Что такое подписка спутникового ТВ: CCcam/OScam и card sharing изнутри

Что такое подписка спутникового ТВ и где здесь card sharing

Если вы хотите понять, что такое подписка спутникового ТВ в техническом смысле — начнём с основ. Оператор шифрует свой сигнал. Чтобы смотреть каналы, вам нужен ключ. Этот ключ живёт на смарт-карте, которую оператор выдаёт вместе с подпиской. Карта вставляется в CAM-модуль или прямо в ресивер — и ресивер дешифрует поток в реальном времени.

Это классическая схема: один договор, одна карта, один телевизор. Платишь оператору раз в месяц, карта получает обновлённые права через EMM-сообщения, каналы открываются. Всё работает локально — интернет не нужен.

Card sharing — другая история. Тут одна физическая карта стоит на сервере, а её «ответы» по сети получают несколько клиентов одновременно. Технически это раздача контрольных слов (control words, DCW) по специальным протоколам. Это и есть то, вокруг чего строится весь мир CCcam и OScam.

Официальная подписка оператора и смарт-карта

Когда вы покупаете официальную подписку у спутникового оператора — Viasat, Tricolor, НТВ+ или кого угодно другого — вы получаете физическую смарт-карту стандарта ISO 7816. Внутри неё записаны ключи расшифровки и права на просмотр конкретных пакетов каналов.

Ресивер получает из спутникового потока зашифрованные ECM-пакеты, передаёт их на карту через интерфейс CI/CI+, карта расшифровывает их и возвращает control word. Ресивер применяет DCW к потоку — и вы видите картинку. Всё это происходит за доли секунды, локально, без сети.

Карта привязана к конкретному оператору и конкретной системе условного доступа (CAS). Irdeto, Nagravision, Viaccess, Conax, Videoguard — у каждого свой CAID и своя криптография. Без карты — нет расшифровки.

Что такое card sharing простыми словами

Card sharing убирает требование "карта рядом с ресивером". Карта стоит на сервере где-то в сети. Ваш ресивер по TCP отправляет ECM-запрос на этот сервер. Сервер пропускает запрос через реальную карту, получает control word и возвращает его клиенту. Ресивер дешифрует поток.

Задержка должна быть минимальной — у control word есть срок жизни около 10 секунд. Не успел получить новый DCW вовремя — картинка замёрзла или рассыпалась. Поэтому пинг до сервера так важен.

Для этого и созданы протоколы CCcam и newcamd. Они описывают, как именно клиент и сервер обмениваются ECM-запросами и DCW-ответами по TCP.

Чем CCcam и OScam отличаются от обычной подписки

Официальная подписка и card sharing — это два разных способа получить один и тот же control word. В первом случае карта у вас в ресивере. Во втором — где-то в сети, и вы получаете уже расшифрованный DCW по протоколу.

CCcam — это протокол и одновременно название конкретной программы-сервера/клиента. OScam — более гибкий open-source эмулятор, который умеет работать как с локальными картами, так и с сетевыми источниками, и поддерживает несколько протоколов одновременно: CCcam, newcamd, camd3, gbox и другие.

На практике сегодня большинство настроек строится на OScam. CCcam всё ещё встречается, особенно в старых конфигах, но OScam гибче, стабильнее в логировании и лучше диагностируется через веб-интерфейс.

Как технически работает раздача ключей (DCW и ECM)

Эта часть — то, чего нет почти нигде в русскоязычных материалах. Все пишут "card sharing это раздача ключей", но никто не объясняет цикл целиком. Давайте пройдём по нему шаг за шагом.

Что такое ECM, EMM и control word (DCW)

Спутниковый поток содержит несколько типов пакетов. Полезная нагрузка — зашифрованное видео и аудио. Вместе с ним идут ECM (Entitlement Control Message) — маленькие пакеты, которые содержат зашифрованный control word. И EMM (Entitlement Management Message) — сообщения для обновления прав на карте.

ECM зашифрован ключами, которые есть только на смарт-карте. Ресивер сам расшифровать ECM не может — он отправляет его на карту. Карта расшифровывает и возвращает DCW — 16 байт, два ключа по 8 байт (чётный и нечётный). Ресивер применяет DCW к потоку через CSA-алгоритм и получает открытое видео.

Каждые ~10 секунд оператор меняет DCW. В потоке появляется новый ECM с новым зашифрованным control word. Цикл повторяется. Если клиент не успевает получить новый DCW — freeze.

