PFS clave X25519 efímera por sesión

Zero-Trust ningún peer de confianza implícita

Anti-DPI tráfico indistinguible de HTTPS

CTC Fake TLS 1.3 + SNI CDN + ALPN

AMPE ECM multi-path paralelo

NRS scoring 0-100 por peer

PIR baneos compartidos entre nodos

NETMAP topología por gossip P2P

NSS apagado sin pantalla negra

Anti-Eclipse límite de peers por /24

LAN Discovery beacon UDP local

Nonce monotónico uint64 anti-birthday

PFS clave X25519 efímera por sesión

Zero-Trust ningún peer de confianza implícita

Anti-DPI tráfico indistinguible de HTTPS

CTC Fake TLS 1.3 + SNI CDN + ALPN

AMPE ECM multi-path paralelo

NRS scoring 0-100 por peer

PIR baneos compartidos entre nodos

NETMAP topología por gossip P2P

NSS apagado sin pantalla negra

Anti-Eclipse límite de peers por /24

LAN Discovery beacon UDP local

Nonce monotónico uint64 anti-birthday

El problema

Por qué cambiar a Candela

Los softcams tradicionales se diseñaron hace más de una década. El panorama de red cambió; ellos no.

🔓

Las credenciales viajan en claro o con cifrado mínimo

Los protocolos clásicos cliente-servidor transmiten líneas C/N y claves de sesión sin protección real de extremo a extremo. En Candela cada sesión negocia una clave X25519 efímera: las credenciales nunca salen sin cifrar del origen.

👁

El patrón DVB es visible para cualquier inspector de tráfico

Los períodos ECM son regulares y su firma espectral es característica. Candela usa CTC con Fake TLS 1.3 Record Layer, ALPN y SNI de CDN para hacer el tráfico indistinguible de HTTPS normal, más CPM (Adaptive Pulse Masking) que destruye la firma temporal.

⚡

Un servidor caído significa pantalla negra para todos

La arquitectura centralizada convierte cualquier incidencia del servidor en un fallo total. La red P2P de Candela no tiene nodo central: AMPE consulta en paralelo los N mejores peers, NRS gestiona reputación dinámica, y NSS notifica apagados planificados para que ningún peer quede bloqueado.

Características

Construido para el mundo real

No es marketing. Cada feature resuelve un problema concreto que los softcams clásicos ignoran.

🔒

Cifrado X25519 + ChaCha20-Poly1305

Perfect Forward Secrecy real. Cada sesion genera un par de claves efimero X25519. Las credenciales nunca viajan en texto plano. Autenticación mutua con MAC Poly1305.

🌐

Red P2P propia con gossip

NETMAP descubre la topología completa por gossip puro sin credenciales en transito. Sin servidor central. LAN Discovery detecta instancias locales via beacon UDP.

🔒

Anti-DPI / Fake TLS 1.3

CTC emula un handshake TLS 1.3 completo con cipher suites aleatorios, SNI de CDN y ALPN. El trafico es indistinguible de HTTPS para cualquier firewall o inspector de red.

⚡

AMPE - Multi-path ECM

Adaptive Multi-Path ECM consulta en paralelo los N mejores peers HLS. Latencia mínima, sin bloqueos por un peer lento. Paths configurables sin límite: desde un solo peer hasta todos los disponibles simultáneamente. La prioridad por latencia aplica también a lectores NewCamd, MGcamd y hardware físico. MultiPID permite usar todos los sistemas CA de la PMT en paralelo para canales multisistema.

🎯

NRS - Scoring de peers

Node Reputation Score evalua cada upstream por latencia EWMA, estabilidad y actividad ECM en una escala 0-100. Los peores peers se excluyen automáticamente.

🛡

Anti-Eclipse / PIR

Límite de peers activos por bloque /24 para evitar eclipse de subred. PIR (Peer Intelligence Ring) comparte baneos entre nodos autenticados en tiempo real.

💬

Mensajeria P2P cifrada

Canal de mensajes cifrado de extremo a extremo entre nodos de la red. Comunicación directa entre peers sin intermediarios, protegida con el mismo cifrado del protocolo principal.

