Correzione per il software Freeme
Correzione per Freeme.exe: comunicazione ai proprietari di contenuti e ai provider di servizi
Situazione
Microsoft ha valutato il software Freeme.exe pubblicato il 19 ottobre 2001 nel sito Web The Register e ha verificato che per i clienti che hanno acquistato o ottenuto in licenza contenuti protetti con Microsoft Windows Media Digital Rights Management versione 7 (inclusa la versione 7.1), il software Freeme può essere utilizzato per violare la protezione DRM dei contenuti. È importante sottolineare che non vi è alcun pericolo per la protezione delle informazioni personali degli utenti conservate nei computer. Inoltre, il problema interessa solo i contenuti protetti con il Software Development Kit (SDK) di Windows Media Rights Manager versione 7, non versione 1.
Microsoft ha inoltre verificato che questa vulnerabilità riguarda la licenza e, quindi, non è possibile aggirare la protezione di contenuti che non sono stati acquistati o ottenuti in licenza da un utente. Se il contenuto è protetto con Microsoft Windows Media DRM, l'utente acquisisce infatti la licenza separatamente rispetto al contenuto.
Microsoft valuta con estrema attenzione ogni vulnerabilità dei sistemi DRM. Per Microsoft è di importanza fondamentale che i suoi prodotti siano al sicuro dai pirati informatici, sia adesso che in futuro. Dal momento che qualsiasi sistema DRM può, potenzialmente, essere compromesso, Microsoft ha progettato il sistema Windows Media DRM in modo che supporti gli aggiornamenti dinamici, proprio per far fronte a evenienze di questo tipo. Questo meccanismo di aggiornamento, detto rinnovo della protezione, non richiede che venga rilasciata una nuova versione di Windows Media Player o di Windows Media Format Software Development Kit.
Microsoft ha rilasciato la correzione per il software Freeme e ha incluso misure aggiuntive per la protezione, in modo che in futuro per i pirati informatici risulti più difficile sfruttare le informazioni pubblicate.
Riepilogo della correzione
La soluzione per questa vulnerabilità di Windows Media DRM è il rinnovo, un processo in virtù del quale un componente di protezione di Windows Media compromesso, in specifico il modulo del contenuto protetto (o blackbox) del sottosistema DRM, viene sostituito con uno nuovo, protetto. Dal punto di vista del cliente, questo significa che l'utente deve aggiornare i componenti di protezione prima di poter riprodurre contenuto protetto scaricato da un proprietario o un distributore di contenuti. Con questo processo non vengono comunque trasmesse informazioni che consentono l'identificazione personale dell'utente, né informazioni sull'utilizzo del contenuto da parte dell'utente.
La correzione per il software Freeme prevede:
- Creazione di un pacchetto per il nuovo contenuto o creazione di un nuovo pacchetto per il contenuto già crittografato per richiedere un componente di protezione rinnovato
- Aggiornamento dei server delle licenze per attivare il processo di rinnovo e fornire le licenze ai componenti rinnovati
- Rinnovo del componente di protezione in Windows Media Player quando gli utenti acquisiscono contenuto protetto
Per aggiornare il sistema Windows Media DRM, procedere come indicato di seguito:
- Aggiornare l'intestazione del contenuto: quando si crea un pacchetto per contenuto nuovo o si crea un nuovo pacchetto per contenuto esistente, aggiungere o modificare l'identificatore della versione del componente di protezione (nel gergo tecnico il "numero di versione di individualizzazione") nell'intestazione del contenuto per attivare l'aggiornamento del componente di protezione.
- Aggiornare il server delle licenze: aggiornare il certificato nel server delle licenze per consentire l'emissione di licenze per i nuovi componenti di protezione.
- Attivare il rinnovo: attivare l'aggiornamento del componente di protezione quando un client effettua una richiesta a un server delle licenze.
 Torna all'inizio
Dettagli di implementazione
È essenziale eseguire la procedura seguente per neutralizzare la vulnerabilità del software Freeme. Il primo passaggio per l'aggiornamento dell'intestazione del contenuto deve essere eseguito dai proprietari dei contenuti o dalle organizzazioni che emettono le licenze. Il secondo e il terzo passaggio devono essere eseguiti dalle organizzazioni che emettono le licenze. I proprietari dei contenuti sono invitati a ricrittografare tutti i contenuti con il componente di protezione versione 2.2, per garantire la protezione dei contenuti.
1. Aggiornare l'intestazione del contenuto
Questa procedura deve essere eseguita dalle organizzazioni che crittografano il contenuto. In questo passaggio il packager del contenuto aggiunge un attributo o modifica un attributo se viene già utilizzata la "individualizzazione", nell'intestazione del file Windows Media protetto. Si noti che questo NON significa ricrittografare il contenuto.
Per aggiornare l'intestazione
Impostare WMRMHeader.IndividualizedVersion su "2.2" nell'intestazione del contenuto protetto. La proprietà WMRMHeader.IndividualizedVersion indica il numero di versione minimo del componente di protezione di Windows Media DRM richiesto per la riproduzione del contenuto. Se la proprietà è impostata su 2.2, il client richiamerà il sottosistema DRM per verificare se ha la versione corretta del componente di protezione. Se il sottosistema ha un componente di protezione individualizzato con il numero di versione 2.2, il server delle licenze potrà emettere una licenza associata alla chiave pubblica del nuovo componente di protezione.
