Что такое DRM и что он на самом деле защищает

Кратко

Технология, которая не даёт копировать премиальное видео, – управление цифровыми правами (DRM, digital rights management) – работает так: контент шифруется, а ключ для расшифровки выдаётся только тому устройству, которое DRM проверил и которому доверяет, по правилам, заданным правообладателем. DRM защищает узкую и конкретную вещь: расшифрованные байты видео и ключ, который их открывает, – оба удерживаются внутри защищённой зоны устройства, недоступной обычным приложениям и операционной системе. Чего DRM не защищает – это картинку, дошедшую до глаз человека: камера, направленная на экран, – так называемая analog hole – обходит любой когда-либо созданный DRM, поэтому студии дополняют DRM не запретом, а forensic watermarking, чтобы отслеживать утечки. Эта статья простыми словами объясняет проблему копирования, которую решает DRM, точную границу того, что он защищает, почему ни один DRM не покрывает все устройства, и главное решение: нужен ли вашему контенту DRM вообще или достаточно более простой токен-аутентификации.

Почему это важно

Если вы основатель, продакт-менеджер или CTO, впервые строящий стриминг, DRM – та тема, где разрыв между «как все думают» и «как на самом деле» обходится дороже всего. Распространены две противоположные ошибки, и обе дорогие. Первая – запустить премиальный каталог без реальной защиты, на подписании контракта узнать, что лицензия студии требует аппаратного DRM, и спешно переделывать слой защиты к дедлайну. Вторая – навесить самый дорогой уровень DRM на пользовательские ролики или внутренние обучающие видео, которым он никогда не был нужен, и платить за защиту, которую модель угроз не оправдывает. Эта статья даёт модель мышления, чтобы избежать обеих: что такое DRM, где проходит точная граница между тем, что он защищает и что не может, почему «шифруем один раз, лицензируем под каждое устройство» – современный паттерн, и дерево решений о том, нужен ли вашему контенту DRM вообще.

Проблема, которую решает DRM: идеальная копия стоит ноль

Начнём с проблемы, потому что без неё DRM не имеет смысла.

Физическую киноплёнку трудно украсть и ещё труднее скопировать. С цифровым файлом всё наоборот. Цифровая копия идеальна – бит в бит совпадает с оригиналом – и стоит практически ничего. Один человек с одной незащищённой копией фильма за вечер раздаёт её всему интернету, и каждая последующая копия не хуже студийного мастера. Экономика всего бизнеса переворачивается: тайтл, на который ушло $100 млн, можно бесплатно раздавать кому угодно и вечно – в тот момент, когда наружу вырвалась единственная чистая копия.

Это не гипотеза. По оценкам индустрии, онлайн-пиратство видео обходится правообладателям примерно в $75 млрд в год по состоянию на 2025-й, и прогноз – до $125 млрд к 2028-му. Анализ Parks Associates за 2025 год оценил совокупные потери от шеринга аккаунтов и пиратства примерно в $12,5 млрд за год и показал, что около 27% домохозяйств США с широкополосным доступом так или иначе пиратят или делятся аккаунтами. Эти цифры – причина, по которой правообладатели не считают защиту опциональной и не верят платформе на слово, что она «безопасна».

Значит, задача не в том, чтобы сделать копирование трудным, как сейф делает трудной кражу. Задача в том, чтобы байты, которые получает устройство зрителя, были бесполезны для всех, кроме авторизованного плеера на авторизованном устройстве: хотя файл идёт по открытому интернету на миллионы неподконтрольных вам устройств, только нужное устройство – проверенное и доверенное – сможет превратить эти байты обратно в смотрибельную картинку. Для этого и нужен DRM.

Что такое DRM простыми словами

Вот вся идея в одном предложении, дальше разберём по частям: DRM шифрует контент так, что без ключа это нечитаемая каша, а затем выдаёт ключ для расшифровки только устройству, которое он аутентифицировал, по правилам, заданным правообладателем.

