Protezione dei contenuti digitali in Windows 11 Si basa su una serie di tecnologie DRM e di sicurezza hardware evolutesi da Windows 8.1 e Windows 10 fino alla versione attuale del sistema. Se lavori con video di alta qualità , streaming, Blu-ray o piattaforme OTT, comprendere il funzionamento di PlayReady, del Trusted Execution Environment (TEE) e dei vari livelli di protezione dell'output è fondamentale per evitare errori di riproduzione e ottenere il massimo dalla qualità HD e UHD.
Nelle righe seguenti vedremo Come implementare DRM e Safe Play passo dopo passo in Windows 11Questa guida illustra le modifiche introdotte dall'integrazione di PlayReady, l'interazione tra Chrome, Edge e altri browser, le limitazioni presenti nelle edizioni speciali come Windows N e i problemi noti rilevati con determinati aggiornamenti di sistema. L'obiettivo è fornire una panoramica completa e pratica, priva di tecnicismi superflui, ma senza omettere alcun dettaglio importante dalle specifiche ufficiali.
Cos'è il DRM e perché è così importante in Windows 11?
Gestione dei diritti digitali (DRM) Si tratta del meccanismo che impedisce la riproduzione di un video se il client (dispositivo, browser o app) non possiede la chiave o la licenza appropriata. In genere, il contenuto viene crittografato e decrittografato solo quando il lettore dimostra, tramite una licenza, di essere autorizzato a farlo. Nell'ecosistema video moderno, questo meccanismo è combinato con lo streaming adattivo (DASH, HLS), la crittografia comune (CENC) e vari sistemi DRM come PlayReady. Widevine o FairPlay.
In Windows 11, Lo standard di riferimento è Microsoft PlayReadyPossiamo trovarlo in due modi:
- DRM puramente software (SWDRM).
- DRM ancorato all'hardware (HWDRM), che sfrutta un percorso video sicuro e chiavi protette dalla GPU o dal chipset stesso.
Quando si tratta di riprodurre contenuti di alto valore in 1080p o UHD (film, serie TV, eventi sportivi premium), praticamente tutti i fornitori richiedono il supporto di DRM di sicurezza basato su hardware.
Oltre a PlayReady, l'attuale ecosistema video in Windows 11 coesiste con Widevine (di proprietà di Google) e FairPlay (di proprietà di Apple)Ciò è particolarmente importante per garantire la compatibilità tra browser e dispositivi mobili. Tuttavia, per i contenuti 4K su PC Windows, PlayReady rimane il componente principale, sia nelle app UWP che nei browser che lo supportano nativamente o lo integrano nella piattaforma.
PlayReady basato su hardware: chiavi, contenuti e sicurezza
La grande differenza nelle versioni moderne del sistema è la Adozione di massa di PlayReady HWDRMQuesto modello prevede che il kernel crittografico e il percorso video vengano eseguiti in un'area sicura dell'hardware. Ciò consente di archiviare ed elaborare chiavi private, chiavi di contenuto e qualsiasi materiale crittografico associato senza che vengano esposti in chiaro alla memoria dell'applicazione o al sistema operativo.
Grazie a questa architettura, Windows 11 è in grado di riprodurre contenuti HD (1080p) e UHD. su una vasta gamma di dispositivi purché la catena hardware (CPU, GPU, driver, monitor/output) sia conforme alla Regole di conformità PlayReady. Questi sono:
- Utilizzo di HDCP ove necessario.
- Blocco delle uscite analogiche non sicure.
- Restrizioni tramite delibera.
Il video, sia compresso che non compresso, percorre un percorso protetto fino al monitor compatibile.
È importante capire che PlayReady in Windows 11 non è più un componente AppX separato da quanto accadeva in Windows 8.x, ma piuttosto un componente integrato del sistema operativo stesso. Lo spazio dei nomi è cambiato da Microsoft.Media.PlayReadyClient a Windows.Media.Protection.PlayReadye i codici di errore sono definiti in intestazioni specifiche dell'SDK di Windows (ad esempio, Windows.Media.Protection.PlayReadyErrors.h y PlayReadyResults.h).
