim Watermarking ist es schwierig, eine solche information durch normales Video-Processing abzustreifen. Ein zweites Einsatzgebiet ist die Codierung der APS Bits. Auch hier existiert die selbe schwäche wie beim CGMS.[2] 4 Isochron (iso = gleich, Griech.) ist ein Signal mit konstanter Frequenz, während die Frequenz eines Anisochronen Signales schwankt. 5 Oder bei einer Kopie mit einem non-compliant Recorder

10 KAPITEL 2. COPY PROTECTION SYSTEM ÜBERBLICK 10 Kosten Das hinzufügen der Watermarking Technik benötigt einige Änderungen in den DVD Spezifikationen. Um die zusätzlichen Kosten im DVD Gerät niedrig zu halten, wird die Detektor Elektronik auf eine noch freie Stelle auf den Silikonplatten montiert, welche bereits in den Geräten vorhanden ist. Diese Platzeinschränkung führt dazu, dass ein solcher Detektor mit wenig logischen Gattern zu realisieren ist. Dies ist ein schwieriges technisches Unterfangen. 6 Inkorrekte Interpretation Aufgrund den interpretierten Frames wird eine binäre Entscheidung getroffen. Diese Interpretation kann irrtümlicherweise Falsch sein, da es sich bei der Watermarking Technologie um eine komplexe Art der Informationscodierung handelt. Es ist somit möglich, dass einige DVDs fehlerbehaftet sind und vom Endverbraucher nicht alle Operationen ausgeführt werden können. Weiter sollte auch der Effekt einer Bildskalierung 7 die Interpretation der Bilder nicht beeinträchtigen. Interaktion mit MPEG Kompression Watermarking fügt der Bildinformation zusätzliche Details hinzu, welche bei der MPEG Kodierung herausgefiltert werden könnten. Das Watermarking Schema muss also auf DVD speziell angepasst werden, damit die Schutzinformation die MPEG Kompression übersteht. Detektor Plazierung Wird der Detector innerhalb des DVD Players integriert, wird ein MGEP Parser auf dem Gerät benötigt. Findet die Interpertation des Watermarking Signals in der Applikation statt, so muss das Signal nach der Authentifizierung widerum sicher über den Link gebracht werden. 6 Mit ungefähr Gattern. 7 DVD Player haben die Möglichkeit das Video in der Grösse zu ändern. Letterbox ist die Technik welche dir Bildbreite von 4:3 auf 16:9 ändert.

11 Kapitel 3 CSS Kryptoanalysis 3.1 System Ueberblick In der folgenden Analyse sind folgende Komponenten von Bedeutung: Das DVD Medium, der DVD Player und der Host, auf welchem die DVD abgespielt wird. 3.2 Die Schlüssel Authentication Key (Teil des Authentifizierungs-Prozesses) Session Key (Dieser Schlüssel wird während der Authentifizierung ausgehandelt und wird gebraucht um Titel Key und Disk Key zu verschlüsseln, bevor diese den ungeschützten Bus passieren. Somit wird die Vertraulichkeit sichergestellt.) Player Key (Der Player Key wird von der DVD Copy Control Association an die Hersteller der DVD Player verteilt. Innerhalb des Players gespeichert, sichert es die Authentifizierung des Players und entschlüsselt den Disk Key) Disk Key (Dieser Schlüssel wird gebraucht um den Title Key zu entschlüsseln.) Sector Key (Der Sector Key befindet sich innerhalb des 128 Byte langen Sektor-Headers. Er ist 5 Byte lang und wird eingesetzt, um die Daten innerhalb eines Sektors zu verschlüsseln.) Title Key (Dieser Schlüssel wird mit dem Per-Sektor-Key in einer XOR Operation, mit der zu verschlüsselnden Information zusammen, zu den Sektor Daten verschlüsselt. 11

