Accueil > Anti-piratage > DMCA >

GitHub a supprimé plusieurs référentiels qui ont aidé à contourner Widevine DRM de Google, qui est utilisé par les services de streaming populaires tels que Netflix et Amazon. Google a demandé que le code soit supprimé car il enfreindrait le DMCA. La société a également envoyé une demande de retrait de données sensibles pour la clé RSA associée qui, ironiquement, reste facile à trouver via Google.

Avec plus de façons de diffuser des vidéos en ligne que jamais auparavant, la protection de la vidéo reste un problème majeur pour les titulaires de droits d’auteur.

Ceci est souvent réalisé grâce à la gestion des droits numériques, souvent désignée par les initiales DRM. En un mot, DRM est un outil anti-piratage qui dicte quand et où le contenu numérique est accessible.

Google est un acteur important dans ce domaine. L’entreprise possède le Technologie DRM Widevine qui est utilisé par la plupart des plus grands services de streaming, notamment Amazon, Netflix et Disney +. En tant que tel, le garder en sécurité est vital.

DRM Widevine

Widevine DRM se décline en différents niveaux. La variante L1 est la plus sûre, suivie de L2 et L3. Bien que ce dernier empêche toujours le contenu d’être facilement téléchargé, il n’est certainement pas impossible à contourner, comme les pirates l’ont montré à plusieurs reprises.

Malgré ses vulnérabilités, Google ne veut pas rendre les choses trop faciles pour le grand public. Cela est devenu évident il y a quelques heures lorsque la société a demandé à la plate-forme de développement GitHub de supprimer des dizaines de référentiels «Widevine L3 Decryptor».

Le code, initialement publié par le chercheur en sécurité Tomer Hadad, est une extension Chrome de code de preuve de concept qui montre à quel point il est facile de contourner le DRM à faible sécurité. Google était au courant de cette vulnérabilité et a déjà été informé Sécurité Krebs qu’il réglerait le problème.

Google cible le code de déchiffrement Widevine L3

Une option serait de corriger la faille de sécurité mais, pour l’instant, Google semble se concentrer sur la voie du retrait. Dans un avis DMCA envoyé à GitHub, la société demande le retrait immédiat de dizaines de copies de «Widevine L3 Decryptor».

«Le référentiel git suivant [sic] contiennent une technologie de contournement qui permet aux utilisateurs d’accéder illégalement à des œuvres vidéo et audio protégées par des droits d’auteur, « Google écrit.

« Cette extension Chrome montre comment il est possible de contourner Widevine DRM en détournant les appels vers les extensions multimédias cryptées (EME) du navigateur et en décrypter toutes les clés de contenu Widevine transférées – en les transformant efficacement en DRM clearkey », ajoute Google.

Google considère le code, qui a été publié explicitement à des fins éducatives uniquement, comme un outil de contournement. En tant que tel, il viole l’article 1201 du DMCA, une allégation qui a également été faite contre le code youtube-dl le mois dernier.

L’avis de retrait comprend une longue liste de référentiels qui ont tous été rendus indisponibles par GitHub. Cela ne couvre pas le code original de Tomer Hadad, qui a déjà supprimé sa version fin octobre, citant « raisons juridiques. »

Google considère cette vulnérabilité comme un problème grave et la société affirme qu’elle a également déposé une demande de retrait de données sensibles pour empêcher le partage public de la clé privée «  secrète  » de Widevine.

Demande de données sensibles

«En plus de cette demande, nous avons déposé une demande de retrait de données sensibles distincte pour ce fichier: / widevine-l3-decryptor car il contient la clé privée Widevine RSA secrète, qui a été extraite du CDM Widevine et peut être utilisée dans d’autres contournements les technologies. »

Cette dernière mention est intéressante car les clés privées, qui sont simplement une chaîne de caractères, ne sont pas considérées comme du contenu protégé par le droit d’auteur ou privé par tout le monde.

« Si vous distribuez votre clé avec le logiciel, quelle que soit sa forme, je ne la considérerais pas du tout comme » privée « , » a commentateur sur Hacker News souligne.

Googler la clé AACS

Cette «controverse clé» rappelle une question qui a été largement débattue il y a treize ans. À l’époque, un pirate informatique a divulgué la clé cryptographique AACS «09 F9» en ligne, ce qui a incité la MPAA et l’AACS LA à émettre des demandes de retrait DMCA aux sites où elle a fait surface.

Cela a dégénéré en un débat de censure lorsque les sites ont commencé à supprimer des articles faisant référence à la fuite, ce qui a déclenché une réaction massive.

À l’époque, la clé controversée AACS était toujours facilement disponible via le moteur de recherche de Google. À cet égard, très peu de choses ont changé. Malgré la demande de retrait de données sensibles de Google, la clé RSA Widevine est facile à trouver via son propre moteur de recherche.