Представьте закрытый ящик. Правообладатель кладёт фильм внутрь, запирает и свободно рассылает закрытый ящик – в CDN, на edge, на устройство каждого зрителя. Подержать ящик может кто угодно; открыть – почти никто. Чтобы открыть, ваше устройство обращается к конкретному привратнику – лицензионному серверу – за ключом. Привратник не выдаёт ключ каждому, кто попросит. Сначала он проверяет, что запрос идёт от настоящего, доверенного компонента воспроизведения на реальном устройстве, что у зрителя есть право на этот тайтл и что условия соблюдены (аренда не истекла, устройство в разрешённом регионе). Только тогда он выдаёт лицензию с ключом – и даже этот ключ доставляется так, что собственные приложения и операционная система устройства его прочитать не могут.

Работают три части, и остальная часть Блока 4 – глубокое погружение в каждую:

• Шифрование превращает медиа в кашу, так что сам файл без ключа бесполезен. Это ящик.
• Лицензия – небольшой пакет, который получает устройство; в нём ключ плюс правила – то, что спецификация W3C для браузеров называет «специфичной для key system информацией состояния, включающей один или несколько ключей». Это то, что выдаёт привратник.
• Защищённый компонент воспроизведения – доверенная часть ПО или железа на устройстве, которая получает ключ, расшифровывает контент там, где этого никто не видит, и отказывается выдавать наружу и ключ, и расшифрованные кадры. В браузере это Content Decryption Module (CDM), который W3C определяет как «клиентский компонент, обеспечивающий функциональность, включая расшифровку, для одной или нескольких key systems».

Ключевое слово – доверенный. Шифрование само по себе ещё не DRM: можно зашифровать файл и прислать кому-то пароль – это не управление правами, а запертый файл с ключом, приклеенным к крышке. DRM – это система, которая решает, кто получит ключ, на каком устройстве и по каким правилам, и всё это время держит ключ вне рук человека. Как именно устройство доказывает свою благонадёжность и получает ключ, разбираем в статье лицензионные серверы и доставка ключей.

Нажмите, чтобы увеличить

Защита многослойна: где сидит DRM

DRM – один слой в стеке, и частая путаница – считать весь стек «DRM-ом» либо принимать один слой за всю задачу. Пройдём стек снаружи внутрь, потому что каждый слой отвечает на свой вопрос.

Самый внешний слой – контроль доступа – токен-аутентификация и подписанные (signed) URL. Прежде чем устройство сможет хотя бы запросить манифест или сегменты, оно должно предъявить короткоживущий подписанный токен, подтверждающий, что это вошедший в систему пользователь с правами. Это вышибала на входе. Он не шифрует видео; он решает, кому вообще можно его попросить. Механику токенов разбираем на уровне доставки, в статье edge-кэширование, ключи кэша и токенизированные URL.

Следующий слой – шифрование самого медиа в транспорте. Простейшая форма – AES-128, как описано для HTTP Live Streaming в IETF RFC 8216: каждый медиа-сегмент шифруется, а плееру сообщают, где взять ключ, через тег в манифесте. Это превращает байты в пути в шум, так что пассивный перехватчик видит кашу. Но – и это ограничение решает всё – в обычном HLS AES-128 ключ доставляется по URL, указанному в манифесте, без требования, чтобы запрашивающий что-либо доказывал об устройстве. Любой, кто может прочитать манифест, прочитает и URL ключа и запросит ключ ровно так, как настоящий плеер. Добавьте к запросу ключа сильную токен-аутентификацию – и обойти AES-128 станет ощутимо труднее; оставьте сервер ключей открытым – и «шифрование» превращается в москитную сетку.

Внутренний слой – тот, что имеют в виду, говоря «DRM», – это Widevine, PlayReady или FairPlay. Отличие от AES-128 не в алгоритме шифрования; оно во всём, что вокруг ключа. DRM-система аутентифицирует устройство до выдачи ключа, доставляет ключ так, что ОС и приложения устройства его не прочитают, расшифровывает контент внутри защищённого модуля и применяет правила лицензии. Ключ никогда не лежит в манифесте; никогда не лежит в обычной памяти. Это скачок от «байты зашифрованы» к «ключ и расшифрованные байты защищены на устройстве, которое вам не подконтрольно».

