Modi, Szenarien und Evidenzstufen
TgWitness Zeichnet auf, was das verbundene Konto beobachtet. Ein Dritter kann die Integrität der Aufzeichnung anhand eines unabhängig vertrauenswürdigen Schlüssels überprüfen.
Für das Konto sichtbare Aktualisierungen
Verknüpfte Datensätze, jeweils signiert
Vertrauenswürdiger Schlüssel + beibehaltene Grenze
h₁ → h₂ → h₃ · Ed25519Die Integrität wird überprüft. Die Herkunft aus Telegram und die Richtigkeit einer Nachricht bleiben getrennte Fragen.Drei Bereiche und eine voreingestellte Untersuchung. Ausschlüsse und aktivierte Quelltypen gelten weiterhin.
Tut nicht Es erkennt keine anderen Chats und füllt keine früheren Verlaufsdaten nach.
Tut nicht Die sich ändernden Bedingungen des Ordners muted/read Bedingungen des Ordners an.
Tut nicht Es tritt nicht automatisch Chats bei und umgeht auch nicht den Zugriff auf die Quelle.
Tut nicht Es werden nicht alle bestehenden Chats erfasst, und es werden keine in einem anderen Client ausgelösten Callbacks beobachtet.
Diese Karten dienen einem lokalen Vergleich und stellen keine Live-Steuerelemente des Collectors dar. Sie nehmen keine Änderungen an einem Konto vor.
Tut nicht Kein Modus liest geheime Chats aus, zeichnet auf, während der Prozess angehalten ist, tritt eigenständig Quellen bei oder ruft frühere Verlaufsdaten ab, die über die angeforderte snapshot/export.
Lesen Sie die DetailsNur übermittelte oder ausdrücklich angeforderte Beobachtungen werden in das Protokoll aufgenommen. Unbekannte Zuordnungen bleiben unbekannt.
Das Bedienfeld wendet diese Schalter pro Arbeitsbereich an. Das Deaktivieren eines Schalters bewahrt bestehende Datensätze; das erneute Aktivieren stellt verpasste Ereignisse nicht wieder her.
| Kategorie | Gespeichert | Bleibt unbekannt |
|---|---|---|
| Nachricht | Text, IDs, Absender-Metadaten, Antwortkontext und ursprünglicher Update-Envelope. | Keine von Dritten überprüfbare Telegram-Signatur. |
| Bearbeiten | Jede beobachtete Version, ohne frühere zu überschreiben. | Zwischenzeitliche Bearbeitungen können übersehen werden; der Absender ist nicht zwangsläufig der Bearbeiter. |
| Löschung | Hinweis sowie zuvor gespeicherter Text, sofern verfügbar. | Der Löschvorgang und der genaue Zeitpunkt der Aktion werden nicht angegeben. |
| Löschen ohne Geltungsbereich | Hinweis auf Kontoebene; unbekannte Peers bleiben explizit. | Keine vermuteten Chats. Die Korrelation nutzt nach Möglichkeit zuvor gespeicherte, auf das Konto bezogene IDs. |
| Reaktion | Übermittelte Zähler und sichtbare aktuelle Identitäten. | Nicht jeder Reaktor ist sichtbar; eine vollständige Liste der verfügbaren Reaktoren erfordert separate Abfragen. |
| Mitgliedschaft | Zugestellte Dienstmeldungen und Teilnehmer-Updates. | Rolle und Chat-Typ schränken die Sichtbarkeit ein; Schweigen bedeutet nicht Abwesenheit. |
| Anhang | Deskriptor der Originalversion, gespeicherte Bytes, SHA-256 sowie Ergebnisse der Versuche. | Eine verschwundene Datei ist möglicherweise nicht mehr verfügbar; eine neuere Version ersetzt sie nicht. |
| Historischer Momentaufnahme | Derzeit sichtbare Nachrichten, die als Verlaufsbeobachtungen gekennzeichnet sind. | Frühere Bearbeitungen und verschwundene Inhalte werden nicht rekonstruiert. |
| Eigene Handlungen | Ausgehende messages/edits sowie die entsprechenden Metadaten der Antworttastatur button_press Metadaten. | In einem anderen Telegram-Client ausgelöste Callbacks sind nicht sichtbar. |
| Bot-Schaltflächen | Callback, URL, Web-App und Metadaten der Anfrage werden mit der Nachricht beibehalten. | URLs und phone/location Anfragen sind Text und werden nicht automatisch geöffnet oder ausgeführt. |
Tut nicht Ein Schalter löscht keine eingebetteten Metadaten und deaktiviert keine Betriebsprotokolle. Die Erfassung identifiziert keinen Akteur, den Telegram nicht bereitgestellt hat.
Lesen Sie die DetailsJedes Konto verfügt über einen eigenen Arbeitsbereich, ein eigenes Protokoll, einen eigenen Signaturschlüssel, eine eigene Route und eine eigene Warteschlange.
Geben Sie 2FA , wenn diese Option aktiviert ist.
Scannen Sie von einem autorisierten Gerät aus; 2FA dies kann weiterhin erforderlich sein.
