有开源的 DRM 解决方案吗？ [关闭]答案

【问题标题】：Is there an open-source DRM solution? [closed]有开源的 DRM 解决方案吗？ [关闭]
【发布时间】：2010-10-23 18:36:35
【问题描述】：

是否有一些开源、有据可查和使用的 DRM 框架/库？

我想编写一些用于购买和销售数字产品的框架，我想以某种方式在其中实现，让卖家能够使用某种 DRM 锁定文件，只有授权的计算机才能打开它（类似于 iTunes FairPlay）。

它可以并且可能必须涉及使用一些登录凭据联系我的服务器。

另一方面，我希望客户端是开源的，服务器也可能是开源的……这可能吗？通过默默无闻的安全性不起作用，但 DRM 并不完全是“安全性”...

我只能找到this discussion on slashdot with the exact same problem，但它以“DRM IS BAD”和 Sun 的 DReaM 项目结尾，但我不知道如何到达 actual code/usage of the framework on their site。

如果您认为开源 DRM 不可行，请告诉我。

【问题讨论】：

附带说明，iTunes 已停止提供 DRM。我的 0.02 美元 - DRM 不起作用。我再也不会用 DRM 购买任何东西了。由于 DRM 和计算机升级，我无法播放我用自己的钱合法购买的数千首歌曲。另一方面，我可以玩成千上万个我非法下载的其他游戏。我很乐意为好音乐买单，但我宁愿挂起，也不愿再与 DRM 打交道。
并非如此 - 他们在 iTunes 上的视频租借/购买服务充满了 DRM。
@Karel - 真的吗？我丢失了 iTunes 商店帐户的密码（这说明我丢失了所有音乐）并且多年来一直没有尝试购买任何东西，所以我不知道他们的视频。尽管如此，我还是不会从他们那里购买任何视频。我可以以同样便宜（或更便宜）的价格从当地音像店租借 DVD。
我知道这有点离题，但他们没有“密码提醒”或类似的东西吗？
@Karel 再次 - 我试过了。它要求我要我最喜欢的饮料（这是我的安全问题）。我已经尝试了我能想到的所有“胡椒博士”的变体。没有骰子。

标签： drm

【解决方案1】：

这声称是 OMA DRM2 的开源实现。我假设它包含构建服务器和客户端所需的软件组件，而将硬件留给读者练习：

http://sourceforge.net/projects/openipmp

许可证是 MPL，它是非 GPL 兼容的 FOSS 许可证。

我没有这种实现的经验，但有一点 OMA DRM，当时它似乎是一个可行的 DRM 方案，就像任何 DRM 方案都是可行的一样。 OMA DRM 标准有据可查，并且（或至少已经）被手机行业广泛使用。

开源 DRM 的根本问题在于，虽然所有算法和源代码都可以在不损害方案的情况下发布，但客户端设备必须得到版权发布者的“信任”才能尊重权利，即不做任何事情禁止。这与 FOSS 不兼容，后者表示设备的用户应该完全控制它的功能。

通过默默无闻的安全性不起作用，但 DRM 并不完全是“安全性”

通过模糊算法实现的安全性通常很弱。 信息保密的安全性是进行加密、签名等的唯一方法。DRM 不需要算法的模糊性（这就是为什么 OMA DRM 是一个已发布的标准，以及实现的来源可以发布并免费使用），但它确实要求播放器设备可以访问设备用户无法访问的信息（某种密钥），并且这不是算法/源的一部分。

通常，安全保护设备的所有者/用户免受外部攻击者的威胁模型。在 DRM 威胁模型中，设备的所有者/用户是攻击者，权利所有者正在受到保护。如果设备的用户可以完全控制它，那么原则上显然游戏结束了。

在实践中可能不会那么直接，但在开源案例中，允许人们编写自己的 DRM 客户端以防止他们复制您的受版权保护的数据将要求他们非常诚实。

有时可以说服用户遵守法律，在这种情况下，DRM 会提醒他们，如果他们为了规避限制而越过障碍，那么他们可能触犯了法律。

【讨论】：

openipmp 最后一次更新是 2006 年 - 想知道它是否真的可以在 Android 上运行，以及是否有人实际上已经在其上成功实现了它。
对于希望快速启动和运行有效解决方案，尽可能利用开源库但同时减少生产时间的人，请看一下这个 - aameer.github.io/articles/digital-rights-management-multi-drm

【解决方案2】：

开源 DRM 几乎是不可能的。

DRM 的目的是防止用户解密某些数据，同时允许他们在某些情况下这样做。加密的理论框架使这变得荒谬 - 如果用户将某些数据用于批准的目的，他们怎么可能只有密钥来解密？

现有 DRM 系统采用的解决方案是不遗余力地隐藏密钥 - 一个完美的隐秘安全示例 - 但如果源代码可用，只需修改代码以将密钥交给用户。在这一点上，无论你的加密有多好，用户都拥有破解它所需的一切。

所有这一切的一个解决方案是在某些机器上使用Trusted Platform Module 来验证所有可能能够访问密钥的软件的二进制映像，并确保密钥本身是不可访问的（由秘密派生的密钥加密烧入硬件值）。但是，我不确定 TPM 有多常见，而且这在很大程度上违背了开源软件的初衷，因为您将无法以任何方式修改它而不会失去对 DRM 密钥的访问权限。

最后，在更实际的情况下，DRM 似乎无论如何都在退出 - 例如，iTunes 已经完全摆脱了 DRM，而电影业似乎也在朝着这个方向发展......

