Card TV: что это и как работает кардшаринг на ТВ

Если вы хоть раз гуглили как смотреть платные спутниковые каналы без официальной подписки — вы точно натыкались на термин card tv. Звучит просто, но за ним скрывается целая инфраструктура: протоколы, серверы, ключи дешифрования. Разберём что это такое, как работает изнутри, и как правильно настроить.

Что такое card TV и откуда взялся термин

Происхождение термина: smart card в спутниковом ТВ

Начнём с железа. Любой платный спутниковый пакет — Sky, Viasat, Polsat, Canal+ — использует систему условного доступа (CAS). Конкретный алгоритм дешифрования зашит в смарт-карту, которая вставляется в CAM-модуль или напрямую в ресивер. Карта хранит ключи подписки и расшифровывает поток в реальном времени.

Слово "card" в card tv — это именно эта физическая смарт-карта. Sharing — обмен. Идея простая: если у одного человека есть карта, а у других — ресиверы с DVB-S2 тюнером, то ключи дешифрования можно передавать по сети.

Как card TV связан с card sharing и CCcam

CCcam — это первый популярный протокол для передачи Control Word по сети. Написан под Linux-ресиверы с Enigma2 прошивкой, работает по TCP. Именно с его появлением термин card tv вошёл в обиход: пользователи говорили "подключить карту через сеть" = "card tv setup".

Потом появились newcamd, radegast, gbox. Позже — OScam, который объединил поддержку всех протоколов в одном демоне. Сегодня OScam практически вытеснил остальные решения на стороне клиента, но термин card tv остался как обиходное название технологии в целом.

Разница между легальной подпиской и сетевым обменом ключами

При легальной подписке смарт-карта у вас дома в ресивере. CW генерируется локально. При card tv схеме физическая карта находится на удалённом сервере, а ваш ресивер получает только Control Word по TCP-соединению. Транспортный слой — интернет, дешифрование — то же самое.

Вопросы соответствия законодательству каждый решает в рамках своей юрисдикции. Здесь только техника.

Принцип работы: как ключи передаются по сети

ECM запрос и Control Word — что это такое

Спутниковый поток содержит зашифрованные пакеты TS. Каждые 10-120 секунд (зависит от вещателя) ключ дешифрования меняется. Этот новый ключ зашифрован и передаётся в потоке как ECM (Entitlement Control Message). Расшифровать ECM и получить из него Control Word — задача смарт-карты.

CW — это 8 байт для чётных пакетов и 8 байт для нечётных. Ресивер применяет их к DVB-CSA алгоритму и получает картинку. Без CW — чёрный экран.

Цепочка ресивер → клиент → сервер → карта

Вот полная цепочка при card tv настройке:

1. Ресивер получает ECM из потока и передаёт его плагину (OScam, CCcam.emu).
2. Плагин по TCP отправляет ECM на удалённый сервер.
3. Сервер принимает ECM, передаёт физической карте через PC/SC или внутренний ридер.
4. Карта расшифровывает ECM и возвращает CW.
5. Сервер отправляет CW обратно клиенту.
6. Плагин передаёт CW ресиверу — изображение появляется.

Структура C-line (CCcam) выглядит так:

C: hostname port username password 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D

Время отклика (ECM time) и почему оно критично

Это самый важный параметр. Вещатель меняет CW каждые несколько секунд. Ресивер должен получить новый CW до того как старый ключ перестанет работать. Если не успевает — фриз, потом картинка, потом снова фриз.

Нормальный ECM time: 200-400 мс — отлично, 400-700 мс — приемлемо, 700-1000 мс — уже заметны артефакты при переключении каналов. Выше 1000 мс — постоянные проблемы, смотреть невозможно.

ECM time = пинг до сервера × 2 + время обработки на карте + накладные расходы протокола. Всё это видно в OScam web-интерфейсе на порту 8888.

Протоколы newcamd, CCcam, OScam-cccam — отличия

CCcam работает только по TCP, порты обычно в диапазоне 12000-20000. Newcamd использует порты 15000-15100, поддерживает шифрование на уровне протокола. OScam умеет оба плюс gbox, radegast, и собственный cs378x.

Если провайдер предлагает N-line (newcamd), а не C-line — подключение чуть безопаснее за счёт встроенного шифрования. На практике разница в стабильности минимальная, больше важен пинг и hop-count.

Какое оборудование нужно для card TV

Linux-ресиверы на Enigma2 (DM, Vu+, Octagon, Gigablue)

Enigma2 — открытая Linux-прошивка для спутниковых ресиверов. Это де-факто стандарт для card tv: поддерживает OScam, CCcam.emu, ncam как плагины через IPK-пакеты. Основные производители: Dream Multimedia, Vu+, Octagon, Gigablue.

На Android-боксах с DVB-S2 тюнером тоже можно, но там плагинная система другая и поддержка слабее. Выбирая ресивер — смотрите на наличие официальных feed-репозиториев для OScam под вашу прошивку.

