[Newsflash: http://www.geocities.com/decsstruth/decsstruth.txt hat noch ein paar weniger bekannte Fakten zum Thema Jon Johansen]
[Newsflash: http://camorra.org/dvd/ beinhaltet eine übersichtliche Darstellung der Copyright-Gesetzgebung]
[an English translation is available, too]
DVD-Software
Mit Erschrecken haben wir Ende 1999 zur Kenntnis genommen, daß die
DVD-Erkenntnisse der letzten Wochen und Monate plötzlich von allen
möglichen Servern verschwanden. Dabei galt doch das Internet immer als
Garant für die Freiheit von Informationen -- wenn etwas im Internet
veröffentlicht war, kann man es nicht zurückziehen.
Um die Freiheit von Information, Forschung und Meinungsaustausch zu
erhalten findet sich am Ende dieser Seite ein Mirror der zum Verständnis
des DVD-Verschlüsselungs-Verfahrens nötigen Beschreibungen und
Sourcen.
Dabei ist es uns ein Anliegen, den Einwohnern Deutschlands zu
vermitteln, in welcher Form die US-Filmindustrie sie um ihre Rechte zu
bringen versucht. Grundsätzlich zahlt man in Deutschland für alle
Medien GEMA-Gebühren, die man für das
Speichern von Audio und Video benutzen kann. Deshalb gibt es hier auch
einen preislich so großen Unterschied zwischen Daten- und
Musik-Rohlingen. Die GEMA verteilt die eingenommenen Gebühren dann an
die Künstler und die Filmindustrie.
Tatsächlich hat man in Deutschland das Recht, einen in der
Videothek geliehenen Film zu kopieren und bis an sein Lebensende immer
wieder anzuschauen. Dafür zahlt man GEMA-Gebühren für das Videoband.
Das gleiche gilt für Audio-CDs.
Die Filmindustrie möchte aber, daß man Filme kauft und nicht leiht, weil
sie dann mehr Geld verdienen. Deshalb haben sie im Nachhinein die
VHS-Norm verschärfen lassen, damit ein Kopieschutz namens Macrovision
möglich wird. Wenn der Videostrahl des Fernsehers von rechts nach links
zurückgelenkt wird, und wenn er von unten nach oben zurückfährt, hat man
im Videosignal eine Pause. In dieser Pause überträgt Macrovision
Störsignale, die eine Aufnahme per VHS-Rekorder verhindern sollen. Man
kann im Einzelhandel Geräte kaufen, die das wieder rückgängig machen.
Gängiger Preis sind DM 150. Das bedeutet im Klartext, daß man als Kunde
in Deutschland
- GEMA Gebühren für das Videoband
- GEMA Gebühren beim Ausleihen des Filmes
- Entwicklungs- und Bürokratiekosten für die Entwicklung von
Macrovision
- Entwicklungs- und Bürokratiekosten für die Entwicklung des
Macrovision-Entferners
zahlen muß. Bei DVD ist das noch schlimmer, weil neben den völlig
unsinnigen Region Codes, die nur die Produktionskosten in die Höhe
treiben, auch noch ein laienhaftes Verschlüsselungssystem namens CSS
implementiert wurden, welches natürlich die Produktionskosten ebenfalls
in die Höhe treibt und Lizenzgebühren kostet. Diese Gebühren sind im
Übrigen so hoch, daß die meisten deutschen DVDs von CSS Abstand
nehmen.
Das Hauptproblem ist, daß Player nur das DVD-Logo tragen dürfen, wenn
sie Region Codes und CSS implementieren. Für viele Leute wäre DVD als
reiner Massenspeicher wichtig, die Filme sind mir z.B. ziemlich egal.
Aber auch die Computer-Geräte müssen Region Code und CSS implementieren,
auch wenn sie niemals benutzt werden. Und bezahlen muß dafür der
Kunde.
Wogegen soll denn CSS jetzt helfen?
Die Aussagen der Filmindustrie sind, daß CSS unautorisiertes Kopieren
verhindern soll. Es stellt sich aber heraus, daß CSS genau das
Gegenteil tut, denn man kann trotz CSS eine DVD kopieren, aber
anschauen kann man sie sich nicht.
Der "Kopierschutz" ist also in Wirklichkeit ein Anschau-Schutz! In
Wirklichkeit geht es also offenbar nicht darum, die DVD-Titel zu
schützen, sondern die Lizenzgebühren für die Player zu erzwingen. Das
DVD-Consortium hat hier offenbar den kurzfristigen Gewinn dem
langfristigen vorgezogen.