【讨论】：

"如果源代码可用，只需修改代码以将密钥交给用户是微不足道的"——假设您可以在设备上加载代码，这就是 DRM 往往工作得更好的原因在手机上比在 PC 上，以及为什么 GPL3 包含反 tivo 条款。
是的，TPM 将用于防止在 PC 机箱中加载代码。但是，如果根本无法加载任何代码，那么制作 DRM 就相当简单，因为您不必很好地隐藏密钥。
“如果根本无法加载任何代码，那么制作 DRM 就相当简单了”。在实践中，例如上的方法Symbian 是用户可以加载代码，但内核阻止此类代码访问 DRM API。所以并不是你“根本不能加载代码”，只是你根本不能加载与 DRM 相关的代码。这是否“微不足道”可能取决于您是否是必须实现 Symbian 内核的人。
哦，密钥被进程边界隐藏了。所以在某些方面有点像 TPM，但在其他方面则不同。
2009 年前 - “电影业似乎也在朝着这个方向发展”。 2015 年 - 电影行业推出专有 DRM 模块，DRM 牢牢地在 youtube/netflix/...上，它预装在 Chrome 和可能的 Firefox 以及所有现代移动设备等上。事情永远不会改变。

【解决方案3】：

对于开源 DRM 解决方案，可能会有开源破解。

许多 DRM 解决方案实际上都基于“隐蔽安全”原则。这意味着其中一些尚未损坏，因为他们的模型是保密的。即使这样也不能防止主要的 DRM 系统被破坏。

【讨论】：

同意。专有的 DRM 很快就被破坏了。我不会对开源解决方案的实力持乐观态度。当然，DRM 一开始就存在明显缺陷。您的 DRM 是否足以阻止 99.999% 的用户制作副本或使用程序并不重要。一个人知道如何破解它，你的 DRM 就一文不值。文件是共享的，程序有可用的破解等。你真的需要一个硬件解决方案才能“成功”，即使那样也不是确定的。
嗯......我想，有非常强大且几乎牢不可破的加密算法，对称和不对称......所以，可以有一些 DRM 系统，可以工作（可能内置在我没有想过的方式）并且本质上是牢不可破的。但是，可能不会
嗯，问题是……您的播放器需要原始内容才能播放。所以在游戏的某个阶段，文件会被解密。那么写破解实际上意味着更新算法以解密内容而不是直播模式。
这只是想法...目前的通用完整证明 DRM 可能是不可能的...但是，可以设计一种方案，其中在一侧创建内容嵌入式程序本身会在时间维度上复制内容之前不断更改内容的加密...此内容的播放器或查看者只能运行内容本身内部的此算法...

【解决方案4】：

DRM 已被破坏，因为它依赖于“隐匿安全”原则。

还有其他解决方案，例如水印。
当您向客户出售商品时，您需要在其上添加水印名称客户端。如果您在共享网络上找到此水印，您将知道泄漏在哪里。如果客户知道有水印（我认为警告他更诚实），他可能不会分享。

【讨论】：

“他可能不会分享” - 或者会在这样做之前删除水印。需要做的不是恢复原始文件，而是将水印损坏到无法再与同一方案放置的任何其他水印区分开来的程度。

【解决方案5】：

我通常反对 DRM。但是，我看到了一种我可以支持的 DRM 实现，它使用用户的信用卡信息作为解密密钥。虽然不是万无一失，但它至少具有使用用户想要保密的信息的优势。（至少在理论上。）它仍然可以在我自己的设备之间移植。然而，有了这样一个可见的密钥，再加上一个开源阅读器，用户就有可能存储和复制解密的数据，从而使 DRM 没有实际意义。

【讨论】：

【解决方案6】：

值得一提的是，这取决于您要保护的内容。如果您想保护您自己拥有的内容，并且内容泄漏造成的损失不是毁灭性的，那么您可以例如查看前面提到的 Open IPMP。 Suns DReaM 项目仍然在线可用，但值得注意的是，该项目由于不活动而关闭。当您想要保护您不拥有的内容时，就会出现问题。内容所有者很可能不允许他们的内容受到开源 drm 解决方案的保护。内容所有者倾向于使用 Microsoft WMDRM/PlayReady、Marlin 或 Helix 等专有解决方案。因此，如果您的框架将用于销售好莱坞内容，我不建议您将时间花在开源 drm 解决方案上。

【讨论】：