Oprava softwaru Freeme
Komunikace opravy Freeme.exe k vlastníkům obsahu a poskytovatelům služeb
Situace
Společnost Microsoft otestovala software Freeme.exe vydaný 19. října 2001 na webové stránce pro registraci a zjistila, že uživatelé, kteří si zakoupili nebo licencovali obsah chráněný správou Microsoft Windows Media Digital Rights Management verze 7 (včetně verze 7.1), mohou pomocí softwaru Freeme narušit ochranu DRM (Digital Rights Management) pro obsah. Důležité je, že toto narušení ochrany nemá za následek ohrožení soukromí osobních informací uložených v místních počítačích. Narušení ochrany se týká pouze obsahu chráněného sadou SDK (Software Development Kit) správce Windows Media Rights Manager verze 7, nikoli verze 1.
Společnost Microsoft také ověřila, že toto ohrožení je založeno na získání platné licence. To znamená, že nelze obejít zabezpečení obsahu, který nebyl licencován nebo zakoupen uživatelem, jelikož pro obsah chráněný technologií Microsoft Windows Media DRM získává uživatel licenci nezávisle na obsahu.
Společnost Microsoft věnuje každému ohrožení zabezpečení DRM velkou pozornost. Zajištění, že produkty společnosti Microsoft zůstávají zabezpečené před počítačovými podvodníky, je v současnosti nejvyšší prioritou a zůstane jí také i v budoucnosti. Vzhledem k tomu, že každý systém DRM může být potenciálně prolomen, počítá Správa DRM služby Windows Media ve svém návrhu s podporou dynamických aktualizací. Ty zajistí spolehlivost systému v případě možného ohrožení zabezpečení. Tento mechanismus aktualizace, označovaný také jako obnovení zabezpečení, nevyžaduje novou verzi přehrávače Windows Media Player ani softwarové sady Windows Media Format Software Development Kit.
Společnost Microsoft vydala opravu pro software Freeme a bylo doplněno další zabezpečení, které znesnadňuje počítačovým podvodníkům v budoucnosti zneužít publikované informace.
Přehled opravy
Řešením uvedeného narušení Správy DRM služby Windows Media představuje obnovitelnost. Jedná se o proces, při kterém jsou poškozené součásti zabezpečení Windows Media, zejména subsystémy DRM chránící modul obsahu (nebo černá skříňka), nahrazeny novou, zabezpečenou součástí. Z hlediska spotřebitele to znamená, že před přehráním zabezpečeného obsahu staženého od vlastníka obsahu nebo distributora je nutné aktualizovat součásti zabezpečení. Aktualizace je však navržena tak, že nejsou odesílány žádné osobní informace, které by mohly sloužit k identifikaci, ani údaje týkající se použití obsahu.
Obsah opravy pro narušení softwarem Freeme:
- balení nového obsahu nebo opětovné balení již zašifrovaného obsahu při vyžádání obnovené součásti zabezpečení,
- aktualizace licenčních serverů při spuštění procesu obnovení a poskytování licencí pro obnovené součásti,
- obnovení součásti zabezpečení v přehrávači Media Player při získání chráněného obsahu od uživatelů.
Při provádění aktualizace systému Správy DRM služby Windows Media jsou požadovány tyto tři kroky:
- Aktualizace hlavičky obsahu. Při balení nového obsahu nebo při opětovném balení stávajícího obsahu je třeba přidat nebo upravit identifikátor verze součásti zabezpečení (technicky označován jako číslo verze individualizace) v hlavičce obsahu. Cílem je aktualizace součásti zabezpečení.
- Aktualizace licenčního serveru. Jedná se o aktualizaci certifikátu na licenčním serveru, která umožňuje licenčnímu serveru vydávat licence k nový součástem zabezpečení.
- Spuštění obnovení. Proběhne spuštění aktualizace pro součást zabezpečení v případě, že klient odešle požadavek na licenční server.
 Zpět na začátek
Podrobnosti implementace:
Oprava narušení softwarem Freeme vyžaduje provedení následujících kroků. První krok, tj. aktualizaci hlavičky obsahu, může provést vlastník obsahu nebo vydavatel licencí, zatímco druhý a třetí krok musí zajistit vydavatelé licencí. Vlastníkům obsahu se doporučuje znovu zabalit veškerý obsah použitím nejvyšší verze součásti zabezpečení 2.2, která zajistí zabezpečení obsahu.
1. Aktualizace hlavičky obsahu
Tento postup provádějí společnosti, které zajišťují balení obsahu. V tomto kroku subjekt odpovědný za balení obsahu přidá atribut do hlavičky chráněného souboru Windows Media. Pokud je atribut již používán individualizací, proběhne pouze změna atributu. Počítejte s tím, že se NEJEDNÁ o stejný postup, jako opětovné šifrování obsahu.
Postup při aktualizaci hlavičky:
V hlavičce chráněného obsahu nastavte parametr WMRMHeader.IndividualizedVersion na hodnotu "2.2". Vlastnost WMRMHeader.IndividualizedVersion označuje nejnižší verzi součásti zabezpečení Správy DRM služby Windows Media, která je vyžadována pro přehrávání obsahu. Je-li tato vlastnost nastavena na hodnotu 2.2, klient zavolá subsystém DRM a ověří, zda má klient správnou verzi součásti zabezpečení. Pokud subsystém disponuje individualizovanou součástí zabezpečení s verzí číslo 2.2, licenční server může vydat licenci vázanou k veřejnému klíči nové součásti zabezpečení.
