CCcam: что это, как работает протокол и настройка сервера

Если вы занимаетесь спутниковым ТВ дольше пяти минут, вы уже слышали про cccam. Это протокол для совместного использования смарт-карт условного доступа — грубо говоря, один физический картридж обслуживает несколько ресиверов через интернет. За почти двадцать лет он стал де-факто стандартом в этой нише, несмотря на то что официальная разработка давно остановилась.

В этом материале разберём всё по-настоящему: как работает протокол на уровне пакетов, что такое ECM и DCW, как настроить сервер с нуля на Debian, как выглядит реальный CCcam.cfg с пояснением каждой строки, и почему в 2026 году стоит смотреть в сторону OScam.

Что такое CCcam и как работает протокол

CCcam расшифровывается просто — это название эмулятора и протокола одновременно. Изначально речь шла о программном обеспечении для ресиверов на базе Linux, которое умело читать смарт-карты условного доступа и делиться ключами дешифровки по сети.

История появления CCcam

Протокол появился около 2007 года как закрытая разработка немецкого сообщества энтузиастов спутникового ТВ. Первые версии были почти полностью нелегальными с точки зрения дистрибутивов — бинарник распространялся без исходников. К 2012 году вышла версия 2.3.2, которая де-факто стала последней стабильной. Разработка заморозилась. Но протокол прижился.

Причина проста: к тому времени весь рынок ресиверов на Enigma2 уже нативно поддерживал CCcam. Dreambox, VU+, Octagon — все они умеют читать /etc/CCcam.cfg из коробки. Менять это никто не хотел.

Принцип работы card sharing через CCcam

Схема работы такая. Провайдер спутникового ТВ шифрует видеопоток. Каждые 7-10 секунд в потоке транспондера появляется ECM — пакет с зашифрованным ключом дешифровки. Расшифровать этот пакет может только авторизованная смарт-карта с действующей подпиской.

Без card sharing ваш ресивер вставляет карту в слот CI+ и делает это локально. CCcam-сервер делает то же самое, но результат — расшифрованный DCW-ключ — отправляет по TCP клиентам в сети. Клиент использует этот ключ для декодирования картинки на своём ресивере.

Всё это происходит за 100-300 миллисекунд при нормальном соединении. Визуально неотличимо от локальной карты.

Архитектура клиент-сервер

Сервер — это Linux-машина (или ресивер с Linux) с физической смарт-картой. Он слушает входящие TCP-соединения на порту 12000 по умолчанию. Клиент подключается, авторизуется по логину/паролю, и дальше работает постоянное соединение: клиент шлёт ECM-запросы, сервер возвращает DCW-ответы.

Протокол бинарный, работает поверх обычного TCP. Никакого шифрования в стандартном CCcam нет — это надо понимать при настройке безопасности.

Отличия CCcam от других протоколов (OScam, MGcamd, NewCS)

OScam — открытый исходный код, активная разработка, поддерживает CCcam как один из протоколов клиентского подключения. Именно его сейчас ставят на серьёзные серверы.

MGcamd — лёгкий клиент, хорошо работает на слабом железе, но функциональность ограничена. Часто используется на старых ресиверах с 64MB RAM.

NewCS — исторически старше CCcam, поддержка фактически мертва с 2010 года. Встречается только на совсем древних сборках.

CCcam в этом ряду — зрелый, предсказуемый, но закрытый. Для клиентской стороны он прекрасно работает. Для сервера в 2026 году есть варианты лучше.

Технические основы: порты, ECM, DCW и hops

Без понимания этих четырёх вещей troubleshooting превращается в шаманство. Давайте разберём каждый элемент нормально.

Стандартный порт CCcam (12000) и почему его меняют

Порт 12000/TCP — это дефолт, который знает каждый сканер в интернете. Боты непрерывно ищут открытые CCcam-серверы, пытаются брутфорсить пары логин/пароль. Если оставить 12000 — готовьтесь к тысячам попыток подключения в логах ежедневно.

Хорошая практика — выбрать порт в диапазоне 20000-60000, который не ассоциируется ни с каким известным сервисом. Это не решает проблему полностью, но существенно снижает шум.

Что такое ECM (Entitlement Control Message)

ECM — это пакет данных, который зарыт в транспортный поток спутникового сигнала. Приходит каждые 7-10 секунд (зависит от провайдера и системы кодирования — Viaccess, Nagra, Irdeto ведут себя по-разному). Содержит зашифрованный Control Word — тот самый ключ, которым декодируется видео.