Ниже DRM – ещё два слоя, которые DRM координирует, но сам не выполняет. Защита вывода – High-bandwidth Digital Content Protection (HDCP) – защищает цифровой кабель от устройства к экрану, чтобы расшифрованный сигнал нельзя было перехватить рекордером, врезанным в HDMI; для 4K требуется HDCP 2.2 или выше. А forensic watermarking встраивает невидимый идентификатор на каждую сессию в саму картинку, чтобы, если копия всё же утечёт, утечку можно было отследить до аккаунта или устройства. Watermarking ничего не предотвращает; он делает утечки атрибутируемыми – это другая, дополняющая задача, которую разбираем в статье forensic watermarking: отследить утечку.

Запомните форму стека: контроль доступа решает, кто может попросить; шифрование превращает файл в кашу; DRM защищает ключ и расшифровку; защита вывода стережёт кабель; watermarking отслеживает то, что всё же вышло наружу. DRM – сердце этого, но не всё сердце и тем более не всё тело.

Что DRM защищает на самом деле: ключ и расшифрованные байты

Теперь точное утверждение, потому что именно здесь большинство объяснений расплывается, а расплывчатое понимание ведёт к сломанной реализации.

DRM защищает ровно две вещи: ключ расшифровки и расшифрованные байты видео. Всё, что делает DRM, служит тому, чтобы удержать эти две вещи внутри границы, которую остальное устройство пересечь не может.

Представьте границу, очерченную вокруг доверенного компонента воспроизведения на устройстве. Снаружи границы – всё, что вам не подконтрольно: открытый интернет, операционная система, браузер, другие приложения, пользователь. Внутри границы происходят три вещи, и ни одна не видна снаружи. Приходит лицензия – извлекается ключ. Зашифрованный контент расшифровывается этим ключом. Расшифрованные кадры передаются прямо в конвейер вывода на экран. Ни в один момент ключ не появляется в обычной памяти, где его прочитало бы другое приложение, а на самых стойких устройствах расшифрованные кадры тоже не появляются в обычной памяти – они идут по secure video path от защищённого модуля к экрану, так что даже скриншот защищённого воспроизведения выходит чёрным.

Эта граница обеспечивается по-разному в зависимости от того, насколько устройству можно доверять, и у различия есть имя – уровни безопасности. На устройстве с аппаратной защищённой зоной – Trusted Execution Environment (TEE), отдельной защищённой областью чипа – работа с ключом и расшифровка происходят внутри этого железа, куда не дотянется даже скомпрометированная ОС. У Google Widevine это L1; эквивалент есть у PlayReady (SL3000) и FairPlay. На устройстве без такого железа или в десктопном браузере та же логика работает в обфусцированном и упрочнённом ПО, но в итоге живёт в обычной памяти – Widevine L3. Уровень безопасности – не мелочь: он определяет, какое разрешение студия разрешит вам стримить, поэтому аппаратное воспроизведение (Widevine L1) обычно требуется для 1080p и 4K от крупных студий, а софтовое (L3) часто ограничено где-то 480p–720p. Полную лестницу уровней разбираем в статье три системы DRM: Widevine, PlayReady, FairPlay.

Нажмите, чтобы увеличить

Чего DRM не защищает: analog hole

Вот реальный предел, и сказать о нём прямо – то, что отличает инженерное объяснение от маркетинга.

DRM защищает цифровой путь – байты и ключ – вплоть до момента, когда картинка становится светом и звуком, доступными человеку. Что происходит после – он защитить не может. Направьте камеру на экран и запишите играющее видео – и у вас копия, которая не касалась ключа, не пересекала границу защиты и не сработала ни на одной проверке DRM. Это analog hole: любой сигнал, который человек может увидеть или услышать, можно перезаписать со стороны, и ни одна цифровая система защиты это не закроет, потому что закрыть значило бы остановить показ контента, а это противоречит цели.

Analog hole – не дефект конкретного DRM; это свойство мира, общее для всех DRM. «Камкордерная» копия фильма в кинотеатре – analog hole в грубейшем виде; телефон, снимающий ноутбук, – то же самое дома. Расшифрованные кадры внутри secure video path в безопасности; фотоны, покидающие панель, – нет.