OpenATV, OpenPLi, VTI — какой имидж выбрать

OpenPLi — самая широкая аппаратная поддержка и регулярные обновления, feed с OScam официально поддерживается. OpenATV — лучше для новичков, удобный UI, хорошая документация сообщества. VTI — только для Vu+ ресиверов, но очень стабильный.

Для card tv настройки разница минимальная — все три варианта одинаково поддерживают OScam. Выбирайте по тому, что лучше поддерживает именно вашу железку.

Спутниковая антенна и конвертер LNB под нужные спутники

Без правильно настроенной антенны card tv не поможет никак. Ключи дешифруют поток, но сам поток должен приходить с тарелки. Hotbird 13E — большой пакет каналов вещателей, Astra 19.2E — немецкие пакеты, Astra 28.2E — британский Sky.

Мультифид или мотоподвес нужны если хотите несколько орбитальных позиций. Угол поворота антенны на нужный спутник — базовое условие, без которого дальше нечего настраивать.

Стабильный интернет: требования к пингу и потерям пакетов

Минимальные требования жёсткие: пинг до сервера меньше 100 мс, потери пакетов менее 0.5%, jitter менее 30 мс. Мобильный интернет — особая история. 4G LTE даёт низкий пинг, но jitter может быть 50-100+ мс и двойной NAT у мобильного оператора добавляет нестабильности. Cardsharing через мобильный работает, но нестабильно даже при хорошем пинге.

IPv6-only провайдер — отдельная проблема. Большинство карт-серверов работают только по IPv4. Нужен 6to4 туннель или провайдер с Dual Stack.

Установка и базовая настройка OScam

Установка OScam через IPK или feed репозиторий

На Enigma2 с OpenPLi или OpenATV проще всего через встроенный менеджер плагинов. Если OScam в официальном feed нет — добавить репозиторий вручную в /etc/opkg/customfeeds.conf и запустить opkg update && opkg install oscam.

После установки конфиги находятся в /etc/tuxbox/config/oscam/ — это стандартный путь для Enigma2. На некоторых прошивках путь /etc/oscam/. Проверить: ls /etc/tuxbox/config/oscam/.

Структура /etc/tuxbox/config/oscam/

Минимальный набор файлов:

• oscam.conf — глобальные настройки, webif, логирование
• oscam.server — подключение к карт-серверам (readers)
• oscam.user — локальные пользователи (для входящих соединений)

oscam.conf: блоки [global], [webif], [monitor]

Минимальный рабочий конфиг:

[global]
nice = -1
WaitForCards = 1
logfile = /tmp/.oscam/oscam.log
maxlogsize = 100

[webif]
httpport = 8888
httpuser = admin
httppwd = yourpassword
httpallowed = 127.0.0.1,192.168.0.0-192.168.255.255
httpsavereqdir = /tmp/.oscam/

[monitor]
port = 0

Пароль для webif обязателен. httpallowed ограничивает доступ только из локальной сети — важно для безопасности.

oscam.server: добавление reader типа cccam

[reader]
label = server1
protocol = cccam
device = your.server.hostname,12000
user = yourlogin
password = yourpassword
group = 1
cccversion = 2.3.0
cccmaxhops = 3
reconnecttimeout = 30

cccmaxhops = 3 — практический максимум. Выше не имеет смысла: каждый hop добавляет 50-200 мс к ECM time. Hop 1 — карта напрямую на сервере. Hop 2-3 — реселл-цепочки. Чем меньше хопов, тем лучше.

oscam.user: создание локального пользователя для ресивера

[account]
user = local
pwd = localpass
group = 1,2
au = 1
uniq = 0

au = 1 включает auto-update ключей авторизации — без этого некоторые каналы могут переставать работать при обновлении entitlements оператором.

Запуск, логи в /tmp/.oscam/oscam.log, web-интерфейс на 8888

После правки конфигов — рестарт: /etc/init.d/softcam restart. Статус смотреть в браузере: http://IP_ресивера:8888. Там видны все readers, их статус (CONNECTED/DISCONNECTED), текущий ECM time, количество обработанных запросов.

Логи в реальном времени: tail -f /tmp/.oscam/oscam.log. Для продакшна loglevel = 1, для отладки временно поднять до 4-6.

Диагностика типовых проблем

Reader CONNECTED но каналы не открываются

Это самый частый случай. Reader подключён, но каналы на чёрном экране. Причина почти всегда одна — несовпадение CAID. Каждый оператор имеет свой CAID (4-значный hex): Canal+ 0500, Sky 0963, Irdeto 0602, Nagravision 1802.

Проверить в OScam web: вкладка Readers → кликнуть на reader → Entitlements. Там список CAID которые есть на этом reader. Сравнить с CAID канала который не открывается (в Enigma2: Info → PIDs → CAID).

Высокий ECM time и фризы изображения

ECM time выше 700 мс — сетевая проблема. Диагностика по шагам:

1. Пинг до сервера: ping -c 20 server_host — смотреть на jitter (mdev в выводе Linux ping).
2. Traceroute: traceroute server_host — ищем где добавляется задержка.
3. MTU: если есть PPPoE или тоннель — MTU может быть 1480 или 1452, OScam пакеты могут фрагментироваться. Проверить: ping -M do -s 1472 server_host.
4. Если провайдер — мобильный оператор с двойным NAT, jitter обычно 30-80 мс — это системная проблема, не решается настройками.

