OScam: настройка, конфиги и сравнение с CCcam (2026)

OScam — это open-source условный доступ (CA) эмулятор, который за последние годы стал стандартом де-факто для кардшаринга на Linux-платформах. Если вы до сих пор сидите на CCcam и думаете, что "и так работает" — эта статья покажет, чего вы лишаетесь. Я разберу установку, все три основных конфига и расскажу как не потерять карту из-за открытого webif.

Что такое OScam и почему он вытеснил CCcam

OScam (Open Source Conditional Access Module) — это полноценный сервер и клиент одновременно. Не путайте с mgcamd — тот только клиент, умеет получать CW с сервера, но сам раздавать не может. OScam же поднимается как сервер, читает физическую карту, раздаёт Control Words клиентам, параллельно сам коннектится к апстримным серверам и кэширует CW через пиринг.

CCcam когда-то был первым нормальным решением. Закрытый бинарник под ARM, разработка прекратилась году в 2016-2017, последняя версия 2.3.0 так и осталась финальной. Никаких новых протоколов, никаких фиксов безопасности. OScam же продолжает развиваться — на streamboard.tv коммиты идут регулярно.

Краткая история форка от Oscam-emu

OScam базируется на исходниках Cardserver 2 и oscam-svn, форк произошёл примерно в 2010 году. Oscam-emu — это отдельный патч поверх основного oscam, добавляющий поддержку эмулируемых протоколов: Tandberg (caid 1010), PowerVu, BISS, SoftCam.Key. Стандартный oscam эти протоколы не поддерживает — только реальные карты. Если нужен Tandberg или PowerVu — берите oscam-emu сборку, иначе ECM будет вечно NotFound.

Архитектура: модули readers, clients, webif

Внутри oscam три основных подсистемы. Readers — источники CW: физические карты, удалённые CCcam/newcamd серверы. Clients — потребители CW: ваши ресиверы, медиаплееры, STB. WebIf — встроенный HTTP-интерфейс для мониторинга и управления в реальном времени без перезапуска демона.

Система групп (group) связывает клиентов с ридерами. Клиент в группе 1 видит только ридеры группы 1. Это даёт гибкую маршрутизацию ECM-запросов без отдельных демонов на каждый случай.

Поддерживаемые протоколы: CS378x, newcamd, CCcam, gbox, radegast

OScam умеет работать как сервер по протоколам cs378x (camd3.5 / camd3.78), newcamd, CCcam, gbox и radegast. Как клиент — подключается к удалённым серверам по тем же протоколам плюс cccam. CS378x на порту 12000 — самый эффективный для локальных клиентов, newcamd на 15000 — совместимый вариант для старых ресиверов.

Чем OScam лучше CCcam и mgcamd

Функция	OScam	CCcam 2.3.0	mgcamd 1.38	Oscam-emu
Open source	✓	✗	✗	✓
Сервер + клиент	✓	✓	✗ (только клиент)	✓
Webif (HTTP UI)	✓	✗	✗	✓
Viaccess (0500)	✓	✓	✓	✓
Irdeto (0604)	✓	✓	✓	✓
Conax (0B00)	✓	✓	✓	✓
Nagra (1801)	✓	✓	✓	✓
DRE-Crypt (4AE1)	✓ (boxkey)	частично	✗	✓
Tandberg (1010)	✗	✗	✗	✓
PowerVu / BISS	✗	✗	✗	✓
Cacheex пиринг	✓	✗	✗	✓
Активная разработка	✓	✗ (заброшен)	✗	✓

Установка OScam на Linux, Enigma2 и OpenWrt

Самый контролируемый способ — сборка из исходников. Получаете именно те модули, которые нужны, без лишнего мусора. Для x86 Debian/Ubuntu это займёт минут пятнадцать.

Сборка из исходников через simplebuild

Сначала зависимости:

apt-get install git gcc make libssl-dev libusb-dev libpcsclite-dev pkg-config

Затем сам oscam:

git clone https://git.streamboard.tv/common/oscam.git
cd oscam
./config.sh --enable all
make CONF_DIR=/etc/tuxbox/config
make install

Флаг --enable all включает все читалки карт и протоколы. Если нужна минимальная сборка — запустите ./config.sh без аргументов, там интерактивное меню. Бинарник ляжет в /usr/local/bin/oscam или /usr/bin/oscam в зависимости от PREFIX.

Для Oscam-emu нужен отдельный репозиторий — патч накладывается на исходники основного oscam перед сборкой. Там своя инструкция на странице проекта.