EMM работает иначе: это обновление прав карты. Когда вы оплатили подписку, оператор отправляет через спутник EMM, который "включает" на карте нужные пакеты каналов. Без EMM карта может знать ключ, но не иметь прав — канал останется чёрным.

Роль CAID, provider ID и SID

Каждая система условного доступа имеет свой идентификатор — CAID (Conditional Access ID). Например: 0x0500 — Viaccess, 0x0B00 — Conax, 0x0604 — Irdeto 2, 0x1810 — Nagravision 3, 0x0D00 — Cryptoworks. Это шестнадцатеричные числа, и они важны для конфигурации.

Provider ID — идентификатор конкретного оператора внутри системы. Бывает, что карта поддерживает нужный CAID, но provider ID в конфиге не совпадает — и канал не открывается. Это одна из самых частых причин "чёрного экрана" при правильно подключённом ридере.

SID (Service ID) — идентификатор конкретного канала в потоке. OScam умеет делать фильтрацию по SID — например, разрешать клиенту только определённые каналы. Это полезно при тонкой настройке прав доступа в oscam.user.

Путь пакета: ресивер → сервер → карта → ответ

Клиентский ресивер принимает спутниковый поток. Видит ECM. Через плагин (например, oscam как клиент или CCcam-клиент) отправляет ECM по TCP на сервер.

Сервер принимает запрос, смотрит в своих reader'ах — у какого из них есть карта с нужным CAID. Передаёт ECM на физическую карту через ридер (USB-картридер, встроенный слот). Карта возвращает DCW. Сервер отправляет DCW клиенту по тому же TCP-соединению.

Клиент получает DCW, применяет его к потоку. Картинка открылась. На всё это уходит 50-200 мс при нормальном пинге. У control word есть запас — 10 секунд — но при плохом соединении этот запас быстро съедается.

Протоколы CCcam и OScam: порты и принцип обмена

Разберём протоколы конкретно, с номерами портов и форматами — это то, что реально нужно при настройке.

Протокол CCcam (порт 12000) и newcamd

CCcam работает на TCP, стандартный порт — 12000. Протокол бинарный, проприетарный. Рукопожатие начинается с обмена случайными данными для хеширования, затем клиент присылает логин и пароль (SHA1). После успешной аутентификации клиент получает список карт сервера и может отправлять ECM-запросы.

Newcamd (он же newcs) — другой протокол, обычно работает на портах 15000 и выше. Использует DES-шифрование для обмена. Формат линии подключения в конфиге клиента: N: hostname port username password deskey. DES-ключ — это 28 hex-символов, его нужно получить от владельца сервера.

Оба протокола до сих пор широко используются. CCcam чуть проще для базовой настройки — логин, пароль, порт. Newcamd немного сложнее из-за DES-ключа, зато лучше работает через NAT в некоторых конфигурациях.

Важный момент: если порт 12000 закрыт на роутере или вы за двойным NAT — клиент не подключится. Нужно или пробросить порт, или настроить VPN. Двойной NAT — частая причина, почему клиент "видит сервер" по пингу, но соединение по CCcam не устанавливается.

OScam как современная альтернатива

OScam — это open-source проект, который заменяет и сервер CCcam, и клиент, и работает с локальными картами. Главное преимущество — он умеет одновременно принимать подключения по протоколу CCcam от клиентов и сам подключаться к внешним источникам по newcamd или CCcam. То есть один OScam-сервер может объединять несколько источников карт и раздавать их клиентам по нескольким протоколам.

Веб-интерфейс OScam открывается на httpport 8888 (по умолчанию). Там видно в реальном времени: какие reader'ы подключены, сколько ECM-запросов обработано, время ответа, статус каждого клиента. Это делает диагностику в разы удобнее, чем разбор текстовых логов вслепую.

На Enigma2-ресиверах OScam запускается как плагин и работает одновременно и как клиент (получает DCW с сервера), и как локальный эмулятор для карты в слоте ресивера.

cardserver, reader и user — кто есть кто

В терминологии OScam три ключевые роли. Reader — источник карты. Это может быть физическая карта в USB-ридере, или сетевое подключение к другому серверу по CCcam/newcamd. Reader описывается в файле oscam.server.

User — клиент, который подключается к вашему OScam-серверу. Его параметры (логин, пароль, группа доступа, лимиты) описываются в oscam.user. Пользователь может получать DCW только через reader'ы, входящие в его группу доступа.

Cardserver — это сам OScam в режиме сервера. Он принимает ECM от пользователей, маршрутизирует запросы к подходящему reader'у по CAID и group, получает DCW и отправляет обратно клиенту. Всё это происходит в рамках одного процесса oscam.

