# גישה והרשאות

Canonical page: https://phishdestroy.github.io/TgWitness/he/docs/reference/access/

הגדירו את היקף הגישה לחשבונות ולצ'אטים, בחרו הרשאות, הגבלו את משך ההפעלה ואת כתובות ה-IP, ובטלו את הגישה.

הענק למבקר גישה לצ'אט אחד, לאנליסט הרשאה לייצא תיק, או למפעיל שליטה על חשבונות נבחרים. כל אדם מקבל אסימון משלו. האסימון של לוח הבקרה הראשי נשאר בידי המנהל.

[הגדרת חשבון](https://phishdestroy.github.io/TgWitness/he/docs/reference/accounts/) · [נתיבי חיבור](https://phishdestroy.github.io/TgWitness/he/docs/reference/connection/) · [מודל אבטחה](https://phishdestroy.github.io/TgWitness/he/docs/reference/security/)

## שני תחומי פעילות, שתי משימות שונות

**היקף האיסוף** קובע מה יוקלט בחשבון: צ'אטים נבחרים, תיקיית טלגרם או החשבון כולו. **היקף הגישה** קובע אילו מבין החשבונות והצ'אטים המוקלטים אדם אחר יכול לראות ולהשתמש בהם. מתן גישה אינו מצרף את המשתמש לצ'אט בטלגרם, אינו מתחיל איסוף ואינו מעניק הרשאות לחשבון טלגרם.

גישה יכולה לפתוח סביבות עבודה נבחרות, צ'אטים נבחרים בתוכן, או את כל סביבות העבודה. **כל סביבות העבודה, כולל אלה שנוספו מאוחר יותר**, מכסות גם חשבונות עתידיים. יש לבחור סביבות עבודה במפורש כאשר יש להגביל את התיק אליהן בלבד.

## הענק גישה למישהו

1. התחבר כמנהל הראשי ופתח **את "Access"**.
2. תחת "**הענק גישה למישהו**", הזן שם שתוכל לזהות ביומן.
3. בחרו את סביבות העבודה, ובמידת הצורך, את הצ'אטים הבודדים.
4. בחר מה האדם הזה עשוי לעשות. האפשרות "**הצג"** כלולה תמיד.
5. הגדר את תוקף ההרשאה, מגבלות הכניסה/הפעילות והכתובות המותרות לפי הצורך.
6. לחץ על "**צור גישה**". העתק את האסימון כעת: הוא מוצג רק פעם אחת.
7. שלחו את כתובת הפאנל ואת האסימון באופן פרטי. הנמען מזין את האסימון הזה בדף הכניסה הרגיל; הוא אינו זקוק לאסימון הפאנל הראשי שלכם או למפגש טלגרם.

פתח את החלונית עם האסימון שהונפק במושב דפדפן נפרד ובדוק את הצ'אטים הגלויים ואת הפעולות המותרות לפני שתמסור אותו.

## בחר את ההרשאות

| הרשאה | מה הוא מאפשר |
| --- | --- |
| `view` | קראו צ'אטים מורשים, הודעות שנלכדו, פרופילים, קבצים ורשומות יומן מסוננות. כל אלה כלולים תמיד. |
| `export` | ניתן לייצא היסטוריית צ'אט ותיקים. ייצוא ראיות מכל סביבת העבודה מחייב גישה לכל סביבת העבודה. |
| `sources` | ניהול מקורות, צילומי מסך ולכידת פרופילים. גישה מוגבלת לצ'אטים יכולה לפעול רק בצ'אטים המותרים; גילוי מקורות והגדרות היקף ברמת החשבון נשארים סגורים. |
| `collect` | הפעל או הפסק את פעולת האספן. נדרשת גישה לכל סביבת העבודה, מכיוון שהאיסוף משפיע על החשבון. |
| `interact` | בצע אינטראקציות נתמכות ב-Telegram במסגרת היקף הגישה. גישה מוגבלת לצ'אט אינה מאפשרת שימוש בתצוגה מקדימה של קישורים ברמת החשבון. |
| `settings` | שינוי הגדרות האיסוף, חותמות זמן, התראות, עותקים מחוץ לאתר ופרמטרים. דורש גישה לכל סביבת העבודה. |
| `account` | התחבר או התנתק מ-Telegram ונהל את נתיבי החיבור. דורש גישה לכל סביבת העבודה. |

ההרשאות וההיקף נבדקים יחד. סימון הרשאה אינה פותחת צ'אטים אחרים ואינה מבטלת את ההגבלה על גישה לצ'אט מסוים לכל מרחב העבודה. לייצוא מקביל, הגישה חייבת לכסות את הצ'אט המיוצא בכל חשבון שנבחר. גישה שהונפקה אינה יכולה ליצור גישות חדשות, לנהל את הפעילויות של משתמשים אחרים או לפתוח את קונסולת המנהל.