12 KAPITEL 3. CSS KRYPTOANALYSIS Session Überblick 1) Authentifizierung (Der Host und das Laufwerk etablieren gegenseitiges Vertrauen. Dabei wird ein Session Key ausgehandelt.) 2) Der DVD Player versucht mit mehreren Player Keys den Disk Key zu entschlüsseln. 3) Titel und Bus Keys werden vom Player zum Host geschickt. Der Sesison Key wird gebraucht, um die Vertraulichkeit der Titel- und Disk Keys zu wahren. 4) Der DVD Player sendet ein Sektor an den Host. 5) Der Host decodiert den Title Key mit dem Disk Key. 6) Der Host decodiert den Sector mit dem Title Key und dem Sector Key im Sector Header. Abbildung 3.1: Disk- und Playerkeys 3.4 Disk- und Playerkey Jeder Player erhält eine Anzahl lizenzierter Player Keys. Diese Player Keys werden benötigt, um den Disk Key auf der DVD zu entschlüsseln. Der Disk Key wiederum wird gebraucht, um die Title Keys auf der Disk zu entschlüsseln. Jede Einheit auf der DVD ist mit einem separaten Title Key verschlüsselt. Um diese Einheit entschlüsseln zu können muss also zuerst der Disk Key entschlüsselt werden. Der Disk Key ist auf einem versteckten Sektor auf der DVD abgespeichert. Weiter befinden sich in diesem Sektor eine Tabelle mit dem Disk Key, verschlüsselt mit allen 409 möglichen Player Keys. Für die Verifizierung befindet sich auch der Disk Key darauf, welcher mit sich selber verschlüsselt wurde. Der Player entschlüsselt einen Tabelleneintrag und verifiziert das Resultat, indem er den verschlüsselten Disk Key entschlüsselt. Das Resultat sollte nun

13 KAPITEL 3. CSS KRYPTOANALYSIS 13 der Disk Key sein. So werden alle existierenden Player Keys ausprobiert, bis einer passt, und die Verifizierung den richtigen Disk Key zurückliefert.[3] 3.5 CSS Streamcipher Liner Feedback Shift Registers (LSFRs) Eine bekannte Technik, womit ein Bitstream verschlüsselt werden kann, ist die XOR Operation mit einem Pseudo-Random Bitstream. Falls diese zufällig erscheinende Bit-Folge durch den Empfänger nachgebildet werden kann, so kann auch die Mitteilung decodiert werden, indem die XOR Operation erneut angewendet wird. Das Lineare Feedback Shift Register (LSFR) ermöglicht die Erzeugung solcher Pseudo-Random Zeichenfolgen. Nachdem der LSFR mit einem Wert initialisiert worden ist 1, erfolgt das Triggern des Schieberegisters. So wird bei jedem Durchlauf ein weiteres Random-Bit erzeugt. Ein beliebig langer Bitstream wird generiert. LSFRs arbeiten nicht echt zufällig. Die Periodizität hängt von der Länge der Schieberegister ab. Auch ist sie von der Konfiguration abhängig. Falls der Initialiserungswert der LFSR null ist, resultieren nur null Bitfolgen. 2 LSFRs werden häufig durch Additionen, Multiplexer oder logische Gates kombiniert. So kann eine bessere Vermischung des Outputs erreicht werden Die Initialisierung Die beiden Schieberegister werden mit einem Anfangswert initialisiert. Bei jedem Clock werden bestimmte Bit-Positionen 3 im LSFR in die Feedback Funktion eingegeben. Die Ausgabe dieser Funktion wird von Links in das Register eingegeben. Das Bit, welches Rechts hinausgeschoben wird, bildet der Output des Registers. Der CSS Algorithmus bedient sich zweier LSFRs. Das erste ist ein 17-Bit LFSR. Dieses wird mit 2 Bytes initialisiert. Eine 1 wird in der vierten Bitposition eingesetzt, damit wird Null-Cycling verhindert. Das zweite LSFR arbeitet genau gleich, jedoch mit 25 Bit. Hier werden die Positionen 1,4,5 und 15 als Tap gwählt. Beim Initialisieren wird das Bit auf Position 1 gesetzt. Auf den zweiten LSFR fallen 3 Bytes des 40-Bit Schlüssels. Der CSS Algorithmus wirft das Output Bit weg. Der Output der Feedback Funktion bildet gleichzeitig Input für das LSFR für die nächste Runde und der nächste Wert für den Pseudo-Bistream.[2] 1 Vorgang des Initialisierens wird auch seed genannt. 2 Oft auch Null-Cycling genannt. 3 Sogenannte Taps.