Le principali nuove funzionalità di PlayReady per Windows 10/11 includono: Acquisizione proattiva delle licenze, catene di licenze non persistenti, scadenza in tempo reale (LDL), separazione delle licenze audio e video e supporto HEVC/H.265. Quando si utilizza CENC v2. Tutto ciò è stato progettato per ridurre il tempo di visualizzazione del primo fotogramma e facilitare un'esperienza di streaming fluida, anche quando il contenuto è fortemente protetto.
Come funziona l'ambiente di esecuzione affidabile (Trusted Execution Environment, TEE) di Windows
Per abilitare HWDRM, Windows 11 si basa su un Ambiente di esecuzione attendibile (TEE), noto nella documentazione come Windows Tree. Sebbene i dettagli interni non siano pubblicati in modo esaustivo, viene fornita una spiegazione di alto livello per comprendere il flusso delle chiamate.
Windows implementa un Livello proxy OEM Riceve chiamate PRITEE (PlayReady TEE) serializzate e le reindirizza a un driver in modalità utente all'interno del sottosistema Windows Media Foundation. Da lì, l'esecuzione può essere indirizzata al driver TrEE del sistema o a un driver grafico OEM, a seconda di come è implementato l'hardware.
Dal punto di vista dello sviluppatore UWP, Non è necessario implementare il TEE da zero.Tuttavia, è importante comprendere che tutte le protezioni in uscita, inclusi HDCP e le restrizioni di risoluzione, vengono gestite "all'interno" di tale ambiente sicuro quando si utilizza HWDRM. Se un'azienda desidera implementare una porta TEE dedicata per Windows PlayReady, Microsoft fornisce contatti diretti attraverso i canali indicati nella sua documentazione ufficiale.
Requisiti e considerazioni sull'utilizzo di DRM hardware
Quando un'app UWP o un servizio di streaming decide di utilizzare HWDRM, deve tenerne conto una serie di requisiti rigorosi riguardanti licenze e chiaviSe queste condizioni non vengono soddisfatte, il client non è obbligato a utilizzare il percorso hardware. Pertanto, il contenuto potrebbe essere riprodotto tramite SWDRM oppure, direttamente, non essere riprodotto in base alle politiche imposte.
Per garantire l'utilizzo di HWDRM, La licenza video deve dichiarare un livello di sicurezza minimo di 3000L'audio deve essere crittografato con una chiave di contenuto separata e la relativa licenza richiede un livello di sicurezza minimo di 2000. In alternativa, l'audio può essere lasciato in chiaro se le norme del fornitore lo consentono. Tutti gli scenari basati esclusivamente su SWDRM operano con livelli di sicurezza pari o inferiori a 2000.
Ci Limitazioni importante:
- Il protocollo Protected Media Path (PMP) classico non è supportato.
- Anche il codec VC-1 (Windows Media Video) non è supportato in HWDRM.
- Le licenze persistenti presentano problemi in ambienti con più GPU.
In quest'ultimo caso, PlayReady utilizza un archivio dati hash (HDS) separato per ogni scheda grafica. Ciò significa che se l'utente installa una nuova GPU, le licenze persistenti associate a quella integrata potrebbero "scomparire" dal punto di vista dell'applicazione.
Ciò richiede che l'app sia in grado di Acquisire nuovamente le licenze permanenti quando viene rilevata una modifica dell'hardware grafico. O almeno siate preparati a gestire le richieste di assistenza quando l'utente cambia scheda video e la riproduzione del contenuto si interrompe. Non è uno scenario frequente, ma può succedere.
Protezione delle uscite, OPL e differenze tra SWDRM e HWDRM
Definizione di PlayReady livelli di protezione dell'uscita (OPL)Queste regole specificano cosa è consentito fare con i contenuti su diverse uscite: video digitale compresso, video digitale non compresso, uscite analogiche (componente, composito, VGA), Miracast, ecc. Windows 10 e 11 implementano queste regole in conformità con le Regole di conformità e robustezza di PlayReady.