📊

CW Predictor y Cache

Prediccion de Control Words para CAIDs con patrónes periódicos conocidos. Caché CW/ECM con límites de memoria configurables. Reduce latencia en canales de alta carga.

📿

AES-128 IPTV

Descifrado nativo de streams IPTV y OTT con AES-128-CBC (DVB-CISSA), AES-128-ECB y AES-128-CTR. Clave estática por SRVID o fetcheada desde URL HTTP/HTTPS (estándar HLS EXT-X-KEY). Clave global comodín con * para plataformas de clave única. Si no hay clave configurada, el pipeline ECM normal resuelve el canal.

📸

Proxy IPTV multicast/unicast

Reemplazo integrado de udpxy en el propio daemon. El STB apunta a Candela directamente: /udp/239.x.x.x:puerto, /rtp/ y relay HTTP directo sin puerto. Header RTP variable (RFC 3550), buffer UDP de 4 MB para streams de alta densidad y descifrado AES-128 transparente desde candela.aeskeys.

🎥

Proxy HLS AES-128-CBC

El player apunta a Candela en lugar del servidor origen. Los segmentos cifrados se descifran en vuelo: IV correcto por segmento (RFC 8216), padding PKCS#7 eliminado, descarga de claves por HTTPS, chunked transfer encoding, rotación de claves múltiples en el mismo m3u8 y auto-guardado de claves en candela.aeskeys.

🔎

Diagnóstico avanzado en tiempo real

Pestaña Diagnóstico con estado CW even/odd y ECM PID por canal, actividad EMM por CAID con tasa por minuto, sparklines de latencia por reader (NC/MG/HW), hit rate de resolución ECM (caché/local/red) y feed de eventos del sistema. Toda la información para responder "¿por qué falla este canal?" sin tocar logs.

🌐

WebIF íntegrado

Panel de control web embebido en el binario. Sin dependencias externas. HTTPS, autenticación por token, monitoreo en tiempo real de peers, ECMs y estado de la red.

🔁

Compatibilidad NewCamd / MGcamd

Desde R40, Candela acepta conexiónes de NCam u OSCam via NewCamd/MGcamd y puede conectarse como cliente a servidores externos. Integración con instalaciones legacy sin sacrificar la red P2P propia.

Comparativa

Candela frente a los softcams clásicos

Una comparativa técnica honesta. CCcam, Gbox, MGcamd, NewCS y Scam son proyectos válidos en su contexto; simplemente se diseñaron para otra epoca.

Caracteristica	Candela	CCcam	Gbox	MGcamd	NewCS	Scam
Cifrado ECDH/E2E real (X25519 + ChaCha20)	✓	–	–	–	parcial	–
PFS (Perfect Forward Secrecy)	✓	–	–	–	–	–
Anti-DPI / camuflaje TLS	✓ CTC	–	–	–	–	–
Arquitectura Zero-Trust	✓	–	–	–	–	–
Red P2P propia anonimizada	✓	–	parcial	–	–	–
Descubrimiento gossip P2P	✓ NETMAP	–	–	–	–	–
Multi-path ECM paralelo	✓ AMPE	–	–	–	–	–
Scoring dinámico de peers	✓ NRS	–	básico	–	–	–
Mensajeria P2P (cifrada extremo a extremo)	✓	–	parcial	–	–	–
WebIF embebido en binario	✓	✓	–	–	–	–

CCcam, Gbox, MGcamd, NewCS y Scam son proyectos de otra generación - válidos en su día, pero sin diseño de seguridad moderno.

Candela frente a OSCam / NCam

OSCam y NCam son softcams activos y complementarios a Candela. La tabla muestra las diferencias de enfoque.

