goo
ブログ   ランダム   ブログを作成  

B-CASが破られた？

2008-08-21 / IT
コメントからの情報だが、Friio社の発表によれば、10月25日に発売する新バージョンではB-CASカードなしでコピー制御を外すことができるようになるという。現在でも「ダウンロード」で新しいソフトウェア（ベータ版）を入手し、制御方式を「ネットワーク」とすると、普通のテレビ番組が見えるという報告がある（未確認）。

これはおそらく国外にある（B-CASカードを入れた）サーバに地デジの放送信号を転送し、そのサーバでB-CASのスクランブル(MULTI2)を復号化して（コピー制御フラグのついた）MPEG2-TSにしてインターネットで送信しているものと思われる(*)。これはB-CAS社との契約には違反するが、サーバが国外にあれば差し止めは不可能だ。

この信号をFriioで受信してコピー制御フラグを無視すれば、コピーフリーになる。フラグを無視することは違法ではないので、この復号化サーバのIPアドレスさえ判明すれば、他のPCボードでも同様の処理が可能かもしれない（今のところはFriioのアカウントがないとアクセスできない）。ただしセキュリティは保証できないので、自己責任でやってください。

(*)追記：私がB-CASの暗号化方式を誤解していたようだ。24日の記事で訂正した。
コメント ( 24 ) | Trackback ( 4 )
« サブプライムはま... インターネットは... »
 
コメント
 
 
 
通信内容は違うと思います (R)
2008-08-21 10:56:19
おそらく、B-CASカードのキー情報の問い合わせとその返答だけの通信だと思います。
1秒に1回とかで、そんなに大きくないパケットが１つ。
放送データを通信していたら、通信料が莫大になってパンクすると思います。
 
 
 
Re: 通信内容は違うと思います (池田信夫)
2008-08-21 11:34:47
どうやっているかは推測の域を出ませんが、キー情報をやりとりしたら、すぐ足がついて止められてしまうでしょう。B-CASカード自体はIDを確認する機能しかないので、これを偽造したのかもしれない。これは（国内でやったら）違法ですね。

たしかに負荷は大きいけれど、地デジは送りっぱなしのマルチキャスト(UDP/IP)なので、「サイマル放送」であれば、P2Pなどを使えば可能でしょう。
 
 
 
やはり鍵情報(ECM)だけでは？ (Unknown)
2008-08-21 12:03:00
どうでしょうね。カードIDが知られたとして、それを書き換える？データを流したとしても、受信機側が無視してしまえばそれまでのような気がしますが。また、1000万枚以上出回っているカードから個人を特定することも不可能でしょう。詳細はうまく説明出来る人に任せます。

ＢＳデジタル放送用受信機等が対応可能なコンテンツ権利保護方式（素案）についての意見募集
http://www.soumu.go.jp/s-news/2001/011218_1.html

『なお、図中の「ＣＡモジュール」は、「契約」等に従って権利保護情報を遵守する受信機のみが搭載可能とすることにより、エンフォースメントとしての実効性を確保する。』
とありますし。
 
 
 
Re: 通信内容は違うと思います (tau)
2008-08-21 13:06:51
>キー情報をやりとりしたら、すぐ足がついて止められてしまうでしょう。

サーバが海外にあっても何か強制力があるのでしょうか？
 
 
 
Re: 通信内容は違うと思います (池田信夫)
2008-08-21 15:02:51
いえいえ、B-CAS社は当然、Friioをもっているはずなので、それで海外から流されてくるIDを見れば、そのIDを止めることができます。B- CASのIDデータベースは、放送局側にあるので、不正利用されたカードなどは無効にし、そのカードではスクランブルが復号化できなくなります。

普通のFriioのように不特定多数のB-CASカードを使っている場合は、それをいちいち捜索して止めることは不可能ですが、サーバで一つだけ使っている IDを止めることは容易でしょう。だから正規のキー信号を流すのではなく、偽造した（止められない）IDを流さないとだめでしょう。たとえば多くのIDをランダマイズして発生させることは可能かもしれない。
 
 
 