Una differenza fondamentale è che, con Tutte le protezioni di output HWDRM vengono applicate da Windows TEECiò si traduce in un comportamento diverso rispetto a SWDRM. Se l'utente ha due monitorUn monitor supporta HDCP e l'altro no, e la licenza richiede HDCP. Con HWDRM, la riproduzione fallisce anche se il contenuto viene visualizzato solo sul monitor compatibile; il sistema è controllato dal "monitor meno performante". Con SWDRM, invece, la riproduzione è consentita a condizione che il contenuto venga visualizzato solo sullo schermo che supporta HDCP.
Un altro punto chiave è la gestione dell'OPL 270 per video digitale non compressoIn SWDRM, se HDCP non può essere abilitato, il sistema può ridurre la risoluzione e limitare la risoluzione effettiva a circa 520.000 pixel per fotogramma, consentendo la riproduzione. In HWDRM, il percorso sicuro non supporta la riduzione della risoluzione in questo modo. Se HDCP non può essere abilitato per il corrispondente OPL, la riproduzione viene bloccata sulle porte HDMI/DVI.
Per i contenuti HD di alto valore esposti a HWDRM, si raccomanda di stabilire OPL di video digitale non compresso superiore a 270 e aggiungi la restrizione di tipo HDCP nelle licenze (HDCP 2.2 o superiore su Windows 10/11). Inoltre, Miracast viene trattato come un'altra uscita digitale, consentendo la riproduzione purché sia ​​soddisfatto HDCP 2.0 o superiore.
A livello audio, ci sono OPL specifici per Audio digitale compresso, audio non compresso e uscite analogiche o USB..
Rilevamento della compatibilità hardware con DRM e HEVC/AES128CBC
Per scoprire cosa supporta il sistema, PlayReady fornisce il metodo PlayReadyStatics.CheckSupportedHardwareche consente di verificare funzionalità specifiche, come la compatibilità generale con HWDRM, il supporto HEVC/H.265 o la crittografia hardware AES128CBC.
L'enumerazione PlayReadyHardwareDRMFeatures include valori come HardwareDRM, HEVC o Aes128CbcAd esempio, è possibile eseguire:
bool isFeatureSupported = PlayReadyStatics.CheckSupportedHardware(PlayReadyHardwareDRMFeatures.HEVC); per verificare se l'hardware supporta quel codec in HWDRM. Inoltre, la proprietà PlayReadyStatics.PlayReadyCertificateSecurityLevel Restituisce il livello di sicurezza del certificato client: solo se è maggiore o uguale a 3000 il dispositivo è individualizzato e pronto per l'uso HWDRM.
Nelle versioni precedenti a Windows 10, versione 1709, se controlli Aes128Cbc senza prima verificare la presenza del contratto Se viene utilizzata l'API corrispondente, si verificherà un'eccezione. Ecco perché Microsoft consiglia di utilizzare ApiInformation.IsApiContractPresent con la versione 5 di Windows.Foundation.UniversalApiContract prima di chiamare CheckSupportedHardware per questa funzionalità .
Invalida HWDRM e forza il software PlayReady
Non tutti i contenuti sono compatibili con HWDRM. Ad esempio, determinati contenuti "cocktail", flussi HEVC su sistemi che non supportano tale codec a livello hardware o qualsiasi flusso con un codec video diverso da H.264 o HEVC potrebbe richiedere all'applicazione di abilitare il software PlayReady.
Per "disabilitare" HWDRM a livello di app UWP, è possibile utilizzare le impostazioni locali. impostare la chiave SoftwareOverride a 1 all'interno di un contenitore di impostazioni chiamato "PlayReady" in ApplicationData.LocalSettingsÈ importante farlo prima di creare gli oggetti PlayReady, poiché i comportamenti intermedi non sono garantiti.
Allo stesso modo, l'uso del livello di protezione del software via MediaProtectionManager, collocamento:
mediaProtectionManager.properties = true; Questo costringe l'app a utilizzare SWDRM anche se il sistema supporta HWDRM.
Un modo pratico per controllare Che tipo di DRM viene utilizzato in fase di esecuzione? è quello di ispezionare la cartella:
C:\Users\<usuario>\AppData\Local\Packages\<nombreAplicacion>\LocalCache\PlayReady\Se il file è mspr.hdsStiamo lavorando con SWDRM; se appare un file diverso con l'estensione .hdsQuesto è HWDRM. Eliminando questa cartella e riavviando il gioco, PlayReady sarà costretto a rigenerare l'archivio.
