Zugangsberechtigungssystem

mini|Verschiedene mögliche Realisierungen

Der Begriff Zugangsberechtigungssysteme (ZBS), auch Verschlüsselungsstandards oder Verschlüsselungssysteme bzw. englisch Conditional access system (CAS), bezeichnet die beim Bezahlfernsehen eingesetzten Systeme zur Ver- und Entschlüsselung der Programminhalte.

Allgemein Das im Digitalfernsehen eingesetzte Verfahren zum Ver- und Entschlüsseln der Inhalte nennt sich Common-Scrambling-Algorithmus (kurz CSA). Damit ein Empfänger in der Lage ist, das Signal mittels CSA zu entschlüsseln, benötigt er ein sich ständig änderndes acht Byte breites Kontrollwort. Dieses Kontrollwort dem Empfänger zukommen zu lassen und dabei nur bestimmte Empfänger zu adressieren, ist die Aufgabe der CA-Systeme.

Technisches Verfahren und Details CA-Systeme bilden hierbei die Schnittstelle zwischen dem verschlüsselten DVB-Datenstrom und der Smartcard des Benutzers (oder Abonnenten). Der Anbieter sendet so parallel zu den Nutzdaten noch gesonderte Datenpakete namens ECMs (ECM = Entitlement Control Message). Mittels dieser ECM kann ein entsprechend autorisierter Empfänger das zu dieser Zeit gültige Kontrollwort errechnen und an den CSA-Dekoder übermitteln. Dieser nimmt dann das endgültige Entschlüsseln des Datenstroms vor. Auf Empfängerseite wird ein CA-System üblicherweise durch eine an den Kunden gebundene Smartcard und ein kundenanonymes Conditional Access Module abgebildet. Das Modul filtert dabei die ECM-Pakete aus dem Datenstrom und errechnet mittels der gegebenen Information in Verbindung mit der Smartcard das entsprechende Kontrollwort. Die Logik des CA-Systems verteilt sich hier zum einen auf das Modul und zum anderen auf die Smartcard. Üblich ist es hierbei, kundenspezifische Daten auf der Smartcard vorzuhalten und diese nicht auslesbar durch Dritte zu machen.

Da sich unabhängig vom verwendeten CA-System immer ein eindeutiges Kontrollwort zum Entschlüsseln ergeben muss, können hierbei auch mehrere CA-Systeme parallel für einen einzelnen Datenstrom eingesetzt werden (Simulcrypt). Der Anbieter muss hierbei für jedes eingesetzte CA-System entsprechend eigene ECMs mitschicken.

Zusätzlich zur Information, die sich schon auf der Karte des Kunden befindet, und den ECMs senden all diese Verfahren noch Steuercodes über den eingehenden Datenstrom. Diese „Entitlement Management Messages“ (kurz EMMs) dienen dem gezielten Aktivieren oder Deaktivieren der Kundenkarten. Es besteht hierbei auch die Möglichkeit, dem Kunden mehr oder weniger Rechte bezüglich einzelner Angebotspakete einzuräumen, ohne dass der Kunde die Smartcard tauschen muss.

Liste der verbreiteten CA-Systeme BetaCrypt, BetaCrypt-2 (CA-ID Sat 0x170n Kabel 0x172n) BetaCrypt wurde von BetaResearch, einer Tochterfirma der KirchMedia, für die d-box verwendet. Es ist eine von Irdeto Access B.V. lizenzierte Software mit veränderter CA-ID, ansonsten ist es zu Irdeto identisch. Ursprünglich nutzten die Kirch-Sender DF1 (der erste digitale Bezahlfernsehsender in Deutschland), Premiere World (Zusammenschluss von DF1 und Premiere Digital) und später dessen Rechtsnachfolger Premiere dieses Verschlüsselungssystem.

Im Laufe der Zeit wurde BetaCrypt weiterentwickelt. So wurde mit der Markteinführung der d-box 2 auch eine neue Smartcard-Generation eingeführt, deren Seriennummern alle mit einem Z endeten. Diese Smartcards implementierten das „CAM-Crypt“. Dabei handeln die Smartcard und das CA-Modul in der Initialisierungsphase einen Schlüssel – den „CAM-Key“ – aus, mit dessen Hilfe die Smartcard sämtliche an das CA-Modul gerichteten Control Words verschlüsselt und mit dem das CA-Modul diese wieder entschlüsselt.

