HDCP

HDCP (англ. High-bandwidth Digital Content Protection — «защита широкополосного цифрового содержимого») — технология защиты медиаконтента, разработанная корпорацией Intel^[1] и предназначенная для предотвращения незаконного копирования высококачественного видеосигнала, передаваемого через интерфейсы DVI (для этого интерфейса HDCP является необязательной опцией^[2]), DisplayPort (для этого интерфейса HDCP является необязательной опцией), HDMI, GVIF или UDI. Защищённый видеосигнал может быть воспроизведён только на оборудовании, поддерживающем HDCP.

Система шифрования HDCP версий 1.x была окончательно взломана в 2010 году (был восстановлен мастер-ключ системы)^[3][4].

Технология

HDCP создана для защиты передачи медиаконтента между HDCP-передатчиком и HDCP-приёмником. Технология также предусматривает использование HDCP-повторителей с защищёнными портами для нисходящего потока данных (от поставщика к заказчику услуги). В системе может быть до семи уровней HDCP-повторителей и до 128 HDCP-совместимых устройств.

Система защиты состоит из трёх основных компонентов:

• Протокол аутентификации
• Шифрование передаваемых данных
• Защита от подслушивания «третьим лицом»

Нахождение секретной матрицы DCP LLC

14 сентября 2010 несколько онлайн-СМИ (ZDNet, Engadget) сообщили о факте открытой публикации мастер-ключа HDCP, с помощью которого можно создавать закрытые ключи устройств HDCP (device private keys) без помощи со стороны оператора ключевой инфраструктуры HDCP (The Digital Content Protection LLC). C публикацией мастер-ключа были нейтрализованы все меры по отзыву ключей устройств, так как вместо старого (отозванного) ключа устройства всегда можно сгенерировать новый^[5][6]. Не вполне ясно, каким образом был получен мастер-ключ, известно, что публикация ключа вместе с инструкцией по использованию произошла через Twitter и pastebin. Engadget считает, что атакующий мог использовать метод Crosby (2001).

Через 2 дня, 16 сентября, компания Intel (создатель HDCP) подтвердила, что данный мастер-ключ реален и что защита HDCP фактически взломана^[3][7][8]. Intel угрожает, что предпримет юридические действия против любого, кто изготавливает аппаратные устройства для обхода защиты HDCP^[9].

Протокол аутентификации

Протокол аутентификации используется между HDCP-передатчиком и HDCP-приёмником для подтверждения того, что последний является устройством, которому разрешено получать соответствующий контент. Подтверждение — знание секретного набора ключей. Каждое HDCP-устройство снабжается уникальным набором из сорока 56-битных секретных ключей, называемых DPK (англ. device private keys, секретные ключи устройства), получаемых от организации DCP LLC. Во время обмена информацией устройства создают общий секрет, который нельзя подслушать во время этого обмена, и этот секрет далее применяется как симметричный ключ для расшифровки HDCP-контента, предназначенного устройству, прошедшему аутентификацию.

Каждое HDCP-устройство хранит, помимо Device Private Keys, соответствующий 40-битный идентификатор — KSV^[англ.] (англ. key selection vector, вектор выбора ключа), который, так же, как и DPK, получает от DCP LLC.

Протокол аутентификации можно разбить на три части:

• Установление общего секрета
• Сообщение HDCP-повторителя о векторах выбора ключа, присоединённых HDCP-получателях
• Установление начального состояния шифра HDCP для кодирования содержимого кадра (третья часть происходит во время вертикального интервала, который предшествует каждому кадру, требующему шифрования).

Шифрование данных

HDCP-шифрование происходит на входе TMDS (англ. Transition Minimized Differential Signaling, дифференциальная передача сигналов с минимизацией перепадов уровней) шифратора, а расшифрование - на выходе TMDS-дешифратора. Процедура шифрования состоит из побитового сложения (XOR) потока данных с псевдослучайной последовательностью, генерируемой HDCP-шифром.

Во время вертикального интервала функция hdcpBlockCipher подготавливает HDCP-шифр к генерации для каждого пикселя входного потока 24-битной псевдослучайной последовательности, зависящей от ключа. Эти биты накладываются на TMDS-каналы, как показано в таблице на примере RGB-видеопотока.

Во время строчного интервала гашения (англ. horizontal-blanking interval) HDCP-шифр переназначает ключ каждые 56 бит, что усложняет задачу построчного взлома шифра.