Caracteristica	Candela	OSCam	NCam
Cifrado E2E (X25519 + ChaCha20)	✓	–	–
PFS / ECDH por sesion	✓	–	–
Anti-DPI / camuflaje TLS	✓ CTC	–	–
Red P2P propia anonimizada (sin servidor)	✓	–	–
WebIF embebido en binario	✓	✓	✓
Soporte DVBAPI	✓	✓	✓
Herramientas Forense	✓	–	–
Arquitectura Zero-Trust	✓	–	–
Compatibilidad NewCamd / MGcamd	✓ R40+	✓	✓
Coalescing ECM + push proactivo de CW (NC/MG)	✓ R41+	–	–
Detección y purga automática de CW mala (NC/MG)	✓ R41+	–	–
Codigo abierto	–	✓	✓

OSCam y NCam son excelentes softcams. Candela no "compite" en el mismo plano: resuelve un problema diferente (seguridad de red, invisibilidad, P2P). La compatibilidad NewCamd/MGcamd (R40+) permite usar Candela como puente hacia instalaciones legacy sin reemplazar nada. Desde R41, el servidor NC/MG incorpora coalescing de ECMs, push proactivo de CW y detección automática de CW mala. Funciones propias de Candela que no existen en el protocolo estándar, aprovechando el motor interno de Candela.

Bajo el capó

Un protocolo diseñado para entornos hostiles

Cada decisión de diseño responde a una amenaza real. No hay defaults inseguros.

candela - handshake & ECM trace

# --- TLS 1.3 Record Layer (CTC) ---

[00] → CTC Fake TLS ClientHello SNI=cdn.example.com

[01] ← CTC Fake TLS ServerHello ALPN=h2

# --- ECDH Handshake ---

[02] 🔑 ECDH gen ephemeral X25519 keypair

[03] → HELLO pubkey + nonce_64 + version

[04] ⊕ DH shared_secret → HKDF-SHA256 → session_key

[05] 🔒 AUTH encrypt(credentials) [ChaCha20-Poly1305]

[06] ✓ ACK session OK | PFS active | rekey scheduled

# --- NRS check + ECM dispatch ---

[07] 🎯 NRS peer score=87/100 latency_ewma=41ms

[08] ⚡ AMPE dispatch ECM paths=2 timeout=120ms

[09] ✓ CW received latency=38ms nonce=0x00a4f3c1

[10] ↺ REKEY transparent renegotiation no TCP cut

ECDH-first Handshake

Credenciales siempre cifradas

El intercambio X25519 ocurre antes de cualquier autenticación. Las credenciales nunca viajan en claro, ni siquiera en el primer paquete. Rekey transparente sin corte TCP.

CTC - Candela Transport Camouflage

Tráfico indistinguible de HTTPS

Fake TLS 1.3 Record Layer completo con ALPN, cipher suites aleatorizados y SNI de CDN. Diseñado para ser indistinguible del tráfico HTTPS ante inspectores DPI estándar.

Nonce monotónico anti-birthday

Colisiones de nonce negligibles

Contador uint64 por peer XORado en el nonce ChaCha20. Cada mensaje usa un nonce único dentro de la sesión - la probabilidad de colisión es prácticamente nula incluso en sesiones de duración extrema.

NRS - Node Reputation Score

Reputación dinámica de peers

Scoring 0-100 por latencia EWMA, estabilidad de sesión y actividad ECM. Los peers degradados se excluyen automáticamente antes de que afecten al servicio.

Compatibilidad CAS

Sistemas de acceso condicional soportados

Soporte nativo para los principales sistemas CAS vía tarjeta física, lector local o red P2P. Emulación multi-CAS adicional vía SoftCam.Key.

Nagravision 2/3

Movistar+, Sky IT, Canal Digital

Nativo

Nagravision CAK7

Canal+ FR, NC+ PL, Tivùsat, HD+

Nativo

Viaccess 3/5

Canal+ FR / CanalSat, TNT Sat, Bis TV

Nativo

Irdeto 2

Liberty Global (UPC, Telenet, Ziggo)

Nativo

SECA / Mediaguard

Canal+ FR, Canal Sat, AB Sat (legacy)

