MXPA01000489A - Metodo y aparato para la comunicacion segura de informacion entre una pluralidad de dispositivos audiovisuales digitales - Google Patents

Abstract

La presente invención se refiere a un método para proporcionar comunicación segura de información entre por lo menos un primer y segundo dispositivo audiovisual digital (30, 52) y en donde el primer dispositivo (30) comunica, al segundo dispositivo (52), un certificado Ct(KpubT) comprendiendo una clave pública de transporte KpubT codificada crípticamente por una clave privada de manejo KpriMan, el segundo dispositivo (52) descodificando crípticamente el certificado utilizando una clave pública de manejo equivalente KpubMan y después utilizando la clave pública de transporte KpubT para codificar crípticamente la información enviada al primer dispositivo, el primer dispositivo utilizando una clave privada equivalente KpriT para descodificar crípticamente la información. La presente invención es particularmente aplicable a un método para proporcionar comunicación segura entre un primer y un segundo descodificador.

Description

MÉTODO Y APARATO PARA LA COMUNICACIÓN SEGURA DE INFORMACIÓN ENTRE UNA PLURALIDAD DE DISPOSITIVOS AUDIOVISUALES DIGITALES DESCRIPCIÓN DE LA INVENCIÓN La presente invención se refiere a un método y a un aparato para la comunicación segura de información entre una pluralidad de dispositivos audiovisuales digitales conectados en una red. La presente invención es particularmente aplicable al campo de televisión digital, en donde la información audiovisual mezclada es radiodifundida a un número de abonados, cada abonado poseyendo un descodificador o receptor/descodificador integrado (IRD) capaz de descodificar o deshacer el programa transmitido para subsecuente visión. En un sistema típico, los datos audiovisuales digitales mezclados son transmitidos junto con una palabra de control pera descodificar los datos digitales, la misma palabra de control siendo codificada crípticamente por una clave de explotación y transmitida en forma codificada crípticamente. Un descodificador recibe los datos digitales mezclados y la palabra de control codificada crípticamente que usa un equivalente de la clave de explotación para descodificar crípticamente la palabra de control codificada crípticamente y después descodificar los datos transmitidos. Un abonado pagado recibirá periódicamente la clave de explotación necesaria para descodificar crípticamente la palabra de control codificada críticamente con el fin de permitir la visión de un programa particular. Las claves de codificación y descodificación en forma críptica son convencionalmente almacenadas según el módulo de seguridad portátil, tal como una tarjeta inteligente usada para personalizar al descodificador. Surge un problema particular en el caso de un usuario que tiene dos o más descodificadores, ya que los sistemas de manejo de suscripción existentes por lo general tienen dificultad al abrir una segunda suscripción para la misma persona en la misma dirección. Consecuentemente, en tales circunstancias, podría eer ventajoso permitir que dos o más descodificadores funcionen utilizando la misma subscripción. La solicitud de patente del PCT WO 97/35430 en el nombre de News Datacom Limited muestra una posible solución a este problema. En este sistema, un par de descodificadores es organizado en una configuración de maestro/esclavo. Los derechos de suscripción son administrados por el descodificador maestro y su tarjeta inteligente asociada. Con el fin de transferir los derechos al descodificador esclavo, la tarjeta inteligente esclavo debe ser insertada a intervalos regulares en el descodificador maestro. La desventaja de este sistema es que un usuario está obligado a reti'ar manualmente, recargar y reemplazar la tarjeta en el descodificador esclavo. Otras soluciones propuestas han incluido la generac ón de una tarjeta inteligente por duplicado conteniendo exactamente los mismos derechos como los presentes en una tarjeta inteligente maestra. Dicha solución también es indeseable, ya que no se desea dar exactamente los mismos derechos a descodificadores múltiples, y ya que la creación de un clon o tarjeta por duplicado siempre incurre en el riesgo de fraude. Otro problema particular asociado con los datos transmitidos en un sistema digital yace en su facilidad de reproducción sin ninguna pérdida de calidad. Cuando un programa descodificado es pasado a través de un enlace análogo (por ejemplo, el enlace de "Peritel") para ver y grabar a través de una VCR estándar, la calidad permanece no mayor que la asociada con una grabación de cásete análoga estándar. En contraste, cualquier dato digital descodificado que pase a través de un enlace digital directo a uno de una nueva generación de dispositivos de grabado digital (por ejemplo, un reproductor DVHS o DVD) será de la misma calidad como el programa originalmente transmitido y de esta manera puede ser reproducido cualquier número de veces sin ninguna degradación de la imagen o calidad del sonido. Por lo tanto, existe un riesgo considerable que los datos descodificados reproducidos serán utilizados como una grabación maestra para hacer copias piratas. La Solicitud de Patente Francesa 95 03859 muestra una forma de superar este problema. En este sistema, los datos digitales descodificados nunca son grabados directamente en el medio de grabación digital. Más bien, el descodificador descrito en esta solicitud hace avanzar los datos para grabarse en el medio de soporte en su forma mezclada. La palabra de control necesaria para descodificar los datos es codificada nuevamente en forma críptica a través de otras claves y almacenada en el soporte de grabación con los datos mezclados. Esta nueva clave es conocida solamente por el receptor/descodificador y reemplaza a la clave de explotación necesaria para obtener la palabra de control para ver el programa. La ventaja de dicho sistema es que los datos nunca son almacenados en una forma "transparente" y no pueden ser vistos e¡ i n la posesión de la nueva clave, almacenada en el descodificador. El sistema también posee la ventaja de que, ya que la clave de explotación cambia en una base mensual, el uso de una clave seleccionada por el descodificador para volver a codificador crípticamente la palabra de control registrada en los medios de cinta digital que el descodificador seguirá siendo capaz de descodificar crípticamente la palabra de control grabada en la cirta aún después del final de un mes de suscripción. La desventaja del sistema propuesto en esta solicitud de patente previa es que la grabación solamente puede ser vista jurto con ese descodificador particular. Si ese descodificador se interrumpe, o es reemplazado, la grabación ya no puede ser reproducida. Igualmente, no es posible reproducir la grabación directamente en una grabador digital sin conectar el descodificador en el sistema.