Без авторизованной карты этот пакет — просто мусор. С картой — сервер отдаёт его на физический чип, получает расшифрованный ответ.

DCW (Decryption Control Word) — ключ дешифровки

DCW — это 16 байт. Ровно столько нужно чтобы декодировать текущий 7-10-секундный сегмент потока. После истечения периода провайдер меняет ключ, и клиент должен получить новый DCW до того как старый устарел.

Вот почему задержка критична. Если DCW приходит позже чем нужно — экран на секунду замерзает. Это и есть freeze, с которым все борются.

Hops — глубина цепочки шаринга

Hop 1 = ваш клиент подключён напрямую к серверу с физической картой. Это идеальный случай. Время: ECM туда + DCW обратно, только два сетевых hop-а.

Hop 2 = между вами и физической картой стоит ещё один сервер. Время удваивается. Hop 3 — утраивается. При хорошем интернете hop 2 обычно ещё работает нормально, hop 3 — уже рулетка, hop 4 и выше — почти гарантированный freeze на любом динамично меняющем ключи провайдере.

Причина техническая: каждый сервер в цепочке добавляет RTT. Если ваш пинг до hop-2 сервера 80ms, а его пинг до карты ещё 80ms — у вас уже 160ms только на сеть, плюс обработка. При периоде смены ключа 7 секунд это ещё терпимо. Но стабильность резко падает при любых всплесках latency.

Reshare — правила перепродажи карт

Reshare — это параметр в строке F: файла конфигурации. Он определяет сколько раз клиент может перешарить полученную линию дальше. Значение 0 означает что клиент может использовать линию только сам, но не раздавать её своим клиентам. Значение 1 — может раздать, но только как hop 2. И так далее.

Это инструмент контроля для операторов серверов. Если вы хотите ограничить цепочку — ставьте reshare 0 на все F: строки.

Установка и настройка CCcam сервера на Linux

Ставить CCcam на сервер в 2026 году — немного архаика, честно говоря. Но если стоит задача именно поднять классический CCcam-демон, вот как это делается на Debian 11/12 или Ubuntu 22.04.

Системные требования и подготовка ОС

Минимум: 256MB RAM, 1 ядро CPU, 1Gbit соединение (или хотя бы 100Mbit с хорошим пингом). Подойдёт любой VPS — самый дешёвый Hetzner CX11 за 4 евро справится с 50+ клиентами без проблем. Главное — пинг до ваших клиентов, а не вычислительная мощность.

Если планируете подключать физическую карту через USB — нужен выделенный сервер или домашняя машина. VPS не имеет USB-портов. В таком случае понадобится phoenix reader или SMARGO Smartreader+.

apt update && apt upgrade -y
apt install -y wget curl net-tools iptables

Установка бинарника CCcam на Debian/Ubuntu

Официальный источник бинарников — форумы сатТВ-сообщества. Версия 2.3.2 или 2.3.8 — берите 2.3.8 если найдёте, там меньше проблем с memory leak. Процесс стандартный:

wget -O /usr/bin/CCcam https://[ваш-источник]/CCcam_2.3.8_linux_x86_64
chmod +x /usr/bin/CCcam
mkdir -p /var/etc /var/log

Проверяем что бинарник запускается:

CCcam --help
# или просто:
CCcam -v

Структура директорий: /usr/bin/CCcam, /var/etc/

Стандартная раскладка файлов:

• /usr/bin/CCcam — исполняемый файл
• /var/etc/CCcam.cfg — основной конфиг
• /var/log/CCcam.log — лог-файл
• /var/keys/ — ключи SoftCAM (если используются)

На Enigma2-ресиверах конфиг обычно лежит в /etc/CCcam.cfg — это надо иметь в виду при переносе конфигов между системами.

Запуск как systemd сервис

Создаём файл сервиса:

cat > /etc/systemd/system/cccam.service << 'EOF'
[Unit]
Description=CCcam Card Sharing Server
After=network.target

[Service]
Type=simple
ExecStart=/usr/bin/CCcam
Restart=on-failure
RestartSec=10
StandardOutput=append:/var/log/CCcam.log
StandardError=append:/var/log/CCcam.log

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable cccam
systemctl start cccam
systemctl status cccam

Настройка автозапуска и логирования

Логи растут быстро. Лучше сразу настроить logrotate:

cat > /etc/logrotate.d/cccam << 'EOF'
/var/log/CCcam.log {
    daily
    rotate 7
    compress
    missingok
    notifempty
    postrotate
        systemctl restart cccam > /dev/null 2>&1 || true
    endscript
}
EOF

Смотреть лог в реальном времени:

tail -f /var/log/CCcam.log

Файл CCcam.cfg: полная структура и параметры

Это сердце всей системы. Один файл управляет всем — кто подключается к серверу, кому сервер сам подключается, какие карты используются. Разберём построчно.