2. Aktualizace licenčních serverů
Všichni vydavatelé licencí musí aktualizovat konfiguraci příslušných licenčních serverů. Tím zajistí splnění následujících podmínek:
- Licence nejsou vydávány uživatelům, kteří mají v počítačích uloženy nedostatečně zabezpečené součásti.
- Licence jsou vydávány uživatelům, kteří disponují v počítačích aktualizovanými součástmi zabezpečení.
Možnosti aktualizace konfigurace:
- V počítači, ve kterém je spuštěný licenční server, přejděte na stránku http://licenseserver.windowsmedia.com/.
- Klepnutím na odkaz pro stažení posledního licenčního serveru proveďte automatickou aktualizaci konfigurace pro licenční server.
Konfiguraci licenčních serverů lze případně aktualizovat ručně:
- Vytvořte nový klíč registru s názvem "2.2.0.1" ve složce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys.
- Nově vytvořený klíč registru nastavte na hodnotu "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fw==".
- Upravte hodnotu klíče registru "2.1.0.0" uvedeného ve složce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys na "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy==".
- Upravte hodnotu klíče registru "2.1.0.1" uvedeného ve složce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys na "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy==".
Poznámka: Tím zabráníte licenčnímu serveru vydávat licence zastaralým součástem zabezpečení.
Poznámka: Není-li licenční server aktualizován (pomocí uvedených kroků) a aktualizovaný klient (klient aktualizovaný pomocí nové součásti zabezpečení) pošle požadavek na licenční server, vydání licence se na licenčním serveru nezdaří a klientovi bude vrácena chyba. Licenční servery je nutné udržovat v aktualizovaném stavu, aby mohli aktualizovaní klienti získávat licence.
3. Spuštění aktualizace nové součásti zabezpečení na straně serveru
Tímto krokem provedete aktualizaci licenčního serveru, takže bude moci detekovat číslo verze součásti zabezpečení DRM, která zajišťuje požadavek na licenci, a přesměrovat na webovou stránku upgradu v případě, že verze součásti je nižší než "2.2.0.1".
Když přehrávač Media Player vyžádá licenci pro obsah, odešle licenčnímu serveru informace o hardwaru. Nejsou odesílány žádné informace, které by mohly být použity k identifikaci uživatele, ani žádné údaje týkající se použití obsahu uživatelem. V rámci údajů je uvedena vlastnost ClientAttribute (WMRMChallenge.ClientAttribute) s názvem SECURITYVERSION. Tato vlastnost určuje verzi zabezpečení pro součást zabezpečení DRM. Je-li hodnota atributu SECURITYVERSION menší než "2.2.0.1", pak by měl licenční server přesměrovat klienta na webovou stránku, která je uložena na serveru společnosti Microsoft ( http://drmlicense.one.microsoft.com/Indivsite/indivit2.htm). Pomocí této stránky lze aktualizovat součást zabezpečení DRM v počítači uživatele.
Poznámka: I v případě, že chráněný obsah požaduje doručení licence bez obsluhy, uživatelům, kteří požadují licence, bude i nadále zobrazováno upozornění, že potřebují novou součást zabezpečení. Instalace nové součásti zabezpečení je podmíněna souhlasem uživatele.
Poznámka: Ukázkový skript pro aktualizaci obsahu pomocí nové verze individualizace a pro upgrade licence obsahu z verze 1 na verzi 7.1 najdete v sadě WMRM SDK verze 7.1.
Zpět na začátek
Činnost koncového uživatele
Pokud číslo verze zabezpečení, které je uvedeno v hlavičce obsahu, je vyšší než číslo verze zabezpečení modulu, který chrání obsah v počítači, licenční server přesměruje uživatele na službu individualizace společnosti Microsoft, která zajišťuje aktualizaci podsystému DRM pomocí nové součásti zabezpečení. Pokud uživatel používá přehrávač Windows Media Player, zobrazí se následující dialogové okno individualizace. Uživatel se může rozhodnout, zda chcete upgrade provést či nikoli.
Jestliže uživatel klepne na odkaz Learn More (Další informace), dojde k přesměrování na webovou stránku: http://www.microsoft.com/windows/windowsmedia/software/v8/privacy.asp, na které jsou uvedeny další informace o zásadách ochrany osobních údajů.
- Pokud se uživatel rozhodne upgrade neprovádět, nebude si moci vyžádat a přehrát nový obsah, který vyžaduje vyšší verzi zabezpečení.
- Jestliže se uživatel rozhodne pro upgrade, služba individualizace načte nový modul pro ochranu obsahu (obsahuje opravu o velikosti přibližně 110 kB) do počítače uživatele. Licenční server pak může vydat licenci, která je vázána na veřejný klíč nově staženého chráněného modulu obsahu.
Zpět na začátek
Nejlepší postupy
Kromě uvedených postupů se doporučuje provést postupy uvedené v sadě Windows Media Rights Manager Software Development Kit, zejména:
- šifrování jednotlivých částí mediálního obsahu vlastním jedinečným klíčem,
- pravidelná změna zdrojového čísla,
- vydávání pouze licencí Windows Media DRM verze 7.1,
- použití dynamické hlavičky pro obsah, který bude v budoucnosti vyžadovat aktualizaci obsahu.
Zpět na začátek
|