Установка на Enigma2 (DreamBox, Vu+, Octagon)

На DreamBox DM900/DM920 и Vu+ Ultimo 4K проще всего через feeds. В OpenPLi и OpenATV oscam есть в стандартных репозиториях:

opkg update
opkg install oscam

На Octagon SF8008 с OpenATV конфиги лягут в /etc/tuxbox/config/. После обновления имиджа эта папка может перезаписаться — делайте бэкап перед каждым обновлением. Серьёзно, я видел людей, которые теряли рабочие конфиги и потом не могли вспомнить что там было.

Установка на роутер OpenWrt и x86 серверах Debian/Ubuntu

На OpenWrt доступен пакет oscam через opkg install oscam если в feeds есть entware. На роутерах с MIPS/ARM памяти мало, поэтому собирайте с минимумом модулей. Конфиги обычно в /etc/oscam/.

На x86 Ubuntu 22.04/24.04 — сборка из исходников как выше. Путь конфигов передаётся через -c при запуске.

Запуск через systemd unit и автостарт

Создайте файл /etc/systemd/system/oscam.service:

[Unit]
Description=OScam card server
After=network.target

[Service]
Type=simple
ExecStart=/usr/bin/oscam -c /etc/tuxbox/config/ -l /var/log/oscam.log
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

Важный момент: не используйте флаг -b (background/daemonize) вместе с Type=simple в systemd — демон уйдёт в фон, systemd потеряет PID и пометит сервис как failed. Либо уберите -b, либо меняйте на Type=forking с PIDFile=.

systemctl daemon-reload
systemctl enable oscam
systemctl start oscam

Структура каталогов /etc/tuxbox/config/ и /var/etc/

Стандартная структура для Enigma2:

/etc/tuxbox/config/
  ├── oscam.conf       # глобальные настройки, webif, протоколы
  ├── oscam.server     # ридеры (карты и удалённые серверы)
  ├── oscam.user       # аккаунты клиентов
  ├── oscam.services   # фильтры по SID/провайдерам
  └── oscam.dvbapi     # интеграция с DVB-API для Enigma2

На x86 Linux пути могут быть /usr/local/etc/oscam/ или /var/etc/oscam/ — зависит от того, что передали в -c.

Настройка oscam.conf — главный конфигурационный файл

Oscam.conf управляет глобальным поведением демона. Здесь настраивается webif, протоколы приёма клиентов, кэширование и мониторинг. Ошибки здесь — самые дорогостоящие, потому что часть из них не видна в логах явно.

Секция [global]: nice, logfile, cachedelay, ecmfmt

[global]
nice                = -1
WaitForCards        = 1
logfile             = /var/log/oscam.log
maxlogsize          = 10000
cachedelay          = 0
preferlocalcards    = 1
saveinithistory     = 1
ecmfmt              = %A: %D | %R | ecm %e | %c
lb_mode             = 1
lb_save             = 300
lb_nbest_readers    = 1
lb_nfb_readers      = 1

Параметр ecmfmt влияет на то, как выглядит строка в логе при ECM-запросе. Неправильный формат — и вы часами смотрите на бессмысленные строки вместо понятной диагностики. Оставьте значение выше как базовое.

lb_mode = 1 включает load balancing — oscam сам выбирает ридер с лучшим временем ответа. lb_save = 300 сохраняет статистику каждые 300 секунд в oscam.srvid.

Секция [webif]: httpport 8888, httpuser, httppwd, httpallowed

[webif]
httpport            = 8888
httpuser            = admin
httppwd             = SomeStrongPassword123
httpallowed         = 127.0.0.1,192.168.0.0-192.168.255.255
httprefresh         = 10
httpsaverestart     = 1
httpreadonly        = 0

httpallowed — это не опция, это обязательный параметр безопасности. Без него webif доступен с любого IP. Если oscam смотрит в интернет — карты утекут за часы, там ботов достаточно. Указывайте свою локальную сеть и 127.0.0.1. Точка.

Секция [cs378x] и [newcamd]: порты 12000, 15000, des-ключ

[cs378x]
port                = 12000

[newcamd]
port                = 15000@0500:000000,0B00:000000,1801:000000
key                 = 0102030405060708091011121314

Newcamd требует DES-ключ из 28 hex-символов. Этот ключ должен совпадать на сервере и клиенте — иначе хендшейк провалится с Connection refused или просто тишиной в логах. CS378x проще, ключа не требует, работает через обычный TCP.