Именно поэтому серьёзная защита контента не останавливается на DRM. Раз вы не можете предотвратить копию «камера у экрана», вы делаете её отслеживаемой: forensic watermarking встраивает идентификатор на каждого зрителя и каждую сессию в картинку настолько слабо, что человеческий глаз его не видит, но детектор восстанавливает его из утёкшей копии – даже из дрожащей записи с телефона – и сообщает, с какого аккаунта утечка. DRM делает цифровую копию невозможной; watermarking делает аналоговую копию атрибутируемой; вместе они закрывают обе половины угрозы. Считать, будто DRM останавливает запись экрана, – самое частое заблуждение в защите контента, и оно заставляет команды пропускать слой watermarking, который как раз и адресует утечку, неподвластную DRM.

Нажмите, чтобы увеличить

Почему одного DRM недостаточно: проблема устройств

Если бы DRM был одной системой, работающей везде, всё было бы проще. Но это не так. Рынок сошёлся на трёх несовместимых системах DRM, каждая принадлежит вендору платформы и нативна для его устройств:

• Google Widevine – телефоны и планшеты Android, Chrome, Android TV, Chromecast и многие смарт-ТВ.
• Microsoft PlayReady – Windows, браузер Edge, Xbox и большая доля смарт-ТВ и приставок.
• Apple FairPlay – Safari, iPhone, iPad, Mac и Apple TV.

Ни одна из них в одиночку не покрывает все устройства, и пробелы не обсуждаются – на устройствах Apple не запустить Widevine, а на Android – FairPlay. Поэтому платформа, которая хочет дотянуться до каждого экрана, должна удовлетворить все три. Наивное прочтение этого требования – «зашифровать каталог трижды, по разу на каждый DRM» – утроило бы и хранилище, и счёт за кодирование. Современная реальность обратна, и держится она на стандарте, имя которого стоит знать.

Этот стандарт – Common Encryption (CENC), ISO/IEC 23001-7. Он описывает способ зашифровать медиа один раз в формате, который умеют расшифровать все три системы DRM, так что вы защищаете единый набор файлов, а затем выдаёте лицензию Widevine, PlayReady или FairPlay для тех же файлов – смотря какое устройство пришло. Браузерная спецификация W3C формулирует принцип прямо: «поддерживаемый контент шифруется по контейнер-специфичным спецификациям common encryption, что позволяет использовать его в разных key systems». Шифруем один раз; лицензируем многократно. Этот паттерн – один воркфлоу, защищающий один набор файлов под любое устройство – называется multi-DRM и является базовой современной архитектурой; разбираем его в статье multi-DRM: один воркфлоу, любое устройство.

Внутри Common Encryption есть одна тонкость, на которой спотыкается почти каждый новичок, и ошибка здесь ломает воспроизведение на Apple. Common Encryption описывает две схемы шифрования: cenc, использующую AES в режиме счётчика (AES-CTR), и cbcs, использующую AES в режиме сцепления блоков с паттерном (AES-CBC). Они не взаимозаменяемы. FairPlay поддерживает только cbcs. Поэтому ранняя сборка, шифрующая всё старой схемой cenc, заиграет на Widevine и PlayReady и молча провалится на каждом устройстве Apple – сбой, невидимый, пока кто-нибудь не протестирует на iPhone. Точка схождения, к которой пришла вся индустрия, – «cbcs везде»: шифруем один раз через cbcs, упаковываем в CMAF и отдаём один набор файлов всем трём DRM. Полный разбор схем – в статье CENC, CTR и CBCS: common encryption простыми словами.

Нажмите, чтобы увеличить

Реальность студийного лицензирования: обычно DRM выбираете не вы

Для премиального контента есть факт, переосмысляющий всю тему: чаще всего вы не решаете, использовать ли DRM, – за вас решает лицензионное соглашение правообладателя.

Когда платформа лицензирует фильмы или сериалы у крупной студии, контракт не говорит «пожалуйста, защитите это». Он детально предписывает, какую защиту платформа обязана внедрить, и эти условия не пожелания – это условие получения контента вообще. Общая опора таких контрактов – MovieLabs Specification for Enhanced Content Protection (ECP), написанная технологическим подразделением крупных голливудских студий. Впервые опубликованная в 2013 году, чтобы задать цель по защите для контента 4K, HDR и раннего окна релиза, и с тех пор пересмотренная (версия 1.1 в 2016-м сделала forensic watermarking обязательным для высших уровней), ECP прописывает требования вроде аппаратного корня доверия, аппаратной расшифровки, защищённого медиа-конвейера, защиты вывода (HDCP 2.2 или выше для 4K), восстановления после взлома через отзыв и обновление и forensic watermarking для контента сверхвысокой чёткости.

