widevine l1 что это такое

Взломана DRM-защита Widevine L3

На днях специалист по кибербезопасности Дэвид Бьюкенен из Великобритании заявил об успешном взломе технологии защиты аудио/видео контента Widevine L3. Взлом дает возможность дампить все данные, которые передаются через защищенный этой технологией канал связи.

Widevine L3 является разработкой корпорации Google. Она используется для защиты авторского контента, распространяемого по сети. В частности, эта технология внедрена в сервисы Netflix, Disney, Amazon Video, BBC, HBO, Facebook, Hulu, Spotify и т.п.

Для декодирования защищенного контента используется CDM-модуль. Он работает, в частности, в браузерах Chrome, ChromeOS, Android и Firefox. Также его применяют Samsung, Intel, Sony и LG в ряде своих продуктов.

Стоит отметить, что Widevine L3 — самый слабый уровень защиты от Google. Чаще всего с ним работают для распространения медиаконтента низкого качества (ниже 1080р). Уже второй уровень защиты дает возможность выполнять криптографические операции на стороне аппаратно изолированного TEE-окружения (Trusted Execution Environment, например, Intel SGX, ARM TrustZone и AMD PSP).

Soooo, after a few evenings of work, I’ve 100% broken Widevine L3 DRM. Their Whitebox AES-128 implementation is vulnerable to the well-studied DFA attack, which can be used to recover the original key. Then you can decrypt the MPEG-CENC streams with plain old ffmpeg.

Взлом был осуществлен благодаря ошибке в реализации алгоритма шифрования Whitebox AES-128. Как оказалось, алгоритм подвержен атаке DFA (Differential Fault Analysis). Она позволяет получить доступ к ключу шифрования, после чего аудио и видео-контент, зашифрованный при помощи Widevine L3, становится возможным сохранять без особых проблем.

Что касается Widevine второго и первого уровней, то их найденный метод не затрагивает.

Данных о том, поделился ли Бьюкенен информацией о найденной уязвимости с Google перед публикацией технических подробностей, нет. Также непонятно, будет ли Google менять что-либо в Widevine L3.

Источник

WIDEVINE L1 доступен на POCOPHONE F1 является родным для Xiaomi Mi 9

GLI Сяомийский смартфон? Красиво, но в тех, кто критиковал отсутствие поддержки протокола Widevine L1, который позволяет просматривать контент в потоковом режиме с высоким разрешением на таких платформах, как Netflix, Amazon Prime Video, TimVision и т. д. И, наконец, после стольких хлопот, команда разработчиков программного обеспечения посвятила POCOТЕЛЕФОН F1, наконец, выпустила сертификацию Widevine L1 на устройстве, представив эту функцию на MIUI 10 закрыт бета-версия 9.2.25.

Решающий шаг, который еще больше повышает популярность Лучшая покупка китайского терминала подписали Xiaomi, учитывая что сейчас Вы можете найти его около 240 евро (см. поле предложений в конце статьи). При этом, для записи, следует отметить, что, несмотря на наличие сертификации Widevine CDM с уровнем безопасности L1, на POCOPHONE F1 может еще не поддерживать потоковую передачу видео в HD, поскольку Также необходимо, чтобы отдельные платформы вставляли устройство в свой белый список. Для Amazon Prime Video проблем не возникает, а для пользователей Netflix ожидание все еще продлевается.

WIDEVINE L1 доступен на POCOPHONE F1 является родным для Xiaomi Mi 9

С другой стороны, это совсем другая история Xiaomi Mi 9, смартфон, который мы видели близко к технологическому событию MWC2019, прибывающих на наш рынок в Глобальная версия и с аппетитными ценами. На самом деле, версия 6 / 64 GB в черном цвете Xiaomi Mi 9 предварительный заказ на Amazon Италия в 449 евро. Но помимо этого, китайский флагман предлагает в дополнение к оборудованию высшего класса, по-родному также сертификация Widevine L1. Таким образом, нет никаких компромиссов в реализации мультимедийного контента в формате высокой четкости и с помощью потоковой передачи для верхней части диапазона, бренд Xiaomi, который получает все большую поддержку, учитывая также, что через несколько часов он является первым в Рейтинг бестселлеров смартфонов Amazon.

