AuthenticationAccess Management Developer Solutions Digital Signatures Digitala Rättighetshantering – en introduktion RSA Akademi – 26 Januari 2004 Magnus Nyström

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Vad innebär rättighetshantering? •Uppgiften gäller Kontroll och skydd av rättigheter såsom upphovsrätt (copyright), patent (intellectual property), varumärken (trademark) •System för hantering av sådana rättigheter ska skydda mot icke auktoriserad manipulation, kopiering, distribution och konsumtion av den skyddade informationen —Kan ses som affärsprocesser som för legala och kommersiella ändamål kontrollerar rättigheter, licenser, royalties, villkor, etc. mellan rättighetsägare (eller deras agenter) och användare

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Tidiga (icke-digitala) exempel •Musikindustrin —USA: American Society of Composers, Authors and Publishers (ASCAP)(Bildad 1914!), RIAA (minns Napster!), MPAA —Sverige: Svenska Tonsättares Internationella Musikbyrå (STIM) (Bildad 1923!) —Bevakar rättigheter, fungerar som agent (musikradio, hissmusik, varuhusmusik, etc.) for royalty-betalningar etc •Fotokopiatorer (1950-talet) —Ledde I USA till etablerandet av Copyright Control Center, CCC —I Sverige har vi bl.a. Föreningen för Svenska Läromedel, FSL

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Media blir digitalt •Möjliggör kopiering utan förlust av kvalitet —och med Internet distribution i stora volymer •Tidiga system fokuserade mest på copyright protection – samma affärsmodeller som i den pre-digitala världen —Ex: krypterad distribution, licensservrar, hårdvarunycklar (”Digital Rights Enforcement,” DRE) —Nya lagar genomdrevs av mediaindustrin, t.ex. DMCA •Men digitalt media möjliggör också nya affärsmodeller —Pay-per-view —Pay-per-listen —Individuella musikstycken i st.f. kompletta album —Licenser istället för köp

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Digital rättighetshantering •Rättighetshantering som utnyttjar digital teknologi för skydd av information i digital form •Bör gälla hela kedjan från framställande av informationen till dess konsumtion (Xerox Parc utvecklade “Digital Property Rights Language” under tidigt 90-tal, ett formellt språk att uttrycka termer, rättigheter, och begränsningar i, har senare vidareutvecklats av bolaget ContentGuard till XrML)

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Vad vill uppnås? •System efterliknande den pre-digitala världens skydd ej helt lyckade —Komplicerad användning —Problemet går från distribution av informationen till distribution av mjukvara (och ev hårdvara) —Konsumenter vänder sig till alternativ, t.ex. Kazaa —Utnyttjar inte det digitala mediets möjligheter till fullo •Bättre verkar vara system som —Medger enkel och naturlig användning (konsumentvänligt) —Medger “fair use” —Stödjer nya affärsmodeller (köp vissa artiklar ur en tidskrift, vissa sånger från en skiva, …) och effektivitetsvinster (även utanför medieindustrin, e.g. offerter) —Lyckat exempel: Apple iTune Music Store

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Lite terminologi UtgivareUpphovsrättsinnehavare Licensierar till Information om rättigheter Användare Agent/rättighetsutgivare Skyddat media Rättigheter (efter identifiering och betalning)

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Komponenter 1.Identifiering av konsumenten (av informationen) 2.Auktorisering av konsumenten, t.ex. betalning, royalty 3.Digitalt skydd av informationen (t.ex. kryptering) 4.En möjlighet att uttrycka rättigheterna i digital form 5.Tillämpning av rättigheterna vid konsumtion •Oavsett kombination av komponenter i övrigt bör denna komponent finnas med

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Tekniska komponenter – Identifiering av användare •Ofta också fråga om identifiering av användarens agent, dvs den process som möjliggör användarens konsumtion av information •Identifiering av användare ger också helt nya möjligheter att följa konsumenters beteende – när och hur information används – vilket kan vara en betydande fördel (men nackdel ur integritetssynvinkel...)