Con el fin de que el descodificador y la grabadora puedan funcionar más efectivamente, se desea proporcionar un enlace de comunicación asegurado o codificado crípticamente ent*e los dispositivos. Como se apreciará de la descripción anterior, la interacción del descodificador y la grabadora pueden conducir a problemas, por ejemplo, cuando las transmisiones mezcladas son grabadas, pero solamente en donde el descodificador posee la información necesaria para descodificar crípticamente tales transmisiones. La implementación de un enlace de seguridad entre los dispositivos puede ser utilizada para habilitar la información necesaria para preparar o reproducir una grabación para que pane libremente entre los dispositivos. Es un objeto de la presente invención, en sus modalidades generales y específicas, superar algunos o todos los problemas de estos sistemas de la técnica anterior. De acuerdo con la presente invención, se proporciona un método para proveer una comunicación segura de información entre por lo menos un primero y un segundo dispositivo audiovisual digital y en donde ese segundo dispositivo recibe un certificado comprendiendo una clave pública de transporte codificada crípticamente por una clave privada de manejo, el segundo dispositivo descodifica crípticamente el certificado utilizando una clave pública de manejo equivalente y después utilizando la clave pública de transporte para codificar crípticamente la información enviada al primer dispositivo, el primer dispositivo utilizando una clave privada equivalente para descodificar crípticamente la información. En dicho método, el primer dispositivo puede asumir e\-papel de un dispositivo maestro, personalizado con un certificado generado utilizando una clave privada de manejo. La clave privada de manejo es mantenida en secreto por el administrador del sistema y puede no ser derivada de la información almacenada en el certificado. El segundo dispositivo puede asumir el papel de un dispositivo esclavo. La información codificada crípticamente por la clave pública de transporte mantenida por el segundo dispositivo solamente puede ser descodificada crípticamente por la clave privada equivalente mantenida por el primer dispositivo. Como se discutirá más adelante, esta información después puede ser utilizada para fijar un enlace bidireccional de seguridad para transferir derechos de suscripción y otra información. Ventajosamente, el par de claves privada/pública de transporte están únicamente asociadas con el par del primero y segundo dispositivo. Esto asegura una completa seguridad e mensajes codificados crípticamente transmitidos al primer dispositivo. Como se apreciará, aunque el uso de claves únicas permite un nivel elevado de seguridad, se puede decidir en algunos casos utilizar claves no únicas, por ejemplo, para diferentes pares de dispositivos distribuidos en diferentes territorios, en donde el riesgo de seguridad asociado con tal duplicación es relativamente bajo. De preferencia, la información codificada crípticamente enviada por el segundo dispositivo comprende una clave de sesión, en particular, una clave de sesión generada por el segundo dispositivo y que se puede usar junto con un algoritmo e codificación críptica simétrico. Esta clave, la cual puede ser generada al inicio de una sesión de comunicación para transferir la suscripción, después puede ser usada para la comunicación bidireccional de información entre los primero y segundo dispositivos. En una modalidad alternativa, se puede utilizar un par de clave de sesión correspondiendo a un par de clave privada/pública de un algoritmo asimétrico. La ventaja de una clave de sesión simétrica que se puede cambiar yace en el nivel elevado de seguridad que dicha clave proporciona así como la posibilidad de comunicación bidireccional que habilita. Otras modalidades, sin embargo, son posibles, por ejemplo, en donde la información relacionada con la transmisión es directamente codificada en forma críptica utilizando la clave pública del transporte mantenida por el segundo dispositivo. En una modalidad, la clave de sesión es utilizada por el primer dispositivo para codificar crípticamente la información de palabra de control subsecuentemente comunicada al segundo dispositivo. En tal modalidad, el segundo dispositivo descodifica crípticamente la información de palabra de control utilizando la clave de sesión equivalente y después descodifica o separa una transmisión o programa asociado para la presentación. En una modalidad, antes de la comunicación del primer certificado, el segundo dispositivo recibe un certificado de sistema secundario comprendiendo la clave pública de manejo codificada crípticamente por una clave privada de sistema, el segundo dispositivo descodificando crípticamente al certificado de sistema utilizando una clave pública del sistema con el fin de obtener la clave pública de manejo usada después para descodificar crípticamente la clave pública de transporte codificada de manera críptica. Esta modalidad puede ser implementada, por ejemplo, en donde exista una fuente diferente para los primero y segundo dispositivos. La clave privada del sistema puede ser mantenida en secreto por, por ejemplo, la fuente del segundo dispositivo. Un certificado de sistema solamente será emitido en el caso de que la fuente del segundo dispositivo esté segura de la integridad de la seguridad en la fuente del primer dispositivo. Después, una fuerte del primer dispositivo designada absorberá este certificado en todas las tarjetas inteligentes del primer dispositivo, de manera que una tarjeta inteligente del segundo dispositivo puede autentificar ei origen de dichas tarjetas. Como se entenderá, la fuente del segundo dispositivo solamente necesita saber la clave pública de manejo de la fuente del primer dispositivo con el fin de generar un certificado de sistema y ninguna parte necesita compartir sus claves de codificación críptica privadas para realizar estas operaciones de certificación. El enlace de comunicación segura entre los dispositivos puede ser utilizado para transportar muchos diferentes tipos de información, incluyendo información diferente con relación a. la descodificación de una transmisión o aún otras materias. En particular, aunque las modalidades anteriores discuten el uso de una clave de sesión en la codificación críptica y la comunicación e información de palabra de control, son posibles otras modalidades. Por ejemplo, los datos de audio y/o visuales que serán grabados, pueden ser directamente codificados en forma críptica por el primer dispositivo utilizando una clave de sesión y comunicarse directamente al segundo dispositivo para la descodificación críptica y presentación. Otras modalidades pueden utilizar el enlace de comunicación segura para trasmitir, por ejemplo, claves de explotación presentes en el primer dispositivo, de manera que el segundo dispositivo puede realizar todas las operaciones para descodificar crípticamente la información de palabra de control y descodificar o separar una transmisión de la misma manera como en el primer dispositivo. Aunque la descripción anterior ha descrito operaciones de codificación y descodificación en forma críptica con relación a un primero y segundo dispositivos, se debe entender que estas operaciones y, en particular las claves necesarias en tales operaciones, necesariamente no necesitan ser manejadas o mantenidas por elementos permanentemente integrados en los mismos dispositivos. En particular, en una modalidad preferida, los primero y segundo dispositivos además comprenden primero y segundo módulos de seguridad portátiles utilizados para realizar algunos o todos los pasos de codificación y descodificación críptica anteriormente descritos. Dichos dispositivos de seguridad portátiles pueden tener cualquier forma conveniente, dependiendo del tamaño físico y las características del dispositivo. Por ejemplo, aunque en algunos casos se puede utilizar una tarjeta inteligente equivalente a una tarjeta bancaria, son igualmente posibles otros formatos tales como tarjetas de tipo PCMCIA. El enlace de comunicación física entre los dos dispositivos puede tomar muchas formas, por ejemplo, un enlace de radio, de teléfono o infrarrojo. Sin embargo, preferiblemente, el enlace de comunicación está implementado por la conexión de I o s primero y segundo descodificadores en una barra colectora, por ejemplo, un enlace de barra colectora IEEE 1394. Aunque la invención ha sido descrita con referencia a un primero y segundo dispositivo, se apreciará que el mismo principio puede ser usado para establecer una cadena de comunicación entre una serie de tales dispositivos, por ejemplo, entre un dispositivo maestro individual y una pluralidad de dispositivos esclavos. La presente invención es particular, pero no exclusivamente aplicable a la implementación de un enlace de comunicación segura entre un primero y segundo descodificador. Sin embargo, otras aplicaciones de la invención para utilizarse con otros dispositivos audiovisuales digitales pueden ser consideradas, por ejemplo, para codificar crípticamente la información de un descodifícador a una VCR digital, entre dos VCR digitales, etc. En una modalidad preferida, el dispositivo comprende un dispositivo descodificador y un dispositivo de grabación. De es:a manera, la presente invención se extiende a un método para proporcionar comunicación segura de información entre un dispositivo descodificador y un dispositivo de grabación y en donde el primero de uno de los dispositivos comunican al segundo dispositivo un certificado comprendiendo una clave pública ce dispositivo codificada crípticamente por una clave privada ce manejo, el segundo dispositivo descodificando crípticamente el certificado utilizando una clave pública de manejo equivalente y después utilizando la clave pública de dispositivo para codificar crípticamente la información enviada al primer dispositivo, el primer dispositivo utilizando una clave privada de dispositivo equivalenle para descodificar crípticamente la información. En tal método, el primer dispositivo que inicia ia comunicación es personalizado con un certificado generado por una clave privada de manejo, la clave privada de manejo es mantenida en secreto por la fuente responsable de este dispositivo (por ejemplo, el fabricante de un dispositivo de grabación) y puede no ser derivada de la información almacenada en el certificado. La comunicación de dicho certificado, por lo tanto, proporciona al segundo dispositivo con un nivel de seguridad concerniente a la identidad y origen del dispositivo que inicia la comunicación. Además, la información codificada crípticamente por la clave pública de dispositivo mantenida por el segundo dispositivo solamente puede ser descodificada crípticamente por la clave privada equivalente mantenida por el primer dispositivo, permitiendo así que el segundo dispositivo comunicar la información de confidencia al primer dispositivo. Como se describirá más adelante, esta información después puede ser utilizada para establecer J? enlace bidireccional seguro. Preferiblemente, antes de la comunicación del certificado del primer dispositivo, el primer dispositivo comunica al segundo dispositivo un certificado del sistema comprendiendo la cla^/e pública de manejo codificada crípticamente por una clave privada de sistema, el segundo dispositivo descodificando crípticamente el certificado de sistema utilizando una clave pública de sistema con el fin de obtener la clave pública de manejo usada después para descodificar crípticamente el certificado de dispositivo. La clave de sistema que ya no puede ser mantenida en secreto, por ejemplo, por la fuente del segundo dispositivo (por ejemplo, un administrador de sistema de radiodifusión responsable del descodificador), un certificado de sistema solamente será emitido en el caso de que la fuente del segundo dispositivo eslé segura de la integridad de la seguridad en la fuente del primer dispositivo, es decir, que la fuente del segundo dispositivo eslé segura que la clave privada de manejo solamente sea conocida por la fuente del primer dispositivo y que se hayan tomado las medidas necesarias para mantener esta clave en secreto. Como se entenderá, la fuente del segundo dispositivo solamente necesita conocer la clave de manejo pública en la fuenle del primer dispositivo con el fin de generar un certificado de sistema y ninguna parte necesita compartir sus claves de codificación críptica privadas para realizar estas operaciones de certificación. Ventajosamente, el par de claves privada/pública de dispositivo únicamente está asociado con el primer dispositivo. Eslo asegura una completa seguridad de los mensajes codificados crípticamente transmitidos al primer dispositivo. Además, ventajosamente, el par de clave privada/pública de manejo eslá únicamente asociado con la fuente del primer dispositivo y el par ce claves privada/publica del sistema, (si está presente) será únicamente asociado con la fuente del segundo dispositivo. Como se apreciará, aunque el uso de claves únicas habilita un nivel incrementado de seguridad, ésta puede ser decidida en algunos casos para usarse como claves no únicas. Por ejemplo, en el caso de alto volumen de producción de primeros dispositivos, ciertos de estos dispositivos pueden compartir la misma clave privada de dispositivo, si dichos dispositivos son distribuidos en diferentes territorios, ya que el riesgo de seguridad asociado con dicha duplicación es relativamente bajo. Preferiblemente, la información codificada crípticamente enviada por el segundo dispositivo comprende una clave de sesión, en particular, una clave de sesión generada por el segundo dispositivo y que se puede utilizar junto con un algoritmo e codificación críptica simétrico. Esta clave, la cual puede ser generada al inicio de una sesión de grabación, después puede ser utilizada para la comunicación bidireccional e información entre los primero y segundo dispositivos. En una modalidad alternativa, se puede usar un par ele claves de sesión correspondiendo a un par de clave privada/pública de un algoritmo asimétrico. La ventaja de una clave de sesión que puede cambiar yace en el nivel elevado de seguridad que dicha clave proporciona, así la posibilidad de comunicación bidireccional segura que permite si se selecciona una clave de sesión simétrica. Otras modalidades, sin embargo, son posibles, por ejemplo, en donde la información asociada con una operación de grabación puede ser directamente codificada de manera críptica utilizando la clave pública de dispositivo mantenida por el segundo dispositivo. En una modalidad, la clave de sesión es utilizada por el dispositivo descodificador para codificar crípticamente 'a información de palabra de control subsecuentemente comunicada al dispositivo de grabación. En dicha modalidad, el dispositivo e grabación puede descodificar crípticamente la información de palabra de control utilizando la clave de sesión equivalente, y después, volver a codificar crípticamente la información de palabra de control utilizando una clave de codificación críptica de grabación, la información de palabra de control que otra vez se codificó crípticamente es almacenada por el dispositivo de grabación en un medio de soporte de grabación junto con los datos de transmisión mezclados asociados con esa información de palabra de control. La codificación críptica de la información de palabra de control utilizando una clave de grabación mantenida por el dispositivo de grabación, permite que el dispositivo de grabación reproduzca en cualquier momento una transmisión mezclada grabada independientemente del dispositivo descodificador originalmente usado para recibir y hacer avanzar la transmisión. Ventajosamente, el dispositivo de grabación comunica al dispositivo descodificador una copia de la clave de descodificación críptica de grabación. Esta puede ser convenientemente codificada de manera críptica por la clave de sesión antes de la comunicación. Esta copia después puede ser descodificada crípticamente por el descodíficador y una copia de respaldo de la clave de grabación queda almacenada en el descodificador. Como se entenderá, el enlace de comunicación segura puede ser utilizado para transportar muchos diferentes tipos de información. En particular, aunque las modalidades anterioras discuten el uso de una clave de sesión en la codificación críptica y la comunicación de información de palabra del control para utilizarse en una operación de grabación, son posibles otras modalidades. Por ejemplo, los datos de audio y/o visuales que serán grabados directamente pueden ser codificados crípticamente por el descodificador utilizando una clave de sesión y comunicarla al dispositivo de grabación para la descodificación críptica y subsecuente codificación críptica adicional antes de la grabación. Otras modalidades pueden utilizar el mismo enlace de comunicación segura para transferir por ejemplo, claves de explotación de descodificador hacia el dispositivo de grabación, e manera que el dispositivo de grabación puede realizar todas las operaciones para descodificar crípticamente la información de palabra de control y/o descodificar o separar una transmisión antes de su grabación en una forma codificada crípticamente otra vez, o mezclada de nuevo en un medio de soporte de grabación. Aunque la descripción anterior ha descrito operaciones de codificación y descodificación críptica con relación a un dispositivo descodificador o dispositivo de grabación, se debe entender que estas operaciones y, en particular las claves necesarias en dichas operaciones, no necesariamente necesitan ser manejadas por elementos permanentemente integrados en los mismos dispositivos. En particular, en una modalidad preferida, el dispositivo de grabación y/o descodificador además puede comprender jn módulo de seguridad portátil asociado con ese dispositivo y usado para realizar algunos o todos los pasos de codificación o descodificación críptica descritos anteriormente. Dichos dispositivos de seguridad portátiles pueden tener cualquier forma conveniente, dependiendo del tamaño físico y características del descodificador o grabación. Por ejemplo, una tarjeta inteligente o una tarjeta de tipo PCMCIA puede ser utilizada con un descodificador, y una tarjeta SIM o similar con un aparato de grabación. En una modalidad particularmente preferida de la invención, el primer dispositivo corresponde a un dispositivo de grabación, y el segundo dispositivo a un dispositivo descodificador. En dicho sistema, el administrador de sistema de descodificador tendrá el control final, por ejemplo, sobre la generación de certificados de sistema emitidos a los fabricantes de dispositivos ele grabación. Similarmente, la comunicación será iniciada por el dispositivo de grabación, el descodificador solamente comunicando un mensaje codificado crípticamente conteniendo la información que será necesaria para establecer una comunicación bidireccional en el caso de que el dispositivo de grabación haya comunicado certificados correctos de sistema y/o manejo. Aunque la invención es particularmente conveniente cuando el descodificador y el dispositivo de grabación están físicamente separados, la invención igualmente puede ser usada en un aparato de grabación/descodif icador en combinación, para proporcionar, por ejemplo, un enlace de barra colectora seguro entre los dispositivos de grabación y de descodificador dentro del aparato combinado. La presente invención está particular, pero no exclusivamente adaptada para usarse con un sistema de transmisión de televisión digital, en donde los descodificadores están adaptados para recibir una transmisión de televisión digital. La presente invención ha sido descrita anteriormente con relación a un método de comunicación. La invención igualmente se extiende a un primero y segundo dispositivos adaptados para usarse en tal método y uno o más modelos de seguridad portátiles adaptados para utilizarse en dicho sistema. Los algoritmos adecuados para usarse en esta invención para generar claves privadas/públicas pueden incluir, por ejemplo, RSA o Diffie-Hellman, y algoritmos de clave simétrica adecuados, que pueden incluir algoritmos de tipo DES, por ejemplo. Sin embargo, a menos que sea obligatorio en vista del contexto o al menos que se especifique otra cosa, no se hace ninguna distinci n general entre las claves asociadas con los algoritmos simétricos y aquellas asociadas con los algoritmos públicos/privados. Los términos "mezclado" y "codificado crípticamente" y "palabra de control" y "clave", han sido utilizados en varias partes en el texto con el propósito de claridad de lenguaje. Sin embargo, se entenderá que ninguna distinción fundamental debe hacerse entre "datos mezclados" y "datos codificador crípticamente", o entre una "palabra de control" y una "clave". Similarmente, el término "clave equivalente" se utiliza para referirse a una clave adaptada para descodificar crípticamente datos codificados de manera críptica por una primera clave mencionada, o viceversa. El término "receptor/descodificador" o "descodificador", como se utiliza en la presente, puede incluir un receptor para recibir ya sea señales codificadas o no codificadas, por ejemplo, señaléis de televisión y/o radio, las cuales pueden ser radiodifundidas o transmitidas por algunos otros medios. El término también puede incluir un descodificar para descodificar señales recibidas. Las modalidades de dichos descodificadores también pueden incluir un descodificador integral con el receptor para descodificar las señales recibidas, por ejemplo, en una "caja de TV por cable", un descodificador funcionando en combinación con un receptor físicamente separado, o dicho descodificador incluyendo funcionéis adicionales, tal como un examinador web o una vídeo grabadora o una televisión. Como se utiliza en la presente, el término "sistema oe transmisión digital" incluye cualquier sistema de transmisión para transmitir o radiodifundir, por ejemplo, datos digitales audiovisuales o de multimedia. Aunque la presente invención es particularmente aplicable a un sistema de televisión digital de radiodifusión, la invención también puede ser aplicable a una red de telecomunicaciones fija para aplicaciones de Internet de multimedia, a una televisión de circuito cerrado, etc. Como se utiliza en la presente, el término "sistema de televisión digital" incluye, por ejemplo, cualquier sistema de satélite, terrestre, por cable, u otro sistema. Ahora se describirá, a manera de ejemplo solamente, un número de modalidades de la invención, haciendo referencia a los siguientes dibujos en los cuales: La Figura 1 muestra la arquitectura total de un sistema de televisión digital de acuerdo con esta modalidad; La Figura 2 muestra la arquitectura del sistema de acceso condicional de la Figura 1; La Figura 3 muestra los niveles de codificación críptica en el sistema de acceso condicional; La Figura 4 muestra la representación de un primero y segundo descodificador; La Figura 5 muestra los pasos asociados con el establecimiento de un enlace de comunicación segura entre el primero y el segundo descodificador; La Figura 6 muestra la operación de los primero y segundo descodificadores para transferir la información de palabra de control a través del enlace de comunicación segura. La Figura 7 muestra la representación de un descodificador y dispositivo de grabación digital; y La Figura 8 muestra los pasos asociados con la personalización de los módulos de seguridad de descodificador y de grabación y con las operaciones subsecuentes realizadas para establecer un enlace de comunicación segura entre los dispositivos. Un resumen de un sistema de radiodifusión y recepción de televisión digital 1 se muestra en la Figura 1. La invención incluye un sistema de televisión digital 2 muy convencional, el cual utiliza el sistema de compresión MPEG-2 para transmitir señaléis digitales comprimidas. Con mayor detalle el compresor 3 MPEG-2 en un centro de radiodifusión recibe una corriente de señal digital (por ejemplo, una corriente de señales de audio o de vídeo). I?I compresor 3 está conectado a un multiplexor y mezclador 4 a través del enlace 5. El multiplexor 4 recibe una pluralidad de señales de entrada adicionales, ensambla una o más corrientes de transporte y transmite señales digitales comprimidas a un transmisor 6 del centro de radiodifusión a través del enlace 7, el cual, por supuesto, puede tener una amplia variedad de formas, incluyendo enlaces de telecomunicación. El transmisor 6 transmite señales electromagnéticas a través del enlace ascendente 8 hacia un transpondedor de satélite 9, en donde son electrónicamente procesadas y radiodifundidas a través de un enlace descendente nocional 10 a un receptor terrestre 11, convencionalmente en la forma de un plato de propiedad o rentado por el usuario final. Las señales recibidas por el receptor 11 son transmitidas a un receptor/descodificador integrado 12 propiedad o rentado por el usuario final y conectado al aparato de televisión 13 del usuario final. El receptor/descodificador 12 descodifica la señal MPEG-2 comprimida a una señal de televisión para el aparato de televisión 13. Un sistema de acceso condicional 20 está conectado a un multiplexor 4, y el receptor/descodificador 12, y está localizado parcialmente en el centro de radiodifusión y parcialmente en el descodificador. Permite que el usuario final tenga acceso a radiodifusiones de televisión digital de uno o más proveedores de radiodifusión. Una tarjeta inteligente, capaz de descodificar crípticamente mensajes con relación a ofertas comerciales (es decir, uno o varios programas de televisión vendidos por el proveedor de radiodifusión), puede ser insertado en el receptor/descodificador 12. Al usar el descodificador 12 y la tarjeta inteligente, el usuario final puede comprar eventos en cualquier modo de suscripción o en un modo de pago por evento. Un sistema interactivo 17, también conectado al multiplexor 4 y el receptor/descodificador 12 y otra vez localizado parcialmente en el centro de radiodifusión y parcialmente en el descodificador, puede ser provisto para permitir que el usuario final interactúe con varias aplicaciones a través de un canal de regreeo de módem 16. El sistema de acceso condicional 20 ahora será descrilo con mayor detalle. Con referencia a la Figura 2, en resumen, el sistema de acceso condicional 20 incluye un Sistema de Autorización de Abonado (SAS) 21. El SAS 21 está conectado a uno o más Sistemas de Manejo de Abonado (SMS) 22, un SMS para cada proveedor de radiodifusión, por ejemplo, a través de un enlace TCP-IP 23 respectivo (aunque alternativo se pueden usar otros tipos de enlace). Alternativamente, un SMS puede ser compartido entre dos proveedores de radiodifusión, o un proveedor puede utilizar dos SMS, etc. Primeras unidades de codificación críptica en la forma ele unidades de cifra 24 utilizando tarjetas inteligentes "madre" 2.5 están conectadas al SAS a través del enlace 26. Segundas unidadess de codificación críptica otra vez en la forma de unidades de cifra 27 utilizando tarjetas inteligentes madre 28 están conectadas .al multiplexor 4 a través del enlace 29. El receptor/descodificador 12 recibe un módulo de seguridad portátil, por ejemplo, en la forma de una tarjeta inteligente "hija". Esta está conectada directamente al SAS 21 a través de Servidores de Comunicación 31 mediante el canal de regreso por módem 16. El SAS envía, entre otras cosas, derechos de suscripción a la tarjeta inteligente hija después de la petición. Las tarjetas inteligentes contienen los secretos de uno o más operadores comerciales. La tarjeta inteligente "madre" codificada crípticamente los siguientes tipos de mensajes y las tarjetas inteligentes "hijas" descodifican crípticamente los mensajes, si tienen los derechos de hacerlo. Las primera y segunda unidades de cifra 24 y 27 comprenden un soporte, una tarjeta VME electrónica con software almacenado en una EEPROM, hasta 20 tarjetas electrónicas y una tarjeta inteligente 25 y 28, respectivamente, para cada tarjeita electrónica, una tarjeta 28 para codificar crípticamente las ECMs y una tarjeta 25 para codificar crípticamente las EMMs. La operación del sistema de acceso condicional 20 cel sistema de televisión digital ahora será descrita con mayor deta le haciendo referencia a los varios componentes del sistema de televisión 2 y el sistema de acceso condicional 20.