Поэтому кажется, что компания извлекла уроки из своих прошлых ошибок и с Xiaomi Mi 9 показала все, что мастерски сделано из прошлого опыта. Фактически, запуск Mi 9 в глобальной версии произошел только через несколько дней после официального запуска 4 в Китае, в то время как до некоторых смартфонов потребовались месяцы для ожидания, и, наконец, он смог в лучшем случае использовать свое оборудование, предоставив ему сертификат Widevine L1, чтобы иметь возможность наслаждайтесь потоковым HD-контентом на суперопределенных дисплеях благодаря AMOLED технология.

Источник

Потоковая передача Widevine для Android в автономном режиме (Службы мультимедиа версии 3)

Помимо защиты содержимого для автономной потоковой передачи подписка содержимого мультимедиа и службы аренды предоставляют содержимое, которое можно загрузить. Это подходит при отсутствии подключения к Интернету. Возможно, потребуется загрузить содержимое на ваш телефон или планшет для воспроизведения в режиме «в самолете», когда во время полета нет подключения к сети. Дополнительные сценарии, в которых может потребоваться загрузить содержимое:

Widevine недоступен в регионе GovCloud.

В этой статье обсуждается реализация воспроизведения в автономном режиме содержимого DASH, защищенного Widevine на устройствах Android. Автономный DRM позволяет создать подписку, модели аренды и приобретения для содержимого, чтобы позволить клиентам ваших служб легко загружать содержимое без подключения к Интернету.

Вы можете создать приложения для проигрывателя Android такими тремя способами:

В статье также содержатся ответы на некоторые распространенные вопросы, связанные с автономной потоковой передачей содержимого, защищенного Widevine.

В автономной системе DRM оплачивается только один запрос на лицензию при скачивании содержимого. Плата за неудачные попытки не взимается.

Предварительные требования

Перед реализацией автономного DRM для Widevine на устройствах Android вам потребуется:

Ознакомиться с концепциями, реализованными для защиты интернет-содержимого с помощью Widevine DRM. Это подробно рассматривается в следующих документах и примерах:

Ознакомиться с пакетом SDK ExoPlayer Google для Android, пакетом SDK видеопроигрывателя с открытым исходным кодом, поддерживающего автономное воспроизведение Widevine DRM.

Настройка защиты содержимого в Службах мультимедиа Azure

В методе GetOrCreateContentKeyPolicyAsync выполните следующие действия:

Укажите, как выполняется авторизация в службе доставки лицензий доставки ключей содержимого.

Настройте шаблон лицензии Widevine.

Включение автономного режима

Чтобы включить автономный режим лицензий Widevine, необходимо настроить шаблон лицензии Widevine. В объекте policy_overrides для свойства can_persist задайте значение true (по умолчанию false), как показано в ConfigureWidevineLicenseTempate.

Настройка проигрывателя Android для воспроизведения в автономном режиме

Для разработки приложений со встроенным проигрывателем для устройств Android проще всего использовать пакет SDK Google ExoPlayer, пакет SDK видеопроигрывателя с открытым кодом. ExoPlayer поддерживает функции, не поддерживаемые встроенным API MediaPlayer для Android, в том числе протоколы доставки MPEG-DASH и Microsoft Smooth Streaming.

ExoPlayer версии 2.6 и более поздних версий включает в себя множество классов, поддерживающих воспроизведение Widevine DRM в автономном режиме. В частности класс OfflineLicenseHelper предоставляет служебные функции, упрощающие загрузку, обновление и выдачу автономных лицензий с помощью DefaultDrmSessionManager. Классы, предоставленные в папке library/core/src/main/java/com/google/android/exoplayer2/offline/ пакета SDK, поддерживают загрузку видеосодержимого в автономном режиме.

Указанный ниже перечень классов упрощает автономный режим в пакете SDK ExoPlayer для Android.

