DRM

En pratique pour une organisation

Un système de DRM associe trois éléments : le contenu chiffré, un serveur de licences qui délivre les clés avec des règles d’usage (durée de validité, lecture hors ligne, restrictions de sortie), et un module de déchiffrement installé sur l’appareil, qui lit la vidéo sans exposer la clé à l’application. Dans les navigateurs, ce module est appelé par l’interface Encrypted Media Extensions (EME), devenue recommandation du W3C le 18 septembre 2017 ; la spécification précise qu’elle ne définit elle-même aucun système de protection des contenus ni aucun DRM. Les principaux navigateurs et systèmes d’exploitation proposent chacun le leur : Widevine (Google), PlayReady (Microsoft) et FairPlay Streaming (Apple), si bien qu’atteindre tous les appareils suppose de gérer plusieurs DRM à la fois.

En droit, les DRM relèvent des mesures techniques de protection. L’article 6 de la directive 2001/29/CE impose aux États membres une protection juridique contre le contournement des mesures techniques efficaces, que l’article L. 331-5 du code de la propriété intellectuelle transpose en droit français : une mesure est réputée efficace lorsque les titulaires de droits contrôlent l’utilisation visée au moyen d’un code d’accès ou d’un procédé de protection tel que le cryptage ; un protocole, un format ou une méthode de cryptage n’est pas, en tant que tel, une mesure technique. Le contournement délibéré est sanctionné pénalement par l’article L. 335-3-1.

Un DRM freine la récupération d’un fichier lisible, sans empêcher toute copie : la spécification de protection des contenus de MovieLabs reconnaît que l’enregistrement de l’écran avec une caméra ne peut pas être empêché et recommande un filigrane pour tracer l’origine d’une fuite. Le niveau de protection se proportionne donc à la valeur du contenu, car chaque couche ajoute un coût et des contraintes pour les spectateurs légitimes.

Exemple

Exemple générique : une plateforme de vidéo à la demande qui diffuse une avant-première chiffre ses segments selon un format commun, héberge un serveur de licences pour Widevine, PlayReady et FairPlay Streaming, exige un niveau de sécurité matériel de l’appareil pour la haute définition et ajoute un filigrane propre à chaque spectateur. Pour une vidéo de formation interne, cet appareillage serait disproportionné : une authentification et des adresses de lecture signées de courte durée suffisent dans la plupart des cas.

À ne pas confondre avec

• Le chiffrement AES-128 de HLS employé seul : si le serveur de clés remet la clé à quiconque connaît son adresse, la protection est annulée, et la clé parvient au lecteur sous une forme utilisable, alors que les DRM confinent les clés dans un module protégé.
• L’interface EME : elle permet au navigateur d’appeler un module de déchiffrement, mais elle n’est pas elle-même un DRM.
• Le filigrane : il identifie la source d’une copie une fois celle-ci repérée, alors que le DRM cherche à empêcher la copie.