# এটি নিরাপদ রাখুন

Canonical page: https://phishdestroy.github.io/TgWitness/bn/docs/security/

টেলিগ্রাম, পাবলিক প্রক্সি তালিকা এবং ঐচ্ছিক বাহ্যিক পরিষেবার রুটগুলো জানুন। প্রতিটি গোপন কী খুলে, কী ধরনের সুরক্ষা প্রদান করে এবং কী আপনার ওপর ছেড়ে দেয় তা জানুন।

**127.0.0.1**ডিফল্টরূপে প্যানেলের ঠিকানা

**২৫৬-বিট**এলোমেলো প্যানেল টোকেন

**0**সিডিএন, বিশ্লেষণ বা দূরবর্তী ফন্ট

**Ed25519**প্রতিটি রেকর্ডে স্বাক্ষর

## যেখানে সবকিছু বাস করে

কলেক্টর, এর প্যানেল এবং প্রতিটি সংরক্ষিত রেকর্ড আপনি যে কম্পিউটার বা সার্ভারে এটি চালান সেখানেই থাকে। টেলিগ্রাম ডিফল্টভাবে একমাত্র গন্তব্য; অন্য প্রতিটি গন্তব্য একটি পৃথক সুইচ।

০৬ / মেশিন থেকে কী বেরিয়ে আসেআপনার ইনস্টলেশন

আপনার কম্পিউটার বা সার্ভার

**প্যানেল**127.0.0.1:8787 · বেয়ারার টোকেন

**সংগ্রাহক**প্রতি ওয়ার্কস্পেসে একটি টেলিগ্রাম ক্লায়েন্ট

ডেটা ডিরেক্টরি

**জার্নাল**SQLite · হ্যাশ-চেইন্ড · স্বাক্ষরিত

**মিডিয়া**SHA-256 দ্বারা নামকরণকৃত ফাইলসমূহ

**ভল্ট**ফার্নেট · সেশন, এপিআই পেয়ার, সই কী, প্রক্সি

- **টেলিগ্রাম**সর্বদা · আপনার পথে

  অ্যাকাউন্টের MTProto সংযোগ: সরাসরি, SOCKS5, HTTP বা MTProxy। আইপি লুকানো মোড একটি কার্যকর প্রক্সির জন্য অপেক্ষা করে। সরাসরি ফ্যালব্যাকের জন্য এমন একটি মোড প্রয়োজন যা স্পষ্টভাবে এটি অনুমোদন করে।
- **অফ-সাইট অনুলিপি**ঐচ্ছিক · ডিফল্টভাবে বন্ধ

  জার্নাল, ফাইল এবং চেকপয়েন্টগুলো S3-সামঞ্জস্যপূর্ণ স্টোরেজে আপলোডের আগে AES-GCM দিয়ে এনক্রিপ্ট করা হয়। কী আপনার কাছেই থাকে; সংযুক্তিগুলো তাদের বিষয়বস্তুর হ্যাশের পরিবর্তে কী-যুক্ত হ্যাশের মাধ্যমে নামকরণ করা হয়।
- **অবহিতকরণ**ঐচ্ছিক · ডিফল্টভাবে বন্ধ

  চ্যাট শিরোনামে সমস্যা এবং পরিবর্তন গণনা। বার্তার উদ্ধৃতিগুলো শুধুমাত্র আপনি সেগুলো চালু করলেই পাঠানো হবে।
- **টাইমস্ট্যাম্প কর্তৃপক্ষ**ঐচ্ছিক · ডিফল্টভাবে বন্ধ

  শুধুমাত্র স্বাক্ষরিত চেকপয়েন্টের SHA-256 এবং একটি এলোমেলো নন্স। কোনো বার্তা নেই, কোনো চ্যাট নাম নেই।
- **সাক্ষী**ঐচ্ছিক · ডিফল্টভাবে বন্ধ

  শুধুমাত্র-পঠন টোকেন ব্যবহার করে স্বাক্ষরিত চেকপয়েন্ট এবং ক্যাপচার কাউন্টারগুলো পড়তে পারে। এটি কথোপকথন পড়তে বা সেটিংস পরিবর্তন করতে পারে না।

ডিফল্ট: শুধুমাত্র টেলিগ্রাম সংযোগই এই মেশিন থেকে বের হয়।

ঐচ্ছিক গন্তব্যসমূহ প্রতিটি ওয়ার্কস্পেস অনুযায়ী কনফিগার করা হয়। বার্তার টেক্সট এবং মিডিয়া ডেটা ডিরেক্টরিতে এনক্রিপ্ট না করে সংরক্ষণ করা হয়: এটিকে ডিস্ক এনক্রিপশন এবং ফাইল পারমিশন দিয়ে সুরক্ষিত করুন।