Multiplexor y Mezclador Con referencia a las Figuras 1 y 2, en el centro (Je radiodifusión, la señal de audio o vídeo digital primero es comprimida (o reducida en velocidad de bit), utilizando el compresor 3 de MPEG-2. Esta señal comprimida después es transmitida al multiplexor y el mezclador 4 a través del enlace 5 con el fin de ser multiplexada con otros datos, tales como otros datos comprimidos. El mezclador genera una palabra de control utilizada ein el proceso de mezclado e incluida en la corriente de MPEG-2 en el multiplexor. La palabra de control es generada internamente y permite que el receptor/descodificador integrado 12 del usuar o descodifique o separe el programa. Los criterios de acceso, indicando cómo el programa es comercializado también son agregados a la corriente de MPEG-2. El programa puede ser comercializado ya sea de uno de un número de modos de "subscripción" y/o uno de un número de modos o eventos de "Pago por Evento" (PPV). En el modo de subscripción, el usuario final se subscribe a una o más ofertas comerciales, o "ramilletes" obteniendo así los derechos de que cada canal dentro de esos ramilletes. En la modalidad preferida, hasta 960 ofertas comerciales pueden ser seleccionadas a partir de un ramillete de canales. En el modo de Pago por Evento, el usuario final es provisto con la capacidad de comprar eventos según lo desee. Esto puede lograrse ya sea pre-reservando el evento anteriormente ("modo de pre-reserva") o comprando el evento lo más pronto para que sea radiodifundido ("modo de impulso"). En la modalidad preferida, todos los usuarios son abonados, ya sea que miren o no la subscripción o el modo de PPV, pero por supuesto los visualizadores de PPV necesariamente no necesitan ser abonados.

