Correção do software Freeme
Comunicação da correção do Freeme.exe para os proprietários de conteúdo e provedores de serviço
Situação
A Microsoft avaliou o software Freeme.exe, lançado dia 19 de outubro de 2001 no site Register Web, e verificou que para os usuários que compraram ou licenciaram o conteúdo protegido pelo Gerenciamento de Direitos Digitais do Microsoft Windows versão 7 (incluindo a versão 7.1), o software Freeme pode ser aplicado para violar a proteção de conteúdo do Gerenciamento de Direitos Digitais (DRM). É importante observar que esta violação não causa ameaças à privacidade das informações dos usuários em seus computadores. Além disso, essa violação afeta apenas o conteúdo protegido pelo Kit de desenvolvimento de software (SDK) da versão 7 do Gerenciador de Direitos do Windows Media, e não a versão 1.
A Microsoft também verificou que esta violação se estabelece quando da obtenção de uma licença válida, o que significa que não é possível burlar a segurança do conteúdo que não foi licenciado ou comprado por um usuário porque, se o conteúdo estiver protegido com o DRM do Microsoft Windows, o usuário adquire a licença separadamente do conteúdo.
A Microsoft leva muito a sério qualquer violação do DRM. Garantir que seus produtos permanecerão protegidos contra os hackers continua sendo uma prioridade, agora e sempre. Como qualquer sistema DRM pode ser potencialmente comprometido, a Microsoft desenvolveu o sistema DRM do Windows Media para dar suporte a atualizações dinâmicas, para o caso de ocorrer um comprometimento de segurança como este. Este mecanismo de atualização, chamado de renovação de segurança, não requer uma nova versão do Windows Media Player ou do SDK de formato do Windows Media.
A Microsoft lançou a correção para o software Freeme e incluiu segurança adicional para dificultar que futuros atacantes usem informações já publicadas.
Resumo da correção
A solução para esta violação do DRM do Windows Media é a renovação, um processo pelo qual um componente de segurança comprometido do Windows Media, especificamente o módulo de conteúdo protegido dos subsistemas DRM (ou caixa preta), é substituído por um novo componente protegido. Da perspectiva do consumidor, isso significa que o usuário precisará atualizar os componentes de segurança antes que possam executar o conteúdo protegido baixado de um proprietário ou distribuidor de conteúdo. Entretanto, este processo foi elaborado de tal forma que nenhuma informação pessoal identificável ou informação sobre o uso do conteúdo pelos usuários é enviada.
A correção da violação Freeme inclui:
- O empacotamento do novo conteúdo e o reempacotamento do conteúdo já criptografado para exigir um componente de segurança renovado
- A atualização dos servidores de licenças para disparar o processo de renovação e oferecer licenças aos componentes renovados e
- A renovação do componente de segurança no Media Player quando os usuários adquirirem o conteúdo protegido
Para executar esta atualização no sistema DRM do Windows Media, as três etapas a seguir devem ser concluídas:
- Atualize o Cabeçalho do Conteúdo Ao empacotar o novo conteúdo ou reempacotar o conteúdo existente, adicione ou modifique o identificador da versão do componente de segurança (tecnicamente conhecido como "número da versão de individualização") no cabeçalho do conteúdo para acionar a atualização do componentes de segurança.
- Atualize o servidor de licenças Atualize o certificado no servidor de licenças para permitir que ele emita as licenças para os componentes com a nova segurança.
- Acione a renovação Acione a atualização do componente de segurança quando um cliente fizer uma solicitação para um servidor de licenças.
 Voltar ao início
Detalhes da implementação:
É imprescindível executar as etapas a seguir para neutralizar a violação do software Freeme. Os proprietários de conteúdo ou os emissores das licenças devem executar a primeira etapa da atualização do cabeçalho do conteúdo, enquanto os emissores da licença devem executar a segunda e a terceira etapas. Os proprietários do conteúdo são encorajados a reempacotar todo o seu conteúdo com a versão 2.2 do componente, a de maior segurança, para garantir a proteção do conteúdo.
1. Atualize o cabeçalho do conteúdo
Este procedimento é executado pela empresa que empacota o conteúdo. Nesta etapa, o empacotador do conteúdo adicionará um atributo ou alterará o atributo, se já estiver usando a "Individualização," no cabeçalho do arquivo protegido do Windows Media. Observe que isso NÃO é a mesma coisa que recriptografar o conteúdo
.
Para atualizar o cabeçalho, siga as instruções abaixo:
Defina WMRMHeader.IndividualizedVersion como "2.2" no cabeçalho do conteúdo protegido. Esta propriedade, WMRMHeader.IndividualizedVersion, indica a versão mínima do componente de segurança DRM do Windows Media que é necessária para reproduzir este conteúdo. Se esta propriedade estiver definida como 2.2, o cliente chamará o subsistema DRM para verificar se tem a versão correta do componente de segurança. Se o subsistema tiver o componente de segurança individualizado com o número de versão 2.2, o servidor de licenças poderá emitir uma licença vinculada a uma chave pública do novo componente de segurança.
