Кардшаринг: принцип работы, протоколы и техническая база

Кардшаринг — технология совместного использования смарт-карты платного спутникового или кабельного телевидения несколькими абонентами одновременно. Один физический карт-ридер с подлинной картой подключается к серверу, который в режиме реального времени рассылает управляющие слова (Control Words, CW) всем клиентам. Каждый клиент расшифровывает поток независимо у себя на ресивере. Технология существует с начала 2000-х годов и до сих пор остаётся актуальной для владельцев спутниковых тарелок, которые хотят получить доступ к зашифрованным каналам.

Как работает условное шифрование спутникового ТВ

Прежде чем понять кардшаринг, необходимо разобраться с тем, как вещатели защищают свой контент. Каждый зашифрованный спутниковый канал передаётся в стандарте DVB (Digital Video Broadcasting) с применением системы условного доступа (Conditional Access System, CAS). Видеопоток шифруется алгоритмом DVB-CSA (Common Scrambling Algorithm) с использованием пары ключей — чётного (even) и нечётного (odd). Эти ключи называются управляющими словами и меняются каждые 10–20 секунд.

Сами управляющие слова транслируются внутри спутникового потока в виде зашифрованных ECM-пакетов (Entitlement Control Messages). Расшифровать ECM может только физическая смарт-карта, для которой вещатель выпустил соответствующие права доступа (EMM — Entitlement Management Messages). Ресивер без авторизованной карты видит поток, но не может его декодировать.

Роль ECM и EMM в системе доступа

ECM-пакеты содержат зашифрованные CW и транслируются непрерывно вместе с видеопотоком. Когда ресивер принимает ECM, он передаёт его смарт-карте. Карта, используя хранящийся в ней сессионный ключ и персональный ключ канала, расшифровывает CW и возвращает его декодеру. Декодер применяет полученный CW для расшифровки видеопотока.

EMM-пакеты — это команды от вещателя, адресованные конкретной карте. Через EMM оператор обновляет подписку, блокирует карту при неоплате или добавляет новые каналы в пакет. Именно поэтому даже скопированная карта теряет работоспособность после блокирующего EMM.

Технический принцип кардшаринга

Кардшаринг решает задачу распределения расшифрованных CW между множеством клиентов. Схема выглядит следующим образом:

Сервер кардшаринга оснащён одним или несколькими карт-ридерами с подлинными смарт-картами. Клиентский ресивер принимает зашифрованный спутниковый поток и извлекает из него ECM-пакет. По сети интернет или локальной сети клиент отправляет ECM на сервер. Сервер передаёт ECM физической смарт-карте, получает обратно расшифрованный CW и отправляет его клиенту. Клиент использует CW для декодирования видеопотока в реальном времени.

Критичный параметр — время ответа сервера (латентность). Если CW не поступает до истечения текущего периода (обычно 10 секунд), картинка замерзает или появляются артефакты. На практике рабочая задержка не должна превышать 500–800 мс. При пинге до сервера менее 50 мс и стабильном канале кардшаринг работает без видимых сбоев.

Требования к интернет-соединению

Сам обмен ECM/CW потребляет ничтожно малый трафик — порядка 1–5 кбит/с на один активный канал. Основное требование — стабильность соединения, а не скорость. Даже ADSL-подключение со скоростью 256 кбит/с при стабильном пинге обеспечивает надёжную работу. Проблемы начинаются при packet loss выше 1–2% или при пинге с высокой дисперсией (jitter).

Протоколы кардшаринга

За годы развития технологии сложилось несколько протоколов передачи CW между сервером и клиентом. Каждый имеет свои особенности с точки зрения безопасности, функциональности и поддержки со стороны прошивок ресиверов.

CCcam

CCcam (Card Client cam) — наиболее распространённый протокол, разработанный около 2004 года. Работает по схеме клиент-сервер через TCP/IP. Порт по умолчанию — 12000, хотя администраторы серверов нередко меняют его для снижения нагрузки от сканеров.

Протокол поддерживает каскадирование: сервер CCcam может выступать одновременно клиентом для другого сервера CCcam, получая карты из разных источников и объединяя их в единый пул. Это позволяет строить многоуровневые сети шаринга. Поддержка CCcam встроена в большинство популярных прошивок: OpenPLi, OpenATV, VTi, OE-Alliance. Для ресиверов на базе этих систем достаточно записать конфигурационный файл /etc/CCcam.cfg с параметрами подключения.