Tatsächlich war auch im Geschehen zu sehen, daß es nicht um das Kopieren
ging, weil kein Mensch laut wurde, als die zum Kopieren notwendige
Schwäche bekannt wurde (das war über ein halbes Jahr früher). Die
Presse-Berichterstattung legte erst los, als die Player-Keys gepostet
wurden, mit denen man Player nachbauen konnte, ohne Lizenzgebühren zu
zahlen. Das illegale Brennen von DVDs interessiert die Filmindustrie
offenbar nicht wirklich. (Die deutschen DVDs ohne Region Code sind schon
immer problemlos auf die Platte oder einen anderen Datenträger kopierbar
gewesen, ohne daß sich das große Wehklagen erhoben hätte)
Was ist denn da jetzt passiert?
Alles fing damit an, daß es rechtlich sehr schwer ist, Copyrights auf
digitalen Content durchzusetzen. Daher hat die Film-Industrie versucht,
ihre Pfründe über den Umweg des technischen Kopierschutzes zu sichern.
Daher hat man CSS ersonnen und geschützt und versucht jetzt,
Programmierer zu belangen, weil sie CSS gebrochen haben, nicht weil sie
die Inhalte kopiert haben.
CSS ist lächerlich leicht zu knacken. Darin sind sich alle Beteiligten
einig. Da fragt man sich natürlich, wieso die Filmindustrie lieber
Millionen für ein Schrott-Verfahren ausgibt als für ein anständiges?
Eine mögliche Spekulation ist natürlich, daß die Industrie in Kauf nahm,
daß das jemand knackt, damit sie denjenigen anständig belangen können,
um ein genügend hohes Abschreckungspotential aufzubauen. Und ein
eingeschüchterter Kunde kopiert das nicht auf Band, sondern leiht es
lieber zweimal. Und schon hat man den Gewinn verdoppelt.
Es war also nur eine Frage der Zeit, bis jemand CSS knackt. Der Film
ist mit einem Schlüssel verschlüsselt. Wenn alle DVDs den gleichen
Schlüssel benutzen würden, würde ein Hacker nur diesen Schlüssel
herausfinden müssen und könnte dann alle DVDs illegal kopieren. Also
muß jede DVD einen anderen Schlüssel haben.
Woher kennt der Player den Schlüssel, wenn der pro DVD verschieden ist?
Nun, er steht auf der DVD drauf, und zwar verschlüsselt mit einem
Player-Schlüssel. Jeder Player hat also einen eigenen Schlüssel. Beim
Einlegen der DVD entschlüsselt der Player also mit seinem Schlüssel den
Session-Key. Auf jeder DVD stehen also 408 Schlüssel. Die Idee ist,
daß sich ein Player anmeldet, einen dieser Schlüssel bekommt, und man
ihm auch saugt, welcher dieser 408 Schlüssel für ihn ist. Wenn ein
Schlüssel geknackt wird, kann man dann auf zukünftigen DVDs diesen Slot
mit einem anderen Schlüssel füllen.
Soweit die Theorie. Nun wollte die Film-Industrie ursprünglich gar
keine Software-Implementationen von CSS zulassen, aber als dann klar
wurde, daß die Leute mit ihrem PC unter Windows DVDs gucken wollen,
ließen sie es zu. In einem PC kann man den Player-Schlüssel aus dem
Speicher auslesen. Spiele-Knacker machen das täglich. So war es dann
auch eine Gruppe von Raubkopierern, die den Schlüssel und den CSS-Code
extrahiert hat. Das liegt nicht daran, daß sie DVDs raubkopieren
wollten, sondern daß diese Personengruppe am meisten Kompetenz beim
Reverse Engineering hat.
- Nach ein paar Tagen wurde dann der Quellcode dieser Software
gepostet, und eine Kryptoanalyse von CSS konnte beginnen.
- Schon am
nächsten Tag postete jemand eine erste Analyse der Schlüsselgenerierung,
die erwähnt, daß der Autor Code hat, der maximal 17 Stunden auf einem
366 MHz Celeron braucht, um einen Schlüssel durch bloßes Ausprobieren zu
knacken. An dieser Stelle war klar, daß CSS nicht ernstzunehmen ist.
- Am
nächsten Tag beschrieb ein Kryptograph einen Angriff, der die
Komplexität auf 2 hoch 16 senkte bei nur 6 bekannten Ausgabe-Bytes.
Das ist in einer Zehntel-Sekunde locker zu machen auf heutigen
Prozessoren. Unter den Beteiligten machte sich erstaunte Ehrfurcht
breit, wie jemand eine derart lächerliche Kryptographie benutzen konnte.