Ошибка no matching reader / not found (E1)

В логах это выглядит как no matching reader found или E1. Reader есть, подключён, но нужный CAID не имеет нужного provider ID. Добавить ident в oscam.server:

ident = 0500:032830,032840

Формат: CAID:ProviderID1,ProviderID2. Provider ID для конкретного оператора ищется в базах наподобие SatlexMultimedia или в логах OScam при включённом loglevel 4.

CAID и provider ID не совпадают

Канал мигрировал на другой пакет или сменил оператора вещания — CAID меняется. В OScam это видно: запрос приходит с одним CAID, а в reader прописан другой. Решение — обновить ident в oscam.server и перезапустить.

Канал зашифрован новым алгоритмом (BISS-2, PowerVu)

Это отдельный класс — здесь классический card tv не поможет совсем. BISS-2 и PowerVu используют сессионные ключи которые не передаются через CAM/смарт-карту в стандартном смысле. Нужны session word из других источников, не через sharing. Если канал использует PowerVu — ресивер должен поддерживать эмуляцию ключей другими методами, это выходит за рамки cardsharing.

Как выбрать источник линий: критерии без имён

Аптайм сервера и публичная статистика

Нормальный провайдер показывает публичную страницу со статусом серверов в реальном времени. Исторический аптайм за 30 дней должен быть выше 98%. Меньше — нестабильно. Никакой странице с заявлением "99.9% uptime" без реальной статистики верить не стоит.

Локация дата-центра относительно вашего пинга

Сервер в Нидерландах или Германии — разница в ECM time для пользователей из России, Украины и Польши будет заметной. Правило простое: запросите тестовую линию и измерьте реальный пинг командой ping server_host до подключения OScam. Рекламируемые параметры не важны — важен реальный пинг с вашего ISP.

Количество карт в локальном пуле против реселл-цепочек

Hop 1 — карта физически в сервере. Hop 2 — сервер уже является реселлером чьего-то hop 1. Каждый дополнительный hop = +50-200 мс и +1 точка отказа. При выборе спрашивать напрямую: какой hop для пакета X? Честный провайдер ответит. Нечестный скажет "всё hop 1" — но OScam покажет реальность через поле hop в статистике.

Прозрачность hop-структуры (cccmaxhops)

В OScam web-интерфейсе для каждого обработанного ECM виден hop. Если заявлен hop 1 а статистика показывает hop 2-3 на половине каналов — это реселл, не прямые карты. cccmaxhops = 1 в oscam.server заставит клиента принимать только hop 1 ответы, но тогда часть пакетов может пропасть.

Тестовый период и условия возврата

Тестовая линия на 24-48 часов перед оплатой — стандарт. Без теста — риск. Не запускайте тест в удобное вечернее время, нагрузка на сервер минимальная — тестируйте в прайм-тайм (19:00-22:00 местного времени). Именно тогда ECM time растёт и видны реальные проблемы.

Безопасность и приватность настройки

Закрытие webif от внешнего доступа (httpallowed)

OScam webif по умолчанию слушает на всех интерфейсах. Это плохо, если ресивер имеет публичный IP. В oscam.conf:

[webif]
httpport = 8888
httpallowed = 127.0.0.1,192.168.0.0-192.168.255.255

Так webif доступен только из локальной сети. Если нужен доступ снаружи — SSH-тоннель, не открытый порт.

Использование сложных паролей для C-line

Пароль reader в oscam.server не должен совпадать с паролем webif. Это разные credentials для разных систем. Пароль C-line передаётся по сети — минимум 12 символов, буквы + цифры + спецсимволы. Если C-line утекла — немедленно менять у провайдера.

Логирование: что писать, что не писать в логи

В продакшне loglevel = 1 в [global]. При этом уровне пароли читеров не пишутся в лог. При loglevel = 4 и выше — пишется всё включая credentials. Никогда не оставляйте высокий loglevel включённым постоянно, особенно если логи ротируются на общедоступное хранилище.

[global]
loglevel = 1
logfile = /tmp/.oscam/oscam.log
maxlogsize = 100

Firewall на ресивере: iptables правила

Если ресивер за NAT роутером — внешние соединения уже заблокированы. Если публичный IP — закрыть порты принудительно:

iptables -A INPUT -p tcp --dport 8888 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 8888 -j DROP
iptables -A INPUT -p tcp --dport 12000:20000 -j DROP

Ресивер за NAT с динамическим IP — клиентский режим, входящие соединения не нужны вообще. Ресивер инициирует соединение наружу — NAT пропускает, обратный трафик приходит по той же сессии.

Часовой пояс ресивера — отдельный момент. Некоторые протоколы используют timestamp при авторизации. Если время сбито больше чем на 120 секунд — авторизация ломается. Проверить: date на ресивере должно совпадать с реальным UTC.