Пример строки клиентской конфигурации CCcam:

C: share.example.com 12000 username password { 01 02 03 04 05 06 07 08 }

NewCamd (newcamd)

NewCamd — протокол, изначально разработанный для прямого подключения к карт-серверу без промежуточного ПО. Использует шифрование DES/3DES для защиты передаваемых данных, что делает его более защищённым в сравнении с незашифрованным CCcam старых версий. Порт по умолчанию — 15050.

Особенность протокола — привязка к конкретному CAID (идентификатор системы условного доступа). Один NewCamd-сервер обслуживает карты одной CAS. Для работы с несколькими системами требуется запустить несколько экземпляров сервера или использовать мультипротокольное решение вроде OSCam. Конфигурация клиента в OSCam выглядит следующим образом:

[reader]label     = newcamd_serverprotocol  = newcamddevice    = share.example.com,15050key       = 0102030405060708091011121314user      = myuserpassword  = mypasswordcaid      = 0500

CS378x (Camd35 over TCP)

CS378x — модификация протокола Camd35, адаптированная для работы по TCP вместо UDP. Оригинальный Camd35 использовал UDP-порт 35 (отсюда название), что создавало проблемы при работе через NAT и файрволы. CS378x решил эту проблему переходом на TCP с портом по умолчанию 35000.

Протокол широко поддерживается серверным ПО OSCam и используется преимущественно в восточноевропейских шаринг-сетях. Данные передаются в зашифрованном виде с использованием AES-128.

Gbox

Gbox (Cardsharing via Gbox) — децентрализованный peer-to-peer протокол, не требующий выделенного центрального сервера. Каждый участник сети одновременно является и сервером, и клиентом. Обмен происходит напрямую между нодами. Протокол использует UDP и требует открытого порта на каждом участнике.

Преимущество Gbox — отказоустойчивость: при недоступности одного узла трафик автоматически перенаправляется через альтернативный путь. Недостаток — более сложная настройка и меньшая скорость по сравнению с прямым CCcam-соединением.

ICAM и BISS

BISS (Basic Interoperable Scrambling System) — упрощённая система шифрования, применяемая преимущественно для спортивных трансляций и технических фидов. В отличие от полноценных CAS, BISS использует статический ключ, который не меняется. Для просмотра достаточно знать ключ и ввести его в ресивер вручную. BISS-ключи публикуются на профильных форумах и обновляются перед каждым крупным спортивным событием.

Серверное программное обеспечение

OSCam

OSCam (Open Source Conditional Access Module) — наиболее функциональное и активно развиваемое серверное ПО для кардшаринга. Поддерживает одновременно несколько протоколов: CCcam, NewCamd, CS378x, Gbox, радарный протокол. Работает на Linux, включая встроенный Linux спутниковых ресиверов.

OSCam управляется через веб-интерфейс и конфигурационные файлы. Основные файлы конфигурации: oscam.conf (глобальные параметры), oscam.server (описание карт-ридеров и удалённых серверов), oscam.user (учётные записи клиентов), oscam.services (описание каналов и пакетов).

Ключевые возможности OSCam: балансировка нагрузки между несколькими ридерами, приоритизация карт по CAID и провайдеру, кэширование CW для снижения нагрузки на карты, детальное логирование с фильтрацией по пользователям и каналам, поддержка виртуальных карт (softcam) для работы с эмуляторами.

CCcam как серверное ПО

Оригинальный CCcam существует также в виде серверной реализации для спутниковых ресиверов на базе Linux. Установка сводится к копированию бинарного файла в /var/bin/ и правке конфигурации. Серверная часть описывается строками вида:

R: username password   # регистрация клиента с правами чтенияF: username password   # регистрация клиента с полными правами

Системы условного доступа и их особенности

Разные вещатели используют разные CAS, и поведение кардшаринга существенно зависит от конкретной системы.

Viaccess

Viaccess (CAID 0500, 0604) — французская система, применяемая каналами Canal+, НТВ-Плюс, Tricolor TV. Карты Viaccess относительно хорошо поддерживаются всеми шаринг-решениями. Период смены CW составляет 10 секунд, что оставляет достаточно времени для сетевого обмена.