Секция SERVER LISTEN PORT и WEBINFO LISTEN PORT

# Основные настройки сервера
SERVER LISTEN PORT : 12000
WEBINFO LISTEN PORT : 16001
TELNETINFO LISTEN PORT : 16000

# Лог
LOGFILE : /var/log/CCcam.log
LOGLEVEL : 1

SERVER LISTEN PORT — порт для клиентских подключений. Рекомендую менять на нестандартный. WEBINFO LISTEN PORT — браузерный интерфейс мониторинга. TELNETINFO — текстовый интерфейс через telnet.

Строки C: (клиентские подключения) — синтаксис

Строка C: определяет подключение этого сервера к вышестоящему серверу (откуда берутся линии):

C: hostname.example.com 12000 myusername mypassword

Формат: C: [хост] [порт] [логин] [пароль]

Можно добавить несколько строк C: — сервер попробует подключиться к каждому. Если первый недоступен, переключится на следующий (fallback).

Строки F: (выдача линий клиентам) — username/password/hops/reshare

Строки F: — это учётные записи ваших клиентов:

F: user1 SecurePass123 1 0
F: user2 AnotherPass456 2 1
F: admin AdminPass789 0 2

Формат: F: [логин] [пароль] [hops] [reshare]

Разбираем пример: F: user1 SecurePass123 1 0

• user1 — логин клиента
• SecurePass123 — пароль
• 1 — клиент получает линию как hop 1 (напрямую)
• 0 — клиент не может перешарить линию дальше

Второй пример: F: user2 AnotherPass456 2 1 — клиент получает hop 2 и может раздать своим клиентам как hop 3. Для reseller-схем.

Параметр SERIAL READER и работа с физической картой

Если к машине подключён phoenix reader или SMARGO через USB/Serial:

SERIAL READER : /dev/ttyUSB0 PHOENIX CARDTYPE CLOCK 357

# Для smartreader:
SERIAL READER : /dev/ttyUSB0 SMARGO CARDTYPE CLOCK 357

Определить устройство: dmesg | grep tty после подключения ридера. Обычно это /dev/ttyUSB0 или /dev/ttyACM0.

Управление через DISABLE EMM, ALLOW TELNETINFO

DISABLE EMM : no
ALLOW TELNETINFO : yes
ALLOW WEBINFO : yes

EMM — это Entitlement Management Message, пакет обновления прав карты от провайдера. Если выставить DISABLE EMM : yes — карта перестаёт обновлять подписку с транспондера. Иногда это нужно чтобы избежать blacklisting карты, но если провайдер плановно обновляет ключи подписки — карта потеряет доступ. По умолчанию держите no.

ALLOW TELNETINFO : yes открывает telnet-интерфейс на порту 16000 — удобно для диагностики.

Настройка клиента CCcam на ресивере и Linux

Клиентская часть проще серверной. Нужно правильно разместить конфиг и убедиться что демон его читает.

Настройка на Enigma2 (Dreambox, Vu+, Octagon)

Все Enigma2-боксы ищут конфиг в /etc/CCcam.cfg или /var/etc/CCcam.cfg — зависит от версии образа. На OpenATV и OpenPLi обычно это /etc/CCcam.cfg.

Минимальный клиентский конфиг:

SERVER LISTEN PORT : 12000
C: your.server.com 12000 yourlogin yourpassword

После сохранения файла — перезапуск softcam:

/etc/init.d/softcam restart
# или через плагин Softcam Manager в GUI

Размещение CCcam.cfg через FTP

Стандартный способ: подключиться к ресиверу по FTP на порт 21, логин root, пароль dreambox (или то что установлено). Скопировать файл в /etc/. FileZilla, WinSCP — без разницы что использовать.