### שלוש הגדרות שימושיות

| אדם | היקף | הרשאות |
| --- | --- | --- |
| מבקר | צ'אטים מוקלטים ממקרה אחד | `view` |
| אנליסט המכין מסמך העברה | הצ'אטים שיש לחקור ולייצא | `view`, `export`; הוסף את `interact` רק אם עליהם לפעול דרך טלגרם |
| מפעיל איסוף | סביבות עבודה שלמות נבחרות | `view`, `sources`, `collect`; הוסיפו `settings` או `account` רק במידת הצורך |

אלה הן דוגמאות שתוכלו להגדיר באמצעות תיבות הסימון של ההרשאות, ולא תפקידים קבועים.

## מגבלות ומפגשים

| הגדרה | איך זה עובד |
| --- | --- |
| מושבים מקבילים | הגבל את מספר הפעילויות המקבילות ל-1–100. כאשר מגיעים למגבלה, דחה את הכניסה הבאה או סיים את הפעילות הוותיקה ביותר. |
| כניסה מותרת | הגבל את מספר השימושים המוצלחים באסימון לפתיחת הפעלות. הפעלות קיימות אינן מסתיימות רק משום שנעשה שימוש בכניסה המותרת האחרונה. |
| תקף עד | תוקף הגישה פג לחלוטין. גישה שפג תוקפה אינה יכולה להתחבר או להמשיך לבצע בקשות. |
| דקות ללא פעילות | זמן ההשהיה של חוסר פעילות בפגישה, מ-5 דקות עד 30 ימים. בקשות מוצלחות מאריכות אותו; חלון פתוח עשוי לשמור על פעילותו באמצעות סקירה. |
| כתובות מותרות | קבל כתובות IP ספציפיות או תת-רשתות CIDR. השאר ריק כדי לאפשר כל כתובת, אלא אם כן מופעלת קישוריות לכניסה ראשונה. |
| התקשר לכניסה הראשונה | הכניסה המוצלחת הראשונה קובעת את הכתובת המותרת עבור גישה זו. |

כתובת ה-IP היא כתובת הלקוח הנראית על ידי היישום. מאחורי פרוקסי הפוך או מנהרה, יש לבדוק את הכתובת המוצגת תחת "**הפעלות פתוחות"** לפני הסתמכות על כללי IP: אחרת, ייתכן שייראה כי מספר משתמשים חולקים את כתובת הפרוקסי.

## שינוי או ביטול הגישה

ערוך ערך תחת **"גישות"** כדי לשנות את היקפו, ההרשאות או המגבלות שלו. שינויים בהיקף ובהרשאות נבדקים בבקשות עוקבות, כולל בקשות ממפגשים שכבר פתוחים. ביטול גישה מסיים את המפגשים שלה והופך את האסימון שהונפק לבלתי שמיש. "**מפגשים פתוחים"** מאפשר גם למנהל לסיים מפגש בודד מבלי לבטל את הגישה כולה.

ביטול ההרשאה אינו מאפשר לשחזר קבצים שכבר הורדו על ידי מישהו. יציאה מהמערכת, נעילת המסך או סיום הפעלה אינם עוצרים את פעולת האספן.

## מה המנהל יכול לראות

**היומן מאז תחילתו** משלב יומני תהליכים עם פעילות היומן מכל סביבת עבודה: כניסות, סירובים, שינויי מסלול ופעולות המפעיל. זוהי קונסולה בזיכרון עבור התהליך הנוכחי, ולא עותק קבוע של כל הודעה. אירועי הודעות תכופים נשמרים ביומן במקום למלא את הקונסולה.

הענקת גישה, שינויה וביטולה, וכן פתיחת או סיום הפעלות, יוצרים גם הם רשומות חתומות ביומן ה-`access.*`. אסימונים אינם כלולים ברשומות אלה. אסימונים שהונפקו ופרטי הזדהות של הפעלה נשמרים כ-hashים בכספת המוצפנת.

****מנהל ראשי וגבולות האמון**** אסימון הלוח הראשי נשאר ללא הגבלות. כניסות לדפדפן באמצעותו יוצרות הפעלות הכפופות למגבלות ההפעלה שהוגדרו על ידי המנהל. סקריפטים השולחים את האסימון הראשי ישירות שומרים על גישה מלאה ואינם נספרים כהפעלות דפדפן. זוהי בקרת גישה ברמת היישום בהתקנה אחת. כל סביבות העבודה חולקות את תהליך השרת; אין מדובר בבידוד ממנהל המערכת המארח. יש לשמור על פרטיות האסימון הראשי, הפעלות טלגרם, מפתחות החתימה וספריית הנתונים. אסימון עד הוא אמצעי אימות נפרד לבדיקת תקינות, ולא אסימון גישה ללוח הבקרה.