Mensajes de Control del Título Tanto la palabra de control como los criterios de acceso son utilizados para desarrollar un Mensaje de Control de Título (ECM). Este es un mensaje enviado con relación a un programa mezclado; el mensaje contiene una palabra de control (la cual permite la descodificación críptica del programa) y los accesos de criterio del programa de radiodifusión. Los accesos de criterio y la palabra de control son transmitidos a la segunda unidad de codificación críptica 27 a través del enlace 29. En esta unidad, se genera un ECM, se codifica crípticamente y se transmite al multiplexor y mezclador 4. Durante una transmisión de radiodifusión, la palabra de control típicamente cambia cada segundo, y así los ECM también son periódicamente transmitidos para permitir que la palabra de control de cambio sea descodificada. Para propósitos de redundancia, cada ECM típicamente incluye dos palabras de control; la palabra de control presente y la siguiente palabra de control. Cada servicio radiodifundido por un proveedor de radiodifusión en una corriente de datos comprende un número de distintos componentes; por ejemplo, un programa de televisión incluye un componente de vídeo, un componente de audio, un componente de subtítulo, etc. Cada uno de estos componentes de un servicio es individualmente mezclado y codificado crípticamente para la subsecuente radiodifusión al transpondedor 9. Con respecto a cada componente mezclado de servicio se requiere de un ECM separado. Alternativamente, se puede requerir de un ECM individual para todos los componentes mezclados de un servicio. También e;e generan ECM múltiples en el caso en el que múltiples de sistemas de acceso condicional tengan acceso al mismo programa transmitido.

Mensaje de Manejo de Título (EMMs) El EMM es un mensaje dedicado a un usuario final individual (abonado) o a un grupo de usuarios finales. Cada grupo puede contener un número dado de usuarios finales. Esta organización como un grupo tiene como por objeto utilizar la anchura de banda; es decir, el acceso a un grupo puede permitir alcanzar un número mayor de usuarios finales.

Se pueden usar varios tipos específicos de EMM. Los EMM individuales son dedicados a abonados individuales, y típicamente son utilizados en la provisión de servicios de Pago Por Evento; estos contienen el identificador de grupo y la posición cel abonado en ese grupo. Los EMM de suscripción de grupo están dedicados a grupos de, es decir, 256 usuarios individuales, y típicamente son usados en la administración de algunos servicios de suscripción.

Este EMM tiene un identificador de grupo y un mapa de bits de grupo de abonados. Los EMMs de audiencia son dedicados a audiencias completas, y, por ejemplo, pueden ser utilizados por un operador particular para proveer ciertos servicios libres. Una "audiencia es el total de abonados que tienen tarjetas inteligentes que llevan el mismo identificador del sistema de acceso condicional (CA ID). Finalmente, un EMM "único" es dirigido al identificador único de la tarjeta inteligente. Los EMMs pueden ser generados a través de varios operadores para controlar el acceso a derechos asociados con les programas transmitidos por los operadores como se presentó anteriormente. Los EMMs también pueden ser generados por el administrador de sistema de acceso condicional para configurar aspectos del sistema de acceso condicional en general. 2í Transmisión de Programa El multiplexor 4 recibe señales eléctricas que comprenden EMMs codificados crípticamente del SAS 21, los ECMs codificados crípticamente de la segunda unidad de codificación críptica 27 y los programas comprimidos del compresor 3. El multiplexor 4 mezcla los programas y envía los programas mezclados, los EMMs codificados crípticamente y los ECMs codificados crípticamente a un transmisor 6 del centro (Je radiodifusión a través del enlace 7. El transmisor 6 transmite señales electromagnéticas hacia el transpondedor de satélite 9 a través del enlace ascendente 8.

Recepción de Programas El transpondedor de satélite 9 recibe y procesa las señales electromagnéticas transmitidas por el transmisor 6 y transmite las señales en el receptor a tierra 11, convencionalmenle en la forma de un plato de propiedad o rentado por el usuario final, a través del enlace descendente 10. Las señales recibidas por el receptor 11 son transmitidas al receptor/descodificador integrado 12, perteneciente o rentado por el usuario final y conectado al aparato de televisión 13 del usuario final. El receptor/descodificador 12 desmultiplexa las señales para obtener programas mezclados con EMMs codificados crípticamente y ECMs codificados crípticamente. Si el programa no es mezclado, es decir, ningún ECM ha sido transmitido con la corriente MPEG-2, el receptor/descodificador 12 descomprime los datos y transforma la señal a una señal de vídeo para la transmisión al aparato de televisión 13. Si el programa es mezclado, el receptor/descodificador 12 extrae el ECM correspondiente de la corriente MPEG-2 y pasa el ECM a la tarjeta inteligente "hija" 30 del usuario final. Esto se divide en un alojamiento en el receptor/descodificador 12. La tarjeta maestra hija 30 controla si el usuario final tiene el derecho de descodificar crípticamente el ECM y tiene acceso al programa. Si no es así, un estado negativo es pasado a receptor/descodificador 12 para indicar que el programa no puede ser descodificado o separado. Si el usuario final no tiene los derechos, el ECM es descodificado crípticamente y la palabra de control es extraída. El descodificador 12 después puede descodificar o separar el programa utilizando esta palabra de control. La corriente MPEG-2 es descomprimida y traducida a una señal de vídeo para transmisión al aparato de televisión 13.

Sistema de Manejo de Abonado (SMS) Un Sistema de Manejo de Abonado (SMS) 22 incluye una base de datos 32, la cual maneja, entre otras cosas, todos los archivos de usuario final, ofertas comerciales, suscripciones, detalles de PPV, y datos con respecto al consumo y autorización de usuario final. El SMS puede estar físicamente lejos del SAS. Cada SMS 22 transmite mensajes al SAS 21 a través de en enlace respectivo 23, el cual implica modificaciones o creaciones de Mensajes de Manejo de Título (EMMs) que serán transmitidos a usuarios finales. El SMS 22 también transmite mensajes al SAS 21, los cuales implican ninguna modificación o creación de EMMs, pero implican solamente un cambio en un estado de usuario final (con relación a la autorización otorgada al usuario final cuando se ordenan productos o a la cantidad que al usuario final se le cargará). El SAS 21 envía mensajes (típicamente solicitando información tai como información de regreso o información de saturación) al SMS 22, de manera que será evidente que la comunicación entre los dos es de dos direcciones.

Sistema de Autorización de Abonado (SAS) Los mensajes generados por el SMS 22 se pasan a través del enlace 23 al Sistema de Autorización de Abonado (SAS) 21, el cual a su vez genera mensajes reconociendo la recepción de los mensajes generados por el SMS 21 y pasa estos reconocimientos al SMS 22. En resumen, el SAS comprende un área de Cadena de Suscripción para otorgar derechos para el modo de suscripción y para renovar los derechos automáticamente cada mes, un área de cadena de Pago Por Evento para otorgar derechos para eventos de PPV, y un inyector de EMM para pasar el EMMs creados por las áreas de cadena de suscripción y de PPV hacia el multiplexor y mezclador 4, y por lo tanto para alimentar la corriente MPEG con EMMs. Si otros derechos van a ser otorgados, tales como derecho de Pago por Archivo (PPF) en el caso de descargar software de computadora a una Computadora Personal de usuario, también se proporcionan otras áreas similares. Una función del SAS 21 es manejar los derechos de acceso a programas de televisión, disponibles como ofertas comerciales en el modo de suscripción o vendidos como eventos de PPV de acuerdo con diferentes modos de comercialización (modo de pre-reserva, modo de impulso). El SAS 21, de acuerdo con aquellos derechos y con la información recibida del SMS 22, genera EMMs para el abonado. Los EMMs se hacen pasar a la Unidad de Cifra (CU) 24 para descifrar con respecto a las claves de manejo y explotación. La CU completa la firma en el EMM y pasa el EMM de regreso a un Generador de Mensaje (MG) en el SAS 21, en donde se agrega un cabezal. Los EMMs se hacen pasar a un Emisor de Mensaje (ME) como EMMs completos. El Generador de Mensaje determina la hora de inicio y de detención de la radiodifusión y la velocidad ele emisión de los EMMs, y pasa esto como direcciones apropiadas junto con los EMMs al Emisor de Mensaje. El MG solamente genera un EMM dado a la vez; éste es el ME que realiza la transmisión cíclica de los EMMs. En la generación de los EMM, el MG asigna un identíficador único al EMM. cuando el MG pasa el EMM al ME, también pasa el EMM ID. Esta habilita la identificación de un EIVIM particular tanto en el MG como el ME. En sistemas tales como un simulacro de codificación críptica los cuales están adaptados para manejar múltiples sistemas de acceso condicional, por ejemplo, asociados con operadores múltiples, corrientes de EMM asociadas con cada sistema de acceso condicional son generadas en forma separada y multiplexadas conjuntamente con el multiplexor 4 antes de la transmisión.