Integrazione di PlayReady nelle applicazioni UWP
Per aggiungere contenuti protetti da PlayReady a un Applicazione UWP su Windows 11Esiste una serie di passaggi fondamentali che iniziano con la migrazione dal modello Windows 8.x. Modificando lo spazio dei nomi in Windows.Media.Protection.PlayReady Richiede l'aggiornamento dei riferimenti e l'utilizzo dei WinMD corretti inclusi nell'SDK di Windows (principalmente windows.media.winmd y windows.foundation.universalappcontract.winmd).
Da MediaProtectionManagerLa configurazione tipica include l'impostazione dell'identificativo del sistema di protezione, la mappatura del sistema di contenuti e il GUID del contenitore PlayReady. Uno schema comune è simile a questo:
var mediaProtectionManager = new Windows.Media.Protection.MediaProtectionManager();
mediaProtectionManager.Properties = "{F4637010-03C3-42CD-B932-B48ADF3A6A54}";
var cpsystems = new Windows.Foundation.Collections.PropertySet();
cpsystems = "Windows.Media.Protection.PlayReady.PlayReadyWinRTTrustedInput";
mediaProtectionManager.Properties = cpsystems;
mediaProtectionManager.Properties = "{9A04F079-9840-4286-AB92-E65BE0885F95}";
Per riprodurre contenuti HD e UHD protetti, l'app deve supportarli correttamente. HWDRM, invalidarlo quando necessario e gestire l'acquisizione delle licenze. sia persistenti che non persistenti.
Acquisizione proattiva di licenze non persistenti
Un miglioramento fondamentale di PlayReady in Windows 10/11 è la capacità di acquisire proattivamente licenze non persistenti. Ovvero, prima dell'inizio della riproduzione. Nelle versioni precedenti, queste licenze potevano essere ottenute solo in modo reattivo. Ciò introduceva latenza all'avvio del video.
Il flusso consigliato consiste in:
- Creane uno prima sessione di riproduzione tramite
MediaProtectionPMPServer. - Associalo a un
PlayReadyLicenseSession. - Da lì, genera una richiesta di servizio di licenza (LAServiceRequest).
Dopo aver completato l'acquisizione, la licenza viene memorizzata nella sessione e collegata alla sorgente multimediale tramite configureMediaProtectionManager prima di avviare la riproduzione.
Verifica le funzionalità di protezione con IsTypeSupported
Dalla versione 1703 di Windows 10, gli sviluppatori possono utilizzare la classe ProtectionCapabilities per verificare quali combinazioni di codec, risoluzione, frame rate e funzionalità DRM sono effettivamente supportate su un determinato dispositivo.
Come funziona il metodo? IsTypeSupportedInnanzitutto, riceve una stringa con il tipo MIME e parametri come codec, bit per pixel, risoluzione o fpse poi un'altra stringa con il sistema di chiavi (ad esempio, "com.microsoft.playready"). A seconda della risposta (Probably, Maybe o NotSupported), l'app può decidere se mettere in coda i video UHD in modalità HWDRM, degradare la qualità o scartare determinati contenuti.
Questo approccio è particolarmente utile negli scenari di streaming adattivo con PlayReadyConsente di regolare dinamicamente i profili di qualità compatibili con il dispositivo ed evitare errori di riproduzione causati dal tentativo di utilizzare una combinazione codec + DRM non supportata dall'hardware.
Arresto sicuro: garantisce la fine della riproduzione
La funzionalità di Fermata sicura La funzione (Safe Stop) è stata aggiunta per consentire a un dispositivo PlayReady di informare in modo affidabile un servizio di streaming che la riproduzione di determinati contenuti si è interrotta, sia perché il video ha raggiunto la fine, sia perché l'utente ha interrotto manualmente la sessione.
Ciò consente l’applicazione dei servizi limitazioni d'uso e controllo della concorrenza con maggiore precisione. Ciò impedisce che le sessioni si "blocchino" e impediscano all'utente di accedere. Copre anche il caso in cui l'app o il sistema si arrestino in modo anomalo. Al successivo avvio, l'applicazione deve verificare la presenza di sessioni Secure Stop in sospeso e inviare le relative richieste di autenticazione al server.