Перечитайте этот список с учётом предыдущих разделов – это та же граница и те же слои, что мы уже описали, записанные как контрактные обязательства. Практическое следствие для платформы жёсткое: чтобы стримить свежий голливудский тайтл в 4K, вам обычно нужны аппаратный DRM (Widevine L1 / PlayReady SL3000 / FairPlay), HDCP 2.2 на выводе и сессионный forensic watermarking – или вы вообще не стримите этот тайтл в 4K. Уровень защиты – это шлагбаум на каталог, а не настройка, которую вы крутите для собственного спокойствия. Поэтому планирование сборки премиального OTT-сервиса так часто начинается с контентных сделок: права определяют DRM, а DRM определяет части архитектуры. Связь прав с архитектурой разбираем в статье лицензирование контента и права для OTT.

Под коммерческим требованием лежит правовое, дающее DRM зубы. В США раздел 1201 Закона об авторском праве в цифровую эпоху (17 U.S.C. § 1201, принят в 1998 году) делает противозаконным обход технической меры, контролирующей доступ к охраняемому произведению, и торговлю инструментами для такого обхода – причём этот запрет стоит сам по себе, независимо от того, последовало ли фактическое нарушение авторских прав. Проще говоря: взлом DRM сам по себе незаконен, отдельно от того, что потом сделали с контентом. Эта правовая опора – часть причины, по которой DRM является значимым сдерживающим фактором, а не просто «лежачим полицейским»: обойти его – не только против пользовательского соглашения, но и против закона в большинстве крупных рынков.

Когда DRM реально нужен – а когда нет

Всё вышесказанное – про премиальный лицензированный контент. Огромная доля видео – не такая, и навешивать студийный DRM на обучающую библиотеку или пользовательские ролики – всё равно что заводить сейф для канцелярии. Это решение стоит принимать осознанно, потому что разница в стоимости и сложности между слоями велика.

Пройдите по простой лестнице ценности и угрозы. Если видео публичное или малоценное – маркетинговые ролики, открытые вебинары, большинство UGC – возможно, не нужна защита сверх обычного контроля доступа, а то и никакая. Если видео приватное, но не премиум – внутреннее обучение, платные курсы, библиотека по подписке, записи телемедицины – то токен-аутентификации плюс AES-128 с правильно защищённым сервером ключей часто достаточно: оно не пускает не-подписчиков и затрудняет бытовое копирование при доле сложности DRM. Как только контент премиальный или лицензированный – голливудские фильмы, прямой спорт, дорогие оригиналы, всё, где одна чистая утечка реально дорога или где контракт правообладателя этого требует, – нужен полноценный multi-DRM, а если это 4K или раннее окно – нужен аппаратный уровень с HDCP и watermarking сверху.

Тест не в том, «как я отношусь к безопасности». Это два конкретных вопроса: что требует лицензия (если вы лицензируете контент, ответ записан и выбирать не вам) и во что реально обходится одна утечка (если ответ «конкурент бесплатно получит наш оригинал за $20 млн» – вы на территории DRM; если «кто-то посмотрел наш вебинар без регистрации» – нет).

Короткий пример со стоимостью делает компромисс наглядным, потому что команды часто воображают, будто DRM запретительно дорог, а это обычно не так. Допустим, у сервиса по подписке 100 000 подписчиков, каждый начинает около 50 сессий воспроизведения в месяц. Каждая сессия требует один запрос лицензии, значит:

запросы лицензий = 100 000 подписчиков × 50 сессий = 5 000 000 в месяц

Управляемый сервис multi-DRM по типичной цене $0,30 за 1 000 запросов лицензий (зависит от вендора и объёма, и устаревает – сверяйте вживую) тогда стоит:

стоимость DRM в месяц = 5 000 000 ÷ 1 000 × $0,30 = $1 500 в месяц

Если этот каталог приносит, скажем, $1,2 млн в месяц подписочной выручки и лицензируется только при наличии DRM, слой защиты стоит около 0,125% от выручки, которую он открывает, – $1 500 против $1,2 млн. В такой рамке вопрос для премиального контента редко звучит как «можем ли мы позволить себе DRM». Он звучит так: «мы не можем позволить себе остаться без каталога, который DRM открывает». Бо́льшие затраты сборки сидят в интеграции multi-DRM и работе плеера под устройства, а не в плате за лицензию; весь слой защиты моделируем в модели стоимости OTT, а модели монетизации, сильнее всего опирающиеся на DRM, – в SVOD, AVOD, TVOD и гибрид.

