OTT-video: Sikre deg premium-innholdet ditt i dag |

Stopp inntektstap og beskytt ditt premium-innhold. Her finner du alt du trenger å vite om overgangen fra eldre CAS-systemer til banebrytende Multi-DRM-økosystemer.

I premium-tiden OTT-strømming, innholdssikkerhet er ikke bare et teknisk krav, men også en garanti for inntektene. Overgangen fra tradisjonell TV-sending til IP-basert strømming har fundamentalt endret trusselbildet. Vi har gått fra den “lukkede hagen” med proprietære set-top-bokser til et fragmentert økosystem bestående av nettlesere, mobile enheter og smart-TV-er.

Denne veiledningen tar for seg arkitekturen bak moderne innholdsbeskyttelse, med fokus på sammensmeltingen av eldre Systemer for betinget tilgang (CAS) og moderne Digital rettighetsadministrasjon (DRM).

1. Det strategiske skiftet: CAS mot DRM

I flere tiår var sikkerheten i TV-bransjen svart-hvit. Enten hadde man smartkortet, eller så hadde man det ikke. I dag må sikkerheten være detaljert og ikke bare omfatte tilgangsstyring, men også bruk å styre oppløsningsgrenser, utdatabaner og utløpsdatoer for offline-tilstand.

Det er avgjørende for enhver CTO eller innholdsansvarlig å forstå forskjellen:

Funksjon	System for betinget tilgang (CAS)	Digital rettighetsadministrasjon (DRM)
Primærperioden	Satellitt, kabel (DVB, ATSC)	IP-streaming (OTT, IPTV)
Kontrollfokus	Tilgang: “Kan brukeren komme inn i rommet?”	Bruk: “Hva kan brukeren gjøre i rommet?”
Sikkerhetsrot	Maskinvare (smartkort, STB-brikker)	Programvare og pålitelige kjøringsmiljøer (TEE)
Kommunikasjon	Enveis (Broadcast)	Toveis (håndtrykk mellom server og klient)
Nøkkelrotasjon	Kontrollord (CW) skiftes hvert 5.–10. sekund	Innholdsnøkler (ofte statiske for hvert element eller på rotasjon)

Konvergensen: Moderne OTT-plattformer benytter seg ofte av en “Multi-DRM”-strategi. I denne hybridmodellen fungerer tilgangslogikken (abonnementssjekker) som en virtuell CAS, mens selve krypteringen av innholdet håndteres av robuste DRM-standarder.

2. Kjerne-teknologier: "Black Box"-standarden

For å eliminere sikkerhetsrisikoene knyttet til nettleser-plugins (RIP Flash) har W3C standardisert grensesnittet mellom det åpne nettet og sikre videospillere.

Krypterte medieutvidelser (EME)

EME er JavaScript-API-standarden som gjør det mulig for nettleseren å samhandle med en innholdsdekrypteringsmodul (CDM). Det viktigste er at EME håndterer utvekslingen av nøkler og lisenser, men ser aldri det dekrypterte videobildet, noe som sikrer høy sikkerhet.

Modul for dekryptering av innhold (CDM)

CDM er en “svart boks” på klientsiden som er tett integrert i nettleseren eller operativsystemet. Den tar seg av det tyngste arbeidet:

Generering av forespørsler: Oppretter utfordringen for lisensserveren.
Behandling av lisenser: Analyserer det sikre svaret.
Dekryptering: Å få tilgang til videoinnhold.
Sikker gjengivelse: Overføring av dekrypterte rammer direkte til skjermmaskinvaren via Secure Video Path.

Common Encryption (CENC): Effektivitetsspareren

Før CENC ble innført, måtte utgivere lagre en egen kopi av en video for hver DRM-system. CENC (ISO/IEC 23001-7) revolusjonerte dette ved å tillate en én enkelt kryptert fil som skal dekrypteres av flere DRM-systemer (Widevine, PlayReady osv.) ved hjelp av samme algoritme.

AES-CTR (Counter Mode): Den opprinnelige standarden. Støttes av Widevine og PlayReady.
AES-CBC (Cipher Block Chaining): Krav fra Apple (FairPlay).
Den moderne løsningen: Bruk CMAF beholdere med cbcs kryptering som støtter alle de tre viktigste DRM-systemene i én og samme fil, noe som reduserer lagringskostnadene betydelig.