Во время разработки приложения разработчикам следует использовать руководство разработчика ExoPlayer и соответствующий блог разработчиков. Сейчас компания Google еще не выпустила полностью документированный пример реализации или пример кода для приложения ExoPlayer, поддерживающего автономный режим Widevine, поэтому информация ограничена блогом и руководством для разработчиков.

Работа со старыми устройствами Android

Для некоторых старых устройств Android необходимо задать значения для следующих свойств policy_overrides (определенных в шаблоне лицензии Widevine): rental_duration_seconds, playback_duration_seconds и license_duration_seconds. Кроме того, для них можно задать значение «ноль», что будет означать неограниченную длительность.

Значения необходимо задать, чтобы избежать ошибки переполнения целочисленного значения. Дополнительные сведения об этой проблеме приведены на страницах https://github.com/google/ExoPlayer/issues/3150 и https://github.com/google/ExoPlayer/issues/3112.
Если не задать значения явно, для свойств PlaybackDurationRemaining и LicenseDurationRemaining будут назначены очень большие значения (например, 9223372036854775807, которое является максимально положительным значением для 64-разрядного целого числа). В результате этого срок действия лицензии Widevine истечет и расшифровка не произойдет.

Эта проблема не возникает в Android 5.0 Lollipop или более поздней версии, так как Android 5.0 является первой версией Android, которая полностью поддерживает ARMv8 (Advanced RISC Machine) и 64-разрядные платформы, тогда как Android 4.4 KitKat изначально поддерживает ARMv7 и 32-разрядные платформы, как и другие ранние версии Android.

Создание приложения для воспроизведения Android с помощью Xamarin

Привязки Xamarin для ExoPlayer доступны по следующим ссылкам:

Ознакомьтесь со следующим обсуждением: Привязка Xamarin.

Приложения проигрывателя Chrome для Android

Начиная с выпуска Chrome для Android версии 62 в EME поддерживается постоянная лицензия. Widevine L1 теперь поддерживается в браузере Chrome для Android. Это позволяет создавать приложения для автономного воспроизведения в браузере Chrome, если у пользователей эта версия Chrome (или более поздняя).

Кроме того, компания Google выпустила Progressive Web App (PWA) и создала открытый код для него:

Если обновить браузер Chrome версии 62 (или более поздней) для мобильных устройств на телефоне Android и протестировать размещенный выше пример приложения, будет работать как потоковая передача в оперативном режиме, так и воспроизведение в автономном.

Приведенное выше приложение PWA с открытым исходным кодом создается на языке Node.js. Если вы хотите разместить собственную версию на сервере Ubuntu, необходимо учитывать следующие распространенные обнаруженные проблемы, которые могут помешать воспроизведению.

Дополнительные сведения

Widevine — это служба, которая предоставляется компанией Google Inc. и подпадает под условия предоставления услуг и политику конфиденциальности Google Inc.

Источник

Widevine digital rights management explained

A number of video services like Google Play Movies, Netflix, and Amazon Prime Video don’t allow some smartphones to stream movies or TV shows at resolutions higher than 480p. The reason for the lockout is that these services are protected by digital rights management (DRM), to prevent the copying and unauthorized redistribution of these video files.

To trust that Android smartphone and many other devices are secure from piracy, these popular streaming services make use of Google’s Widevine DRM platform. As one of the industry’s oldest DRM services, it’s estimated to be installed on some 4 billion devices around the world.

Here’s what you need to know about Widevine and how it works.

How does Widevine work?

Widevine implements a selection of industry standards to protect content as it’s transferred over the internet and played back on devices. For a quick overview, it makes use of a combination of CENC encryption, licensing key exchange, and adaptive streaming quality to manage and send video to users. The idea is to simplify the amount of work on the service provider’s end, by supporting multiple levels of streaming quality based on the security capabilities of the receiving device.

To achieve this, Widevine protects content across three levels of security, simply named L3, L2, and L1. Your device will need to be certified to meet the full L1 specification if you want to stream HD content from services like Netflix.