Секция [monitor] и [anticasc]: защита от шары наружу

[monitor]
port                = 988
aulow               = 30
monlevel            = 1

[anticasc]
enabled             = 1
numusers            = 1
sampletime          = 2
samples             = 10
penalty             = 1
aclogfile           = /var/log/oscam_ac.log

numusers = 1 в anticasc — один аккаунт, одно подключение. Если клиент расшарил аккаунт — второй коннект получит penalty. penalty = 1 означает временный бан, penalty = 2 — постоянный до ручной разблокировки.

Параметры кэширования: cacheex для пиринга

Cacheex — механизм обмена Control Words между OScam-серверами напрямую, без повторного декодирования карты. Работает в трёх режимах:

• Mode 1 — только получать CW от пиров. Полезно если у вас слабый ридер, а у соседнего сервера хорошая карта с быстрым временем ответа.
• Mode 2 — получать и отдавать. Полноценный обмен. Стандартный выбор для равноправного пиринга между двумя серверами.
• Mode 3 — только отдавать. Редкий случай, когда у вас быстрая карта и вы хотите помочь пирам без получения CW от них.

Одна ловушка: cacheex между разными версиями oscam (скажем, r11000 и r11700+) может давать рассинхрон через cw_cycle_check. Если CW от пира приходит "устаревшим" — в логах увидите CW Cycle: dropping. Решение: синхронизировать версии oscam на обоих серверах или отключить cwcycle_check в [global].

oscam.server — подключение ридеров и карт

Oscam.server описывает все источники CW. Каждый блок [reader] — это один источник: физическая карта или удалённый сервер. Правильная настройка caid и provid здесь критична — ошибка в одном байте и ECM пойдёт в NotFound навсегда.

Локальный смарт-картридер: protocol = internal, device = /dev/sci0

[reader]
label               = local_card
protocol            = internal
device              = /dev/sci0
caid                = 0500
ident               = 0500:040810
group               = 1
emmcache            = 1,3,4
detect              = CD
mhz                 = 357
cardmhz             = 357

На Enigma2 внутренние слоты — /dev/sci0 и /dev/sci1. На x86 с DVB-картой путь может отличаться. emmcache = 1,3,4 — хранить EMM в кэше, максимум 3 копии, 4 часа.

Карта DRE-Crypt (caid 4AE1) требует отдельного внимания. Без boxkey и rsakey ECM не декодируется вообще — сервер просто не знает как расшифровать пакет. Эти ключи специфичны для конкретного оборудования и карты.

[reader]
label               = dre_card
protocol            = internal
device              = /dev/sci0
caid                = 4AE1
group               = 1
boxkey              = 01 23 45 67 89 AB CD EF
rsakey              = 00112233445566778899AABBCCDDEEFF...

PC/SC ридер (Omnikey, Smargo): protocol = pcsc, device = 0

[reader]
label               = omnikey
protocol            = pcsc
device              = 0
caid                = 0604
group               = 2
emmcache            = 1,3,4

Omnikey 3121 и ACR38/ACR39 — самые распространённые USB-ридеры для x86. Перед запуском oscam должен работать демон pcscd:

systemctl start pcscd
systemctl enable pcscd

Если pcscd не запущен — oscam не увидит ридер вообще, никакой ошибки не выдаст, просто device = 0 останется в статусе OFFLINE. У oscam также должны быть права на /dev/bus/usb — либо запускайте от root, либо добавляйте udev правило для группы plugdev.

Удалённый CCcam-сервер как ридер: protocol = cccam

[reader]
label               = remote_cccam
protocol            = cccam
device              = server.example.com,12000
user                = myuser
password            = mypassword
caid                = 0500,0604,0B00,1801
group               = 1
cccversion          = 2.0.11
ccckeepalive        = 1
reconnecttimeout    = 30

OScam подключается к CCcam-серверу как обычный CCcam-клиент. Версию протокола лучше ставить 2.0.11 — более совместима. Версия 2.1.4 работает с более новыми серверами, но иногда даёт проблемы с идентификацией.

newcamd ридер: protocol = newcamd, key, caid, ident

[reader]
label               = newcamd_reader
protocol            = newcamd
device              = server.example.com,15000
user                = ncuser
password            = ncpass
key                 = 0102030405060708091011121314
caid                = 0500
ident               = 0500:040810
group               = 1
fallback            = 1

fallback = 1 помечает ридер как резервный — oscam будет обращаться к нему только если основные ридеры дали NotFound или Timeout. Полезно для апстримного сервера как страховка.

