🕯 Candela Softcam v1.0 - R42 (Cóndor)

Integra protocolo propietario cifrado, camuflaje de transporte dinámico y un arsenal de herramientas de diagnóstico, ofreciendo el entorno más robusto y privado disponible para la gestión de tarjetas y emulación.

• Cifrado extremo a extremo ChaCha20-Poly1305 con compresión LZ4.
• Perfect Forward Secrecy con ECDH X25519 efímero y Rekey transparente.
• Token rotativo anti-sharing por sesión - HMAC-SHA256 con nonce OpenSSL.
• ECDH-first Handshake (Protocolo v2): Credenciales siempre bajo clave X25519 efímera - nunca bajo la clave bootstrap conocida. El servidor rechaza cualquier autenticación sin ECDH previo.
• Anti-Scanner: Honeypot CAIDs (trampa con ban inmediato) + ventana deslizante de CAID probing para detectar y banear bots enumeradores automáticamente.
• Peer Intelligence Ring (PIR): Sistema inmune distribuido con tres capas. Compartición de amenazas (CMD_REP_SHARE): un scanner detectado por cualquier nodo queda baneado en todos los nodos del anillo en tiempo real. Auto-descubrimiento (pir_auto_connect): los nodos anuncian su puerto via CMD_NODE_INFO (R38+, 53 bytes con byte de flags), entran en el NETMAP global y se propagan cada 60 s via CMD_PEER_DISC - bloqueado si anon_peer_ips=1. Karma P2P (NRS Contributor): nodos que contribuyen activamente al descubrimiento (pir_auto_connect=1, IPs transparentes) reciben +10 en NRS Score y aparecen con 🔥 en el mapa de red, incentivando la participación sin restricciones para nadie.
• Nonce monotónico anti-birthday: Contador uint64 por peer XORado en el nonce ChaCha20 - unicidad garantizada dentro de cada sesión.
• ECM Flow Guard (EFG): Protección estricta de tarjeta física contra abusos de cascading.
• Reshare Enforcement: Control de redistribución infalsificable a nivel de protocolo.
• Failban anti-CGNAT para evitar bloqueos accidentales de IPs compartidas.
• Modelo Zero-Trust: ningún dato sensible (UA, ATR, RSA, Tiers) sale del perímetro local.
• Race condition tokens WebIF corregida: generación bajo mutex, explicit_bzero de passwords.

