Wenn man sich wie ich beruflich mit Themen wie Festplattenverschlüsselung oder Smartcard Authentisierung befasst, dann interessiert es einem auch, wie eigentlich die verschlüsselten Kanäle auf den Fernseher kommen. Dieser Artikel soll erklären wie der ganze Prozess abläuft. Ich habe alles ein bisschen vereinfacht. Ich hoffe der Autor einer gewissen Maturarbeit bekommt keinen Schluckauf 🙂
Und keine Angst Herr Kudelski, die Infos dienen nicht zum Lauglotzen, da gibt es andere Seiten.
FTA oder Codiert
FTA bedeutet Free-to-Air, also uncodiert. Dies heisst, dass der Datenstrom nicht verschlüsselt wird und die Set-Top Box diesen einfach darstellen kann. Wenn ein Sender codiert ist, bekommt die Box zuerst nur Datenmüll. Sie zeigt nur einen schwarzen Bildschirm an. Auch wenn man es umgangssprachlich immer wieder hört, ein Sender wird weder in NDS, Nagra oder Conax codiert. Diese Systeme kontrollieren eigentlich nur die Berechtigungen eines einzelnen Abonnenten für die Sender.
Man nennt sie aus diesem Grund auch Zugangskontrollsysteme – Coditional Access System (CAS).
CSA ist kein Buchstabendreher
Der Datenstrom wird bei sämtlichen Anbietern identisch verschlüsselt. Ob Sky, Cablecom oder DigiTürk, alle codieren den MPEG-Datenstrom mit dem Common Scrambling Alogirtim (CSA).
Würde man eine Schwachstelle im CSA finden, dann wäre dies der absolute Super-GAU für die Pay-TV Anbieter. Dann wären nämlich ALLE codierten Sender plötzlich offen.
Der Datenstrom wird jeweils mit einem Control Word (CW) codiert. Nur mit dem korrekten Control Word kann ein Bild dargestellt werden. Es wird alle 20 Sekunden ein neues CW gesendet. Dies erklärt, wieso das Bild beim entfernen der Smartcard noch ein paar Sekunden bleibt.
Die Smartcard
Damit die Box die Bilder darstellen kann, muss sie also ein Control Word (CW) haben. Je nach Zugangskontrollsystem ändert dies in anderen Abständen. Sendet man dieses CW im Klartext? Natürlich nicht, sonst müsste man ja kein Abo lösen.
Diese CW werden in eine ECM (Entitlement Control Message) verpackt und neben dem eigentlichen Datenstrom des Senders mitgeschickt. Der Schlüssel für diese Pakete, umgangssprachlich auch Keks genannt, befindet sich auf der Smartcard. Diese Schlüssel sollte man, zumindest in der Theorie, niemals im Klartext auslesen können.
Nagra 1 verwendet zum Beispiel einen Key 00 und einen Key 01, wobei jeweils nur immer ein Key aktiv ist. Der inaktive Key ist bei Wechsel des Schlüssels relevant, doch dazu später mehr. Auf jeden Fall dient dieser dazu, die ECM zu entschlüsseln und somit ein Bild darzustellen.
Simulcrypt
Es ist auch möglich, dieses CW unterschiedlich zu verschlüsseln. Die passiert bei Sendern wie VH1 auf Satellit, dieser ist in diversen Pay-TV Paketen auf Astra vertreten. Damit man ihn nicht mehrmals aufschalten muss, hat der Sender mehrere CAS im Datenstrom – Narga 3 für Digital+, Seca 2 für CanalDigitaal, Conax für MTV unlimited.
Der Vorteil für den Anbieter ist die gesparte Bandbreite. Der Nachteil liegt darin, dass mit verschiedenen Systemen auch das Risiko eines Hackerangriffs steigt, da man nur eines überwinden muss. Murdoch soll es angeblich nicht gerne sehen, wenn bei seinem Programmen Simulcrypt gesendet wird. Offenbar hat er Angst, dass diese die Sicherheit von NDS gefährden könnte.
Tiers leben nicht im Zoo
Mit der Codierung der Programme ist es aber noch nicht getan. Ansonsten könnte jede Person, die im Besitz einer Smartcard ist, jeden Sender sehen. Die Tiers können mit den Gruppen unter Windows verglichen werden. Jeder Sender wird mit Berechtigungen versehen. In einem Tier können ein oder mehrere Sender enthalten sein. Schaltet man auf einen neuen Kanal wird geprüft, ob die Tiers vorhanden sind.
Sind diese nicht vorhanden, weigert sich die Karte das ECM zu entschlüsseln. Ohne Control Word gibt es, wie erklärt, kein Bild. Hier gibt es den bekannten Fehler E39, den ich zum Beispiel sehe, wenn ich mit dem SD Recorder auf Video Italia schalte.
Tiers müssen immer wieder erneuert werden. Dies merkt man, wenn man seine Box lange nicht am Strom hatte und der Bildschirm, trotz gültigem Abo, ein paar Minuten dunkel bleibt. Sobald sie erneuert wurden, kann man die Programme wieder sehen.
Headend ruft Karte
Oft kommt es vor, dass der Anbieter bei einer Karte Änderungen vornehmen muss. Ein Kunde bestellt ein neues Paket, man ändert den Schlüssel für die ECM oder sperrt die Karte beim Ende des Abonnements.
Die Karte enthält drei Schlüssel. Der eine Schlüssel ist auf allen Karten identisch. Damit werden zum Beispiel die neuen ECM-Keys verteilt oder Änderungen an der Software auf der Karte durchgeführt.
Ein weiter Schlüssel ist auf einer gewissen Zahl von Karten (Gruppen) vorhanden, damit könnte man unterschiedliche ECM-Schlüssel verteilen.
Schlussendlich hat jede Karte noch einen individuellen Schlüssel. Damit bekommt eine Karte zum Beispiel neue Tiers, sei es für einen Sender oder ein Pay-per-View Event, den man gebucht hat. Diese Nachrichten an die Karte nennt man EMM (Entitlement management message).
Ich hoffe ich habe jetzt auch den technisch weniger versierten Lesern einen Einblick in dieses spannende Gebiet geben können.
sehr nützlich und informativ. danke 🙂
[…] […]