Nach der Insolvenz der Kirch-Gruppe und dem Verkauf von Premiere wurde die einem anderen Konzernzweig zugehörige Tochter BetaResearch verkauft und weitgehend liquidiert. Sie hat Lizenzrechte für BetaCrypt 1 vergeben und wurde in TecLic umfirmiert. Das kurz vor der Fertigstellung befindliche BetaCrypt 2 kam, auch aus firmenpolitischen Gründen, nicht mehr zum Einsatz und wurde durch ein gekapseltes Nagravision der Kudelski-Gruppe ersetzt. Die CAMs in den Receivern konnten so beibehalten werden und die Karten kommunizieren immer noch wie klassisches Irdeto, übertragen die Nagrapayload allerdings innerhalb der Irdeto-ECMs. Zuletzt wurde das Verfahren beim ORF-Digital-Programm des österreichischen Rundfunks parallel zu Cryptoworks eingesetzt. Wegen der auslaufenden Lizenz und der seit über fünf Jahren nicht mehr möglichen Wartung stellte man die Verbreitung zum 20. Mai 2008 ein.heise.de

Betacrypt2 (CA-ID 0x171n) Betacrypt2 wird von der Comvenient GmbH & Co. KG weiterentwickelt und international vertrieben. Hitron, Artelecom und Nossa-tv Antina verschlüsseln im Betacrypt2-System.

VideoGuard (CA-ID 0x0900) VideoGuard von NDS wird u. a. seit 2009 von Kabel Deutschland im Simulcrypt-Verfahren mit Nagravision, seit 2008 von Kabel BW, von Tele Columbus im Simulcrypt-Verfahren mit Conax und von Sky Deutschland im Simulcrypt-Verfahren mit Nagravision eingesetzt. Außerdem nutzen es British Sky Broadcasting, DirecTV, D-Smart (Türksat 42° Ost), Sky Italia und OTE TV(Griechenland) auf Eurobird 9° Ost. Weit verbreitet ist das System auch auf den Sirius-Satelliten, insbesondere für skandinavische Sender, zum Beispiel Viasat. Es ist damit das weltweit vorherrschende CA-System. Es konnte noch nicht umgangen werden.

Als sein analoger Vorgänger kann VideoCrypt gelten. Weitere Varianten von Videoguard sind mVideoguard für mobile Anwendungen und Synamedia/Videoguard für Breitband-TV (IPTV), wie es zum Beispiel bei A1 Telekom Austria für A1 Kabel TV zum Einsatz kommt.

Irdeto (CA-ID 0x06nn) Irdeto war ein frühes digitales Codiersystem (eingeführt 1995), das seinen ersten Einsatz im niederländischen Pay-TV (MultiChoice NL) fand. Es wird nur noch von wenigen Anbietern verwendet, da die meisten auf Irdeto-2 wechselten oder zu Hybridlösungen wie zum Beispiel getunneltem Nagra (aktuelles sky Deutschland Verfahren Stand 2009) übergingen. Entgegen der weit verbreiteten Meinung wurde Irdeto nie geknackt: es waren immer nur die Karten, die Schwächen aufzeigten und so das System immer wieder kompromittierbar machten.

Der Name Irdeto ist von der niederländischen Herstellerfirma Irdeto Access abgeleitet; er stellt eine Kontraktion von Ir. Den Toonder – nach dem Firmengründer Pieter den Toonder – dar, wobei Ir. die niederländische Abkürzung für einen Ingenieur mit Universitätsausbildung ist.

Beispiele der Angreifbarkeit der Karten waren unter anderem: Rückgabe korrekter Signaturen (zum „Unterschreiben“ eines gültigen ECMs) Timing der Signatur

Irdeto-2 Irdeto-2, eingeführt 2000, unterscheidet sich grundlegend von Irdeto-1. Werden bei Irdeto-1 lediglich die zur Berechnung der Controlwörter notwendigen Schlüssel verschlüsselt übertragen, erfolgt bei Irdeto-2 die gesamte Kommunikation vom Programmanbieter zur Smartcard verschlüsselt. Lediglich die Kopfdaten, die Header, und die Prüfsumme am Ende eines jeden Datenblockes sind mit denen von Irdeto-1 weitestgehend identisch. Dadurch funktionieren Irdeto-2 Smartcards auch in alten einst für Irdeto-1 gebauten CA-Modulen. Die von einer Irdeto-2 Smartcard zurückgegebenen Controlwörter sind ebenfalls verschlüsselt. Diese Form der Verschlüsselung der Controlwörter ist identisch mit dem von Betacrypt-1 bekannten CAM-Crypt.

Irdeto-3 Irdeto CAS 3 wurde auf der IBC 2009 vorgestellt.networkcomputing.com

Irdeto Cloaked Irdeto Cloacked CA, das ohne eine Smartcard auskommt (Software CA), wurde auf der IBC 2011 vorgestellt.streamingmediaglobal.com

Zum Beispiel der ORF bietet seine verschlüsselten Programme via Irdeto Cloaked unter dem Namen ORF DIGITAL DIREKT an.digital.orf.at Der Vertrag dazu wurde 2016 mit Irdeto unterzeichnet.elektro.at

Cryptoworks (CA-ID 0x0dnn) Cryptoworks wird überwiegend auf Astra und Hotbird eingesetzt und beispielsweise von MTV Networks genutzt. Cryptoworks wurde ebenfalls vom Premiere-Konkurrenten Easy.TV als Verschlüsselung genutzt.