Niveles de codificación Críptica del Sistema de Radiodifusión Haciendo referencia ahora a la Figura 3, se describirá un resumen simplificado de los niveles de codificación críptica en un sistema de radiodifusión estándar. Las etapas de codificación críptica asociadas con la radiodifusión de los datos digitales e.e muestran en 41, el canal de transmisión (por ejemplo, un enlace ele satélite como se describió anteriormente) en 42 y las etapas de descodificación críptica en el receptor en 43. Los datos digitales N son mezclados por una palabra ce control, CW antes de ser transmitidos a un multiplexor, Mp para transmisión subsecuente. Como se verá a partir de la parte inferior de la Figura 3, los datos transmitidos incluyen un ECM comprendiendo, entre otras cosas, la palabra de control CW codificada crípticamente por un codificador críptico Ch1, controlado por una clave de explotación Kex. En el receptor/descodificador, la señal pasa a través de un desmultiplexor DMp y descodificador D antes de pasar a una televisión 13 para la visión. Una unidad de descodificación críptica DCh1 también poseyendo la clave Kex descodifica crípticamente el ECM en la señal desmultiplexada para obtener la palabra de control CW subsecuentemente utilizada pa'a separar o descodificar la señal. Pos razones de seguridad, la palabra de control CW embebida en el ECM codificado crípticamente cambia en un promedio de cada 10 segundos o más. En contraste, la primera clave de codificación críptica Kex utilizada por el receptor para descodificar el ECM es cambiada cada mes o así sucesivamente a través de un operador EMM. La clave de codificación críptica Kex eis codificada crípticamente por una segunda unidad ChP utilizando una clave de grupo personalizada K1(GN). Si el abonado es uno de aquellos seleccionados para recibir una clave actualizada Kex, una unidad de descodificación críptica DChP en el módulo de seguridad de descodificador descodificará crípticamente el mensaje utilizando su clave de grupo K1(GN) para obtener esa clave de mes Kex. Las unidades de descodificación críptica DChp y DCh1, y las claves asociadas son mantenidas en un módulo de seguridad asociado con el descodificador, en este caso, la tarjeta inteligente 30 provista al abonado e insertada en un lector de tarjeta inteligente en el descodificador. Las claves pueden ser generadas, por ejemplo, de acuerdo con cualquier algoritmo de clave simétrico generalmente utilizado o de acuerdo con u algoritmo de clave simétrico de costumbre.

Como se describirá, diferentes claves pueden ser asociadas con diferentes operadores o radiodifusores, así como en el proveedor de sistema de acceso condicional. En la descripción anterior, una clave de grupo K1(GN) es mantenida por la tarjeta inteligente asociada con el descodificador y utilizada para descodificar crípticamente mensajes EMM. En la práctica, diferentes operadores tendrán diferentes claves únicas de abonado K1 (Op1, GN), K (Op2, GN), etc. Cada clave de grupo es generada por un operador y diversificada por un valor asociado con el grupo al cual pertenece el abonado. Diferentes zonas de memoria en la tarjeta inteligente mantienen las claves para diferentes operadores. Cada operador también puede tener una clave única asociada solamente con la tarjeta inteligente en cuestión y una clave de audiencia para todos los abonados para los servicios provistos por el operador (ver anteriormente). Además, también se puede mantener un grupo de clavéis por el administrador del sistema de acceso condicional. En particular, una tarjeta inteligente dada puede incluir una clave específica de usuario KO (NS) y una clave de audiencia K1 (C), común para todas las tarjetas inteligentes. Aunque las claves de operador generalmente son utilizadas para descodificar mensajes EMM asociados con derechos de radiodifusión, las claves de administrador de acceso condicional pueden ser utilizadas para descodificar crípticamente mensajes EMM asociados con cambios al sistema de acceso condicional en general, como se describirá más adelante. La descripción anterior del sistema mostrado en la Figura 3, se relaciona con la implementación del control de acceso en un sistema de radiodifusión, en donde las transmisiones son descodificadas o separadas por un descodificador individual y presentadas en una presión de televisión individual. Haciendo referencia a la Figura 4, ahora se describirá una primera y segunda configuración de descodificador.

Configuración del Descodificador Como se presentó anteriormente, un descodificador ' 2 recibe transmisiones de radiodifusión mezcladas a través de un receptor 11. El descodificador incluye un módulo de seguridad portátil 30, el cual convenientemente puede tener la forma de una tarjeta inteligente, pero el cual puede comprender otro dispositivo portátil de memoria o microprocesador adecuado. El descodificador 12 es conectado a un canal de módem 16, por ejemplo, para comunicarse con servidores que manejan la información de acceso condicional y también está adaptado para pasar información de presentación audiovisual separada o descodificada, por ejemplo, a través de un enlace Peritel 53, hacia una televisión 13. El sistema además incluye un descodificador dependiente o esclavo 50 adaptado para comunicarse con el descodificador 12, por ejemplo, a través de una barra colectora 51 IEEE 1394. Eil descodificador 50 puede incluir una conexión (no mostrada) al receptor 11 o a otro receptor de satélite para recibir directamente transmisiones de radiodifusión mezcladas. Alternativamente, esta información puede pasarse del primer descodificador 12 vía la conexión 51. El segundo descodificador 50 además está adaptado para funcionar con un módulo de seguridad portátil 52. El módulo de seguridad portátil 52 convenientemente puede ser implementado como una tarjeta inteligente. Sin embargo, cualquier dispositivo e memoria y/o microprocesador portátil, como es convencionalmente conocido, tal como una tarjeta PCMCIA, una clave ele microprocesador, etc., puede ser utilizado. La operación de es:e módulo 52 en la separación de transmisiones será explicada a continuación. El descodificador 50 también incluye un enlace 54 a ura presentación de televisión 55 utilizada para presentar transmisiones separadas o descodificadas. Aunque los elementos de descodificadores 12, 50 y las pantallas 13, 55 han sido indicadas en forma separada, se contemplan que algunos o todos estes elementos pueden ser sacados, por ejemplo, para proporcionar un aparato de descodificador/televisión combinado.

Comunicación Segura entre Descodificadores Como se presentó en la introducción, con el fin de evitar problemas con relación al manejo de datos de suscripción, es deseable que solamente una sola suscripción sea abierta para el propietario de los descodificadores 12, 50. En el caso en donde el descodificador 12 sea el descodificador principal o primero en el sistema, la tarjeta inteligente 30 será personalizado para recibir la clave de explotación mensual Kex como se describe anteriormente con relación a la Figura 3. Con el fin de habilitar el descodificaclor 50 para separar o descodificar y presentar una transmisión a través de la presentación 55, será necesario comunicar cierta información del módulo de seguridad 30 al módulo de seguridad 52 para permitir que se realice esta descodificación o separación. En la presente modalidad, la tarjeta inteligente 30 descodifica crípticamente los mensajes ECM asociados con uia transmisión con el fin de obtener el valor de palabra de control CW. Este valor de palabra de control después es comunicado en una forma codificada crípticamente a través del enlace 51 hacia el descodificador 50 y la tarjeta inteligente 52, en donde se utiliza por el descodificador 50 y la tarjeta inteligente 52 para descodificar la transmisión y presentar el programa a través de la presentación 55. Sin embargo, las modalidades distintas a esta modalidad de palabra de control son contempladas, por ejemplo, en donde una copia de la clave de explotación mensual Kex se hace pasar al descodificador y la tarjeta inteligente 50, 52 para habilitar el descodificador 50 para operar independientemente después. Como se apreciará, con el fin de evitar cualquier problema de fraude, es esencial que la información de palabra ele control o, en realidad cualquier otra información utilizada para descodificar crípticamente y descodificar una transmisión, nunca sea transmitida en una forma transparente sobre el enlace 51. Ahora se describirá con referencia a las Figuras 5 y 6, un método que se puede implementar un enlace de comunicación segura. Por claridad, todas las operaciones de codificación crípticas utilizando un algoritmo de clave pública/privada están indicadas a través del símbolo fa, mientras que todas las operaciones que utilizan un algoritmo simétrico están indicadas por el símbolo fg. Las operaciones de descodificación críptica están indicadas como fa'2 o fg?2. Los pares de claves privadas/públicas pueden ser generados de acuerdo con cualquier algoritmo de codificación críptica asimétrico adecuado tal como RSA o Diffie-Hellman. Se pueden usar claves simétricas con algoritmos tales como DES. En algunos casos, también se pueden usar algoritmos simétricos de costumbre. Haciendo referencia a la Figura 5, la tarjeta inteligente 52 para el descodificador 50 es personalizada con una clave pública KpubMan mostrada en 65 y equivalente a la clave pública asociada con una clave de manejo privada KpriMan mostrada en 61. En la práctica, todas las tarjetas inteligentes 52 destinadas para utilizarse con descodificadores dependientes o esclavos incluirán la clave KpubMan.