• Transport Camouflage (CTC): Evasión DPI mediante Fake TLS 1.3 Record Layer con ALPN, cipher suites randomizados, SNI CDN aleatorio (no derivado del NodeID) y jitter 10–100ms pre-handshake.
• Adaptive Pulse Masking (CPM): Inyección de ruido para destruir la firma temporal del latido DVB.
• Decoy Port Multiplexing (DPM): Respuesta HTTP/Nginx falsa frente a escáneres de red.
• TAR - Traffic Analysis Resistance (R38+): Suite completa: PSN (normalización de tamaño de paquete a buckets 256/512/1024/1448 B), ETJ (jitter temporal aleatorio en CW_RESP al downstream), CTF (suelo de tráfico constante configurable), TCR (rotación transparente de sesión TCP), GSP (propagación selectiva de gossip: máx. N NodeIDs aleatorios por CMD_NET_MAP) y ECM Relay (enrutamiento vía nodo intermedio para romper correlación IP-origen↔IP-destino ante ISP/tap). Tráfico indistinguible de HTTPS ante cualquier nivel de análisis DPI.
• Operator Stealth Suite (R38+): Cuatro módulos para reducir la visibilidad ante la CA de la operadora. SCC (Simultaneous Channel Cap): limita los service IDs activos en el lector físico, perfil de suscriptor multi-room. ETS (ECM Temporal Spreading): distribuye las ECMs de canales nuevos en ráfaga, eliminando el patrón «N canales iniciados a la vez». ECM Coalescing Agresivo: deduplica peticiónes por CAID+SRVID en ventana temporal. MCRR (Multi-Card Round-Robin): distribuye ECMs entre múltiples lectores físicos por SRVID, de modo que cada tarjeta muestre a la CA el perfil de un suscriptor independiente.
• Proxy Universal (R39): Soporte SOCKS4, SOCKS5 (con y sin autenticación), Tor (localhost:9050, resolución DNS remota) e I2P (localhost:4444) para todas las conexiónes salientes P2P. Configurable por selector en el WebIF.
• TCP Payload Morphing y Jitter dinámico para evitar patrónes detectables por el ISP.
• Descubrimiento inteligente de peers (CARD_MAP) y soporte de CW Push para latencia <1ms.
• NETMAP - Network Topology Map (CMD_NET_MAP): Descubrimiento de topología completa mediante gossip P2P puro. Un nodo con un solo peer aprende automáticamente la existencia de todos los demás nodos de la red. Privacidad por diseño (R38+): el gossip nunca propaga IPs ni puertos - cada entrada de 53 bytes contiene únicamente NodeID, versión de protocolo, nombre de operador, país y flags públicos, cifrados y autenticados con ECDH. Las IPs solo son conocidas por los peers con conexión TCP directa. Un actor malicioso no puede enumerar las IPs de la red Candela aunque tenga múltiples peers autenticados.
• NSS - Node Status Signal (CMD_GOING_DOWN): El nodo anuncia su apagado a todos sus peers antes de cerrarse. Los receptores reconectan de inmediato sin esperar el timeout, eliminando la pantalla negra en apagados planificados.
• NRS - Node Reputation Score: Puntuación 0–100 por servidor upstream basada en latencia EWMA (50%), estabilidad de conexión (30%) y actividad ECM (20%), más bonus +10 para nodos contribuidores a la red P2P. El watchdog prioriza automáticamente los servidores de mayor score.
• Anti-Eclipse: Límite de peers activos por bloque /24 (max_peers_per_subnet, default 2) para prevenir ataques de aislamiento de red.

• ECM Timing Oracle (ETO): Perfilado estadístico para detectar degradación de hardware o anomalías de red.
• Consensus Shield (CWS): Votación dinámica N-peer para neutralizar automáticamente CWs envenenadas. La CW que alcanza el quórum configurado se entrega; el peer que divergió recibe penalización automática en el score HLS.
• AMPE - Adaptive Multi-Path ECM: El motor HLS consulta los N mejores peers en paralelo y entrega la primera CW válida. El número de paths es configurable sin límite superior; ecm_multipath=0 envía a todos los peers simultáneamente. Elimina cortes por picos de latencia del peer prioritario. La prioridad por latencia se extiende también a lectores NewCamd cliente, MGcamd cliente y hardware físico, con historial EMA y sparklines en tiempo real en la pestaña Diagnóstico.
• AES-128 IPTV: descifrado de streams IPTV con clave AES-128 por SRVID (estática o fetcheada por URL HTTP/HTTPS). Si no hay clave configurada, el sistema resuelve por el pipeline ECM normal. Soporta AES-CBC (DVB-CISSA), AES-ECB, AES-CTR y auto-detección. Configuración en candela.aeskeys y panel en el WebIF.
• Proxy IPTV multicast/unicast: reemplazo integrado de udpxy en el propio daemon. El STB apunta a Candela directamente con la misma URL que usaría con udpxy (/udp/IP:puerto, /rtp/IP:puerto). Soporta streams sin puerto explícito (usa 1234), relay HTTP directo y URLs percent-encoded. Header RTP variable según RFC 3550. Buffer UDP de 4 MB. Descifrado AES-128 transparente desde candela.aeskeys. Sin procesos externos, sin configuración adicional en el STB.
• Proxy HLS AES-128-CBC: el player apunta a Candela en lugar del servidor de streaming. Candela descarga el manifiesto m3u8, resuelve las claves AES (desde candela.aeskeys o desde la URI del #EXT-X-KEY), descifra cada segmento .ts en vuelo y lo sirve al player como si fuera FTA. IV correcto por segmento según RFC 8216 (implícito = media_seq + índice). Padding PKCS#7 eliminado. HTTPS para URIs de clave. Chunked transfer decoding. Rotación de claves múltiples en un mismo m3u8. Detección por contenido. Auto-guardado de claves descargadas en candela.aeskeys para sesiones futuras.
• MultiPID: Candela parsea todos los descriptores CA de la PMT y lanza ECMs en paralelo a todos los sistemas CA. La primera CW válida se entrega al receptor. Activable por canal. Útil en plataformas con Viaccess+Nagra simultáneos.
• Pestaña Diagnóstico ECM ampliada: estado CW even/odd (key 00/01) por canal con indicador de edad, ECM PID extraído de la PMT, actividad EMM por CAID con tasa por minuto, hit rate de resolución (caché/local/red) y feed de eventos del sistema. Toda la información necesaria para responder "¿por qué falla este canal?" sin tocar logs.
• ECM Replay Detector (ERD): Retardo sintético adaptativo en caché para anti-fingerprinting.
• CAS Fingerprint Inversion (CFI): Evolución de ERD: aplica solo el retardo mínimo histórico por CAID (ETO floor ~50ms vs ~300ms de ERD). Misma opacidad, latencia hasta 6× menor. Passthrough automático si la ECM ya tardó más que el floor.
• Overlap Guard (OLG): Entrega de CW de soporte para evitar micro-cortes en cambios de período.
• Entropy Analyzer (EEA): Monitorización matemática de la calidad y aleatoriedad de las CWs.
• Caché CW/ECM con lookup O(1) tommy_hashlin. Lookup de nombre de canal también O(1) (hasta 65.536 entradas).
• CW Cycle Check avanzado: por CAID, con maxlist, keeptime, sensibilidad configurable y uso de CWs CacheEx.
• DoubleCheck por CAID: filtrado selectivo de DoubleCheck solo a los CAIDs que lo necesitan.

