是否有开源DRM解决方案？

Question

是否有一些开源,记录良好和使用的DRM框架/库？

我想写一些购买和销售数字产品的框架,我想以某种方式实现,卖家有可能用某种DRM锁定文件,只有授权的计算机才能打开它(某些东西)喜欢iTunes FairPlay).

它可能并且可能必须涉及将我的服务器与某些登录凭据联系.

另一方面,我希望客户端是开源的,也可能是服务器......甚至可能吗？通过默默无闻的安全措施不起作用,但DRM并不完全是"安全"......

所有我能找到的是关于slashdot的讨论与完全相同的问题,但它以"DRM IS BAD"和Sun的DReaM项目结束,但我不知道如何获得框架的实际代码/用法他们的网站.

如果您认为无法使用开源DRM,请告诉我.

Answer 1

这声称是OMA DRM2的开源实现.我假设它包含构建服务器和客户端所需的软件组件,将硬件作为读者的练习:

http://sourceforge.net/projects/openipmp

许可证是MPL,它是非GPL兼容的FOSS许可证.

我没有这种实现的经验,只有一点OMA DRM,并且它似乎是一个可行的DRM方案,就像任何DRM方案都可行一样.OMA DRM标准已被充分记录,并且(或至少已经)被移动电话行业广泛使用.

开源DRM的根本问题在于,尽管可以在不损害方案的情况下发布所有算法和源代码,但是权利发行者必须"信任"客户端设备以尊重权利,即不做任何禁止的事情.这与FOSS不兼容,FOSS表示设备的用户应该完全控制它的功能.

通过默默无闻的安全措施不起作用,但DRM并不完全是"安全"

通过算法的默默无闻的安全性通常很弱.通过信息保密进行安全是进行加密,签名等的唯一方法.DRM不需要算法模糊(这就是为什么OMA DRM是已发布的标准,为什么实现的源可以发布并且可以自由使用)但是它确实要求播放器设备能够访问设备用户没有的信息(某种键),而不是算法/源的一部分.

通常,安全性保护设备的所有者/用户免受外部攻击者的威胁模型的影响.在DRM威胁模型中,设备的所有者/用户是攻击者,并且权利所有者正在被保护.如果设备的用户完全控制它,那么显然原则上这是游戏结束.

在实践中,可能不会那么立竿见影,但在开源的情况下,使人们能够写自己的DRM客户端,其防止它们复制您的版权保护的数据会问他们是惊人的诚实.

用户有时可以被说服遵守法律,在这种情况下,DRM扮演的角色是提醒他们,如果他们正在跳过箍来解决限制,那么他们可能会违法.

Answer 2

开源DRM实际上是不可能的.

DRM的目的是防止用户解密某些数据,同时允许用户在某些情况下这样做.加密的理论框架使得这很荒谬 - 如果用户将其用于批准目的,用户如何才能拥有解密某些数据的密钥？

现有DRM系统采用的解决方案是隐藏密钥 - 隐藏安全性的完美示例 - 但如果源代码可用,则简单地修改代码以将密钥交给用户是微不足道的.在这一点上,加密的好坏并不重要,用户拥有破解它所需的一切.

所有这一切的一个解决方案是在某些机器上使用可信平台模块来验证可能能够访问密钥的所有软件的二进制映像,并确保密钥本身不可访问(由密钥导出的密钥加密) - 硬件价值).但是我不确定TPM是多么常见,而且这首先打破了软件开源的重点,因为在不失去对DRM密钥的访问权限的情况下,您将无法以任何方式对其进行修改.

最后,从更实际的角度来看,无论如何DRM似乎正在走出去 - 例如,iTunes完全摆脱了DRM,电影业似乎也朝着这个方向发展......

Answer 3

对于开源DRM解决方案,可能会存在开源破解.

许多DRM解决方案实际上都是基于"默默无闻"原则.意味着其中一些还没有被打破,因为他们的模型是保密的.即使这样也不能阻止主要的DRM系统被破坏.

Answer 4

DRM被打破,因为它依赖于"默默无闻"的原则.

还有其他解决方案,如水印.
当您向客户销售产品时,您可以使用客户名称对其进行水印.如果您在共享网络上找到此水印,您将知道泄漏的位置.如果客户知道有水印(我认为警告他更诚实),他可能不会分享.

Answer 5

我通常是反DRM的。但是，我看到了我可以支持的DRM的一种实现，它使用了用户的信用卡信息作为解密密钥。尽管不是万无一失，但它至少具有使用用户WANTS信息保密的优势。（至少从理论上讲。）它仍然可以在我自己的设备之间移植。但是，使用这样一个可见的密钥，再加上一个开放源代码阅读器，用户就有可能存储和复制解密的数据，从而使DRM显得毫无意义。