Microsoft fornisce un esempio pratico nel file securestop.cs all'interno dei progetti di esempio di PlayReady.
Utilizzo di PlayReady su Xbox One e considerazioni sulla sicurezza
Su Xbox One, anche le app UWP possono trarne vantaggio Pronto per giocareL'unico requisito è che l'account Partner Center sia autorizzato a utilizzare questo DRM. Ciò si ottiene contattando Microsoft o inviando le informazioni dell'account agli indirizzi e-mail designati, dopodiché l'autorizzazione verrà concessa. DeviceCapability specificato nel manifesto dell'app.
Il manifesto deve includere, all'interno <Capabilities>, una voce <DeviceCapability Name="6a7e5907-885c-4bcb-b40a-073c067bd3d5" />che viene aggiunto manualmente modificando il file Package.appxmanifest come XML. Senza questo passaggio, l'app non sarà autorizzata a utilizzare PlayReady su Xbox.
Un altro dettaglio rilevante è che il I kit di sviluppo per Xbox One sono limitati a SL150 (Livello di sicurezza 150). Ciò significa che non possono riprodurre contenuti SL2000 o SL3000. I dispositivi commerciali supportano livelli di sicurezza superiori, ma per i test nei kit di sviluppo è necessario utilizzare contenuti SL150. Questo può essere fatto con materiali di test o con una logica che concede licenze di livello inferiore solo agli account di test.
DRM del browser: Widevine, PlayReady e FairPlay
Nel mondo dei browser, la strategia attuale prevede utilizzare MPEG-DASH + CENC combinato con il DRM nativo disponibile su ciascuna piattaforma. Brightcove, ad esempio, supporta Widevine, PlayReady e FairPlay, selezionando dinamicamente quello appropriato in base al browser e al sistema operativo.
Su desktop, Chrome e Firefox su Windows e macOS in genere funzionano con Widevine per DASHIn alcuni scenari, possono anche fare affidamento su HLS con Widevine. Safari su macOS utilizza HLS con FairPlay. Il nuovo Microsoft Edge (basato su Chromium) aggiunge il supporto sia per Widevine che per PlayReady in alcune versioni di Windows, in particolare a partire da Windows 10.
Per i dispositivi mobili, la situazione è divisa tra HLS + FairPlay su iOS e tvOSe MPEG-DASH + CENC con Widevine modulare su Android (inclusi Android TV, Amazon Fire TV e Chromecast in alcuni casi). Inoltre, gli SDK video nativi per iOS e Android in genere supportano la riproduzione offline con DRM, utilizzando rispettivamente FairPlay e Widevine.
Un dettaglio interessante è che i fornitori come Brightcove tendono a Nascondi automaticamente i file MP4 Quando il DRM è abilitato, vengono esposte solo le rappresentazioni protette tramite HLS o DASH. In genere, inoltre, è necessario che l'account sia specificamente abilitato per DRM o HLS con crittografia. In alcuni casi, sono necessarie licenze aggiuntive per utilizzare FairPlay, Widevine o PlayReady.
Chrome e il passaggio a PlayReady con il supporto hardware in Windows 11
In Windows 11 sta avvenendo un cambiamento significativo. Google Chrome si sta preparando a integrare PlayReady Grazie al supporto hardware, oltre al tradizionale Widevine, Chrome sarà in grado di riprodurre contenuti protetti con la stessa sicurezza hardware di Edge, aprendo le porte alla riproduzione in 4K e ai contenuti premium che in precedenza erano limitati da Widevine in determinate configurazioni.
PlayReady è il DRM utilizzato da piattaforme come Netflix per i suoi titoli più impegnativi Per quanto riguarda la sicurezza, l'integrazione in Chrome su Windows 11 mira a offrire maggiore flessibilità ai fornitori e a migliorare l'esperienza di streaming. Google prevede di mantenere il supporto simultaneo per Widevine e PlayReady, selezionando quello più appropriato in base al contenuto e al dispositivo.
Inoltre, Chrome incorporerà un indicatore della privacy nella barra degli indirizzi L'obiettivo è notificare agli utenti quando un sito accede a contenuti protetti da PlayReady. Questo offre all'utente la possibilità di consentire o bloccare tale accesso. Lo scopo è quello di trovare un equilibrio tra sicurezza, trasparenza e controllo per l'utente finale.