Базовая структура конфигурации OScam-сервера

Пути к конфигам зависят от дистрибутива и железа. На ресиверах с Enigma2 чаще всего это /etc/tuxbox/config/oscam/ или /var/etc/oscam/. На Linux-сервере (Debian/Ubuntu) — обычно /etc/oscam/. На некоторых старых прошивках OE1.6 — путь может быть /usr/local/etc/oscam/. Проверяйте документацию к своей прошивке.

Файлы oscam.conf, oscam.server, oscam.user

oscam.conf — главный конфиг. Содержит глобальные настройки демона: уровень логирования, путь к лог-файлу, настройки веб-интерфейса. Минимальный рабочий вариант секции [global]:

[global]
logfile = /tmp/oscam.log
maxlogsize = 100
nice = -1

[webif]
httpport = 8888
httpuser = admin
httppwd = admin

oscam.server описывает reader'ы — то есть источники карт. Для сетевого источника по протоколу CCcam это выглядит так:

[reader]
label = my_cccam_source
protocol = cccam
device = serverhost,12000
user = mylogin
password = mypassword
caid = 0x0500
group = 1
reconnecttimeout = 30

oscam.user описывает клиентов вашего сервера. Каждый клиент — отдельная секция [account]:

[account]
user = client1
password = clientpass
group = 1
au = 1
maxau = 2

Параметр group в oscam.server и oscam.user должен совпадать — иначе клиент подключится, но ECM-запросы не будут маршрутизированы на reader. Это одна из самых распространённых ошибок при первой настройке.

Пути конфигов и веб-интерфейс (httpport)

Веб-интерфейс OScam по умолчанию слушает на порту 8888. Открываете браузер на http://192.168.1.X:8888 (IP вашего ресивера или сервера) и видите полную картину: статус каждого reader'а, список подключённых клиентов, граф ECM-запросов в реальном времени.

На старых прошивках Enigma2 (OE1.6, Image 2.x) иногда встречается проблема: oscam собран без поддержки веб-интерфейса. В таком случае вся диагностика — только через лог-файл. Если веб-интерфейс не открывается, проверьте, что в oscam скомпилирована опция WITH_WEBIF — это видно в строке версии при запуске oscam с флагом -V.

Лог-файл по пути из oscam.conf (/tmp/oscam.log или /var/log/oscam.log) при уровне loglevel = 4 пишет все ECM-запросы и ответы. Уровень 5 — полный debug, генерирует огромные файлы, но даёт максимум информации для диагностики.

Минимальный рабочий пример линии C: и N:

Линия C: — это формат подключения клиента в конфиге CCcam (файл /etc/CCcam.cfg). Структура:

C: hostname port username password

Линия N: — для протокола newcamd:

N: hostname port username password 01 02 03 04 05 06 07 08 09 10 11 12 13 14

Последние 14 пар hex-цифр — это DES-ключ. Он должен совпадать с тем, что настроен на стороне сервера. Неверный DES-ключ = невозможность расшифровать рукопожатие = соединение не устанавливается, хотя TCP-порт открыт.

Важно: не вставляйте в конфиг лишних пробелов или невидимых символов после пароля — CCcam чувствителен к формату строки и молча игнорирует неверные записи без ошибок в логе.

Типичные проблемы и их диагностика

Большинство проблем с card sharing укладывается в три категории: канал вообще не открывается, канал открывается но freezes, или reader подключён по статусу но ничего не работает. Разберём каждую.

Канал не открывается: ECM timeout и no card

Первое, что смотреть — веб-интерфейс OScam, вкладка Readers. Статус должен быть CONNECTED. Если CONNECTING или OFF — проблема в соединении с источником: неверный хост/порт, закрытый файрвол, неверный логин/пароль.

Если reader CONNECTED, но канал не открывается — смотрите лог на слова "ECM timeout" или "no card". ECM timeout означает, что запрос ушёл, но ответ не пришёл вовремя. Причины: высокий пинг (более 150-200 мс), перегруженный сервер, или CAID/provider ID на сервере не совпадает с тем, что нужно для этого канала.

"no card" в логе — сервер принял запрос, но у него нет карты с нужным CAID. Проверяете параметр caid в oscam.server — он должен совпадать с CAID канала. CAID конкретного канала можно посмотреть в веб-интерфейсе OScam, вкладка Services, или в информации о канале в EPG ресивера.

Отдельная ситуация: карта поддерживает CAID, но provider ID не тот. В oscam.server можно явно указать providers = 000000 с нужным provider ID. Без этого сервер может отказываться обрабатывать ECM для этого провайдера, даже если CAID совпадает.