HDCP-шифр

Общую структуру HDCP-шифра можно разделить на три слоя. Первый слой состоит из четырёх линейных регистров сдвига с обратной связью (англ. linear feedback shift register, LFSR), на выходе которых получается один бит. Если подан сигнал повторного ввода ключа, то этот бит помещается в средний слой. Средний слой состоит из двух схожих частей. Первая часть — функция B раунда — выполняет один раунд блочного шифрования, используя три 28-битных регистра Bx, By, Bz. Вторая часть — функция K раунда — схожа по структуре с функцией B, но работает выходом защёлки Ky (поток 28-битных раундовых ключей к раундовой функции B с частотой один 28-битный ключ в один такт). В нижнем слое каждый такт происходит компрессия четырёх выходов 28-битных регистров By, Bz, Ky, Kz в 24-битный блок псевдослучайной последовательности.

Модуль линейных регистров сдвига с обратной связью

Модуль линейных регистров сдвига состоит из четырёх LFSR различной длины и разных смесителей (англ. combining function). Функция смешения зависит от трёх отводов (англ. tap) каждого регистра.

Полиномы регистров и используемые выводы

Номер регистра	Полином регистра	Выходы, используемые для функции смешения
		0	1	2
3	${\displaystyle x^{17}+x^{15}+x^{11}+x^{5}+1}$	5	11	16
2	${\displaystyle x^{16}+x^{15}+x^{12}+x^{8}+x^{7}+x^{5}+1}$	5	9	15
1	${\displaystyle x^{14}+x^{11}+x^{10}+x^{7}+x^{6}+x^{4}+1}$	4	8	13
0	${\displaystyle x^{13}+x^{11}+x^{9}+x^{5}+1}$	3	7	12

Функция смешения состоит из четырёх каскадно-соединенных сетей с перемещением каналов (англ. shuffle network), каждая из которых включает в себя два бита состояния. Над одними отводами каждого из четырёх регистров производится операция XOR для того, чтобы сформировать входные данные для первого каскада сети. Другие отводы регистров используются для выбора входа в одну из сетей. Выход четвёртой сети складывается (XOR) с одним отводом от каждого регистра.

Сеть с перемещением каналов

На рисунке схематически изображена сеть с перемещением каналов. В том случае, если в сети содержится пара булевских значений (A, B), на вход поступает булевская величина D, а вход выбора S, то значение параметра S определяет следующее состояние. Если S — ноль, то на выход поступает A и устанавливается состояние (B, D). Если S — единица, то на выходе - B и устанавливается состояние (A, D).

Во всех режимах работы LSFR и функция смешения инициализируются 56-битным числом. 60 битов LSFR-состояния используют эти 56 битов непосредственно, плюс дополнение некоторых четырёх бит. Shuffle-сети инициализируются той же величиной.

Однобитовый выходной поток функции смешения — это единственные данные, получаемые из работы модуля LSFR. Этот поток снабжает модуль блоков материалом для создания ключей, если поступил сигнал на переопределение ключа.

Инициализация регистров сдвига

	Бит	Начальное значение
LFSR3	[16]	Дополнение ко входному биту [47]
	[15:0]	Входные биты [55:40]
LFSR2	[15]	Дополнение ко входному биту [32]
	[14:0]	Входные биты [39:25]
LFSR1	[13]	Дополнение ко входному биту [18]
	[12:0]	Входные биты [24:12]
LFSR0	[12]	Дополнение ко входному биту [6]
	[11:0]	Входные биты [11:0]
Shuffle networks	Регистр A	0
	Регистр В	1

Модуль блоков

Этот модуль состоит из двух отдельных компонент, называемых раундовыми функциями. Одна из компонент - раундовая функция K снабжает другую компоненту — раундовую функцию B — потоком ключей. Каждая компонента работает с соответствующим набором трёх 28-битных регистров.

Если поступил сигнал на переопределение ключа, то в тринадцатый бит регистра Ky записывается бит из выходного потока модуля LSFR.

S-блоки для обеих раундовых функций состоят из семи S-блоков с четырьмя входами и четырьмя выходами. Для раундовой функции K S-блоки названы SK0, SK1.. ,SK6. Для раундовой функции B S-блоки названы SB0, SB1.., SB6. В I-й вход блока J записывается бит под номером I*7+J регистров Bx или Kx, а на выход I блока J подается бит I*7+J регистров Bz, Kz. При этом бит ноль считается младшим разрядом.

Диффузионные сети для раундовой функции К показаны в таблице. Следует заметить, что ни в одной диффузионной сети для этой функции нет дополнительных входов. В половине диффузионных компонент функции B присутствуют дополнительные входы, в которые поступают биты из регистра Ky раундовой функции K.

