Revisión del software Freeme
Comunicación de la revisión de Freeme.exe a los propietarios de contenido y proveedores de servicios
Situación
Microsoft ha evaluado el software Freeme.exe publicado el 19 de octubre de 2001 en el sitio Web The Register y ha constatado que el software Freeme puede infringir la protección de contenido establecida por el sistema de administración de derechos digitales (DRM) para los usuarios que hayan comprado u obtenido la licencia de contenido que esté protegido con Microsoft Windows Media Digital Rights Management 7 (incluida la versión 7.1). Es importante destacar que esta infracción no supone ninguna amenaza para la privacidad de la información personal que los usuarios puedan tener en sus equipos. Asimismo, únicamente afecta al contenido protegido con Windows Media Rights Manager 7 SDK, no con la versión 1.
Microsoft también ha podido comprobar que esta infracción se produce al obtener una licencia válida, lo que supone que no se puede burlar la seguridad del contenido no comprado o para el que no se ha adquirido licencia, puesto que si el contenido está protegido mediante Microsoft Windows Media DRM, el usuario adquiere la licencia por separado del contenido.
Para Microsoft, todas las infracciones de DRM revisten una gran seriedad. Nuestra máxima prioridad es garantizar la protección de nuestros productos frente a piratas, ahora y siempre. Ante la posibilidad de que la seguridad de algún sistema DRM quedara expuesta, Microsoft diseñó el sistema Windows Media DRM para que fuera compatible con actualizaciones dinámicas en caso de que se produjera algún riesgo de seguridad como el actual. Este mecanismo de actualización, conocido como renovación de la seguridad, no precisa una versión nueva del Reproductor de Windows Media ni del SDK Windows Media Format.
Por todo ello, Microsoft ha lanzado una revisión para el software Freeme, en la que se ha incluido seguridad adicional para impedir que posibles atacantes intenten obtener en un futuro información ya publicada.
Resumen de la revisión
La solución a esta infracción de Windows Media DRM es la posibilidad de renovación, un proceso por el que un componente de seguridad de Windows Media cuya seguridad ha quedado comprometida, en especial el módulo de contenido protegido de los subsistemas DRM (o la caja negra), se reemplaza por uno nuevo seguro. Desde el punto de vista del cliente, este proceso obliga al usuario a actualizar los componentes de seguridad para poder reproducir contenido seguro descargado de un propietario o distribuidor de contenido. No obstante, el proceso se ha diseñado para que no se envíe información personal que pueda identificarle ni datos relativos al contenido que utiliza el usuario.
La revisión para la infracción de Freeme contempla los siguientes aspectos:
- El empaquetado del contenido nuevo o el reempaquetado del contenido previamente cifrado para exigir el uso de un componente de seguridad renovado.
- La actualización de los servidores de licencias para activar el proceso de renovación y distribuir licencias para los componentes renovados.
- La renovación del componente de seguridad del Reproductor de Windows Media cuando los usuarios adquieran contenido protegido.
Para realizar esta actualización del sistema Windows Media DRM, es necesario seguir estos tres pasos:
- Actualizar el encabezado de contenido. Cuando empaquete contenido nuevo o reempaquete el existente, agregue o modifique el identificador de versión del componente de seguridad (conocido técnicamente como "número de versión de individualización") que aparece en el encabezado de contenido para que se active una actualización del componente de seguridad.
- Actualizar el servidor de licencias. Actualice el certificado del servidor de licencias para permitir que un servidor de licencias pueda emitir licencias para los nuevos componentes de seguridad.
- Activar la renovación. Active la actualización del componente de seguridad cuando un cliente envíe una solicitud a un servidor de licencias.
 Volver al principio
Detalles de la implementación:
Es obligatorio ejecutar los pasos siguientes para neutralizar la infracción del software Freeme. El primer paso, actualizar el encabezado de contenido, pueden llevarlo a cabo tanto los propietarios de contenido como los emisores de licencias, mientras que éstos últimos deben realizar obligatoriamente los pasos segundo y tercero. Se recomienda a los propietarios de contenido que reempaqueten todo su contenido con el número de versión del componente de seguridad más elevado, 2.2, para garantizar la protección del mismo.
1. Actualizar el encabezado de contenido
Este procedimiento lo llevan a cabo las organizaciones que empaquetan el contenido. En esta fase, el empaquetador de contenido agrega un atributo, o modifica uno existente si ya se utiliza la "Individualización", al encabezado del archivo protegido de Windows Media. Es importante apuntar que este proceso NO equivale a volver a cifrar el contenido.
Para actualizar el encabezado, siga estas instrucciones:
Establezca WMRMHeader.IndividualizedVersion en "2.2" en el encabezado del contenido protegido. Esta propiedad, WMRMHeader.IndividualizedVersion, indica la versión más baja del componente de seguridad de Windows Media DRM que se necesita para reproducir este contenido. Si la propiedad se establece en 2.2, el cliente llamará al subsistema DRM para comprobar si el cliente tiene la versión correcta del componente de seguridad. Si el subsistema cuenta con un componente de seguridad individualizado con el número de versión 2.2, el servidor de licencias podrá emitir una licencia dependiente de la clave pública del nuevo componente de seguridad.
