  |
B-CASカードがお祭り状態なので技術的なことをネットに転がっている情報から調べてみました。
もし間違いがありましたら後学のため教えてください。。
http://gigazine.net/news/20120518-b-cas-card/
・B-CASカードにはKm(マスターキー)というカード毎固有の暗号鍵が含まれている
・放送波から流れてくるTS(トランスポート・ストリーム)にはEMMとECMというというパケットが含まれている
・ECMはすべてのB-CASカードに向けて投げられるパケット
みたいな
- この情報はB-CASカード内にあるRAMエリア「契約情報」にコピーされる ★1
- EMM自身にはB-CASカードID(6Byte)が非暗号化されて入っている
・ECMには日時情報とKs(スクランブルキー)が含まれている
- 日時情報と上記「契約情報」でACL(アクセス・コントロール)を行なっている ★2
と、いうことで★1と★2において★1の契約情報を偽造できればたとえばwowwowを契約していないのに
契約できていることになりそうです。ただ問題は★1の部分はEMMで更新されるということ。
単純にB-CAS内のRAMエリアを書き換えても時間がたてばEMMで元に戻りそうです。
参考:
http://oshiete.goo.ne.jp/qa/3456801.html
http://blog.goo.ne.jp/ikedanobuo/e/8b59ccca2dac45f02a5ae15815fb4a75
http://www.marumo.ne.jp/db2012_5.htm#12
http://www.marumo.ne.jp/db2007_c.htm
EMMデータには暗号化されていない部分にカードID番号(6Byte)
http://www.arib.or.jp/english/html/overview/doc/2-STD-B25v5_0.pdf
知らなかったのですがB-CASカード内にはCPUが入っているそうです。
そのCPUがEMM/ECMのパース、暗号の復号、「契約情報」エリアの管理を行なっているようです。
今回は特定のB-CASカードに含まれるそのCPUが特定され、ファームを書き換えられるようにしたそうです。
ファームを書き換えさえすればEMMの「契約情報」をRAMエリアの「契約情報」にコピーさせる処理を
よって今回突破されたことをまとめると、
・特定のB-CASカードにはRAMエリア書き換え、CPUファームを書き換えるバックドアが設けられていた
・特定のB-CASカード対応の改造版ファームを作る猛者がいた
ということのようです。
以下は興味。
各B-CASカード宛てにパケットを送るなんて現実的じゃないよね？どうやってるんだろう？
特開２０００－１２５２７２ 【発明の名称】放送システムでのメッセージ伝送方法
http://www.j-tokkyo.com/2000/H04N/JP2000-125272.shtml
TSにはハッシュキーのみ含み、データはB-CAS内に予め保持しておくそうです。
確かに契約パターンはそんなに多くはないだろうからこれでいけそうですね。
EMMもひとつのTSパケット中に何個か含めることができるそうです。
34