3. De "tre store" multi-DRM-økosystemene

For å nå ut til alle brukere må plattformen din støtte de tre dominerende proprietære DRM-systemene.

1. Google Widevine

Mål: Android, Chrome, Firefox, Edge (Chromium), Android TV, Chromecast.
Sikkerhetsnivåer:
- L1 (Høyest): Kryptografien utføres i Trusted Execution Environment (TEE). Nødvendig for HD, 4K, og HDR-avspilling.
- L3 (laveste): Programvarebasert kryptografi. Utsatt for skjermopptak. Ofte begrenset til 576p (SD) av filmstudioene.

2. Apple FairPlay Streaming (FPS)

Mål: iOS, tvOS, macOS, Safari.
Arkitektur: Integrert med Apples Secure Enclave. Krever HLS og AES-CBC-kryptering.
Toppfunksjon: AirPlay-sikkerhet: FairPlay overfører nøkler sikkert til Apple TV, noe som sikrer beskyttelse selv under strømming.

3. Microsoft PlayReady

Mål: Windows, Kant, Xbox, Roku, Smart-TV-er.
Sikkerhetsnivåer:
- SL2000: Forbedret programvaresikkerhet.
- SL3000: Maskinvarebasert sikkerhet (TEE) er påkrevd for UHD/4K-innhold og filmutgivelser i “Early Window”.

4. Slik fungerer det: Beskyttelsesstrukturen

Reisen til en sikker videoramme følger denne strenge arbeidsflyten:

Emballasje (låsen): Råvideoen blir kodet (H.264/HEVC) og den Pakker krever en nøkkel-ID (KID) og en innholdsnøkkel (CEK). Videoen er kryptert (AES-128), og PSSH-metadata legges til i overskriften.
Håndtrykket (Nøkkelen): Når en bruker klikker på “Spill av”, ber spilleren (via EME) CDM-en om å opprette en “lisensforespørsel”. Denne sendes til Lisensserver med et autentiseringstoken. Serveren bekrefter brukerens abonnement og returnerer en sikker lisens.
Avspilling (The View): CDM-en dekrypterer innholdsnøkkelen og dekrypterer deretter videobildene innenfor den sikre videobanen, før de vises direkte på skjermen.

5. Avanserte tiltak for premium-innhold

Kryptering hindrer vanlige brukere, men profesjonelle pirater bruker skjermopptakskort og kompromittert maskinvare. For å sikre premium-sportssendinger og nyutgitte filmer trenger du sikkerhetstiltak etter dekryptering.

Kriminalteknisk vannmerking

Usynlige data er innebygd i videoen/lyden. Hvis en pirat tar opp skjermen (camcording) eller omgår HDCP-beskyttelsen, identifiserer vannmerket kilden til lekkasjen.

Klientsiden: Spillerappen inneholder ID-en. (Kostnadseffektivt, men med større risiko).
På serversiden (A/B-vannmerking): Gullstandarden. Serveren koder to versjoner av hvert segment (“A” og “B”) med usynlige binære forskjeller.
- Bruker X får mønsteret: A-A-B-A-B…
- Bruker Y får mønsteret: B-A-B-B-A…
- Resultat: Enhver fil som lekker ut, avslører det unike mønsteret til brukeren som har lekket den.

Utgangsbeskyttelse (HDCP)

HDCP (High-bandwidth Digital Content Protection) forhindrer kopiering via HDMI-kabler.

HDCP 2.2/2.3: Påkrevd for 4K. Hvis TV-en ikke støtter dette, vil DRM-systemet (Widevine L1/PlayReady SL3000) automatisk nedgradere strømmen til SD for å beskytte innholdet.

6. Fremtidsutsikter: Zero Trust-streaming

Bransjen beveger seg i retning av Zero Trust-arkitekturer. I stedet for å godkjenne en enhet én gang ved innlogging, bruker moderne DRM såkalte “heartbeats”. Spilleren må fornye lisensen hvert par minutter. Hvis systemet oppdager en samtidig innlogging fra en annen IP-adresse eller en enhet med root-tilgang, blir fornyelsen umiddelbart avvist, noe som avbryter strømmen midt i avspillingen.