2. Atualize o(s) servidor(es) de licença
Cada emissor de licença deve atualizar a configuração do seu servidor de licenças para garantir que:
- ele não emita licenças para usuários que tenham o componente de segurança comprometido em seus PCs
- ele possa emitir licenças para os usuários que tenham atualizado o componente de segurança em seus PCs.
A configuração pode ser atualizada da seguinte maneira:
- Na máquina em que o servidor de licenças estiver sendo executado, vá para: http://licenseserver.windowsmedia.com/
- Clique no link Baixar as informações mais recentes do Servidor de Licenças desta página para atualizar automaticamente a configuração do servidor de licenças
Como alternativa, a configuração dos servidores de licença pode ser atualizada manualmente, da seguinte maneira:
- Crie uma chave de registro chamada "2.2.0.1" em HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys
- Defina o valor desta chave de registro recém-criada como "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fw=="
- Altere o valor da chave de registro "2.1.0.0" em HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys para "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy=="
- Altere o valor da chave de registro "2.1.0.1" em HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys para "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy=="
OBSERVAÇÃO: isso impedirá o servidor de licenças de emitir licenças para componentes com a segurança antiga.
OBSERVAÇÃO: se o servidor de licenças não for atualizado (com as etapas acima) e um cliente atualizado (um cliente que tenha sido atualizado com o novo componente de segurança) fizer uma solicitação ao servidor de licenças, este falhará e gerará um erro no cliente. É importante atualizar o seu servidor de licenças (ou aquele que estiver encarregado das suas licenças) para garantir que os clientes atualizados sejam capazes de receber licenças.
3. Acione a atualização do novo componente de segurança no servidor
Esta etapa atualiza o servidor de licenças de modo que ele possa detectar o número da versão do componente de segurança do DRM que está fazendo a solicitação da licença e redirecioná-lo para a página de atualização caso a versão do componente de segurança seja anterior à "2.2.0.1".
Quando o Media Player solicita uma licença de conteúdo, envia informações sobre o hardware para o servidor de licenças. Nenhuma informação pessoal identificável ou informação sobre o uso do conteúdo pelos usuário é enviada. Agregada a essas informações está a propriedade (WMRMChallenge.ClientAttribute) chamada SECURITYVERSION. Esta propriedade especifica a versão segura do componente de segurança DRM. Se o valor do atributo SECURITYVERSION for inferior a "2.2.0.1", o servidor de licenças redirecionará o cliente para a página mantida pela Microsoft ( http://drmlicense.one.microsoft.com/Indivsite/indivit2.htm) que pode atualizar o componente de segurança DRM nas máquinas dos usuários.
Observação: Mesmo que o conteúdo protegido chame o envio silencioso da licença, os usuários que adquirem a licença ainda serão notificados de que precisam de um novo componente de segurança e de que é necessário seu consentimento para que o componente seja instalado.
Observação: O script de exemplo para a atualização do conteúdo com a nova versão de Individualização e para a atualização da licença do conteúdo de v1 para v7.1 pode ser encontrado no WMRM SDK v7.1.
Voltar ao início
Experiência do usuário
Se o número da versão de segurança que foi especificado no cabeçalho do conteúdo for maior que o número da versão de segurança do módulo de conteúdo protegido das máquinas, o servidor de licenças redirecionará o usuário para o Serviço de Individualização da Microsoft para atualizar o subsistema DRM com o novo componente de segurança. Se o usuário estiver usando o Windows Media Player, ele verá a caixa de diálogo Individualização a seguir. Ele terá a opção de atualizar ou não.
Se o usuário clicar em Obter Mais Informações, ele será redirecionado para a página: http://www.microsoft.com/windows/windowsmedia/software/v8/privacy.asp, na qual ele poderá encontrar mais informações sobre as diretivas de privacidade da Microsoft.
- Se o usuário optar por não atualizar, ele não poderá adquirir ou reproduzir o novo conteúdo que precisar de uma versão de segurança mais recente.
- Se o usuário optar por atualizar, o serviço de Individualização baixará o novo módulo de conteúdo protegido (contendo a proteção de, aproximadamente, 110K) na máquina do usuário. Então, o servidor de licenças poderá emitir uma licença que esteja vinculada à chave pública do módulo de conteúdo protegido recém-baixado.
Voltar ao início
Práticas recomendadas
Além dos procedimentos descritos acima, recomendamos as práticas a seguir, descritas no SDK do Gerenciador de Direitos do Windows Media. Especificamente:
- Criptografe cada parte do conteúdo de mídia com sua própria chave exclusiva.
- Altere a propagação periodicamente.
- Emita apenas licenças Windows Media DRM v7.1.
- Use cabeçalhos dinâmicos para o conteúdo de modo a permitir uma atualização rápida no futuro.
Voltar ao início
|