Или через SSH напрямую:

scp CCcam.cfg [email protected]:/etc/CCcam.cfg
ssh [email protected] '/etc/init.d/softcam restart'

Настройка на OpenATV/OpenPLi

На OpenATV 7.x и OpenPLi 9.x процедура та же, но softcam manager называется иначе. Через GUI: Меню → Плагины → Softcam → CCcam. После смены конфига — обязательно полная остановка и запуск, не просто restart.

Подключение через PC-клиент (oscam-to-cccam)

На Linux-ПК или сервере без Enigma2 удобнее использовать OScam в режиме CCcam-клиента. В /etc/oscam/oscam.server:

[reader]
label = cccam_line1
protocol = cccam
device = your.server.com,12000
user = yourlogin
password = yourpassword
cccversion = 2.3.0
cccmaxhops = 2

Проверка SID/CAID активной карты

Через telnet на порт 16000 (если включён ALLOW TELNETINFO):

telnet localhost 16000
# После подключения введите:
c

Команда c покажет все подключённые карты с их CAID. Распространённые значения: 0500 — Viaccess, 0100 / 0102 — Seca/Mediaguard, 1810 / 1830 — Nagravision, 0B00 — Conax, 0D00 — Cryptoworks.

Если CAID вашего провайдера в списке есть — карта видит нужные каналы. Если нет — проблема не в CCcam, а в подписке.

Troubleshooting: типичные проблемы и решения

Вот где большинство статей заканчиваются на "проверьте настройки". Давайте нормально.

Freeze и заикания изображения

Первый диагноз — смотреть pingtime в логах. Нормально: до 200ms. Если видите 300-500ms регулярно — проблема в сети или перегруженном сервере.

grep -i "ping\|delay\|timeout" /var/log/CCcam.log | tail -50

Второй диагноз — проверить hop. Через WebInfo на порту 16001 в браузере видно hop каждой линии. Если написано hop 3 или выше — freeze будет при любой нагрузке на сеть.

Третий случай: карта локальная (hop 1), пинг нормальный, но всё равно freeze. Проверьте сколько клиентов одновременно запрашивают ECM — сервер может не успевать. Смотреть: grep "ECM" /var/log/CCcam.log | wc -l

Сервер не подключается (connection refused)

Диагностика по шагам:

# 1. Демон вообще запущен?
pgrep -a CCcam

# 2. Слушает ли нужный порт?
ss -tlnp | grep 12000

# 3. Пробиваемся ли снаружи?
telnet your.server.com 12000

# 4. Проверяем firewall
iptables -L INPUT -n | grep 12000

Если порт слушается локально но не пробивается снаружи — 99% это firewall. Открыть:

iptables -A INPUT -p tcp --dport 12000 -j ACCEPT
# или через ufw:
ufw allow 12000/tcp

Если сервер за NAT (домашний роутер) — нужен port forwarding в настройках роутера. Если провайдер использует CGNAT — порт 12000 вообще недоступен снаружи, нужен VPN или SSH-туннель.

Каналы открываются на 5 секунд и закрываются

Классический симптом: картинка появляется, через 5-7 секунд замирает, появляется снова на 5 секунд. ECM запрос идёт, DCW возвращается, но неверный.

Причина 1: карта не имеет подписки на этот пакет каналов. Проверить CAID и SID через telnet.

Причина 2: провайдер обновил ключи, карта не получила EMM. Решение:

# В CCcam.cfg изменить:
DISABLE EMM : no

Перезапустить сервис и подождать 10-15 минут — карта должна получить обновление.

Ошибки в логах: bad ECM, no card found

grep -i "error\|bad ecm\|no card\|failed" /var/log/CCcam.log | tail -100

bad ECM — карта получила запрос но не смогла его обработать. Обычно CAID не совпадает или карта не имеет нужного сервиса. no card found — в системе нет ни физической карты, ни upstream-соединения с нужным CAID. Проверить строки C: в конфиге и статус upstream в WebInfo.

Высокий ping и большая задержка

Если пинг до сервера нормальный (30-80ms), но CCcam показывает задержки 400ms+ — проблема в обработке на стороне сервера. Смотреть загрузку:

top -p $(pgrep CCcam)

Старые версии CCcam (2.1.x) имеют утечку памяти — через несколько часов работы процесс раздувается и деградирует. Решение: обновить до 2.3.8 или перейти на OScam. Или настроить cron на ежедневный перезапуск как временный костыль.

CCcam vs OScam: что выбрать в 2026 году

Если вы поднимаете сервер с нуля сегодня — ставьте OScam. Точка. Но давайте разберём почему, потому что CCcam всё ещё не мёртв полностью.