2. Actualizar los servidores de licencias
Todos los emisores de licencias deben actualizar la configuración de su servidor de licencias para garantizar que:
- No emita licencias para usuarios que tengan el componente de seguridad comprometido en sus PCs.
- Pueda emitir licencias para usuarios que han actualizado el componente de seguridad en sus PCs.
La configuración puede actualizarse de la siguiente manera:
- Desde el equipo en el que se ejecuta el servidor de licencias, desde: http://licenseserver.windowsmedia.com/
- Haciendo clic en el vínculo Download the latest License Server information (Descargar la información más reciente del servidor de licencias) en esta página para actualizar automáticamente la configuración del servidor de licencias.
La configuración de los servidores de licencia también puede actualizarse manualmente como se indica a continuación:
- Cree una clave del Registro nueva con el nombre "2.2.0.1" en HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys.
- Establezca el valor de la nueva clave del Registro en "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fw==".
- Cambie el valor de la clave del Registro "2.1.0.0" en HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys a "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy==".
- Cambie el valor de la clave del Registro "2.1.0.1" en HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys a "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy==".
NOTA: de esta forma se evita que el servidor de licencias emita licencias para componentes de seguridad antiguos.
NOTA: si no se actualiza el servidor de licencias (siguiendo los pasos descritos arriba) y un cliente actualizado (un cliente que se ha actualizado con el nuevo componente de seguridad) envía una solicitud al servidor de licencias, éste último presentará errores y generará un error para el cliente. Es importante actualizar el servidor de licencias (o que alguien lo haga por usted) para garantizar que todos los clientes actualizados pueden recibir licencias.
3. Activar la actualización del componente de seguridad nuevo en el servidor
Este paso actualiza el servidor de licencias para que pueda detectar el número de versión del componente de seguridad de DRM que envía la solicitud de licencia y para redirigirlo a la página Web de actualización si la versión del componente es anterior a "2.2.0.1".
Cuando un Reproductor envía una solicitud de licencia de contenido, envía información sobre el hardware al servidor de licencias. En cambio, no se envía información personal que permita identificar al usuario ni información relativa al contenido que utiliza el usuario. En la información que se envía se incluye la propiedad ClientAttribute (WMRMChallenge.ClientAttribute) denominada SECURITYVERSION, que especifica la versión de seguridad del componente de seguridad de DRM. Si el valor del atributo SECURITYVERSION es inferior a "2.2.0.1", el servidor de licencias procede a redirigir el cliente a la página Web de Microsoft (http://go.microsoft.com/fwlink/?LinkId=30255) desde la que puede actualizarse el componente de seguridad de DRM en el equipo del usuario.
Nota: incluso si el contenido protegido llama a una entrega de licencia silenciosa, los usuarios que adquieran las licencias recibirán una notificación para informarles de que necesitan un nuevo componente de seguridad. Es imprescindible que los usuarios den su consentimiento para la instalación de este componente de seguridad.
Nota: WMRM SDK v7.1 contiene una secuencia de comandos de muestra para actualizar el contenido con el nuevo número de versión de individualización y la licencia de contenido de la versión 1 a la versión 7.1.
Volver al principio
Experiencia del usuario
Si el número de versión de seguridad especificado en el encabezado de contenido es superior al número de versión de seguridad del módulo de contenido protegido de los equipos, el servidor de licencias redirigirá al usuario al servicio de individualización de Microsoft para actualizar el subsistema DRM con el nuevo componente de seguridad. Si el usuario utiliza el Reproductor de Windows Media, verá el siguiente cuadro de diálogo de individualización y se le ofrecerá la opción de decidir si desea o no desea realizar la actualización.
Si el usuario hace clic en Learn More (Más información), será dirigido a la página Web  http://go.microsoft.com/fwlink/?LinkId=31951, desde donde puede obtener más información sobre las directivas de privacidad de Microsoft.
- Si el usuario decide no realizar la actualización, no podrá adquirir ni reproducir contenido nuevo que requiera una versión de seguridad superior.
- Si opta por ejecutar la actualización, el servicio de individualización descargará un módulo de contenido protegido nuevo (que incluye la revisión, de unos 110 K aproximadamente) al equipo del usuario. A continuación, el servidor de licencias puede emitir una licencia dependiente de la clave pública del módulo de contenido protegido que se acaba de descargar.
Volver al principio
Prácticas recomendadas
Además de los procedimientos descritos más arriba, es recomendable aplicar y cumplir las siguientes prácticas recomendadas que se describen en el Windows Media Rights Manager SDK. En concreto:
- Cifrar todo el contenido multimedia con su propia clave exclusiva.
- Cambiar periódicamente la inicialización.
- Emitir únicamente licencias para Windows Media DRM v7.1.
- Utilizar encabezados dinámicos para agilizar la actualización del contenido en el futuro.
Volver al principio
|