Re: 通信内容は違うと思います (bobby)
2008-08-21 17:30:47
私のブログに昨年書きましたが、インターネット経由でB-CASの開錠情報を入手するしくみがすでにありました。台湾人の友人宅で、実際にみましたから間違い有りません。

現在の開錠キーが止められても、サーバー側ですぐに新しいキーに取り替えるようになっているようです。
 
 
 
Re: 通信内容は違うと思います (池田信夫)
2008-08-21 18:39:48
それはありうるでしょう。キーを入手すること自体は簡単だから、止められたら自動的に次のを出すという方法がいちばん単純です。ランダマイズするのと同じことですね。
 
 
 
面白い (knerjp)
2008-08-21 23:48:29
こういっては何ですが、こういう騒動を外野から見ている分には実に面白いです。巨額のB-CASへの投資はいったい何だったのか、日立のMulti2の暗号は何だったのか。
 
 
 
Re: 通信内容は違うと思います (bobby)
2008-08-22 01:48:45
私のブログはふだんは1日に1000以下の訪問数なのですが、昨日書いたコメント内容のためか、リンクを張った記事へ4600件の訪問数があって驚きました。このブログで紹介された「なかのひと」というアクセス解析サービスで足あとを見てみると、文芸春秋、NHK、技術評論社、通信関係の会社などのほかに、総務省というのがありました。

B-CASとFriioの行方については、けっこういろいろな方面で注目されているのだという事が手に取るようにわかって、大変に興味深かったです。
 
 
 
訂正 (池田信夫)
2008-08-22 09:31:28
すべては想像なのですが、MYMINICITY氏からのTBによると、MULTI2の復号化にB-CASのIDは必要はないようです。もとはB-CASはIDの認証だけのシステムだったところへ、外付でMULTI2をつけたので、IDと別になっているのか。ひどい設計だな。

だとすると、私の以前のコメントは撤回します。私は、キーのやりとりでIDがわかって止められるのをどう回避するのか・・・と考えたのですが、キーが共有できるなら、これをWinnyかなんかで流せば、他のPCボードでも使えるでしょう。法的な問題もない。どっちにしても、B-CASは終わりですね。
 
 
 
Re: 通信内容は違うと思います (bobby)
2008-08-23 02:29:23
この記事は暗号とか復号キーとか、難しい技術的な内容があるせいかコメントは伸びないけど、「B-CASが破られた？」というセンセーショナルなタイトルの為か、ROMアクセスが非常に多いみたいですね。世の中の関心の高さを表しているようです。
 
 
 
結論 (池田信夫)
2008-08-23 10:38:13
この問題はメカニズムが非常に複雑かつ特殊で、私がそれを理解していなかったため、混乱してすいません。

（MYMINICITYではなく）セルダン氏からのTBによると、MULTI2の暗号は鍵をB-CASカードに送る代わり、それを1秒おきに変えるという方式になっているようです。こんな奇妙な仕様になったのは、B-CASとMULTI2が別々に設計されたためです。最初は、B-CASは受信機のIDを識別する機能しかなく、NHKのBS受信料を払っていない視聴者には「金を払え」という横断幕を画面に出し、金を払うとIDを認証して横断幕が消えるという機能しかなかった。

ところが地デジに移行するとき、コピーワンスをつけるためにMULTI2を外づけしたのです。このとき復号化装置は受信機の側に置き、B-CASのIDを確認したら復号化するという方式になっていました。私は鍵がIDに依存すると考えていたのですが、そうではなく同じ鍵をすべての受信機に送っていたのですね。これは設計が間違っている。最初から暗号化を前提にしていれば、昔のWOWOWのようにデコーダーに鍵を組み込めばよく、非常に強い暗号になったはずです。

しかしB-CASでは（当初は暗号化を想定していなかったため）IDをカードにしたので鍵がポータブルになってしまい、そこに暗号を外付けしたのでこういう脆弱性が生じたわけです。しかもIDを確認するときそのIDを受信機に出力すれば、不正なIDを止めることは可能ですが、それもしていない。これでは暗号をいくら強くしても、B-CASカードを海外に置いて通信しただけで破られます。