AU (auto-update): эмм-обновление ключей

EMM (Entitlement Management Message) — пакеты от провайдера для обновления прав и ключей на карте. Чтобы AU работал, в oscam.server нужен включённый emmcache, а в oscam.user — параметр au привязанный к имени ридера. Без этого карта постепенно перестанет декодировать — провайдеры обновляют ключи регулярно.

oscam.user — клиенты, права и группы

Каждый клиент (ресивер, медиаплеер) — отдельный блок [account]. Связь с ридерами — через совпадение номеров групп. Клиент в group = 1 видит ECM-запросы только от ридеров с group = 1.

Структура блока [account]: user, pwd, group, au

[account]
user                = receiver01
pwd                 = password123
group               = 1
au                  = local_card
caid                = 0500,0604,0B00,1801
uniq                = 1
monlevel            = 0
description         = Living room Vu+ Ultimo

au = local_card — EMM-пакеты от этого клиента будут пересылаться на ридер с label local_card. Это значит карта будет обновляться через этого клиента. Обычно AU включают только одному доверенному клиенту — своему основному ресиверу.

Привязка клиента к ридеру через group

Система групп — самое мощное и одновременно самое непонятное в oscam для новичков. Правило простое: клиент видит ридер только если у них есть хотя бы одна общая группа.

# Клиент 1 — видит только локальную карту (group 1)
[account]
user = client1
pwd  = pass1
group = 1

# Клиент 2 — видит локальную карту И удалённый ридер (group 1,2)
[account]
user = client2
pwd  = pass2
group = 1,2

# Ридер — локальная карта (group 1)
[reader]
label = local_card
group = 1

# Ридер — удалённый сервер (group 2)
[reader]
label = remote
group = 2

Ограничения: caid, ident, chid, allowedtimeframe

Можно ограничить что клиент может декодировать. Восклицательный знак означает исключение:

[account]
user                = restricted_client
pwd                 = pass
group               = 1
caid                = 0500,0B00         # только Viaccess и Conax
caid                = !1801              # запретить Nagra
allowedtimeframe    = 08:00-23:00       # только с 8 утра до 11 вечера

Anti-cascading: numusers, penalty

В блоке [account] параметр numusers ограничивает одновременные подключения от этого аккаунта. numusers = 1 — один ресивер, точка. Попытка подключить второй — penalty. В сочетании с uniq = 1 (уникальный IP) это делает расшаривание аккаунтов бессмысленным.

uniq и monlevel — контроль одновременных подключений

uniq = 0 — без ограничений. uniq = 1 — только один IP одновременно, новое подключение с другого IP разрывает старое. uniq = 2 — новое подключение отклоняется если уже есть активное. monlevel определяет что клиент видит в webif: 0 — ничего, 4 — всё.

Web-интерфейс OScam и диагностика

Webif — главный инструмент диагностики. Открывается по адресу http://IP-сервера:8888. Здесь в реальном времени видны ECM-запросы, статус ридеров, статистика по каждому клиенту.

Доступ через http://IP:8888 — статус ридеров и клиентов

Главная страница показывает три секции: Clients (подключённые клиенты с текущим ECM-временем), Readers (ридеры со статусом OK/OFFLINE) и Services. Если ридер OFFLINE — это проблема сразу, не потом.

Вкладка Status: ECM time, CW, последние запросы

ECM time — время от запроса до получения CW. Нормальные значения:

• Менее 500 мс — отлично, зритель ничего не замечает
• 500–1000 мс — приемлемо, иногда небольшая задержка при переключении
• 1000–2000 мс — уже заметно, нужно разбираться
• Более 2000 мс — проблема, возможны фризы и чёрный экран при смене канала
• Более 5000 мс или Timeout — критично, канал не откроется

Вкладка Readers: emmcount, ecmok/ecmnok, AU статус

Смотрите на emmcount — он должен расти если AU включён. Если emmcount стоит на 0 часами — AU не работает. Проверьте что в [account] указан правильный label ридера и что этот ридер в той же группе что и клиент.

Колонки ecmok и ecmnok показывают успешные и неуспешные декодирования. Если ecmnok растёт — смотрите логи.

Чтение логов: tail -f /var/log/oscam.log

tail -f /var/log/oscam.log | grep -E "F|N|T|I"

Более полезный вариант с контекстом:

tail -f /var/log/oscam.log

Расшифровка кодов: F (Found), N (NotFound), I (Ignored), T (Timeout)

Код	Значение	Что делать
F	Found — CW получен успешно	Всё хорошо
N	NotFound — ридер не знает этот CAID/provid	Проверить caid и ident в oscam.server
I	Ignored — клиент не в нужной группе	Проверить group в oscam.user и oscam.server
T	Timeout — ридер не ответил вовремя	Проверить пинг до сервера, cwcycle
E	Error — ошибка чтения карты	Проверить карту, контакты ридера

Типичные ошибки и их решение

Большинство проблем с oscam — это либо несовпадение caid/ident, либо неверные группы, либо сетевые задержки. Редко бывает что-то по-настоящему сложное, но без понимания логов найти причину сложно.