## প্রতিটি গোপন কী খুলে

| গোপন | যেখানে এটি রাখা হয় | এটি কী আনলক করে | যদি এটি লিক করে |
| --- | --- | --- | --- |
| প্যানেল টোকেন | `panel-token.txt` ডেটা ডিরেক্টরিতে আছে; ব্রাউজার এটি শুধুমাত্র ট্যাবের জন্যই রাখে। | প্রতিটি ওয়ার্কস্পেসে সবকিছু: পড়ুন এবং রপ্তানি করুন, স্কোপ পরিবর্তন করুন, অ্যাকাউন্টে সাইন ইন করুন | TgWitness বন্ধ করুন, `panel-token.txt` মুছে ফেলুন, আবার চালু করুন: একটি নতুন টোকেন তৈরি হয়েছে |
| **টেলিগ্রাম সেশন** | ভল্ট, এনক্রিপ্টেড (`credentials.enc`) | টেলিগ্রাম অ্যাকাউন্টটি নিজেই | টেলিগ্রামে সেশনটি শেষ করতে *সেটিংস → ডিভাইস*-এ যান। |
| **স্বাক্ষর কী** | ভল্ট, এনক্রিপ্টেড (`signing.enc`) | আপনার আঙ্গুলের ছাপের অধীনে যাচাইকৃত স্বাক্ষর রেকর্ডসমূহ | অন্যান্য স্থানে রাখা চেকপয়েন্ট, একজন সাক্ষী এবং টাইমস্ট্যাম্পগুলো দেখায় আগে কী ছিল। |
| **ভল্ট কী** | `vault.key`ডেটার পাশে, অথবা নতুন ডেটা ডিরেক্টরির জন্য একটি বাহ্যিক মাস্টার কী | ভল্ট ডিক্রিপ্ট করা | সেশন কী এবং স্বাক্ষর কী-কেও ফাঁস হিসেবে বিবেচনা করুন। |
| সাক্ষী টোকেন | সাক্ষী হোস্টে | শুধুমাত্র পড়ার জন্য: স্বাক্ষরিত চেকপয়েন্ট এবং স্বাস্থ্য | সাক্ষী পৃষ্ঠায় এটি মুছে ফেলুন; একটি নতুন তৈরি করুন। |
| **অফ-সাইট কপি কী** | ভল্ট; পুনরুদ্ধারের জন্য একবার ডাউনলোড করুন | অফ-সাইট কপি ডিক্রিপ্ট করা | যে কেউ সংরক্ষিত বস্তুগুলোও ধারণ করে, সে সেগুলো ডিক্রিপ্ট করতে পারে: সেই অনুলিপিটিকে উন্মুক্ত বলে গণ্য করুন। |

## রক্ষাগুলি কী কী অন্তর্ভুক্ত করে

### আবৃত

- রপ্তানিতে একটি রেকর্ড পরিবর্তিত, মুছে ফেলা বা পুনর্বিন্যস্ত হলে হ্যাশ চেইন বা স্বাক্ষর আর যাচাই হয় না।
- একটি জার্নাল চেকপয়েন্টের পরে কাট বা পুনর্নির্মাণ করা হয়েছে, কিন্তু চেকপয়েন্ট অন্যত্র সংরক্ষণ করা হয়েছিল: সংরক্ষিত চেকপয়েন্ট আর মেলে না।
- প্যানেল টোকেন অনুমান: ২৫৬টি এলোমেলো বিট, স্থির সময়ে তুলনা করা হয়; ১৫টি ব্যর্থতার পর এক মিনিটে একটি ঠিকানা প্রত্যাখ্যাত হয়।
- শত্রুপূর্ণ চ্যাট বিষয়বস্তু: টেক্সট কেবল টেক্সট হিসেবেই সন্নিবেশিত হয়, কখনই HTML হিসেবে নয়; সংযুক্তিগুলো ফাইল হিসেবে ডাউনলোড হয়; প্যানেল অন্য কোনো সাইট থেকে কিছুই লোড করে না।
- একটি অনুলিপি করা ডেটা ডিরেক্টরি বাহ্যিক ভল্ট কী সহ: সেশন এবং স্বাক্ষর কীগুলো মাস্টার কী ছাড়া এনক্রিপ্টেড থাকে।

### তোমার জন্য রেখে গেছে

- প্রধান প্যানেল টোকেন সম্পূর্ণ নিয়ন্ত্রণ রাখে। অন্যদের প্রয়োজনীয় অ্যাকাউন্ট, চ্যাট এবং ক্রিয়াকলাপে সীমিত প্রবেশাধিকার দিন; প্রধান কী ব্যক্তিগত রাখুন।
- মেশিনের একজন প্রশাসক সবকিছু পড়তে পারে এবং জার্নাল পুনরায় লিখতে ও পুনরায় স্বাক্ষর করতে পারে। ফিঙ্গারপ্রিন্ট এবং চেকপয়েন্টগুলো অন্য একটি সিস্টেমে সংরক্ষণ করুন।
- বার্তার টেক্সট এবং মিডিয়া TgWitness দ্বারা এনক্রিপ্ট করা হয় না। ডিস্ক এনক্রিপশন এবং কঠোর অনুমতি ব্যবহার করুন।
- লোকালহোস্টের বাইরে সাধারণ HTTP নেটওয়ার্কে টোকেন প্রদর্শন করে। HTTPS বা SSH টানেল ব্যবহার করুন।
- স্বাক্ষরগুলো প্রমাণ করে যে যা রেকর্ড করা হয়েছে তা পরিবর্তন হয়নি, তবে প্রতিটি টেলিগ্রাম ইভেন্ট রেকর্ড করা হয়েছে এমন নয়।