こんな簡単なクラッキングを今までだれもやらなかったのは、日本のメーカーがやると、B-CASカードを止められるからです。つまりB-CASは、暗号ではなくカルテルで守っていたわけです。なんとも日本的なシステムですが、もともと穴だらけだから、こうして公然と破られたら終わりです。サーバが海外にあるかどうかは不明ですが、国内にあるとしてもB-CAS社との契約違反でIDを止められるだけで刑事罰には問えない。B-CAS社の存在こそ違法なのだから、そんなことをしたら逆に公取委の立入検査を受けるでしょう。

以上が私の理解です。技術的に間違っていたら指摘してください。この問題は重要なので、コメントはgooのIDなしで可能にします。
 
 
 
久々に書ける〜 (猪口冷斗)
2008-08-23 16:14:35
　まず本文の最初から間違っております。
　１０月２５日は昨年の日付です。
　friioは一切のソフトウエアをダウンロードで配布しており、ハードウエアが新バージョンに成るわけではありません。
　次に最新コメントから、

>MULTI2の暗号は鍵をB-CASカードに送る代わり、それを1秒おきに変えるという方式になっているようです。
　暗号化されたスクランブルキー(Ks)をB-CASカードに送り、復号化されたKsを受信機が受け取り、受信機内部のMULTI2復号器にてTSを復号します。
　もっとも分かりやすい図は、ARIB B25仕様書（日本語版）のP373（印刷画面上はP343）に書かれています。
http://www.arib.or.jp/english/html/overview/doc/2-STD-B25v5_0.pdf

>こんな奇妙な仕様になったのは、B-CASとMULTI2が別々に設計されたためです。
　奇妙でもなんでも無く、スカパーでも似たようなシステムですし、アナログWOWOWだって単に分離していないだけです。
　そもそも全ての加入者IDに有効に機能するキーなど出来るわけがありません。

>最初は、B-CASは受信機のIDを識別する機能しかなく、NHKのBS受信料を払っていない視聴者には「金を払え」という横断幕を画面に出し、金を払うとIDを認証して横断幕が消えるという機能しかなかった。
　BSデジタル発足当時から有料放送のために搭載されております。
　ワークキー(Kw)の受信にはID固有のキー(Kd)で復号しますので、間接的に限定受信の機能は満足しています。
　ワークキーの配布は全ての加入者に独立に送信しますから、一周するのにはある程度時間がかかります。

>ところが地デジに移行するとき、コピーワンスをつけるためにMULTI2を外づけしたのです。このとき復号化装置は受信機の側に置き、B-CASのIDを確認したら復号化するという方式になっていました。私は鍵がIDに依存すると考えていたのですが、そうではなく同じ鍵をすべての受信機に送っていたのですね。これは設計が間違っている。
　スクランブルキーをID依存になんて出来ませんから、設計が間違っているとは言えません。
　間違いがあるとしたら、受信機とカードを分離したことでしょう。
　もちろん最大の間違いは、セルダンさんが指摘するように、無料放送にもB-CASを必要としたことにあります。

>最初から暗号化を前提にしていれば、昔のWOWOWのようにデコーダーに鍵を組み込めばよく、非常に強い暗号になったはずです。
　これは、受信機とカードが一体化した構造ということです。
　もちろん物理的なカードの形状のものが内蔵されているわけではありません。
　デコーダーの中古品をヤフオクで購入すれば、運がよいときには契約しないでも受信可能になります。
　またスカパーチューナー（カード付き）でも、運が良ければ有料放送を受信できます。
　これは契約解除情報を受信していないからであって、稼働させていれば、近い将来解除情報を受信してしまい（通称、毒電波といいます。ｗ）受信できなくなります。
　つまり、WOWOWだろうがスカパーだろうが原理は同じで、受信機固有のIDを直接反映させた暗号化にはなっていません。

>しかしB-CASでは（当初は暗号化を想定していなかったため）IDをカードにしたので鍵がポータブルになってしまい、そこに暗号を外付けしたのでこういう脆弱性が生じたわけです。
　当初から有料放送のため暗号化を想定しております。
　IDをカードにしたのは、カードの所有権をB-CAS社が主張したかったのでしょう。
　機器に組み込まれてしまったら「貸与」という分けにもいかないでしょうから。ｗ