Limitazioni di Windows 10/11 N e del Media Feature Pack
Le edizioni N di Windows 10 e 11 rimuovono componenti multimediali chiaveCiò ha un impatto diretto sulla riproduzione di contenuti audio e video, nonché sulla funzionalità del DRM e di alcune applicazioni. Sebbene l'installazione del Media Feature Pack possa ripristinare gran parte delle funzionalità , Microsoft avverte che non tutto verrà ripristinato completamente.
Tra le caratteristiche interessate ci sono Sveglie e orologio (suoni), sincronizzazione delle app, Cortana con comandi vocali, funzionalità audio e video in OneNote, Edge, Foto, OneDrive e altre app di sistema.Se l'utente tenta di aprire un video archiviato in OneDrive con l'app nativa, in una versione N senza il Media Pack, la riproduzione semplicemente non funzionerà .
Anche loro sono colpiti Microsoft Teams (chiamate audio/video), Narratore con navigazione vocale, riproduzione di video nel Microsoft Store e anteprima di contenuti multimediali.Lo Strumento di cattura smette di registrare lo schermo, l'Editor video si blocca, la digitazione vocale e la webcam non funzionano e Windows Mixed Reality non è supportato. Anche funzionalità come la visualizzazione wireless, la sincronizzazione con i dispositivi mobili, Game DVR e Xbox Game Bar risultano compromesse.
Tutto ciò implica che, per un Implementazione minimamente seria di DRM e riproduzione sicura in Windows 11 NÈ praticamente obbligatorio installare il Media Feature Pack ed effettuare dei test specifici su queste edizioni, poiché l'esperienza può essere molto diversa da quella di una versione standard di Windows.
Altri fornitori di DRM, sicurezza Android/iOS e supporto multipiattaforma
L'uso del DRM non è limitato all'ecosistema Microsoft. Piattaforme come Brightcove offrono Soluzioni di packaging, licenza e riproduzione che integrano PlayReady, Widevine e FairPlay. a seconda del dispositivo. Nei browser desktop, si affidano a MPEG-DASH con CENC per utilizzare il DRM nativo e ridurre il numero di versioni necessarie per coprire tutti i casi.
Su Android, Widevine definisce tre livelli di sicurezza (L1, L2, L3)Solo la crittografia L1 garantisce che le chiavi in ​​chiaro siano visibili solo a un processore sicuro e che esista un percorso video protetto; la crittografia L2 e L3 sacrifica parte di questa protezione, con conseguenti limitazioni alla qualità dello streaming per i contenuti protetti. Ad esempio, sui dispositivi che supportano solo la crittografia L3, la riproduzione di video HD protetti dai server Widevine non è consentita.
Su iOS, FairPlay Streaming su HLS fornisce Una soluzione ottimizzata per il consumo della batteria e la compatibilità con iPhone, iPad e Apple TV.Inoltre, gli SDK di riproduzione nativi supportano il download e la visualizzazione offline con DRM, una funzionalità sempre più richiesta dagli utenti che viaggiano o dispongono di connessioni instabili.
Per quanto riguarda PlayReady, esiste ancora. Compatibile con PlayReady per uno streaming fluido e con PlayReady per MPEG-DASHMolti accordi con Microsoft includono limiti di concorrenza che i servizi devono rispettare. Se il numero di riproduzioni simultanee consentite viene superato, le nuove sessioni falliscono per impostazione predefinita, rendendo ancora più cruciali l'utilizzo di Secure Stop e la corretta terminazione della sessione.
Considerato tutto quanto sopra, l'implementazione passo passo di DRM e Safe Play in Windows 11 prevede la combinazione Un buon sistema di licenze, supporto HWDRM con PlayReady, integrazione adeguata nelle app UWP e nei browser, controlli di uscita e test approfonditi su hardware reale.Ciò include edizioni speciali come Windows N e scenari con più monitor o GPU. Solo in questo modo è possibile distribuire video HD e UHD in modo sicuro senza compromettere eccessivamente l'esperienza dell'utente finale.