Este paso de personalización será normalmente realizado en privado en las oficinas generales del administrador del sistema, ya sea en el momento de la primera personalización de la tarjeta [si ya está contemplada para proporcionar un segundo descodificador) o cuando un usuario demanda la inclusión de un segundo descodificador en su suscripción. Subsecuentemente, el administrador de sistema que posee la clave privada secreta KpriMan mostrada en 61 comunicará, en un mensaje EMM 62 dedicado, un certificado Ct(KpubT) mostrado en 63. El certificado es preparado codificando crípticamente la clave pública KpubT con la clave de administrador privada KpriMan. El EMM además incluye una clave privada KpriT mostrada en 64 y almacenada junto con el certificado Ct(KpubT) en la memoria no volátil de la tarjeta inteligente 30. Este EMM por sí mismo es codificado crípticamente en la forma normal para EMMs dedicados a un descodificador utilizando claves apropiadas de transmisión o explotación, de manera que solamente el descodificador 12 y la tarjeta 30 pueden descodificar crípticamente este mensaje EMM. En el momento en el que los descodificadores se colocan en comunicación a través del enlace 51, IEEE 1394, la tarjeta inteligente 30 envía el certificado Ct(KpubT) a la tarjeta inteligente 52 como se muestra en 66. Al utilizar la clave pública KpubMan, la tarjeta descodifica crípticamente el certificado en 67 para obtener la clave pública KpubT como se muestra en 68. Esta clave pública KpubT después será únicamente asociada con los pares de descodificadores 12, 50 y las tarjetas 30, 52. La tarjeta 52 después genera un valor de clave aleatorio Ks mostrado en 69. Como se describirá, esta clave aleatoria después es utilizada como una clave de sesión junto con un algoritmo simétrico para codificar crípticamente mensajes comunicados en ambas direcciones entre las tarjetas 30, 52. Un nuevo valor de clave de sesión puede ser generado en cada reconexión subsecuente del descodificador 50 en la tarjeta 52 en el sistema, es decir, cada vez que el descodificador 50 es conmutaco por un usuario, o cada vez que se mira una sesión, por ejemplo, en una película de pago por evento. La clave simétrica Ks es codificada crípticamente en 70 utilizando la clave pública KpubT y el valor codificado crípticamente enviado a 71 a la tarjeta inteligente 30. La tarjeta 30 descodifica crípticamente el mensaje en 73 con la clave privada KpriT y almacena el valor de clave de sesión en 72. Como se entenderá, en vista de la naturaleza de los algoritmos de codificación críptica privado/publico, el mensaje codificado crípticamente solamente puede ser descodificado crípticamente por una tarjeta que posea la clave privada KpriT, es decir por la tarjeta 30. Como se describió anteriormente las tarjetas 30, 52 son programadas por el mismo administrador de sistema quien introduce o comunica los valores de KpriT, Ct(KpubT) y KpubMan a las tarjetas respectivas 30, 52. En una realización adicional (no mostrada) una segunda capa de autorización puede ser provista utilizando una clave privada de sistema KpriSystem. En esta realización, un certificado Ct(KpubMan) comprendiendo la clave KpubMan codificada crípticamente por el sistema KpriSystem es almacenado en la tarjeta 30. En dicha realización, la tarjeta 52 además posee una clave pública de sistema secundaria KpubSystem. Durante operación, la tarjeta 30 envía el valor codificado crípticamente del certificado Ct(KpubMan) a la tarjeta 52, la cual descodifica crípticamente este mensaje utilizando la clave KpubSystem para obtener KpubMan. Después, los pasos son iguales como se hizo anteriormente, con la tarjeta 52 utilizando la clave KpubMan para obtener KpubT, etc. Regresando ahora a la Figura 6, los pasos involucrados en la comunicación segura de información de palabra de control de la tarjeta 30 a la tarjeta 52, ahora serán descritos. En operación normal, el descodificador esclavo 50 y la tarjeta 52 reciben una transmisión mezclado junto con los mensajes ECM codificados crípticamente conteniendo la información de palabra de control necesaria para descodificar la transmisión. Estos mensajes ECM se hacen pasar en 75 a través del enlace IEEE 1394 al descodificador maestro y la tarjeta 12, 30. Alternativamente, los mensajes ECM para una transmisión que serán presentados a través del descodificador esclavo pueden ser recibidos directamente por el descodificador maestro y la tarjeta 12, 30.

La tarjeta 30 después realiza en 76, un paso de verificación estándar para verificar que uno o ambos descodificadores tienen los derechos de acceso a esta transmisión, en el caso en el que los descodificadores no tengan los derechos necesarios, el mensaje "no válido" 77, es regresado al descodificador y la tarjeta 50, 52 y el proceso se detiene. Asumiendo que el abonado posee los derechos necesarios, el mensaje ECM mostrado en 79 y conteniendo la palabra de control codificada crípticamente CW después del descodificado crípticamente en 80 utilizando la clave de explotación mensual Kex mostrada en 81, asociada con el administrador u operador del sistema. El valor transparente de la palabra de control mostrado en 81 después se vuelve a codificar crípticamente en 82, utilizando la clave de sesión previamente obtenida Ks mostrada en 83. Como se entenderá, el algoritmo de codificación críptica utilizado en 82 para volver a codificar crípticamente la palabra de control ro necesita corresponder a aquel utilizado en 80 y, en realidad, por razones de seguridad se puede utilizar un algoritmo diferente. Convenientemente, un propietario de algoritmo de costumbre para el administrador de sistema puede ser utilizado para los pasos con relación a la clave de explotación Kex incluyendo el paso de descodíficación críptica mostrado en 80 y un algoritmo genérico tal como DES usado para la codificación críptica de mensajes de sesión mostrados en 80.

En algunos casos, información adicional, tal como información de notificación de derechos de autor, pueden ser introducida entre los pasos 81 y 82, de manera que la palabra de control CW y esta información adicional son codificadas crípticamente por Ks y enviada al segundo descodificador y tarjeta. La presencia de dicha información es más importante en casos en donde el segundo descodificador es capaz de registrar o grabar los datos o pasar la información a un dispositivo de grabación. La notificación de derechos de autor puede ser utilizada como una bandera para evitar que el segundo descodificador grabe o registre los datos o grabe y reproduzcan los datos un número infinito (Je veces, por ejemplo. La palabra de control codificada crípticamente es regresada al descodificador 50 y la tarjeta 52, como se muestra en 83. Utilizando la clave de sesión equivalente Ks mostrada en 84, la tarjeta descodifica crípticamente el mensaje en 85 para obtener la palabra de control en transparente como se muestra en 86. Después, este valor de palabra de control es utilizado por el descodificador y la tarjeta 50, 52 para separar o descodificar la sección asociada de una transmisión para la presentación subsecuente en la presentación de televisión asociada 55. En algunos casos, se puede contemplar que el descodifícador 50 y la tarjeta 52 pueden desear pasar información a otro dispositivo audiovisual, tal como una VCR. En tal ejemplo, el descodifícador 50 y la tarjeta 52 pueden ser suministrados con las claves privadas necesarias para asumir el papel de un dispositivo "maestro" y las mismas operaciones realizadas mutatis mutandis, entre el descodificador y el otro dispositivo para establecer un enlace seguro. Aunque la descripción anterior se ha enfocado en la validación y comunicación de información con relación a un par de descodificadores, la invención igualmente puede expanderse para cubrir una serie de descodificadores interconectados, por ejemplo, un descodificador maestro individual que posee una pluralidad de claves de transporte privadas KpriT para la descodificación críptica de mensajes de una pluralidad de descodificadores dependientes, cada uno poseyendo su clave pública equivalente KpubT. Además, aunque los datos comunicados del descodificador hacia el dispositivo de grabación comprenden la palabra de control en el ejemplo descrito, se puede pasar otro tipo de información a través de este enlace, aún incluyendo información no relacionada directamente con la descodificación de una transmisión. Igualmente, los mismos principios establecidos anteriormente pueden ser aplicados a comunicaciones entre otros dispositivos audiovisuales digitales, conectados en una red, taléis como VCRs digitales, televisores digitales o cualquier combinación de estos dispositivos. Por ejemplo, haciendo referencia a la Figura 7, ahora se describirán los elementos de un sistema de control de acceso para grabación y reproducción de transmisión mezclada.

Configuración del Descodificador y Dispositivo de Reproducción Como se hizo anteriormente, un descodificador 12 recibe transmisiones de radiodifusión mezcladas a través de un receptor 11. El descodificador incluye un módulo de seguridad portátil 30, el cual convenientemente puede tener la forma de una tarjeta inteligente, pero el cual puede comprender cualquier otro dispositivo de memoria o microprocesador adecuado. El descodificador 12 incluye un canal de módem 16, por ejemplo, para comunicarse con servidores que manejan la información de acceso condicional y también está adaptado para pasar información de presentaci n audiovisual descodificada, por ejemplo, a través de un enlace Peritel 53 a una televisión 13. El sistema además incluye un dispositivo de grabación digital 100, tal como un dispositivo ele grabación DVHS o DVD, adaptado para comunicarse con el descodificador, por ejemplo, a través de una barra colector 101 IEEE 1394. El dispositivo de grabación 100 recibe un soporte de grabación digital (no mostrado) en donde se graba información. El dispositivo de grabación 100 está adaptado además para funcionar con un módulo de seguridad portátil 102, conteniendo, entre otras cosas, las claves utilizadas para controlar el acceso a la reproducción de una grabación. El módulo de seguridad portátil puede comprender cualquier dispositivo de memoria y/o microprocesador portátil como es convencionalmente conocido, tal como una tarjeta inteligente, una tarjeta PCMCIA, una clave de microprocesador, etc. En el presente caso, el módulo de seguridad portátil 102 ha sido designado como una tarjeta SIM, como es conocido en el campo de teléfonos portátiles. El dispositivo de grabación digital 100 incluye un enlace directo 104 a la presentación 13. En realizaciones alternativas, la información audiovisual digital puede hacerse pasar del dispositivo de grabación 100 hacia el descodificador 12 antes de la presentación. Igualmente, aunque los elementos del descodificador 12, el dispositivo de grabación 100 y la presentación 13 hayan sido indicados por separado, es concebible que algunos o todos estos elementos puedan ser suministrados, por ejemplo, para proporcionar un grupo de descodificador/televisión combinado o descodificador/dispositivo de grabación combinado, etc. Similarmente, mientras la invención será discutida ccn relación a la grabación de información de radiodifusión audiovisual, también convenientemente puede ser aplicada, por ejemplo, a información de audio exclusiva de radiodifusión subsecuentemenle grabada en un dispositivo de grabación de minidisco o de DAT, o aún en una aplicación de software de radiodifusión grabada en el disco duro de una computadora.