To meet security Level 1, all content processing, cryptography, and control must be performed within the Trusted Execution Environment (TEE) of the device’s processor, to prevent external tampering and copying of the media file. All ARM Cortex-A processors implement TrustZone technology, creating a hardware separation that allows a trusted OS (such as Android) to create a TEE for DRM, and other secure applications.

Security Level 2 only requires that cryptography, but not video processing, be carried out inside the TEE. L3 applies either when the device doesn’t have a TEE or when processing is done outside of it. However, appropriate measures must still be taken to protect cryptography within the host operating system.

How Widevine is implemented

Android devices support either L1 or L3 security levels, depending on hardware and software implementations, as does Chrome OS. Chrome on desktops will only ever support L3 at maximum. If your device is only L3-compliant, you’re capped at sub-HD resolutions. Only L1 secure devices with processing taking place entirely in the TEE can play back HD or higher quality content from Widevine secured services.

Perhaps one of the most important points to note about Widevine is that it doesn’t charge a license fee in order to implement its protection technology. So there’s no financial reason why some smartphones are missing out.

Instead, hardware manufacturers only need to pass a certification process. This includes the completion of various legal agreements, implementation of some software libraries, and client integration testing to verify support, among other steps. Apparently, this process is designed to be streamlined for easy adoption, and all chipsets used for Android smartphones support the necessary technologies, so it’s only likely that manufacturer oversight or lack of testing time is to blame if smartphones aren’t compatible. Fortunately, it seems that it’s possible for smartphone OEMs to address any lack of compliance after release.

In January 2019, Security researcher David Buchanan claimed on Twitter that he managed to break the DRM on Widevine L3. It’s not clear if he has disclosed this reported issue to Google, and there’s been no word from the company on if it has fixed this DRM flaw.

Can my device stream HD content?

Unfortunately, you won’t find information about DRM conformity on many specification sheets, so knowing before purchasing a new phone is difficult. Most smartphones, especially in the flagship tier, will allow for HD streaming from Widevine powered services, even if the smartphone is a few generations old. Technically, all Android smartphones can support L1 Widevine security, but implementation mileage may vary with lower cost smartphones that may skimp on testing times.

If you want to check that your particular handset is compatible with Winevine, along with other popular DRM services, you can check out your smartphone’s level of support with apps like DRM Info, which is free to download from the Play Store. Simply scroll down to the Google Widevine DRM section and check what Security Level your device supports, just like in the image above.

In addition, Netflix has posted a constantly updated list of Android smartphones and tablets that are able to stream its movies and TV shows in HD resolution. The list also includes the chipsets from Qualcomm and Huawei that are capable of streaming Netflix videos in HD.

If you’ve had problems streaming HD content from Netflix or Amazon Video, let us know in the comments below.

Источник

Использование общего динамического шифрования PlayReady и (или) Widevine DRM

Для работы с этим учебником требуется учетная запись Azure. Дополнительные сведения см. в разделе Бесплатная пробная версия Azure. В Службы мультимедиа версии 2 больше не добавляются новые компоненты или функциональные возможности.
Ознакомьтесь с новейшей версией Служб мультимедиа — версией 3. Также изучите руководство по миграции из версии 2 в версию 3.

Обзор

Службы мультимедиа обеспечивают доставку лицензий PlayReady и DRM Widevine. Они также предоставляют API-интерфейсы, которые вы можете использовать для настройки прав и ограничений, применяемых в среде выполнения PlayReady или Widevine DRM, когда пользователь воспроизводит защищенное содержимое. Когда пользователь запрашивает защищенное содержимое DRM, приложение проигрывателя в свою очередь запрашивает лицензию из службы лицензий служб мультимедиа. Если приложение проигрывателя авторизовано, служба лицензий служб мультимедиа выдает лицензию для проигрывателя. Лицензия PlayReady или Widevine содержит ключ расшифровки, который может использоваться клиентским проигрывателем для расшифровки и потоковой передачи содержимого.

Кроме того, предоставить лицензии Widevine могут следующие партнеры служб мультимедиа:

Дополнительные сведения см. в статьях, посвященных интеграции с Axinom и castLabs.