14 KAPITEL 3. CSS KRYPTOANALYSIS 14 Abbildung 3.2: LSFR-17 mit Taps LSFR Addition Sind genügend Bits für ein Byte generiert, wird der Output der beiden LSFR mit einer bitweisen Addition in ein Byte überführt. Das bei dieser Addition entstandene Carry-Bit wird bei der nächsten Addition als Carry-In verwendet. Bessere Algorithmen als der CSS wenden an dieser Stelle komplexere Operationen auf den Bitstream an. Abbildung 3.3: LSFR Addition Die Vier Betriebs-Modi CSS hat vier verschiedene Betriebsmodi. Je nach Modus werden die Bits zwischen LSFR und Addition invertiert oder nicht. Folgende Konfigurationen sind möglich:

15 KAPITEL 3. CSS KRYPTOANALYSIS 15 Mode LSFR-17 LSFR-25 Authentication Ja Nein Session Key Nein Nein Title Key Nein Ja Data Ja Nein Daten Ver- und Entschlüsselung Um Daten zu ver- und entschlüsseln werden die beiden LSFR mit den ersten zwei Bytes, bzw. den letzten drei Bytes des Title Keys initialisiert. Bevor die Bytes in die LSFR abgefüllt werden, findet eine XOR Operation mit dem Sector Key statt. Der Sector Key befindet sich auf Byte-Position innerhalb eines Sektors. Sind die LSFR initialisiert, so resultiert der Ciphertext aus der byteweisen XOR Operation des Bit-Streams mit dem Plaintext. Beim Decodieren werden die Operationen in umgekehrter Reihenfolge ausgeführt. Wie beim DES Algorithmus wird vor der XOR Operation eine tabellenbasierte Substitution vorgenommen 4 Key-Encryption und Authentifizierung Werden Schlüssel ausgetauscht, so wird der Output der Schieberegister zuerst noch mittels einer Mangling Funktion bearbeitet. Beim Authentifizierungsvorgang wird eine Authentication Grant ID (AGID) vom Host angefordert. Damid wird eine gegenseitige Authentifizierung aufgebaut, welche auf einem Secret Key Verfahren basiert.[3] 3.6 Die Schwächen Brute Force Attacke Bei einem 40 Bit Schlüssel bietet sich Exhaustive Search an. Die Schlüssellänge ist daher eine grosse Schwäche des CSS Algorithmus LSFR Output Da die Outputs der beiden LSFR nur mittels einer Addition bearbeitet werden, kann der Schlüssel mittels Reverse-Engineering berechnet werden. Dazu reichen bereits 5 bzw. 6 Bytes des Outputs aus. Dann erfolgt der Angriff auf den Key mit einem Aufwand von 2 hoch Attacke auf Disk Key Hash Mittelse einer Attacke mit Aufwand 2 hoch 25 kann der Disk Key geknackt werden. Hierbei handelt es sich um einen komplexen Algorithmus. Weitere 4 Mittels einer Technik, welche S-Boxen anwendent.

16 KAPITEL 3. CSS KRYPTOANALYSIS 16 Information kann der Literatur entnommen werden.[3]

17 Kapitel 4 Fazit 4.1 Politische Machtverhältnisse Motion Picture Association (MPAA) Die Motion Picture Association (MPAA) interessiert sich für einen guten, starken Algorithmus für den Schutz von Filmmaterial. Sie ist schliesslich der Urheber der Bildinformation und will, dass möglichst viele Filmträger legal erworben werden Consumer Electronics Manufacturers (CEMA) Die Consumer Electronics Manufacturers (CEMA) Association hingegen produziert DVD Abspiel Geräte. Hier liegt das Interesse bei einer einfachen, billigen Hardwarelösung. Auch sollten die Kosten für DVD-Standard implementierende Hardware möglichst gering sein Copy Protection Working Group (CPWG) Die Vereinigung der Copy Protection Working Group (CPTWG) implementiert die gesamten Sicherheitsmassnahmen rund um die DVD. Sie wurde ursprünglich von der MPAA und CEMA ins Leben gerufen. Eine wild zusammengewürfelte Gruppe bildet in sogenannten Ad hock Sitzungen neue Stantards und Spezifikationen. Die Machtverhältnisse sind nicht klar definiert Computer und Anwender Computer Industrie und Konsumenten sind auf ein billiges, vielseitiges Medium aus. Hier stösst das komplizierte Sicherheitssystem der DVD auf wenig Verständnis. Eine grosse Unzufriedenheit macht sich zunehmend breit, weil das CSS System aufgrund technischer und konzeptioneller Mängel immer mehr Konsumenten und Anwender verärgert. 17

18 Literaturverzeichnis [1] J. A. Bloom, I. J. Cox, T. Kalker, J. Linnartz, M. Miller, C. Traw, Copy Protetction for DVD Video, Juli [2] Gregory Kesden, Content Scrambling System (CSS), Dezember [3] Frank A. Stevenson, Cryptoanalysis of Contents Scrambling System, November