2. Aggiornare il server delle licenze
Ogni organizzazione che emette licenze deve aggiornare la configurazione dei suoi server delle licenze, in modo da:
- Non emettere licenze a utenti nel cui PC è presente il componente di protezione compromesso.
- Rilasciare licenze agli utenti che hanno aggiornato il componente di protezione nei loro PC.
Per aggiornare la configurazione
- Nel computer in cui viene eseguito il server delle licenze, passare a: http://licenseserver.windowsmedia.com/
- Fare clic sul collegamento Download the Latest License Server Information per aggiornare automaticamente la configurazione del server delle licenze
In alternativa, per aggiornare manualmente la configurazione dei server delle licenze
- Creare una nuova chiave del Registro di sistema denominata "2.2.0.1" in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys
- Impostare il valore di questa nuova chiave del Registro di sistema su "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fw=="
- Modificare il valore della chiave del Registro di sistema "2.1.0.0" in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys specificando "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy=="
- Modificare il valore della chiave del Registro di sistema "2.1.0.1" in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WM Rights Manager\LicenseServer\VerificationKeys specificando "WRZPSd6hM7Q9ZakF9NO3ydZA7UN888SR*!j!cH!wrd18zsbXVdR4fy=="
NOTA: in questo modo il server delle licenze non rilascerà licenze ai componenti di protezione non aggiornati.
NOTA: se il server delle licenze non viene aggiornato (con la procedura precedente) e un client aggiornato (un client che è stato aggiornato con il nuovo componente di protezione) presenta una richiesta al server delle licenze, il server delle licenze non elaborerà la richiesta e invierà un errore al client. È importante aggiornare il server delle licenze in modo che i client aggiornati possano ricevere le licenze.
3. Attivare l'aggiornamento del nuovo componente di protezione sul lato server
Questo passaggio consente di aggiornare il server delle licenze, in modo che possa rilevare il numero di versione del componente di protezione DRM che ha richiesto la licenza e reindirizzarlo a una pagina Web di aggiornamento, se il numero di versione del componente di protezione è minore di "2.2.0.1".
Quando richiede una licenza per il contenuto, Media Player invia le informazioni sull'hardware al server delle licenze. Non vengono inviate informazioni che consentono l'identificazione personale dell'utente, né informazioni sull'utilizzo del contenuto da parte dell'utente. Nelle informazioni inviate è inclusa la proprietà ClientAttribute (WMRMChallenge.ClientAttribute) denominata SECURITYVERSION. Questa proprietà specifica la versione di protezione del componente di protezione DRM. Se il valore dell'attributo SECURITYVERSION è minore di "2.2.0.1", il server delle licenze dovrebbe reindirizzare il client a una pagina Web ospitata da Microsoft (http://go.microsoft.com/fwlink/?LinkId=30255, in lingua inglese), che può aggiornare il componente di protezione DRM nel computer dell'utente.
Nota: sebbene la consegna delle licenze per i contenuti protetti avvenga in modo invisibile all'utente, all'utente che acquisisce la licenza viene comunicato che è necessario un nuovo componente di protezione e l'utente deve dare il consenso per l'installazione del nuovo componente di protezione.
Nota: WMRM SDK v7.1 include script di esempio per l'aggiornamento del contenuto con il nuovo numero di versione di individualizzazione e per l'aggiornamento della licenza del contenuto da v1 a v7.1.
Torna all'inizio
Esperienza dell'utente
Se il numero di versione di protezione specificato nell'intestazione del contenuto è maggiore del numero di versione di protezione del modulo del contenuto protetto del computer, il server delle licenze reindirizza l'utente al servizio di individualizzazione Microsoft per l'aggiornamento del sottosistema DRM con il nuovo componente di protezione. Se l'utente utilizza Windows Media Player, vedrà la seguente finestra di dialogo di individualizzazione e potrà scegliere se eseguire l'aggiornamento o meno.
Se l'utente fa clic su Ulteriori informazioni, viene indirizzato alla pagina Web  http://go.microsoft.com/fwlink/?LinkId=31951 dove potrà trovare l'informativa sul trattamento dei dati personali Microsoft (in lingua inglese).
- Se l'utente decide di non eseguire l'aggiornamento, non potrà acquisire né riprodurre nuovi contenuti che richiedono la versione di protezione più alta.
- Se l'utente decide di eseguire l'aggiornamento, il servizio di individualizzazione scaricherà un nuovo modulo del contenuto protetto (contenente la correzione, di circa 110 KB) nel computer dell'utente. Il server delle licenze potrà quindi emettere una licenza associata alla chiave pubblica del modulo del contenuto protetto scaricato.
Torna all'inizio
Procedure consigliate
Oltre alle procedure sopra descritte, Microsoft consiglia di applicare le procedure consigliate in Windows Media Rights Manager Software Development Kit. In specifico:
- Crittografare ogni contenuto multimediale con la relativa chiave univoca.
- Cambiare periodicamente il valore di inizializzazione.
- Emettere solo licenze Windows Media DRM v7.1.
- Utilizzare la funzionalità per la creazione dinamica delle intestazioni, per consentire l'aggiornamento rapido dei contenuti in futuro.
Torna all'inizio
|