Importieren Sie die Sitzungsdatei des Kontos.
Importieren Sie das unterstützte Pyrogram Sitzungsformat.
Ein unterstütztes Desktop-Konto; lokaler Passcode, falls festgelegt.
Fügen Sie ein Telethon StringSession.
Wählen Sie die Sitzung und die dazugehörigen Metadaten aus.
Importieren Sie die Kontoautorisierung zusammen mit ihrer Rechenzentrums-Kennung.
Direct · SOCKS5 · HTTP CONNECT · MTProxyMTProxy ist experimentell; integrierte öffentliche MTProxy Listen stehen zur Verfügung. Eine fehlgeschlagene Proxy-Route weicht nicht auf eine direkte Verbindung aus.
Zwei Arbeitsbereiche auf einem Rechner stellen keine zwei unabhängigen Zeugen dar.
Tut nicht Der Import umgeht weder die Telegram-Autorisierung noch 2FA noch nicht unterstützte Sitzungsformate. Die Konten nutzen weiterhin denselben Anwendungsprozess.
KontoformateSenden oder antworten Sie, drücken Sie eine aktuelle Bot-Schaltfläche, speichern Sie eine Link-Vorschau und treten Sie anschließend explizit einem Chat bei oder starten Sie einen Bot mit dessen Startparameter.
interaction.previewinteraction.requestedinteraction.resultVorschau-, Anforderungs- und Ergebnisbestätigungen sind signiert. Vor dem Drücken einer Schaltfläche ruft der Server die Nachricht erneut ab und lehnt eine geänderte Eingabe ab. Zurückgesendete Callback-Texte und URLs bleiben als aufgezeichneter Kontext erhalten.
Tut nicht Keine Web-Apps, Zahlungen, phone/location Freigaben oder Inline-Abfragen. Das Anzeigen einer URL führt nicht zu deren Öffnung.
Lesen Sie die DetailsLücken werden aufgezeigt, nicht verborgen.
Nach einem Neustart wird Telegram nach verpassten Aktualisierungen gefragt. Eine begrenzte Aufbewahrungsdauer und abgelaufene Differenzen können Lücken hinterlassen.
Standardeinstellungen: Prioritätsquellen alle 15 Minuten, andere alle 6 Stunden. Zu den Ergebnissen gehören message.recovered und message.missing_on_recheck.
Beobachtungszeiträume, Lücken mit Begründungen und nicht beobachtete IDs sind im signierten Export enthalten. Ein Eintrag „bei erneuter Überprüfung nicht vorhanden“ ist keine Löschmitteilung.
Tut nicht Ein späterer Verlaufs-Snapshot löscht keinen Ausfall und stellt nicht jede verschwundene Version wieder her. Der gespeicherte Cursor ist keine verlustfreie Bestätigung der Protokollannahme.
Lesen Sie die DetailsJeder Mechanismus beantwortet eine klar abgegrenzte Frage. Konfigurieren Sie externe Dienste separat und bewahren Sie deren Vertrauensanker außerhalb des Collectors auf.
SHA-256 Kette + Ed25519 pro Ereignis; die erste previous_hash besteht aus 64 Nullen.
Überprüfungen durch Dritte Reihenfolge und Signaturen unter dem festgesteckten Collector-Schlüssel.
Tut nicht Dies belegt weder die Herkunft aus Telegram noch die Vollständigkeit.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256manifest.json listet Datei-Hashes auf; manifest.sig signiert diese. media.saved verknüpft Anhangsbytes mit einem Ereignis.
Überprüfungen durch Dritte Die bereitgestellten Dateien stimmen mit dem signierten Manifest und den Medienbelegen überein.
Tut nicht Es signiert weder eine separat heruntergeladene CSV, HTML oder Screenshot.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256Checkpoint beim Start, standardmäßig alle 5 Minuten, sowie ordnungsgemäßer Abbruch. Bewahren Sie eine Kopie an einem anderen Ort auf.
Überprüfungen durch Dritte Der spätere Export stimmt mit einer zuvor gespeicherten Länge und einem zuvor gespeicherten Header überein; ein Rollback kann erkannt werden.
Tut nicht Es erkennt nicht, wenn sowohl das Protokoll als auch alle gespeicherten Kontrollpunkte ersetzt werden.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --checkpoint checkpoint.jsonDer Evidenzmodus sendet einen Checkpoint SHA-256 an RFC 3161 Behörden (FreeTSA, DigiCert) sowie OpenTimestamps Kalendern.
Überprüfungen durch Dritte Eine verifizierte TSA-Antwort datiert diese Bytes; ein bestätigter OpenTimestamps Nachweis verankert sie in Bitcoin.
Tut nicht Eine vorbereitete Anfrage oder eine ausstehende Kalenderbestätigung wird nicht als bestätigter Zeitstempel behandelt.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --tsa-ca trusted-ca.pem
ots upgrade checkpoint.ots
ots verify checkpoint.otsGetrennter Host, bereichsgebundener, schreibgeschützter Endpunkt, neue Herausforderung, eigene key/journal sowie TGW1 Kanalbeiträge.