Службы мультимедиа поддерживают несколько способов авторизации пользователей, которые запрашивают ключи. Для политики авторизации ключа содержимого можно задать одно или несколько ограничений: открытая авторизация или авторизация с помощью маркера. При ограничении с помощью маркера к политике должен прилагаться маркер, выданный службой маркеров безопасности (STS). Службы мультимедиа поддерживают маркеры в форматах простого веб-маркера (SWT) и JSON Web Token (JWT).

Чтобы воспользоваться преимуществами динамического шифрования, создайте ресурс с набором исходных файлов MP4 с несколькими скоростями или Smooth Streaming с несколькими скоростями. Вам также потребуется настроить политику доставки для ресурса (описывается далее в этой статье). В зависимости от формата, указанного в URL-адресе потоковой передачи, сервер потокового воспроизведения по запросу обеспечивает доставку содержимого по выбранному протоколу. Благодаря этому можно хранить и оплачивать файлы в одном формате хранения. Службы мультимедиа создают и обрабатывают соответствующий ответ HTTP на каждый запрос клиента.

Эта статья полезна для разработчиков приложений, которые предоставляют мультимедийные файлы, защищенные с помощью нескольких лицензий DRM, например PlayReady и Widevine. В этой статье объясняется, как настроить политики авторизации для службы доставки лицензий PlayReady, чтобы только авторизованные клиенты могли получать лицензии PlayReady или Widevine. Также показано, как использовать динамическое шифрование с помощью PlayReady или Widevine DRM через DASH.

При создании учетной записи служб мультимедиа в нее добавляется конечная точка потоковой передачи по умолчанию в состоянии «Остановлена». Чтобы начать потоковую передачу содержимого и воспользоваться динамической упаковкой и динамическим шифрованием, конечная точка потоковой передачи, из которой необходимо выполнять потоковую передачу содержимого, должна находиться в состоянии «Выполняется».

Скачивание примера приложения

Пример, описанный в этой статье, можно скачать на странице с примерами Azure в GitHub.

Настройка общего динамического шифрования и службы доставки лицензий DRM

Выполните описанные ниже общие действия для защиты файлов с помощью PlayReady, используя службу доставки лицензий служб мультимедиа и динамическое шифрование.

Создайте ресурс и отправьте в него другие файлы.

Закодируйте ресурс с файлами в набор MP4-файлов с переменной скоростью.

Создайте ключ содержимого и свяжите его с закодированным ресурсом. В службах мультимедиа ключ содержимого содержит ключ шифрования ресурса.

Настройте политику авторизации ключа содержимого. Потребуется настроить политику авторизации для ключа содержимого. Прежде чем ключ содержимого будет доставлен в клиент, его нужно привести в соответствие с политикой.

Когда вы создаете политику авторизации ключа содержимого, задайте метод доставки (PlayReady или Widevine) и ограничения (открытая авторизация или авторизация с помощью маркера). Также укажите сведения, характерные для типа доставки ключей, которые определяют порядок доставки ключа к клиенту (шаблон лицензии PlayReady или Widevine).

Настройте политику доставки для ресурса-контейнера. Конфигурация политики доставки включает протокол доставки (например, MPEG-DASH, HLS, Smooth Streaming или все перечисленные). Конфигурация также включает тип динамического шифрования (например, общее шифрование) и PlayReady или URL-адрес получения лицензии Widevine.

К разным протоколам можно применять разные политики в отношении одного и того же ресурса. Например, вы можете применить шифрование PlayReady при использовании Smooth или DASH и конвертное шифрование AES при использовании HLS. Потоковая передача по тем протоколам, которые не определены в политике доставки (например, если вы добавили одну политику, которая предусматривает использование только протокола HLS), блокируется. Исключением являются те случаи, когда политика доставки ресурсов вообще не определена. Тогда все протоколы разрешено использовать в незашифрованном виде.

Создайте указатель OnDemand, чтобы получить URL-адрес для потоковой передачи.