Преимущества OScam (открытый исходный код, активная разработка)

OScam — это проект с открытым исходным кодом, который развивается по сей день. Последние коммиты в репозитории датируются 2024-2025 годом. Поддержка ридеров — десятки типов, включая PC/SC, SMARGO, phoenix, внутренние слоты Enigma2.

OScam поддерживает все актуальные системы кодирования: Viaccess 3.x, Nagravision 3, BISS, Conax, Cryptoworks, Irdeto — список постоянно расширяется. CCcam 2.3.2, выпущенный в 2012 году, с некоторыми современными системами работает плохо.

Конфигурация OScam сложнее (три отдельных файла: oscam.conf, oscam.server, oscam.user), но гибче. WebUI значительно информативнее чем у CCcam.

Почему CCcam всё ещё популярен

Инерция. Огромная. Миллионы конфигов написаны под CCcam. Enigma2-боксы нативно запускают CCcam-демон. Строки вида C: host port user pass знают все кто работает со спутниковым ТВ дольше года.

Кроме того, CCcam проще для клиентской стороны. Один конфиг-файл, понятная структура. Для пользователя который просто хочет подключить линию к своему ресиверу — CCcam.cfg это идеально.

Гибридная схема: OScam сервер + CCcam протокол

Это лучшее из двух миров. OScam умеет принимать клиентов, использующих протокол CCcam. В oscam.conf:

[cs357x]
port = 12000

[cs378x]
port = 15000

cs357x — это и есть CCcam-совместимый порт. Клиенты с обычными C: строками в CCcam.cfg подключаются к нему без изменений. Они даже не знают что на сервере стоит OScam. А вы получаете всю мощь OScam: лучшее логирование, WebUI, поддержку современных ридеров.

Миграция с CCcam на OScam: что учесть

При переезде сохраните все F: строки — их нужно перенести в oscam.user. Формат другой, но данные те же: логин, пароль, hops, reshare (в OScam называется reshare и ограничивается на уровне пользователя).

Строки C: превращаются в записи oscam.server с protocol = cccam. Физическая карта переезжает в oscam.server с protocol = internal или serial.

После переезда CCcam-клиенты ничего не заметят — протокол совместим.

Безопасность сервера CCcam: что нужно настроить

Большинство публичных материалов по CCcam игнорируют безопасность. Это ошибка. Открытый сервер на 12000 порту живёт без проблем пару дней, потом начинается.

Смена стандартного порта 12000

В /var/etc/CCcam.cfg:

SERVER LISTEN PORT : 43211

Выбирайте случайный порт в диапазоне 20000-60000. Это не панацея от целенаправленной атаки, но от автоматических сканеров спасает на 90%. В iptables не забудьте открыть новый порт и закрыть 12000.

Сложные пароли в строках F:

Никаких F: user1 123456 1 0. Минимум 12 символов, смешанный регистр, цифры, специальные символы. Пример нормального пароля: Kp9#mNx4$vRt. Генерировать:

openssl rand -base64 12

Ограничение по IP в iptables

Если вы знаете IP-адреса ваших клиентов (статические или полустатические) — whitelist:

# Блокируем всё на CCcam-порту
iptables -A INPUT -p tcp --dport 43211 -j DROP

# Разрешаем только конкретные IP
iptables -I INPUT -p tcp --dport 43211 -s 1.2.3.4 -j ACCEPT
iptables -I INPUT -p tcp --dport 43211 -s 5.6.7.8 -j ACCEPT

Сохранить правила: iptables-save > /etc/iptables/rules.v4

Защита WebInfo панели

WebInfo на 16001 показывает все ваши линии, клиентов, карты. Не светите его в интернет без защиты. Лучше всего — закрыть 16001 полностью в iptables и сделать SSH-туннель для доступа:

ssh -L 16001:localhost:16001 [email protected]
# Теперь http://localhost:16001 в браузере работает через туннель

Или поставить nginx reverse proxy с basic authentication перед WebInfo.

Логи и мониторинг подозрительной активности

Парсить логи на массовые попытки подключения:

grep "connect" /var/log/CCcam.log | awk '{print $NF}' | sort | uniq -c | sort -rn | head -20

Если один IP пытается подключиться сотни раз — блокировать:

iptables -A INPUT -s [BAD_IP] -j DROP

Для автоматизации можно использовать fail2ban с кастомным фильтром под CCcam-логи, хотя это уже отдельная история.