Нажмите, чтобы увеличить

Частая ошибка: воспринимать DRM как один тумблер «всё или ничего»

Самые дорогие ошибки в защите контента происходят от мысли о DRM как об одной бинарной фиче – «защищено или нет» – вместо стека слоёв, каждый из которых делает свою конкретную работу. Повторяются четыре версии этой ошибки, и все четыре избегаемы.

Первая – шифровать только схемой cenc и обнаружить на iPhone, что воспроизведение на Apple сломано, потому что FairPlay требует cbcs. Лечение – с самого начала стандартизироваться на cbcs Common Encryption, чтобы один пакет обслуживал все три DRM. Вторая – верить, что DRM останавливает запись экрана, а затем удивляться, когда без-watermark копия, снятая камерой телефона, всплывает в сети: DRM не может закрыть analog hole, и ответ – forensic watermarking, а не «лучший» DRM. Третья – оставить сервер ключей AES-128 открытым, так что шифрование настоящее, но ключ доступен любому, кто читает манифест; AES-128 надёжен ровно настолько, насколько защищён запрос ключа токеном. Четвёртая – перезащитить малоценный контент, потратив усилия на интеграцию и стоимость потока аппаратного DRM на видео, чья модель угроз этого не оправдывала, при этом иногда недозащитив единственный премиальный тайтл, у которого реально были контрактные обязательства.

Нить, связывающая все четыре, одна: подбирайте слой под угрозу. Контроль доступа – для «кто может попросить», шифрование – для файла, DRM – для ключа и расшифровки, защита вывода – для кабеля, watermarking – для утечки, которую вы не можете предотвратить. Платформа, способная назвать, какой слой адресует какую угрозу, ни одной из этих ошибок не совершает.

Где здесь Фора Софт

Защита контента – место, где сходятся контентные сделки платформы, охват устройств и архитектура; ошибка здесь проявляется либо каталогом, который вы не можете лицензировать, либо утечкой, которую не можете отследить. Фора Софт строит ПО для видеостриминга, OTT/Internet TV, e-learning, телемедицины и видеонаблюдения с 2005 года – 250+ реализованных проектов для 400+ клиентов, – и работа с защищённым видео проходит через всё это: выбор правильного уровня защиты под реальную ценность контента, внедрение cbcs Common Encryption, чтобы один пакет обслуживал Widevine, PlayReady и FairPlay, подключение доставки лицензий multi-DRM к плеерам на каждом экране и добавление forensic watermarking там, где этого требуют студийные условия. Когда медиакомпании нужен слой защиты, удовлетворяющий лицензии студии без перепроектирования частей, которым это не нужно, именно эту сквозную инженерию защиты контента мы и приносим.

Ключевые выводы

• DRM шифрует контент и выдаёт ключ только устройству, которое он аутентифицировал, по правилам владельца.
• Он защищает ровно две вещи: ключ расшифровки и расшифрованные байты – внутри доверенного модуля.
• DRM не может закрыть analog hole – камеру у экрана, – поэтому студии добавляют forensic watermarking.
• Ни один DRM не покрывает все устройства; Common Encryption (ISO/IEC 23001-7) позволяет шифровать один раз.
• FairPlay требует схему cbcs; шифрование только cenc молча ломает воспроизведение на Apple.
• Премиальные лицензии диктуют DRM; малоценному контенту часто хватает токен-аутентификации плюс AES-128.

Что почитать дальше

• Три системы DRM: Widevine, PlayReady, FairPlay
• Multi-DRM: один воркфлоу, любое устройство
• CENC, CTR и CBCS: common encryption простыми словами