>しかもIDを確認するときそのIDを受信機に出力すれば、不正なIDを止めることは可能ですが、それもしていない。
　ECMに対するカードからのレスポンスにIDが含まれれば、仰るとおりの機能を実現できますが、その必要性を認識できなかったのと、かなり冗長なシステムになるのも否めないですね。

>これでは暗号をいくら強くしても、B-CASカードを海外に置いて通信しただけで破られます。
　今となっては手遅れですが、そもそもの誤りは受信機とカードを分離したこと、たとえ分離したとしても、SmartCardの様な汎用カードを採用したことにあります。
　もっとも、このお陰でfriioが有れば、官公庁の電子申請が行えます。
　要するに住基カードを読めるということですね。

　しかし、、世の中の速度は速い。
　friioなんて時代遅れで、今後はPT1の時代でしょう。ｗ
 
 
 
猪口さんへ (池田信夫)
2008-08-23 17:11:59
>１０月２５日は昨年の日付です。

これも年が書いてないので確認しようがないのですが、トップページに「新製品」が出ているところをみると、そのようですね。

>奇妙でもなんでも無く、スカパーでも似たようなシステムですし、アナログWOWOWだって単に分離していないだけです。

その「分離」が問題なのです。普通のCASでこんな奇妙なシステムはありません。物理的なデコーダーを配るのが普通で、なぜ分離したのかよくわからない。当初はNHKの横断幕ぐらいしか考えていなかったので、こういう弱いシステムでいいと考えたのでしょうか。

>もちろん最大の間違いは、セルダンさんが指摘するように、無料放送にもB-CASを必要としたことにあります。

これが最大の失敗です。特に地デジにつけるときは、NHKは難色を示したようですが、民放が（コピーワンスを理由にして）熱心だったようです。「もうかる」とわかったからでしょう。
 
 
 
普通のCAS (hibirth)
2008-08-23 18:50:03
> 普通のCASでこんな奇妙なシステムはありません。

この仕組みって別に日本のガラパゴス仕様ではなく、MPEG2Systemsに規定されたデジタル放送における国際標準的な仕様で、DVB-CAなんかでも同様の規定になってます。

日本ではCS(PerfecTVなど)で有料放送の限定受信目的で採用、標準化も行われ、BSデジタルでの有料放送(WOWOWなど)のスクランブルの仕組みとしても後追い採用されました。
その際、専用端末としていたPerfecTV、DIRECTVなどと異なり、複数の放送事業者が相乗りする形でCA Systemに相乗りする形となったため、運営母体としてB-CAS社が設立されることになったのはご存知のとおり。
このような経緯ですから、少なくとも「当初はNHK横断幕ぐらいしか考えてなかった」なんてことはありませんし、クリティカルな鍵管理部分を耐タンパ性のあるICカードに分離した形で実装する仕組み自体は、少なくともデジタル放送の国際規格においては、ごく普通です。
旧WOWOWやアナログCS、CATVなど、アナログ時代の日本仕様から見ると「普通」ではないかもしれませんが。

ちなみに、当時現場にいた者としては、CA自動表示メッセージによる「横断幕」の規定こそ後付けに近い経緯で規格規定されたことを記憶してます。

ということで、失礼ですが技術的な誤り及び経緯についての認識ズレがかなり大きいといわざるを得ません。
 
 
 
Re: 普通のCAS (池田信夫)
2008-08-23 22:18:54
なるほど、日本では普通じゃなかったけど、他の国にはあるということですね。それにしてもわからないのは、なぜ「クリティカルな鍵部分」を偽造や不正流通しやすいカードにしたのかということです。共通部分だけを本体に内蔵して量産効果を落とさないようにということだとすると、肝心のセキュリティを犠牲にしたコストダウン設計ですね。

最初から一体で設計したのなら、なぜコピー制御(CGMS)とスクランブル(MULTI2)を別々に実装したのかも不可解です。CSSのように暗号でコピー制御しておけば、Friioのような機材も出てこなかったでしょう。
 