Irdeto

Irdeto (CAID 0600, 0602, 0604, 06xx) — нидерландская система с наиболее широкой географией применения. Используется MultiChoice (DStv), Cyfra+, Canal Digitaal и десятками других операторов. Irdeto активно применяет механизмы защиты от шаринга: укороченный период CW (иногда до 5 секунд), повышенная частота EMM с проверкой уникальности ответов карты.

Nagravision

Nagravision (CAID 1800, 1801, 1830) — швейцарская система компании Kudelski. Применяется Sky Deutschland, Sky Italia, кабельными операторами. Версии Nagravision 3 и выше используют усиленную криптографическую защиту и активно детектируют кардшаринг по аномальному паттерну ECM-запросов.

Conax

Conax (CAID 0B00) — норвежская система, популярная у скандинавских и восточноевропейских операторов. Использовалась Viasat, Canal Digital, рядом польских операторов. Считается одной из более устойчивых к шарингу благодаря индивидуализации ключей на уровне карты.

PowerVU

PowerVU (CAID 0E00) — система компании Scientific Atlanta (Cisco). Применяется преимущественно для трансляции технических и профессиональных фидов. Использует статические ключи, что делает её уязвимой — ключи быстро утекают в открытый доступ.

Аппаратная часть: ресиверы и карт-ридеры

Ресиверы с поддержкой кардшаринга

Для работы с кардшарингом в качестве клиента подходит практически любой ресивер, поддерживающий установку внешних эмуляторов или прошивок с интегрированным клиентом. Наиболее популярные платформы:

Enigma2-ресиверы (Dreambox, VU+, Formuler, Gigablue, Edision) — полноценный Linux с возможностью установки OSCam, CCcam и других решений через пакетный менеджер. Самый удобный вариант для конечного пользователя.

Ресиверы на базе собственных прошивок с поддержкой встроенного клиента — многие китайские ресиверы (Strong, Tiger, Startrack) имеют встроенный CCcam-клиент или NewCamd-клиент, настраиваемый через меню.

Ресиверы с поддержкой Softcam — устройства, поддерживающие установку программных эмуляторов смарт-карт (Softcam) через USB. Такие эмуляторы работают с файлами ключей, а не с реальными картами.

Карт-ридеры для серверной части

Для серверной части требуется карт-ридер, подключаемый к USB или встроенный в ресивер. Популярные модели:

SCR3310 — USB-ридер компании SCM Microsystems, де-факто стандарт для кардшаринга. Поддерживает все распространённые форматы карт (ISO 7816). Стоимость — около 15–20 евро.

Внутренние ридеры Dreambox — серия Dreambox 7020, 800, 8000 оснащена встроенными ридерами, которые OSCam определяет автоматически как /dev/sci0 и /dev/sci1.

Phoenix/Smartmouse — простые самодельные или дешёвые промышленные ридеры на базе UART. Работают в «нативном» режиме без драйверов, поддерживаются OSCam через параметр protocol = phoenix.

Задержки и стабильность: практические параметры

Производительность кардшаринга определяется несколькими ключевыми метриками. Время ответа (ecm time) — интервал от момента отправки ECM до получения CW. Нормальное значение для качественного сервера — 100–300 мс. При значениях выше 800 мс начинаются проблемы с декодированием при смене CW.

Cache hit rate — доля запросов, обслуженных из кэша без обращения к физической карте. Высокий cache hit снижает нагрузку на карты и улучшает время ответа. OSCam поддерживает как локальный кэш, так и распределённый кэш через протокол cache exchange (CacheEx) между несколькими серверами.

Параметр max ecm time в конфигурации OSCam позволяет автоматически исключать медленные ридеры из обработки запросов. Типичная настройка — 600–800 мс.

Итог

Кардшаринг представляет собой зрелую технологию с хорошо задокументированной технической базой. Понимание работы ECM/CW-цикла, разбор протоколов CCcam, NewCamd и CS378x, знание особенностей конкретных CAS — всё это необходимо для грамотной настройки как серверной, так и клиентской части. Для домашнего использования наиболее удобна связка Enigma2-ресивера с OSCam, которая обеспечивает максимальную гибкость настройки и прозрачный мониторинг через веб-интерфейс.