- Der Kryptograph verfeinerte seinen Angriff am nächsten Tag noch (er
war nicht an CSS, sondern an der Kryptographie interessiert), indem er
nur noch 5 bekannte Ausgabe-Bytes brauchte (das macht den Code etwas
langsamer, aber 5 Bytes sind laut DVD-Standard immer bekannt). Er
postete Code, der ungefähr 5 Sekunden auf einem 200 MHz Pentium Pro
braucht. Am gleichen Tag postete jemand Linux-Quellcode, der ein
VOB-File entschlüsselt (heraus kommt ein MPEG, das man mit jedem
MPEG-Player abspielen kann).
- Am nächsten Tag löste jemand den Super-GAU aus, indem er alle
Player-Schlüssel postete. Die Hoffnung der Film-Industrie war ja
gewesen, daß man den geknackten Player-Schlüssel (als dessen Quelle sich
der reverse engineerte Xing-Player herausstellte) einfach durch einen
anderen ersetzt. Dieser Schritt demonstrierte die Hinfälligkeit von CSS
eindrucksvoll, weil das Extrahieren dieser Schlüssel lediglich 30
Minuten gedauert hat laut Aussage des Posters. Wenn die DVD-Leute jetzt
alle Schlüssel ändern, würde das die Stärke von CSS nicht stärken und
alle Heimkino-Käufer könnten keine DVDs mehr gucken.
- Den letzten Sargnagel lieferte der Kryptograph am gleichen Tag,
indem er eine Attacke demonstrierte, die den DVD-Schlüssel extrahieren
konnte, ohne einen Player-Schlüssel zu kennen! D.h. ob die
DVD-Industrie da etwas ändert oder nicht an den Schlüsseln wäre völlig
egal. Die Attacke dauert rund 20 Sekunden auf dem Pentium III 500 des
Kryptographen.
Das ist der Status. CSS ist nicht nur offensichtlich absolut
lächerlich, sondern es ist nicht einmal reparierbar.
Was ist denn jetzt so schlimm?
Die tatsächlich anwaltlich Verfolgten sind im Moment
Linux-DVD-Entwickler, d.h. Leute, die ganz normal auf ihrem legalen PC
ihre legal erworbenen DVDs gucken wollen. Diese Leute haben gar
nichts mit CSS zu tun. Die Überschneidung ergibt sich daraus, daß
das Angucken und das Kopieren von Filmen technisch die gleiche Operation
ist.
Ist diese Web-Seite denn nicht illegal?
Die Rechtslage ist aufgrund der Enzigartigkeit der Materie
unübersichtlich. Klar ist: in Deutschland ist reverse engineering für
den ausschliesslichen Zweck der Kompatibilitätsherstellung ausdrücklich
erlaubt, d.h. man darf gekaufte Produkte auseinandernehmen und
verändern, um sie zu Laufen zu bringen. DVDs beinhalten Mechanismen, die
verhindern sollen, daß sie unter anderen als den üblichen Mainstream-Systemen
betrachtbar sind. Es handelt sich dabei also um eine Inkompatibilität.
Wir halten demzufolge die Publikation der Beschreibungen und Sourcen die
es ermöglichen, DVDs unter Linux etc. zum Laufen zu bringen und das
Encoding-Verfahren zu verstehen, in Deutschland nicht für illegal.
Nochmal: es geht hier nicht um Raubkopien, die auch ohne diese
Publikationen schon immer möglich waren, sondern um das Verständnis
eines Verfahrens und die Möglichkeit DVDs ganz legal auch unter Linux zu
betrachten.
Die relevanten Dateien
- CSS Historie: css-chain-of-events
- 991025: CSS-Quellcode wird gepostet: css.tar.gz
- 991026: Eine Analyse der CSS Schlüsselgenerierung: CSS-key-generation-analysis
- 991028: Mehr Code: more-code-for-reading-descrambling-dvd
- 991027: Erfolgreicher Angriff auf CSS: Successful-attack-on-CSS-algorithm
- 991028: Funktionierender Cracker für die Player-Schlüssel: working-playerkey-cracker
- 991030: Besserer Cracker für die Player-Schlüssel: better-player-key-cracker
- 991030: Alle Player Keys: random-numbers
- 991030: Funktionierender Angriff auf Disk Key Hash: working-attack-on-diskkey-hash
- 991113: file.tar.gz
- css-auth Linux code: css-auth.tar.gz
Kontakt
Anmerkungen und Kontakt zu dieser Seite ist: dvd@flatline.de