Überprüfungen durch Dritte Zuvor akzeptierte Heads; Status: ok, key_changed, „Rollback“, „Fork“, „ungültig“ und no_response.
Tut nicht Dies macht zwei Arbeitsbereiche auf einem Collector-Host nicht zu unabhängigen Zeugen.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --witness witness.zip --witness-fingerprint WITNESS_SHA256 --channel result.jsonS3-kompatible Kopie, verschlüsselt mit AES-256-GCM; Object Lock , sofern der Bucket dies unterstützt.
Überprüfungen durch Dritte „Restore“ veröffentlicht Dateien erst, nachdem die Überprüfung des Protokolls, des Checkpoints und der gesicherten Medien erfolgreich abgeschlossen wurde.
Tut nicht Eine Wiederherstellung ohne den exportierten Schlüssel ist nicht möglich, und eine Aufbewahrung wird nicht vorausgesetzt, ohne die Speicherantwort zu überprüfen.
python -m tgwitness.replica restore --key-file KEY.json --out EMPTY_DIRSignierte Ausführungsbestätigung: Quell-Hashes, Versionen der Abhängigkeiten und Prozesskontext. Selbst gemeldet.
Überprüfungen durch Dritte Was der Signatur-Kollektor über seine eigene Ausführung gemeldet hat.
Tut nicht Es bietet keine unabhängige Prozessbeglaubigung und schließt eine Kompromittierung vor der Aufzeichnung nicht aus.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256Lokales SHA-256 Experiment
Der nächste Datensatz behält den zuvor gespeicherten Link bei. Eine Änderung des Textes verändert den berechneten Hash von Datensatz 2.
h1Beginnt mit 64 Nullenh2Enthält die gespeicherten h1h3Enthält die gespeicherten h2Statisches Beispiel: h2 bezieht sich auf „Treffen um 11:00 Uhr“. Eine Änderung dieses Textes verändert h2; Datensatz 3 verweist weiterhin auf den gespeicherten h2.
SHA-256(e₂)SHA-256(e₂)Fiktive Situationen. Beginnen Sie die Erfassung vor dem relevanten Ereignis; bewahren Sie neben dem Inhalt auch die Grenzen und Lücken.
Tut nicht Es stellt kein Original wieder her, das nie erfasst wurde.
Tut nicht Er identifiziert den Löschenden nicht anhand einer Benachrichtigung, die keinen Akteur angibt.
Tut nicht Es öffnet keine Bot-Web-App, führt keine Zahlungen durch und zeichnet keine Callbacks anderer Clients auf.
Tut nicht Er wandelt weder eine Wallet noch eine telefonähnliche Zeichenfolge oder einen Benutzernamen in eine nachgewiesene Identität um.
Tut nicht Es ersetzt weder einen unabhängigen Zeugen noch einen separat aufbewahrten Entschlüsselungsschlüssel.
Legen Sie das signierte Original, einen unabhängig gespeicherten Schlüssel-Fingerabdruck, den entsprechenden Checkpoint und das Verifizierungsergebnis vor.
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --checkpoint checkpoint.jsonBeziehen Sie den Verifizierer aus einer vertrauenswürdigen Kopie, nicht aus dem zu überprüfenden Archiv.
Tut nicht Standalone CSV und HTML sind keine signierten Container. Ein Passwort schützt die Vertraulichkeit der Übertragung, nicht die Authentizität. Mehrere Exporte führen nicht zu einer Zusammenführung der Kontoprotokolle.
Lesen Sie die DetailsGrundlegende Artefakte ohne zusätzliche Signatur-, Zeitstempel- oder Zeugen-Systeme. Skripte und Logger variieren je nach Implementierung; „teilweise“ bedeutet, dass sie auf erfasste oder sichtbare Daten beschränkt sind.
| Vorgehensweise | Bearbeitungen / Löschungen | Signatur aufzeichnen | Externe Zeit | Unabhängiger Zeuge | Abdeckung / Lücken | Verifizierung ohne Autor |
|---|---|---|---|---|---|---|
| Telegram-Desktop-Export | Teilweise | Nein | Nein | Nein | Nein | Nein |
| Telethon Snapshot-Skript | Teilweise | Nein | Nein | Nein | Nein | Nein |
| Löschprotokoll: Textprotokoll | Teilweise | Nein | Nein | Nein | Nein | Nein |
| Screenshots / Web-Aufnahmen | Teilweise | Nein | Nein | Nein | Nein | Nein |
| TgWitness mit konfigurierten Zusatzfunktionen | Teilweise | Ja | Ja | Ja | Teilweise | Ja |
Tut nicht Die Tabelle bewertet nicht jedes Skript oder jedes Protokollierungsprodukt. Optionale Zeit- und Zeugenprüfungen erfordern eigene Dienste und Vertrauensanker; keiner davon begründet die „Source Truth“.
Lesen Sie die DetailsEine Verifizierung ist dann sinnvoll, wenn ihr Umfang eindeutig definiert bleibt.
Tut nicht Kein Modus und keine Beweisstufe begründen die rechtliche Zulässigkeit, die vollständige Zustellung über Telegram oder eine Identität in der realen Welt.