主题：闲聊密码 外一篇——悲惨的DVD（上） -- 代码ABC

热闹的倒不是盗版界，反正这个加密技术根本防不住直接拷贝的盗版。破解方法真正伤害的是DVD CCA对市场、DVD影碟机制造商的控制。我想我们的山寨DVD厂家是最喜欢这个东西的——不用花一分钱就可以做出全区码的DVD影碟机！盗版商仅仅多一点自由，就是可以拿倒DVD的解密内容，可以根据需要在不同地区销售不同区码的影碟。不过我想这帮人估计不会费神干这种技术活，费这个事还不如顺便卖全区码的盗版DVD播放器得了。不管怎么说,计算机用户首先解放了。Windows版本的XING也不是全区码的——之后无区码限制的DVD软件播放器就满天飞了。XING也逐渐成为我记忆中的一部分（不知道是不是这个原因）

以上还是行内的热闹，真正的热闹从涉嫌编写这个破解程序的一个程序员被告上法庭开始。此人是一个16岁（当时）的程序员，挪威人，1999年11月6日在互连网上发布了DeCSS程序（无源代码）。2000年当地警察闯入了他家（可怜），没收了他的计算机（可怜），他被起诉盗版等罪名，如被判有罪将面临入狱两年和巨额的罚款（可怜）。但是这件事从此进入了普罗大众的视线，热闹真正开始。处于弱势群体的少年博得了大众的同情，大家同时将怒火指向背后黑暗的DVD CCA（情节怎么有点熟悉，当然我有不可推卸的误导责任），直到2003年一月少年被宣判无罪。不过很快被再次起诉，直到2004年才再次宣判无罪，并不被再追究。

事实上，此少年很可能不是这段代码的编写者，虽然他是所谓的“反向工程之主”的成员之一，但据了解此程序的真正作者应该是另外两个至今都没露面的程序员（是不是有点神秘感呢？），另外一个叫Dring or Die缩写DoD（好名字，缩写就成了美国国防部了）组织事先破解了XING获取了XING的播放密钥，两个组织在后来出现的不依赖密钥的程序上有着千丝万缕的联系。估计控方一直无法找到直接证据，所以这次诉讼最后失败。公众舆论起了什么作用就不清楚了，反正大家一致的观点是人家写了一个程序只不过是为了拷贝自己花钱买的DVD而已，犯法了吗？老实说，看到这句的时候我还真被口水呛到了。

现在轮到巨头们傻眼了，在起诉少年的同时他们发起了我认为是现代互联网版的唐吉坷德的风车大战。试图消灭互联网上所有存放这个程序的网站！

我认为这才真是脑袋进水了。先不说搞不搞得定，光是把一个行内的事情扩散到全世界范围就不是个聪明的主意。巨头们通过努力终于让美国（我没记错吧）法院宣判在公开媒体上刊载这个程序（大名叫DeCSS）为非法，这件事几乎引起美国宪法第一修正案关于言论自由的大争吵。热闹吧？

更热闹的在后头，法官判词中有一个漏洞，被互联网的精英们死死抓住。不能刊载代码是吧，俺用诗歌写出这个代码的流程如何？我用一个图片显示代码或流程图如何？更绝的是有人将整个执行代码转换成一个数字，只要按适当的转换规则处理这个数字就可以得到执行代码，这个数字称为世界上第一个非法数字。某个高手甚至将程序优化到只剩400多个字，可以放在邮件签名或者纹身上（这都什么玩艺儿）。我很想看看当时这些巨头们的表情。套用一句台词“不，我能想象”。

还有一个更损的家伙，编写了一个名字也叫DeCSS的程序，不过其功能只是删除网页中内嵌的CSS代码，让各大网站刊载。用来迷惑那群在互联网上到处威胁人删除破解程序的可怜人。

热闹讲完了，我们回过头来看看。这件事情给我们的启发。

从非技术角度来看，我觉得最大的启发是在互联网上对抗一群黑客程序员纯粹是找死。这件事情的另一方甚至媒体的大老板或幕后，比如好莱坞、时代华纳。最后都灰头土脑的败下来，把希望放在下一代的DVD技术上。

另一个方面是对比巨头们对真正盗版和此破解程序的态度，里面有太多意味深长的东西。针对少年的起诉无法成功是因为没有证据证明人家盗版，但是真正的起诉原因是什么呢？

从技术的角度——密码学的角度来看，就是不要依赖于任务将加密希望寄托在算法保密的加密技术上。DVD的加密正好违反了这条原则。虽然CSS貌似有密钥、算法分开的特征，但是由于密钥是存放在公开的介质上（虽然有保护，还是依赖于算法保密），实际上并没有确保算法被公开后的安全性。因此相关的第二个启发就是密钥管理很重要，显然CSS算法保存在用户那里是行不通的，CSS很显然又违反了密码协议设计中密钥管理的基本原则，将密钥暴露在可能泄露的介质上。回过头来看这个被巨头寄以厚望的加密算法，其实其强度也很弱，密钥长度只有40位，如果蛮力破解的话几个小时就搞定了。我很怀疑他们当时聘请的专家是一个盗版商派进去的卧底。

上链接出处

中链接出处

• 闲聊密码 外一篇——悲惨的DVD（上）
• 【原创】闲聊密码 外一篇——悲惨的DVD（中）