Comunicación Segura entre el Descodificador y el Aparato de Grabación Como se estableció en la introducción, se conoce, a partir de la técnica anterior, sistemas propuestos para volver a codificar crípticamente la palabra de control asociada con una transmisión mezclada con una clave de grabación y para almacenar la palabra de control codificada crípticamente de nuevo en el soporte de grabación con la transmisión mezclada. A diferencia de la clave de explotación asociada con la codificación y descodificación críptica de la transmisión original, la clave de grabación puede ser una clave sin cambio asociada con esta grabación particular con el fin de permitir que la grabación sea reproducida en cualquier momento en el futuro. Como se verá a partir del resumen de la Figura 7, con el fin de permitir la independencia de los elementos de grabación del sistema de los elementos del descodificador, es necesario que la clave de grabación sea asociada con el dispositivo de grabación 100, por ejemplo, almacenando la clave en un módulo de seguridad asociado con el dispositivo de grabación, tal como la tarjeta SIM de módulo de seguridad portátil 102. De otra manera, si la clave es permanentemente almacenada en el descodificador 12 o la tarjeta inteligente 30, no será posible que el dispositivo de grabación reproduzca una grabación en ausencia del descodificador. Con el fin de hacer esto será necesario pasar cierta información entre el descodificador 12 y el dispositivo de grabación 100 a lo largo del enlace 101. Esta información puede ser, por ejemplo, información de palabra de control descodificada crípticamente que puede ser codificada de nuevo crípticamente a través del uso de una clave de grabación en el dispositivo de grabación digital. Alternativamente, la información de palabra de control puede ser codificada crípticamente por una clave de grabación generada por el descodificador, esta clave de grabación después es enviada al dispositivo de grabación para almacenamiento. En todos los casos es necesario asegurar un enlace seguro entre el descodificador y el dispositivo de grabación. Desafortunadamente, la independencia de actividades entre un administrador de sistemas de radiodifusión responsable del descodificador y un fabricante del equipo de grabación responsable del dispositivo de grabación, puede conducir a un número de problemas con respecto a la provisión de claves de codificaci n críptica para este propósito. Por ejemplo, un operador de radiodifusión no puede colocar suficiente confidencia en la integridad de seguridad en el sitio de fabricación de un dispositivo de grabación para confiar o encargar al fabricante, por ejemplo, una clave de algoritmo simétrico secreta, necesaria por el módulo de seguridad de grabación 102 para descodificar crípticamente comunicaciones codificadas en forma críptica utilizando la clave equivalente mantenida por el módulo de seguridad de descodificador 30. Además, la separación de actividades puede haceir impráctico contemplar una situación en donde el módulo de seguridad de grabación 102 sea enviado a un administrador de sistema de radiodifusión para la personalización con las claves apropiadas. Por esta razón, es necesario contemplar una solución que permita la independencia mayor de operación para el descodificador y dispositivo de grabación. La Figura 8 muestra en forma esquemática un método para establecer un enlace de comunicación segura entre los módulos de seguridad del descodificador y de grabación 30, 102 que supere estos problemas. Por claridad, todas las operaciones de codificación/descodificación crípticas, utilizando un algoritmo de clave pública/privada están indicadas a través del símbolo fa en un hexágono, mientras que todas las operaciones que utilizan un algoritmo simétrico están indicadas por el símbolo fg en un óvalo. Como se muestra en la Figura 5, la tarjeta de grabación 102 es preparada por el fabricante del dispositivo de grabación utilizando un certificado de sistema CtKeyRec mostrado en 120 que es comunicado al fabricante del dispositivo de grabación por el administrador de sistema de radiodifusión. Como se muestra en 121, este certificado corresponde a una clave pública de fabricante KpubMan codificada crípticamente, por una clave privada de sistema de radiodifusor KpriSystem. La clave privada KpriSystem es única y mantenida exclusivamente por el administrador del sistema y no es posible derivar este valor de clave del certificado CtKeyRec aún si el valor KpubMan es conocido. Como será más claro a partir de la descripción que sigue, el certificado de sistema CtKeyRec el cual incluye la clave de fabricante KpubMan sirve como una garantía por el operador (Je radiodifusión de la integridad de la seguridad del sistema de clave del fabricante y, notablemente la validez de la clave KpubMan. El certificado es generado una vez solamente. En esta operación de certificación, el fabricante comunica la clave KpubMan al administrador de sistema de radiodifusión, que codifica crípticamente la clave KpubMan utilizando la clave privada KpriSystem y regresa el certificado de sistema CtKeyRec. Después, el fabricante configura todos los módulos de seguridad de grabación para incluir el certificado CtKeyRec durante el paso de personalización de los módulos de seguridad de grabación. La misma clave KpubMan corresponde a una clave pública de un par de clave privada/pública asociada con la identidad de, y única para el fabricante del dispositivo de grabación o fuentes del dispositivo de grabación. Esta clave privada correspondiente KpriMan es mantenida exclusivamente por el fabricante del dispositivo de grabación y no es conocida aún para el administrador de sistema de radiodifusión. La misma clave KpriMan es utilizada para generar un certificado de dispositivo CtKeySIM mostrado en 122. Este certificado, el cual es único para el módulo de seguridad del dispositivo de grabación, corresponde a una clave de módulo de seguridad de dispositivo de grabación KpubSIM codificada crípticamente por la clave de fabricante privada KpriMan. La clave KpubSIM igualmente corresponde a una clave pública de un par de claves privada/pública asociada con a identidad de, y única al dispositivo de grabación. Esta clave y la clave privada correspondiente KpriSIM sin generadas por el fabricante de grabación. Como se muestra, la clave privada Kpp'SIM es almacenada en el módulo de seguridad del dispositivo (de grabación en 124, preferiblemente en el momento de la grabación del mismo circuito integrado. En el caso que una comunicación codificada crípticamente sea establecida entre el descodificador y el dispositivo de grabación, por ejemplo, asociada con la grabación de una transmisión recibida por el descodificador, el certificado de sistema CtKeyRec es transmitido del módulo de seguridad del dispositivo de grabación 102 al módulo de seguridad ele descodificador 30 como se muestra en 126. El módulo de seguridad de descodificador 30 incluye la clave pública de sistema de radiodifusión KpubSystem mostrada en 125 y almacenada en la tarjeta 30 durante la personalización por =l administrador de sistema de radiodifusión. Utilizando la clave ce sistema KpubSystem, el módulo de seguridad de descodificador descodifica crípticamente en 127, el certificado CtKeyRec con el fin de obtener la clave pública del fabricante KpubMan. En el caso de una ramificación de seguridad asociada con la fuente de dispositivo de grabación, el módulo de seguridad 30 puede ser programado para rechazar ciertos valores de clave pública de fabricante, obtenidos después del paso de descodificación críptica 127. De otra manera, la clave KpubMan es almacenada en 128 y será utilizada en los siguientes pasos descodificación críptica. Como se muestra en 129, el módulo de seguridad del dispositivo de grabación 102 entonces comunica al certificado de dispositivo CtKeySIM, único para ese módulo de seguridad de dispositivo de grabación, con el módulo de seguridad de descodificador 30. Utilizando la clave pública del fabricante KpubMan, el módulo de seguridad de descodificador 30 descodifica crípticamente en 130 la clave pública del módulo de seguridad (Je dispositivo de grabación, KpubSIM. La clave pública es almacenada en 131 en el módulo (Je seguridad de descodificador 30 y después es utilizada en la codificación críptica y comunicación clave de clave de sesión. Este valor de clave de sesión, el cual en este ejemplo corresponde un valor de número aleatorio que se puede utilizar a través de un algoritmo simétrico de codificación/descodificación críptica, e.s generado en 132, codificado crípticamente en 133 por la clave pública del módulo de seguridad de dispositivo de grabación KpubSIM y después comunicado al módulo de seguridad ce dispositivo de grabación en 134. Como se entenderá, en vista de la naturaleza de les algoritmos de clave pública/privada, este mensaje codificado crípticamente solamente puede ser descodificado crípticamente utilizando la clave privada única KpriSIM almacenada en 124 en el módulo de seguridad de dispositivo de grabación. La descodificación críptica del mensaje en 135 conduce a la extracción de la clave de sesión en 136. Después, cada módulo de seguridad 30, 102 poseerá una copia de la clave de sesión simétrica en 137, 138 para usarse en la codificación y descodificación críptica de mensajes bidireccionales. Como se mencionó anteriormente, la clave de sesión es utilizada en combinación con un algoritmo simétrico y se proporciona una seguridad igual para mensajes en cualquier dirección. Se contemplan otras modalidades que no requieren de comunicación bidireccional y que utilizan un algoritmo asimétrico. Como se muestra en la Figura 8, la clave de sesión es usada en esta modalidad para comunicar información de palabra de control del descodificador hacia el dispositivo de grabación. Ein particular, un mensaje ECM 139 asociado con la transmisión mezclada es recibido y descodificado crípticamente por el módulo de seguridad de descodifícador para obtener el valor claro de la palabra de control 140 junto con cualquier información contenida ein el mismo. Esta palabra de control después se vuelve a codificar crípticamente en 141, utilizando la clave de sesión almacenada en 137, y el mensaje codificado crípticamente resultante comunicado en 142 al módulo de seguridad de dispositivo de grabación 102. Utilizando la clave de sesión almacenada en 138, el módulo de seguridad de dispositivo de grabación descodifica crípticamente el mensaje en 143 para obtener el valor claro de la palabra de control en 144. La palabra de control después es codificada de nuevo crípticamente en 145 utilizando una clave de grabación generada internamente por el módulo de seguridad de dispositivo de grabación y almacenado en 146. El nuevo EC M comprendiendo esta palabra de control codificada nuevamente en forma críptica y cualquier otra información, después es grabado en el soporte de grabación 147 junto con la transmisión originalmente mezclada. Después de la reproducción de la grabación, el módulo de seguridad de dispositivo de grabación 102 utilizará el valor clave de grabación almacenado en 146 para descodificar crípticamente el ECM con el fin de obtener el valor de palabra de control que será utilizado para descodificar crípticamente la transmisión mezclada antes de la presentación. Con el fin de proporcionar una copia de seguridad, la clave de grabación puede ser comunicada al descodificador utilizando la clave de sesión. La grabación después es almacenada en el módulo de seguridad de descodificador como un respaldo en el caso de daño o pérdida del módulo de seguridad del dispositivo (Je grabación. Los pares de claves privadas/públicas KpriSIM, KpubSIM, KpriMan, KpubMan, KpríSystem y KpubSystem pueden ser generados de acuerdo con cualquier algoritmo de. codificación críptica asimétrico adecuado tal como RSA o Diffie-Hellman. Igualmente, la clave de sesión y la clave de grabación pueden corresponder a valores de clave que se pueden utilizar con cualquier algoritmo ele codificación/descodificación críptica simétrico adecuado, tal como DES.