Nativo

Conax

Telenor, Canal Digital, GET

Nativo

CryptoWorks

Tele Columbus, EWE TEL

Nativo

NDS / VideoGuard

Sky UK, Sky IT, DirecTV

Nativo

DRE-Crypt

Tricolor TV, NTV+

Nativo

TongFang

Operadores Asia/IPTV

Nativo

Streamguard

Operadores Europa del Este

Nativo

Multi-CAS

Emulación vía SoftCam.Key

Emulado

🔑

SoftCam.Key - Emulación multi-CAS
Carga de fichero SoftCam.Key compatible con OSCam/NCam. Soporte para múltiples CAIDs simultáneos sin tarjeta física. Recarga en caliente sin reiniciar el proceso. Gestión visual desde la pestaña Editor → SoftCam Key Manager del WebIF.

Nativo Tarjeta física + lector local o red P2P

Emulado Emulación por fichero SoftCam.Key

Interfaz Web

WebIF - Panel de control íntegrado

Embebido directamente en el binario. Sin dependencias externas, sin instalación adicional. HTTPS nativo, autenticación por token y monitorización en tiempo real.

PANEL Dashboard general

Resumen del nodo: uptime, peers, lectores locales, clientes conectados y actividad ECM en tiempo real.

MONITOR Tráfico y caché

Gráfica de tráfico de red KB/s en tiempo real, caché CW e indicadores de latencia ECM por servicio.

MONITOR Topología P2P

Topología de red P2P por saltos (hops), demuxes DVBAPI activos e inspector de ECMs en tiempo real.

EDITOR Gestión de claves y servicios

SoftCam Key Manager, FakeCW Blacklist, Editor de Servicios y mapas CAID:SRVID/ProvID. Todo recargable en caliente.

CSA Configuración CAS

Módulos CSA, DVBAPI & StreamRelay, control CW/ECM/EMM, CW Cycle Check y DoubleCheck configurables.

CSA Módulos de seguridad

Módulos forenses ETO, ERD, CFI, EFG y analítica CWRID, EEA, ECLD, OLG activables individualmente.

WebIF disponible en http://localhost:8080 tras el inicio. Puerto y credenciales configurables en candela.json.

Puesta en marcha

En tres pasos

Sin instaladores, sin dependencias en tiempo de ejecución. Un solo binario estático.

Descarga el binario

Elige el binario para tu arquitectura: x86_64, ARM, MIPSEL, PowerPC, Android, Windows, etc. Todos en un solo paquete.

Configura el nodo

Copia candela.json.example a candela.json. Configura tu NodeID, peers iniciales y puerto. La wiki cubre cada parámetro.

Lanza Candela

Ejecuta ./candela -c candela.json. El WebIF estará en http://localhost:8080 con las credenciales que hayas configurado.

El softcam quetu proveedorno quiere que uses

Por qué cambiar a Candela

Las credenciales viajan en claro o con cifrado mínimo

El patrón DVB es visible para cualquier inspector de tráfico

Un servidor caído significa pantalla negra para todos

Construido para el mundo real

Cifrado X25519 + ChaCha20-Poly1305

Red P2P propia con gossip

Anti-DPI / Fake TLS 1.3

AMPE - Multi-path ECM

NRS - Scoring de peers

Anti-Eclipse / PIR

Mensajeria P2P cifrada

CW Predictor y Cache

AES-128 IPTV

Proxy IPTV multicast/unicast

Proxy HLS AES-128-CBC

Diagnóstico avanzado en tiempo real

WebIF íntegrado

Compatibilidad NewCamd / MGcamd

Candela frente a los softcams clásicos

Un protocolo diseñado para entornos hostiles

Credenciales siempre cifradas

Tráfico indistinguible de HTTPS

Colisiones de nonce negligibles

Reputación dinámica de peers

Un binario para cada dispositivo

Sistemas de acceso condicional soportados

WebIF - Panel de control íntegrado

En tres pasos

Descarga el binario

Configura el nodo

Lanza Candela

Candela v1.0 R42 Cóndor

Soporte y recursos

Wiki Técnica

Changelog

Preguntas Frecuentes

Soporte Oficial

Acerca de

Colaborar

El softcam que
tu proveedor
no quiere que uses