Чёрный экран и фриз: ECM timeout >5000мс

Первым делом проверьте пинг до удалённого ридера. Если >200 мс — это уже проблема для шаринга. ECM-пакет должен уйти, обработаться и вернуться за время до следующего CW (обычно 10 секунд, но на некоторых каналах 5 секунд).

ping -c 10 адрес_сервера

Параметр cwcycle в [reader] задаёт ожидаемый период смены CW. Если период на карте 10 секунд, а cwcycle = 6 — oscam будет считать CW устаревшими раньше времени.

rejected (NoCard) — нет совпадения caid/provid

В логе видите: N {0500@040810} ... (NoCard). Это значит ридер с caid 0500 и ident 040810 не нашёл совпадения. Откройте webif → Readers → кликните на ридер → посмотрите что там за caid и ident реально видит ридер с карты. Сверьте с тем что указано в oscam.server.

Таблица распространённых CAID для справки:

CAID	Система
0500	Viaccess
0604	Irdeto 2
0B00	Conax
1801	Nagravision
0100	Seca/Mediaguard
0E00	PowerVu (только oscam-emu)
1010	Tandberg (только oscam-emu)
4AE1	DRE-Crypt
2600	BISS (только oscam-emu)

dropped (no matching reader) — клиент без группы

Клиент подключился, отправил ECM, но oscam не нашёл ридера. В логе: dropped (no matching reader). Причина в 95% случаев — несовпадение группы. Клиент в group = 1, ридер в group = 2. Исправьте в oscam.user или oscam.server.

ECM filter limit reached — переполнение очереди

Слишком много одновременных ECM-запросов. Параметр ecmfiltermax в [global] ограничивает очередь. Если сервер маломощный, а клиентов много — увеличьте значение или оптимизируйте группы чтобы ECM-запросы шли к правильному ридеру сразу.

Connection refused на cs378x — фаервол или неверный des-ключ

Если cs378x на порту 12000 возвращает Connection refused — сначала проверьте что порт реально слушает:

ss -tlnp | grep 12000

Если порта нет — oscam не запустил cs378x. Проверьте секцию [cs378x] в oscam.conf. Для newcamd неверный DES-ключ даёт хендшейк-отказ — оба конца должны иметь одинаковый key.

Безопасность OScam-сервера

Это раздел который большинство туториалов пропускают. А зря — именно здесь теряют карты. Открытый webif на публичном IP, один аккаунт на всех клиентов, отсутствие anticasc — классический набор для потери доступа.

Закрытие webif от внешнего мира (httpallowed)

Уже говорил выше, повторю: httpallowed в секции [webif] — обязательно. Укажите только локальную сеть:

httpallowed = 127.0.0.1,10.0.0.0-10.255.255.255,192.168.0.0-192.168.255.255

Если нужен удалённый доступ к webif — используйте SSH-туннель, не открывайте порт 8888 напрямую.

Использование сильных паролей и отдельных аккаунтов на клиента

Один аккаунт на один ресивер — это не паранойя, это практика. Если карта утекла — вы не сможете найти виновника если у вас пять ресиверов на одном аккаунте. С отдельными аккаунтами — смотрите в лог, видите подозрительный IP, блокируете конкретный аккаунт.

iptables: открыть только cs378x порт нужным IP

# Разрешить cs378x только с доверенного IP
iptables -A INPUT -p tcp --dport 12000 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 12000 -j DROP

# Разрешить webif только локально
iptables -A INPUT -p tcp --dport 8888 -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -p tcp --dport 8888 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 8888 -j DROP

Сохраните правила: iptables-save > /etc/iptables/rules.v4

Защита от шары наружу: anticasc, numusers, penalty

Настройки [anticasc] в oscam.conf работают глобально. Но можно переопределить на уровне аккаунта:

[account]
user     = client1
pwd      = pass
group    = 1
numusers = 1
uniq     = 2
penalty  = 1

uniq = 2 означает: если с этого аккаунта уже есть соединение, новое подключение отклоняется. Это жёстче чем uniq = 1 (который разрывает старое соединение).

Логирование подозрительной активности

Включите лог anticasc в oscam.conf:

[anticasc]
enabled   = 1
aclogfile = /var/log/oscam_ac.log

Следите за этим файлом — там видны все penalty-события. Если один аккаунт регулярно получает penalty — либо у клиента баг в ПО, либо аккаунт расшарен.