Логическая функция выхода

Регистры Ky, Kz, By, Bz образуют логическую функцию выхода. Каждый из 24 битов получается путём сложения (XOR) девяти членов, как показывает формула ниже:

${\displaystyle (B0*K0)\oplus _{2}(B1*K1)\oplus _{2}(B2*K2)\oplus _{2}(B3*K3)\oplus _{2}(B4*K4)\oplus _{2}(B5*K5)\oplus _{2}(B6*K6)\oplus _{2}B7\oplus _{2}K7}$
Где ${\displaystyle \oplus _{2}}$ — XOR, a ${\displaystyle *}$ — логическое умножение

Пример: Выходной бит 0 вычисляется следующим образом: ${\displaystyle (Bz17*Kz3)\oplus _{2}(Bz26*Kz6)\oplus _{2}(Bz22*Kz0)\oplus _{2}}$
${\displaystyle \oplus _{2}(Bz27*Kz9)\oplus _{2}(Bz21*Kz4)\oplus _{2}(Bz18*Kz22)\oplus _{2}}$
${\displaystyle \oplus _{2}(Bz2*Kz5)\oplus _{2}By5\oplus _{2}Ky10}$

Некоторые используемые функции

hdcpBlockCipher

Эта последовательность используется во время первой части протокола аутентификации, чтобы выработать сессионный ключ Ks и во время вертикального интервала, предшествующего шифрованному кадру, чтобы получить ключ кадра Ki.

Последовательность работы функции hdcpBlockCipher

Начальные состояния и выход функции hdcpBlockCipher\

Этап Действие 1 Загрузка регистров B и K модуля блоков 2 Совершение 48 тактов работы регистров 3 Сохранение 56 младших битов для будущего использования в качестве Ks, Ki 4 Перенос 84 битов регистров B в регистры K 5 Перезагрузка регистра B 6 Инициализация модуля LFSR 7 Запрос на смену ключа 8 Совершение 56 тактов работы LFSR и модуля блоков, сохранение 64-битного значения Mi во время последних четырёх тактов 9 Снятие запроса на смену ключа

Этап Такты Начальное значение LFSR (56 бит) Начальное значение K Начальное значение B (65 бит) Выход B (84 бита) Выход функции hdcpBlockCipher во время аутентификации 1-3 48 — Km (56 бит) REPEATER||An Ks — 6-9 56 Ks Ks (84 бит) REPEATER ||An — ${\displaystyle R0,M0}$ hdcpBlockCipher во время вертикального интервала 1-3 48 — Ks (56 бит) REPEATER ||${\displaystyle M_{i-1}}$ ${\displaystyle K_{i}}$ — 6-9 56 ${\displaystyle Ki}$ ${\displaystyle Ki}$ (84 бит) REPEATER ||${\displaystyle M_{i-1}}$ — ${\displaystyle R_{i},M_{i}}$

Для 8-битных чисел a и b результатом конкатенации ab является 16-битное число, где a — старший разряд, а b — младший разряд.

В обеих раундовых функциях B и K регистры x, y, z можно рассматривать как один регистр длиной в 84 бита.

В том случае, когда требуется менее 84 битов регистра, используются биты младшего разряда. Если для инициализации доступно менее 84 бит, то заполняются младшие биты, а оставшиеся устанавливаются в ноль.

Пример:
65-битный результат конкатенации бита REPEATER и величины An будет записан в регистры Bx и By, 
плюс в 9 младших бит регистра Bz,  при этом старшие 19 бит регистра заполнятся нулями.
Откуда берутся биты Mi и Ri, показано в таблице выше.

Криптоанализ

Для того, чтобы получить общий секрет, устройства складывают свои секретные ключи Ai в зависимости от полученного вектора ключа. В итоге получается 56-битный секрет Km (передатчик) и Km’ (приёмник), причём они должны быть равны.

Затем, после аутентификации приёмник шифрует оказию полученным ключом и отправляет её передатчику. Тот, в свою очередь, проверяет своим ключом Km, что оказия зашифрована верно.

Следовательно, если мы определим 40 линейно независимых векторов ${\displaystyle A_{1}..A_{40}}$ (секретные ключи устройства), то мы сможем полностью взломать систему, поскольку эти ключи будут составлять базис 40-мерного пространства секретных ключей, и мы сможем составить из них любой набор секретных ключей любого устройства. С другой стороны, если не все 40 ключей будут линейно независимыми, то мы все равно сможем создать определенные наборы секретных ключей, входящих в найденное подпространство.