অনুমতি, মেয়াদোত্তীর্ণতা এবং সেশন সীমাসহ [একটি মামলার অ্যাক্সেস শেয়ার করুন](https://phishdestroy.github.io/TgWitness/bn/docs/access/)। একটি সাক্ষী টোকেন একটি পৃথক শংসাপত্র হিসেবে থাকে।

## একটি ইনস্টলেশনকে সুরক্ষিত করা

৮টির মধ্যে ০টি সম্পন্ন

1. **একটি নিবেদিত টেলিগ্রাম অ্যাকাউন্ট ব্যবহার করুন** — কখনই আপনার প্রধান অ্যাকাউন্ট নয়। প্যানেল টোকেন এবং সেশন এটিকে সম্পূর্ণ নিয়ন্ত্রণ দেয়।
2. **প্যানেলটিকে 127.0.0.1-এ রাখুন।** এটি শুধুমাত্র HTTPS (সংযুক্ত Caddy কনফিগারেশন) অথবা একটি SSH টানেলের মাধ্যমে দূর থেকে অ্যাক্সেস করুন।
3. ডেটা ডিরেক্টরি ধারণকারী **ডিস্কটি এনক্রিপ্ট করুন**: বার্তার টেক্সট এবং মিডিয়া যেভাবে এসেছে সেভাবে সংরক্ষণ করা হয়।
4. **ডেটা ডিরেক্টরিটি** সার্ভিস অ্যাকাউন্টে **সীমাবদ্ধ করুন**। ইউনিক্সে নতুন ডিরেক্টরিগুলো মোড 0700 পায়; উইন্ডোজে ফোল্ডারের পারমিশন সেট করুন।
5. **ভল্ট মাস্টার কী** সার্ভারগুলিতে **অন্যত্র রাখুন**: ডেটা ডিরেক্টরি তৈরি করার আগে `TGWITNESS_VAULT_KEY_FILE` সেট করুন।
6. **স্বাক্ষর-কী ফিঙ্গারপ্রিন্ট এবং চেকপয়েন্টগুলো** অন্য একটি সিস্টেমে **সংরক্ষণ করুন**, এবং অন্য একটি হোস্টে একজন সাক্ষী যোগ করুন।
7. `data/`, সেশন, `panel-token.txt` বা ভল্ট কী **কখনো** GitHub-এ বা কোনো চ্যাটে **আপলোড করবেন না**।
8. রিভার্স প্রক্সিতে `Authorization` হেডার বা অনুরোধের বডি **লগ করবেন না**।

**আমি কি ডেটা হারানো ছাড়াই প্যানেল টোকেন পরিবর্তন করতে পারি?**

হ্যাঁ। টোকেনটি শুধুমাত্র প্যানেলটি খোলে। TgWitness বন্ধ করুন, ডেটা ডিরেক্টরি থেকে `panel-token.txt` মুছে ফেলুন এবং এটি আবার চালু করুন; জার্নাল, সেশন এবং কীগুলো অক্ষত রয়েছে। `TGWITNESS_TOKEN` সেট থাকলে, ফাইলের পরিবর্তে পরিবেশের মান ব্যবহার করা হয়।

**মেসেজগুলো বিশ্রামে কেন এনক্রিপ্ট করা হয় না?**

সংগ্রাহককে সেগুলো পড়তে হবে অনুসন্ধান, সংস্করণ তুলনা এবং রপ্তানির জন্য। একই মেশিনে একটি কী দিয়ে সেগুলো এনক্রিপ্ট করলেও, সেই মেশিনটি পড়তে পারা কারো বিরুদ্ধে তা খুব একটা সুরক্ষা যোগ করবে না। ডিস্ক এনক্রিপশন বন্ধ বা চুরি হওয়া ডিস্ককে সুরক্ষিত রাখে; কঠোর অনুমতি ব্যবস্থা চলমান ডিস্ককে সুরক্ষিত রাখে।

## একটি দুর্বলতা রিপোর্ট করুন

GitHub রিপোজিটরিতে **Security → Report a vulnerability** ব্যবহার করুন। সংস্করণ, প্রভাব এবং ন্যূনতম সিন্থেটিক পুনরুত্পাদন অন্তর্ভুক্ত করুন। কখনই ক্রেডেনশিয়াল, অ্যাকাউন্ট ডিরেক্টরি বা প্রকৃত প্রমাণের আর্কাইভ পাঠাবেন না। যদি ব্যক্তিগত রিপোর্টিং অনুপলব্ধ থাকে, তাহলে এক্সপ্লয়েটের বিবরণ ছাড়া ব্যক্তিগত চ্যানেলের অনুরোধ করে একটি ইস্যু খুলুন।