Cryptoworks wurde von Philips Electronic entwickelt. Philips hat inzwischen die Cryptoworks-Sparte an das niederländische Unternehmen Irdeto verkauft..

Cryptoworks-ORF Auch der ORF bietet bereits seit April 2003 seinen Kunden die Möglichkeit, die ORF-Programme mit Cryptoworks zu entschlüsseln. Die alten BetaCrypt Smartcards wurden bis Ende April 2008 unterstützt.

Einige ORF-Cryptoworks-Receiver (Decoder) hatten/haben Probleme bei einem senderseitigen Codewechsel. Eine mit dem Sendebetrieb beauftragte ORF-Tochter ORS hat dazu in Kooperation mit dem Österreichischen Fachhandel einen Austauschservice für betroffene Hardware organisiert..

Im März 2025 wurde angekündigt, dass der Parallelbetrieb von Cryptoworks und Irdeto (seit 2009) nun tatsächlich auslaufen wird.elektro.at, digitalfernsehen.de Dann werden die ORF-Programme ausschließlich über Irdeto Smartcards und Irdeto Cloaked (software-basierter CA) angeboten.

Cryptoworks-Arena Der ehemalige Bundesliga-Sender Arena nutzte für die Verbreitung über Astra eine verschärfte Version von Cryptoworks. Mit arena gab es eine Spaltung der Smartcard-Technologien, einerseits die Größe (SIM-Format), andererseits der SIM-Leser. Dieser brachte Kompatibilitätsprobleme mit anderen Smartcards mit sich, wie etwa bei ORF-Karten.

Negativliste: Humax CR-FOX+ (zum Beispiel ORF)

Weitere in Cryptoworks codierte Sender Digitürk, UPC Direct, CNN, MTV Networks, CzechLink, Wizja TV, Fox Kids Russia, Fox Kids Romania, VH1 Germany, BFBS TV, JSTV.

Nagravision (CA-ID 0x1800) Nagravision wurde vom Schweizer Unternehmen Kudelski SA entwickelt. Es wurde lange Zeit vor allem bei Cyfrowy Polsat eingesetzt. Da fast alle Smartcardserien dieses Systems Schwachstellen aufwiesen, wurde bei vielen Pay-TV-Anbietern weltweit ein Wechsel auf das neuere Nagravision-Aladin-System durchgeführt. Nur noch sehr wenige Anbieter verwenden dieses System. Allerdings ist es in der Schweiz im Kabelnetz noch sehr verbreitet. UPC Schweiz und Teleclub setzten es weiterhin ein. Auf Druck von Teleclub musste die UPC deren Kanäle ab 2015 anders als mit Nagravision verschlüsseln. Die UPC Kanäle sind weiterhin mit Nagravision verschlüsselt.

Nagravision Aladin (CA-ID 0x1801 & 0x1810 / 0x17nn [Betacrypt]) Nagravision Aladin wurde vom Schweizer Unternehmen Kudelski SA entwickelt und ist eine Weiterentwicklung des älteren Nagravision-Systems. Von einigen Smartcardserien von Nagravision Aladin sind Sicherheitslücken bekannt, die es möglich machen, das System ohne gültiges Abonnement zu umgehen.

Die deutschen Pay-TV-Anbieter Sky Deutschland, Vodafone Kabel Deutschland und Unitymedia verwenden diese und eine speziell von Kudelski modifizierte Version von Aladin im Simulcrypt-Verfahren. Die Modifikation bezieht sich auf die Datenübertragung in EMMs (Entitlement Management Message) und ECMs (Entitlement Control Message). Die Datenbereiche werden hierbei im Betacrypt-Protokoll übertragen (CAID 0x17nn), sind jedoch mit dem Nagravision-Aladin-Algorithmus verschlüsselt. Damit ist es möglich, ältere Receiver mit eingebauten Betacrypt-CAMs (zum Beispiel d-box 1 und d-box 2) weiterhin einzusetzen. Vor dem Abschluss des Vertrages zwischen dem Sky-Deutschland-Vorgänger PREMIERE und Kudelski SA war die für PREMIERE vorgesehene Karten-ROM-Softwareversion 120 bereits fertig gestellt. Der frühere PREMIERE-Chef Georg Kofler bestand allerdings darauf, die alten Receiver mit eingebautem Betacrypt nicht gegen neue Aladin-Receiver auszutauschen. Die neuen Aladin-Karten mussten also auch in alten Betacrypt-CAMs lauffähig sein. Da die Betacrypt-CAMs jedoch nur ECMs auf den CAIDs 0x1702 (Sat), 0x1722 (Kabel) oder 0x1762 (Österreich) aus dem Datenstrom filtern und zur Karte senden, mussten die neuen Karten in der Übergangsphase, in der die alten Betacrypt-Karten gegen neue Aladin-Karten ausgetauscht wurden, Betacrypt vollständig unterstützen.