Пример:
Предположим, что у нас есть 40 устройств ${\displaystyle (A_{1}\dots A_{40})}$, для которых мне известны их векторы выбора ключей и 
наборы секретных ключей   ${\displaystyle ((A_{1})keys\dots (A_{40})keys)}$, тогда, в результате обмена информацией с устройством, 
которое мы хотим взломать, получится система уравнений:
${\displaystyle {\begin{cases}Xkeys*(A_{1})ksv=(A_{1})keys*Xksv\\Xkeys*(A_{2})ksv=(A_{2})keys*Xksv\\\dots \\Xkeys*(A_{40})ksv=(A_{40})keys*Xksv\\\end{cases}}}$

решив которую, мы получим секретные ключи атакуемого устройства. Предположение, которое мы делаем — то, что все 40 векторов выбора ключа ${\displaystyle (Ai)}$ksv линейно независимы.

Если же пространство, охватываемое ${\displaystyle (Ai)ksv}$, не является 40-мерным, то всё равно должна остаться лазейка. Или эти векторы выбора ключа сконструированы так, что будет невозможно составить из них базис сорокамерного пространства, или нам потребуется более 40 KSV, чтобы охватить всё пространство (каждое дополнительное устройство обладает малыми шансами быть линейно зависимым к уже полученному набору, примерно ${\displaystyle {\frac {1}{2^{40-n}}}}$, где n — размерность охваченного пространства)

Мы также можем сами создать правильные наборы вектора выбора ключа и секретных ключей устройства из линейной комбинации уже нам известных.

Пример:

1. Выберем произвольное устройство B, если B может аутентифицировать Ai, то выполняется равенство:

${\displaystyle (K_{i})m'=(A_{1})keys*Bksv=Bkeys*(A_{i})ksv=(K_{i})m.}$

2. Пусть

${\displaystyle Xksv=a_{1}*(A_{1})ksv+a_{2}*(A_{2})ksv...a_{n}*(A_{n})ksv.}$

3. Мы знаем, что, когда устройство B аутентифицирует устройство X, используется величина Km:

${\displaystyle Km=Bkeys*Xksv=Bkeys*(a_{1}*(A_{1})ksv+a_{2}*(A_{2})ksv+...+a_{n}(A_{n})ksv)=a_{1}*(A_{1})ksv*Bkeys+...+a_{n}*(A_{n})ksv*Bkeys=a_{1}*(K_{1})m+a+2*(K_{2})m+...+a_{n}(K_{n})m.}$

4. То есть, вспоминая тот факт, что (Ki)'m = Ki для всех i, мы можем вычислить Km':

${\displaystyle Km'=a_{1}*(K_{1})m'+a_{2}*(K_{2})m'+...+a_{n}*(K_{n})m'=a_{1}*(A_{1})keys*Bksv+...+a_{n}*(A_{n})keys*Bksv=[a_{1}*(A_{1})keys+...+a_{n}*(A_{n})keys]*Bksv.}$

5. Так как выбор B был произвольным, то это сработает для любого B, причём

${\displaystyle Xkeys=a_{1}*(A_{1})keys+...+a_{n}*(A_{n})keys.}$

Аутентификация между B и X пройдет успешно. Единственной сложностью может быть конструирование Xksv таким образом, чтобы он состоял из 20 нулей и 20 единиц.

Применение HDCP

Используется в HD DVD и Blu-ray плеерах. Если устройство воспроизведения и, в случае использования компьютера, ПО не поддерживают HDCP, то сигнал не будет транслироваться на выход, либо будет, но c деградированым качеством (англ. Image Constraint Token flag).

Одобрена 4 августа 2004 г. Федеральным агентством по связи США (англ. Federal Communications Commission, FCC) как "Технология защиты цифровых выходов (англ. Digital Output Protection Technology).

Технология поддерживается ОС Windows Vista.

Поддержка HDCP является обязательным условием соответствия марке «HD ready», также его применение насаждается законами США для всех приёмников вещания высокой чёткости.

См. также

• AACS
• HDTV

Примечания

Ссылки

• Digital Content Protection LLC organization (англ.). — Официальный сайт организации, лицензирующей технологию. Архивировано из оригинала 25 февраля 2012 года.
• Digital Content Protection LLC. HDCP specification v1.4 (англ.). — Спецификация технологии HDCP. Архивировано из оригинала 25 февраля 2012 года.
• Scott A. Crosby. Apparent HDCP authentication protocol weaknesses (англ.). — Уязвимости протокола аутентификации HDCP. Архивировано из оригинала 25 февраля 2012 года.
• Keith Irwin. Four Simple Cryptographic Attacks on HDCP (англ.). — Четыре простых атаки на HDCP. Архивировано из оригинала 25 февраля 2012 года.
• Scott Crosby, Ian Goldberg, Robert Johnson, Dawn Song, David Wagner. A Cryptanalysis of the HDCP (англ.). — Детальный криптоанализ HDCP. Архивировано из оригинала 25 февраля 2012 года.