Se entenderá que otras realizaciones alternativas de la modalidad anterior son posibles. Por ejemplo, en el caso en donde el mismo administrador de sistema sea responsable del manejo de personalización tanto de los módulos de seguridad de descodificador como de dispositivo de grabación, el paso inicial de autentificación utilizando el certificado de sistema CtKeyRec puede ser omitido, de manera que el valor de KpubMan es directamente insertado en el módulo de descodificador en 128. Además, en el caso en donde la responsabilidad (Je asegurar la integridad de la seguridad de emisiones transmitidas y grabadas se apoye en el fabricante del dispositivo de grabación, algunos o todos los papeles del módulo de seguridad de descodificador y módulo de seguridad de dispositivo de grabación, pueden ser completamente invertidos, de manera que el fabricante del dispositivo de grabación certifique una clave pública provista por el operador de sistema de radiodifusión, el dispositivo de grabación es responsable de la iniciación de comunicación, a generación de una clave de sesión, etc. También se apreciará que, por abajo del nivel de generación de una clave de sesión, se puede contemplar cualquier número de posibilidades para la comunicación de información para utilizarse en la grabación. Por ejemplo, aunque los datos comunicados del descodificador hacia el dispositivo de grabación comprenden la palabra de control en el ejemplo descrito se puede contemplar la descodificacíón y otra vez codificación críptica de los mismos datos audiovisuales antes de la comunicación por la tarj .ta de grabación. Alternativamente, o además, la clave de grabación puede ser generada en el módulo de seguridad de descodificador y comunicarse al módulo de seguridad de grabación. Finalmente, aunque la descripción anterior se ha enfocado en la validación y comunicación de información con relación a fuentes individuales de dispositivos de grabación o descodificadores, la invención igualmente puede expandirse para cubrir múltiples fuentes de descodificador y/o grabación. Por ejemplo, un módulo de seguridad de grabación puede incluir una pluralidad de certificados de sistema CtKeyRec asociados con una pluralidad de administradores de sistema de radiodifusión. Igualmente, un módulo de seguridad de descodificador puede ser adaptado para manejar una pluralidad de claves de manejo (Je fabricante de la grabación KpubMan obtenidas después de que se realice el primer paso de verificación. Aunque el uso de una clave de sesión de cambio incrementa el nivel de seguridad, se contemplan otras realizaciones, en donde se utiliza una clave de sesión constante o en donde las claves pública/privada KpubSIM/KpriSIM son utilizadas para codificar crípticamente en forma directa información comunicada de un dispositivo hacia el otro dispositivo. La misma clave de sesión puede comprender un par de clave privada/pública.

Claims (27)

REIVINDICACIONES

1. Un método para proporcionar comunicación segura de información entre por lo menos un primero y un segundo dispositivo audiovisual digital y en donde el segundo dispositivo recibe un certificado que comprende una clave pública de transporte codificada crípticamente por una clave privada de manejo, el segundo dispositivo descodificando crípticamente el certificado utilizando una clave pública de manejo equivalente y despulís utilizando la clave pública de transporte para codificar crípticamente la información enviada al primer dispositivo, el primer dispositivo utilizando una clave privada equivalente para descodificar crípticamente la información.

2. Un método de acuerdo con la reivindicación 1, en donde el par de clave privada/pública de transporte está únicamen-e asociado con el primero y segundo dispositivos.

3. Un método de acuerdo con cualquiera de las reivindicaciones precedentes, en donde la información codificada crípticamente enviada por el segundo dispositivo comprende una clave de sesión.

4. Un método de acuerdo con la reivindicación 3, en donde la clave de sesión es una clave generada por el segundo dispositivo y que se puede utilizar junto con un algoritmo de codificación críptica simétrico.

5. Un método de acuerdo con la reivindicación 3 ó 4, en donde la clave de sesión es utilizada por el primer dispositivo para codificar información de palabra de control subsecuentemente comunicada al segundo dispositivo.

6. Un método de acuerdo con la reivindicación 5, en donde el segundo dispositivo descodifica crípticamente la información de palabra de control utilizando la clave de sesión equivalente y después descodifica la sesión de una transmisión mezclada asociada con esta palabra de control.

7. Un método de acuerdo con cualquiera de has reivindicaciones precedentes, en donde los primero y segundo dispositivos comprenden un primero y segundo módulo de seguridad portátil.

8. Un método de acuerdo con cualquiera de las reivindicaciones precedentes, en donde el segundo dispositivo recibe un certificado del sistema que comprende la clave pública ele manejo codificada crípticamente por una clave privada del sistema, el segundo dispositivo descodificando crípticamente el certificado de sistema utilizando una clave pública de sistema con el fin ele obtener la clave pública de manejo usada después para descodifícar crípticamente la clave pública de transporte codificada crípticamente.

9. Un método de acuerdo con cualquiera de las reivindicaciones precedentes, en donde el enlace de comunicación entre los primero y segundo dispositivos es implementado por una conexión de barra colectora.

10. Un método de acuerdo con cualquiera de las reivindicaciones precedentes, en donde los primero y segundo dispositivos audiovisuales digitales comprenden un primero y segundo descodificador.

11. Un método de acuerdo con la reivindicación 10, en donde los primero y segundo descodificadores están adaptados para recibir transmisiones de televisión digital. >

12. Un método de acuerdo con cualquiera de las reivindicaciones 1 a 9, en done los primero y segundo dispositivos audiovisuales digitales comprenden un dispositivo descodificador y un dispositivo de grabación.

13. Un método para proporcionar comunicación segura de información entre un dispositivo descodificador y un dispositivo de grabación, y en donde el primero de los dispositivos comunica, al segundo dispositivo, un certificado que comprende una clave pública de dispositivo codificada crípticamente por una clave privada de manejo, el segundo dispositivo descodificando crípticamente el certificado utilizando una clave pública de manejo equivalente y después utilizando la clave pública de dispositivo para codificar crípticamente la información enviada al primer dispositivo, el primer dispositivo usando una clave privada de dispositivo equivalente para descodificar crípticamente la información.

14. Un método de acuerdo con la reivindicación 13, en donde el primer dispositivo comunica, al segundo dispositivo, un certificado de sistema que comprende la clave pública de manejo codificada crípticamente con una clave privada de sistema, el segundo dispositivo descodificando crípticamente el certificado de sistema utilizando una clave pública de sistema con el fin de obtener la clave pública de manejo usada después para descodificar crípticamente el certificado de dispositivo.

15. Un método de acuerdo con la reivindicación 13 ó 14, en donde el par de clave privada/pública de dispositivo está únicamente asociado con la identidad del primer dispositivo.

16. Un método de acuerdo con cualquiera de las reivindicaciones 13 a 15, en donde el par de clave privada/pública de manejo está únicamente asociado con la fuente del primer dispositivo.

17. Un método de acuerdo con la reivindicación 14, en donde el par de clave privada/pública del sistema está únicamente asociado con la fuente del segundo dispositivo.

18. Un método de acuerdo con cualquiera de las reivindicaciones 13 a 17, en donde la información codificada crípticamente enviada por el segundo dispositivo comprende una clave de sesión.

19. Un método de acuerdo con la reivindicación 18, en donde la clave de sesión es una clave generada por el segundo dispositivo y que se puede utilizar junto con un algoritmo ele codificación críptica simétrico.

20. Un método de acuerdo con la reivindicación 18 ó 19, en donde la clave de sesión es utilizada por el dispositivo descodificador para codificar crípticamente información de palabra de control subsecuentemente comunicada al dispositivo de grabación.

21. Un método de acuerdo con la reivindicación 20, en donde el dispositivo de grabación puede descodificar crípticamer te la información de palabra de control utilizando la clave de sesión equivalente y después volver a codificar crípticamente la información de palabra de control utilizando una clave de codificación críptica de grabación, la información de palabra de control codificada crípticamente de nuevo es almacenada por el dispositivo de grabación en un medio de soporte de grabación junto con los datos de transmisión mezclados asociados con esta información de palabra de control.

22. Un método de acuerdo con la reivindicación 21, en donde el dispositivo de grabación comunica, al dispositivo descodificador, una copia de la clave de codificación críptica de grabación.

23. Un método de acuerdo con la reivindicación 22, en donde el dispositivo de grabación comunica una copia de la clave e codificación críptica de grabación como se codificó crípticamente por la clave de sesión.

24. Un método de acuerdo con cualquiera de las reivindicaciones 13 a 23, en donde por lo menos uno del dispositivo de grabación y el dispositivo descodificador comprende por o menos un módulo de seguridad portátil.

25. Un método de acuerdo con cualquiera de las reivindicaciones 13 a 24, en donde el primer dispositivo corresponde a un dispositivo de grabación y el segundo dispositivo a jn dispositivo descodificador.

26. Un método de acuerdo con cualquiera de las reivindicaciones 13 a 25, en donde el dispositivo descodificador está adaptado para recibir una transmisión de televisión digital.

27. Un método para proveer comunicación segura (de información entre por lo menos un primero y un segundo dispositivo audiovisual digital sustancialmente como se describe en la presente.