На следующем изображении показан описанный выше рабочий процесс. В этом случае для аутентификации используется маркер.

В оставшейся части статьи приводятся подробные объяснения, примеры кода и ссылки на статьи с инструкциями для выполнения описанных выше задач.

Текущие ограничения

При добавлении или обновлении политики для доставки ресурсов необходимо удалить любой связанный указатель и создать новый.

Сейчас для шифрования с использованием Widevine с помощью служб мультимедиа не поддерживается использование нескольких ключей содержимого.

Создание ресурса-контейнера и отправка в него файлов

Для кодирования и потоковой передачи видео, а также управления ими сначала необходимо отправить содержимое в службы мультимедиа. Отправленное содержимое будет сохранено в безопасном облачном хранилище для последующей обработки и потоковой передачи.

Кодирование ресурса с файлами в набор MP4-файлов с переменной скоростью

При использовании динамического шифрования создается ресурс, содержащий набор MP4-файлов или исходных файлов Smooth Streaming (оба типа относятся к файлам с несколькими скоростями). Затем с учетом формата, указанного в манифесте или запросе фрагмента, сервер потоковой передачи по запросу организует передачу содержимого по выбранному протоколу. Так можно хранить и оплачивать файлы в одном формате хранения. Службы мультимедиа создают и обрабатывают соответствующий ответ с учетом запросов клиента. Чтобы узнать больше, ознакомьтесь с общими сведениями о динамической упаковке.

Создание ключа содержимого и связывание его с закодированным ресурсом-контейнером

В службах мультимедиа ключ содержимого содержит ключ, который используется для шифрования ресурса-контейнера.

Дополнительные сведения см. в руководстве по созданию ключей содержимого.

Настройка политики авторизации для ключа содержимого

Службы мультимедиа поддерживают несколько способов аутентификации пользователей, которые запрашивают ключи. Потребуется настроить политику авторизации для ключа содержимого. Прежде чем ключ будет доставлен в клиент (проигрыватель), его нужно привести в соответствие с политикой. Для политики авторизации ключа содержимого можно задать одно или несколько ограничений: открытая авторизация или авторизация с помощью маркера.

Настройка политики доставки для ресурса

Настройте политику доставки для ресурса-контейнера. Вот некоторые элементы, входящие в конфигурацию политики доставки:

Создание указателя потоковой передачи по запросу для получения URL-адреса для потоковой передачи

При использовании протоколов Smooth Streaming, DASH или HLS вам необходимо предоставить пользователю URL-адрес для потоковой передачи.

При добавлении или обновлении политики доставки ресурсов необходимо удалить все существующие указатели и создать новый.

Указания по публикации ресурса и созданию URL-адреса потоковой передачи см. в статье Создание URL-адреса потоковой передачи.

Получение маркера тестирования

Получите маркер тестирования в зависимости от ограничения по маркеру, заданного в политике авторизации ключа.

Для проверки потока можно использовать проигрыватель служб мультимедиа Azure.

Создание и настройка проекта Visual Studio

Добавьте следующие элементы в appSettings, определенные в файле app.config:

Пример

Замените код в файле Program.cs кодом, приведенным в этом разделе.

Для разных политик служб мультимедиа действует ограничение в 1 млн записей (например, для политики Locator или ContentKeyAuthorizationPolicy). Если вы используете одни и те же даты, разрешения доступа и т. д., указывайте один и тот же идентификатор политики. Например, это политики для указателей, которые должны оставаться на месте в течение длительного времени (не политики передачи).

Обязательно обновите переменные, чтобы они указывали на папки, в которых находятся входные файлы.

Дополнительные замечания

Дальнейшие действия

Службы мультимедиа версии 3 (последняя версия)

Ознакомьтесь с последней версией Служб мультимедиа Azure.

Службы мультимедиа версии 2 (прежняя версия)

Отзывы

На форуме User Voice можно оставить свои отзывы о работе служб мультимедиа Azure или предложения по их улучшению. Вы также можете перейти непосредственно к одной из следующих категорий:

Источник