• DVBAPI (Enigma2, VDR, Tvheadend) y StreamRelay con motor CSA SIMD nativo.
• Soporte nativo para CAK7/Merlin (CWEKey), Nagra, NDS, Viaccess, entre otros.
• Protocolos: internal, pcsc, mouse, smartreader, emu, constcw y mosc.
• Uso recomendado de cuenta visor con CW-Push para reshare interno eficiente por caché.
• Compatibilidad total con Windows, Linux (x64/ARM/MIPS) y Android.
• NewCamd y MGcamd (R40): Candela puede actuar como servidor NewCamd/MGcamd para clientes NCam/OSCam, y como cliente NewCamd/MGcamd conectándose a servidores existentes. Integración bidireccional sin necesidad de reemplazar la infraestructura existente.

• Interfaz web íntegrada Vue 3 (HTTP/HTTPS) con Monitor en tiempo real.
• Tema claro y oscuro con persistencia en localStorage.
• Arsenal Forense ACF completo: EMM Vault, APDU Fuzzer, ECM Simulator, Virtual MOSC, Nagra Key Calc, ECLD (Latency Decomposer), CWRID (CW Replay Detector), EEA (Entropy Analyzer), OLG (Overlap Guard), CW Predictor con prefetch predictivo, CW Brute-Force, Timeline Forense ECM e Inspector Payload ECM.
• Editor de archivos íntegrado: SoftCam.Key, FakeCW Blacklist, Services, SrvID y ProvID.
• Panel lateral con pestañas independientes: Alertas (failban + eventos en español), Cárcel Anti-Fake, Nodos Red (gossip + LAN Discovery) y BorraOff. Audit log cifrado, alertas por umbral y failban configurable.
• LAN Discovery: Detección automática de otras instancias Candela en la red local via beacon UDP broadcast (puerto 52700). Los candidatos aparecen en la pestaña Mapa de Red sin necesidad de configuración manual.
• Mensajería privada P2P cifrada y API REST con más de 40 endpoints.
• Control avanzado de caché CW/ECM: límites de memoria y entradas configurables.

Candela no busca solo funciónar, sino establecer un nuevo estándar de seguridad:

• Invisibilidad total frente al análisis de tráfico del ISP.
• Manejo forense de cada trama recibida o envíada.
• Máxima resistencia frente a baneos y ataques de operadoras.
• Arquitectura modular, ligera y orientada a la eficiencia.