FREEZE и рассыпание картинки из-за ping

Канал открывается, но через несколько секунд замерзает — classic DCW timing problem. Control word меняется каждые ~10 секунд. Если новый DCW приходит с задержкой больше этих 10 секунд — freeze.

Пинг более 200 мс до источника — уже зона риска для HD-каналов. SD-каналы иногда терпят и 300 мс, потому что их поток менее критичен к точности тайминга. Но HD с высоким битрейтом при пинге 250+ мс будет freezить регулярно.

Проверяется просто: пингуете хост из oscam.server. Если пинг нестабильный (джиттер), это хуже фиксированной задержки. Джиттер 50-100 мс при среднем пинге 80 мс = периодические freezes, которые сложно поймать.

Ещё одна причина freeze — оператор сменил ключи (key change). Старая раздача перестала корректно открывать пакет, DCW приходят, но неверные. Картинка либо рассыпается в артефакты, либо замерзает. В этом случае нужно ждать обновления карты на стороне сервера.

Чтение логов OScam и статуса reader (CONNECTED/OFF)

Самый быстрый способ диагностики — хвост лога в реальном времени:

tail -f /tmp/oscam.log

При нормальной работе видите строки вида:

2026/06/18 12:34:56 reader my_cccam_source (CONNECTED) [cccam] ECM SID 1234 CAID 0500 OK (72ms)

72 мс — время ответа. Всё до 150 мс — хорошо. 150-250 мс — приемлемо для SD, рискованно для HD. Выше 300 мс — ищите другой источник или проверяйте сеть.

Если в логе видите: account client1 FORBIDDEN (group) — значит, у пользователя в oscam.user указана группа, которой нет ни у одного reader'а. Добавляете совпадающую группу в oscam.server — проблема решается. Это тот самый конфликт групп, про который легко забыть при первой настройке.

Как выбрать источник раздачи: на что смотреть

Здесь не будет названий конкретных сервисов. Но критерии — вещь конкретная, и их стоит знать прежде, чем куда-то регистрироваться.

Критерии: стабильность, пинг, аптайм

Пинг — первый фильтр. До 100 мс — хорошо, до 150 мс — приемлемо, выше 200 мс — для HD-каналов уже проблемы. Географически ближний сервер почти всегда выигрывает. Европейский сервер для просмотра европейских пакетов — разумный выбор.

Аптайм важнее цены. Сервер с 99% аптаймом и пингом 80 мс лучше, чем дешёвый с аптаймом 90% и пингом 50 мс. Полчаса даунтайма в день — это несколько вечеров в месяц без сигнала в прайм-тайм.

Скорость ответа на ECM — отдельный параметр. Можно иметь низкий пинг до сервера, но если карта на сервере отвечает медленно (загруженный ридер, слабое железо), итоговое время ECM будет высоким. Хорошие источники дают ECM-ответ менее 100 мс суммарно.

Поддержка нужных CAID и пакетов

Перед тем как брать тестовый период у любого источника — составьте список нужных CAID. Откройте канал в ресивере, посмотрите в информации о сигнале: там будет CAID и SID. Запишите. Потом сверяете с тем, что поддерживает источник.

Бывает, что источник заявляет поддержку CAID 0x0500 (Viaccess), но конкретный provider ID оператора там не прописан. Технически карта есть — но ваши каналы не открываются. Уточняйте не просто CAID, а конкретный пакет и provider ID.

Смена ключей оператором (key change) — это реальность. Когда оператор меняет ключи шифрования, старые раздачи временно перестают работать. Хороший источник обновляется быстро — в течение нескольких часов. Медленный может "висеть" сутками.

Локальная карта против сетевого источника

Если у вас есть официальная подписка оператора и физическая смарт-карта — вы можете настроить OScam с локальным reader'ом. Карта вставляется в USB-картридер или в слот ресивера. OScam её видит как reader с типом protocol = internal или protocol = mouse в зависимости от интерфейса.

Преимущество локальной карты очевидно: нулевая зависимость от внешнего соединения, максимальная скорость ответа (ECM обрабатывается локально за 5-20 мс), нет рисков даунтайма стороннего сервера. Недостаток — карта привязана к конкретному оператору и пакету.

Сетевой источник даёт гибкость: можно подключить несколько reader'ов с разными CAID и охватить пакеты разных операторов через один OScam-инстанс. Но здесь уже появляется зависимость от качества соединения и надёжности внешнего сервера.