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Tekniska komponenter – Auktorisering av användare •Efter identifikation av användare kan deras rättigheter på begärd information bestämmas (auktorisering) •Vid konsumtionen av informationen bevakar agenten att dessa rättigheter inte överskrids (t.ex. kan spela ett spel 3 ggr, reklaminslagsbevakning)

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Tekniska komponenter – Digitalt skydd av informationen •Kan vara kryptering av informationen, med utlämnande av kryptonycklar endast till behöriga mottagare —Användar-agenter —Licens-servrar —Licensnyckel på CD-ROM/DVD skivor, etc •Inte alltid nödvändigt med kryptering i ett DRM-system —Ex. vis “streaming” content som endast erhålls efter identifikation och autenticering och endast med svårighet kan kopieras

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Tekniska komponenter – Uttryck av rättigheter i digital form •Grunden för “Rättighetsspråk” eller “Rights Languages” •Ett flertal sådana språk finns idag: —DPRL (Xerox Parc) —XrML (ContentGuard, OASIS) —ODRL (Open Digital Rights Language, Nokia m.fl.) —XMCL (Extensible Media Commerce Language, RealNetworks) •Dessa språk —möjliggör en beskrivningsmodell (tillgångar (”assets”), rättigheter, begränsningar, rättighetsinnehavare, etc) —Medger maskintolkning av dessa modeller, vilket ger agent- processer nödvändig information för att tillämpa (eller upprätthålla) “kontrakt”

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Tekniska komponenter – Tillämpning av rättigheter •Kan vara i form av en “agent” hos konsumenten —Agerar i rättighetsinnehavarens intresse •Tolkar rättigheter och ser till att de efterlevs •Skall ske i form av en ”säker” komponent —Kan realiseras i hårdvara, men en komplett realisering komplicerad —Verkar i en ”fientlig” miljö – eftersom det kan vara i användarens intresse att förbigå denna agent!

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Digital rättighetshantering inom mediaindustrin •Flertal system i bruk idag —Content Scrambling System, CSS • Knäckt 1999, men fortfarande i bruk —CPPM (Copy-Protection for Pre-recorded Media) • Vidareutveckling av CPPM. Enskilda spelare kan förlora sin auktorisering (och kan då inte spela ny media) —DTCP (Digital Transmission Copy Protection) • För skydd av information som sänds mellan ex.vis. Kabelmodem och TV • PKI-baserad, parter autenticerar varandra —DOCSIS (Data Over Cable Service Interface Specification) • För skydd av kabelutsändningar (ex vis digital kabel-TV) —“Digitala vattenstämplar” – flertal modeller finns • Ofta för detektering av kopierat, skyddat material

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Digital rättighetshantering utanför mediainustrin •Skydd av digital information i näringsliv och förvaltning —Exempel: Undvika icke-auktoriserad access till digitala dokument vid upphandlingar, offerter, utvecklingsprojekt, sociala ärenden, journaler, konstruktionsritningar, marknadsplaner, etc •Möjliggör säker distribution av konfidentiella information även utanför en intern miljö —EU ställer krav inom detta område, es vis arbetsgivarunderlag •Området ej så standardiserat som digital rättighetshantering av media avsett för konsumenter •Allt ökande behov

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Digitala rättigheter utanför mediaindustrin – ett exempel Skickar konfidentielll Information till legitim samt (oavsiktligt) ej legitim mottagare DRM system ? ? Nope!

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Trender, Sammanfattning •Inom mediaindustrin emfas på nya affärsmodeller snarare än metoder att skydda upphovsrätt (som dock fortfarande är en komponent) •Tilltagande intresse för hantering av digitala rättigheter inom näringsliv och förvaltning – säker hantering av konfidentiell information •Utveckling mot säkra “agenter” som verkar i informationsägarens intresse i informationskonsumentens miljö (“trusted components”)

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Ett urval referenser 1.Rosenblatt, B, m.fl., “Digital Rights Management,” Digital Millenium Copyright Act: C Entity. Content Protection for Recordable Media. URL: Digital Transmission Content Protection Specification Volume 1, Revision 29. URL: American National Standards Institute. Data-Over-Cable Service Interface Specification DOCSIS 1.1 Baseline Privacy Interface (BPI). ANSI/SCTE Stevenson, A.F., Cryptanalysis of Contents Scrambling System URL:

AuthenticationAccess ManagementDigital SignaturesDeveloper Solutions Kontaktinformation •RSA: •Magnus: •Denna presentation: ftp://ftp.rsasecurity.com/pub/rsalabs/presentations/academy ppt ftp://ftp.rsasecurity.com/pub/rsalabs/presentations/academy ppt Tack för visat intresse!