Le DRM en pratique : pourquoi le même contenu ne joue pas partout

La question revient dans toutes les équipes qui touchent à la vidéo pour la première fois: pourquoi le même fichier, servi par le même serveur, joue en haute définition sur un appareil, en définition réduite sur un deuxième, et pas du tout sur un troisième? La réponse n'est presque jamais technique au sens où on l'entend. Elle est contractuelle, et le DRM n'est que le mécanisme qui applique le contrat.

Ce que le DRM fait réellement

Un flux vidéo protégé est chiffré une seule fois, à l'encodage. La clé de déchiffrement ne voyage pas avec lui: elle est conservée par un serveur de licences. Quand un lecteur veut lire le contenu, il extrait du manifeste ou du flux un identifiant de clé, l'envoie au serveur de licences avec une preuve de ce qu'il est, et reçoit — ou non — une licence contenant la clé, assortie de conditions.

Tout l'intérêt est dans cette preuve d'identité. Le lecteur ne dit pas simplement « je suis une application autorisée ». Il présente un certificat installé à la fabrication de l'appareil, qui atteste du modèle, du fabricant et surtout du niveau de protection dont dispose le matériel. C'est ce certificat, et non le compte de l'abonné, qui détermine l'essentiel de ce qui suit.

Trois écosystèmes, une même mécanique

Widevine, PlayReady et FairPlay font la même chose, chacun dans son territoire: Widevine domine Android et Chrome, PlayReady vient de l'univers Windows et équipe une grande partie des décodeurs et téléviseurs connectés, FairPlay règne sur les appareils Apple. Aucun n'est meilleur que les autres; ils sont simplement imposés par la plateforme.

La conséquence pratique est qu'un service qui veut atteindre tout le monde doit chiffrer et empaqueter son catalogue pour plusieurs systèmes à la fois. Le chiffrement commun a beaucoup simplifié ça — on chiffre une fois, plusieurs systèmes peuvent délivrer la clé — mais chacun garde son propre serveur de licences, son propre format de requête et ses propres règles. Le catalogue est unique, la chaîne de licences ne l'est pas.

Les niveaux de sécurité, ou pourquoi la résolution baisse

C'est le point que presque personne ne connaît en dehors du métier. Les systèmes de DRM classent les appareils selon l'endroit où le contenu déchiffré circule.

Au niveau le plus élevé, le déchiffrement et le décodage ont lieu dans une zone d'exécution isolée du processeur, et l'image ne devient jamais accessible au système d'exploitation: elle passe directement au circuit d'affichage. Au niveau intermédiaire, les clés restent protégées mais le décodage se fait en logiciel. Au niveau le plus bas, tout se passe en logiciel ordinaire.

Les diffuseurs de contenu imposent des seuils. Une production récente en très haute définition n'est typiquement autorisée que sur du matériel du niveau le plus élevé. Sur un appareil de niveau inférieur, le serveur de licences ne refuse pas la lecture: il délivre une licence assortie d'un plafond de résolution. L'utilisateur voit une image moins nette et conclut que sa connexion est lente. Elle n'y est pour rien.

Les règles de sortie

La licence ne se contente pas de dire « tu peux lire ». Elle transporte aussi des règles portant sur la sortie vidéo: exiger une liaison numérique protégée vers le téléviseur, interdire les sorties analogiques, limiter la résolution si la protection de liaison ne peut pas être négociée.

C'est ce qui explique l'un des dépannages les plus ingrats du métier. Un abonné change de câble ou branche un répartiteur bon marché, la négociation de protection échoue, et l'image devient noire ou chute en résolution sur une seule chaîne — celle dont l'entente est la plus stricte. Rien n'est brisé, tout fonctionne comme prévu, et c'est incompréhensible pour la personne devant l'écran.

La fenêtre temporelle

Une licence a une durée de validité, et souvent une durée de lecture qui démarre au premier visionnement. C'est ce qui permet la location de quarante-huit heures et le téléchargement hors ligne à expiration.

Ça implique aussi que l'appareil doit connaître l'heure réelle, et qu'il ne peut pas se contenter de son horloge locale, sans quoi reculer la date suffirait à prolonger une location. Les implémentations sérieuses tiennent une horloge sécurisée, resynchronisée avec le serveur et non modifiable par l'utilisateur. C'est une raison de plus, parmi plusieurs, pour lesquelles un décodeur qui ne parvient pas à joindre un serveur de temps refuse tout simplement de lire.

Ce que ça change quand on intègre

La leçon que je retiens après des années à déboguer ces chaînes: quand une lecture échoue, le réflexe naturel est de suspecter le réseau ou l'encodage, et c'est presque toujours le mauvais endroit où chercher. La bonne première question est: quelle licence a été délivrée, à quel appareil, avec quelles restrictions? La réponse est dans les journaux du serveur de licences, pas dans ceux du lecteur.

La deuxième leçon est qu'un banc de test ne prouve pas grand-chose. Les appareils de développement sont souvent provisionnés avec des certificats permissifs et des règles assouplies. Le même code, sur du matériel de production avec les vraies ententes, se comporte autrement. C'est la partie de la chaîne vidéo où l'écart entre le laboratoire et le terrain est le plus grand.