 
 
横から失礼します (センパイ。)
2008-08-24 00:17:06
しかしここまでお粗末なセキュリティだと「たった今B-CASを運用している状態が非常に危険である」とも考えられないでしょうか？
 
 
 
Unknown (knerjp)
2008-08-24 01:46:27
　脆弱なセキュリティのおかげで、B-CASの崩壊が促進され、将来的に有料BS,CS放送も無料で？見られる違法チューナーも出る可能性もあります。
　無料放送にまでCASを導入したせいで、これが破られると有料放送のCASまで破られるおそれがあります。
　放送業界にとっては、利権確保のための仕組みを作ろうとして、逆に利権を崩壊させる仕組みを作ってしまったというところでしょうか。
　ほんと、間抜けですね。でも間抜けなおかげで、B-CASは崩壊し、地デジ移行もスムーズにいけるかもしれません。
　わずかな可能性として、機器認証を導入しようとする動きも出るかもしれませんが、ちょっとコスト的にも利便性の観点からも無理でしょうね。
 
 
 
タンパリング (疑問です)
2008-08-24 08:07:36
ICカードについて、耐タンパ性は「無い」としているのが池田先生。「有る」としているのがhibirth氏。果たしてどちらが正しいのでしょうか？

この問題は、鍵を（ICカードという形で）外部に出したことが正しかったか否かという問いの答えに直結しますので（ご両人がおっしゃっている通り）、きわめて重要だと考えます。
 
 
 
Unknown (Unknown)
2008-08-24 09:39:43
hibirthさんがおっしゃっているのは個別契約が前提の有料放送なら、「有事」の際に全契約者のカードの入れ替えが可能という意味で耐タンパ性があるということではないでしょうか？

ところが、契約不要(実質的にできない)無料放送にまで適用したせいで本来の耐タンパ性が活かせなくなったと。

BSデジタルが始まった当初は無料放送はカードなしで
受信できたんですよね。NHKに「横断幕」は出ましたが。

あの頃に運用を戻すか、他の民放にも「横断幕」を出して(そんなことできるのかな)契約を強制するしかありませんね。
 
 
 
セルダンさんの続報 (猪口冷斗)
2008-08-24 10:27:38
　全ての疑問は、セルダンさんが続報で説明しており、これが実に分かりやすいです。
　耐タンパ性についての疑問が出ておりますが、ICカードが読まれてしまったり、復号キーをクラックされたわけでは有りませんので「対タンパ性は有る」が正しいでしょう。
　セルダンさんが指摘するように、プロトコル設計にミスが有ったという説に一票投じます。
 
 
 
>結論 (bobby)
2008-08-24 10:58:29
>MULTI2の暗号は鍵をB-CASカードに送る代わり、それを1秒おきに変えるという方式になっているようです

最高で1秒毎に変更可能という仕様かもしれませんが、実際の運用では数週間から3ヶ月に1度の変更ではないでしょうか。中国で普及している古いタイプの衛星受信機では、違法B-CASカード（衛星受信機の業者がユーザーに配る）の寿命（一つのカードで見れる期間）はそれくらいだったと思います。Friioが登場した現在、運用が変わっているかもしれませんが．．．
 
 
 
わざとですね？ (かわさきたもつ)
2008-08-24 20:46:33
今回のエントリーとコメントの応酬を見て、シャーロックホームズの捜査方法（※）を連想してしまいました。
わざと間違った知識をひけらかして、より正確な情報をあっという間に集めてしまった今回の手腕、深読みせざるを得ません。

※野口悠紀夫の本で知っただけですが……。
 
 
 
Unknown (どう考えても)
2008-08-26 18:56:48
B25の解除鍵だけだと思います。
 
コメントを投稿する
 
現在、コメントを受け取らないよう設定されております。
※ブログ管理者のみ、編集画面で設定の変更が可能です。
 
現在、トラックバックを受け取らないよう設定されております。
※ブログ管理者のみ、編集画面で設定の変更が可能です。