חיבור, פרוקסי והגנה על נתונים

מסמך זה מתאר את התנהגות TgWitness 0.7.0 ואת מגבלותיו. אימות, גישה למקור, קישוריות רשת ושלמות הלכידה הם מצבים נפרדים. לפרטים על שלבי הכניסה, פורמטי קבצים וחשבונות מרובים, התחל בסעיף " חשבונות ופורמטי הפעלה". לגבי מדיניות אירועים והתנהגות לאחר הפעלה מחדש, ראה כיצד פועל תהליך האיסוף.

שיטות אימות#

מזהה ה-API וה-hash של ה-API מזהים יישום; הם אינם מחליפים את פרטי הכניסה לחשבון. הם אופציונליים ב-TgWitness. סדר העדיפות: זוג שהוזן בטופס, לאחר מכן זוג מתוך קובץ JSON של חשבון מיובא, לאחר מכן הזוג שנשמר בסביבת העבודה, ולבסוף מאגר מובנה של 50 , הנבדקים בסדר אקראי עם סיבוב אוטומטי כאשר טלגרם דוחה אחד מהם. רק הצמד של Telegram Desktop (2040) נשלח עם תיאור תואם של לקוח Telegram Desktop. ניתן להשתמש בצמד משלכם מכלי פיתוח ה-API ב-my.telegram.org עם כל החשבונות שלכם; לכל חשבון עדיין יש אישור משלו.

Telegram בוחרת באספקת קודים; משלוח SMS אינו מובטח. חתימת API אינה יכולה לתקן הפעלה שבוטלה או להחליף סיסמת 2FA שנשכחה. TgWitness אינה שומרת קודי כניסה או את סיסמת ה-2FA של Telegram בדיסק.

במקרה של מקור פרטי, על החשבון להיות בעל גישה כבר מראש. אין צורך בשם משתמש של קבוצה. שימוש בפרוקסי או ייבוא הפעלה אינם מעניקים זכויות חברות או זכויות מנהל. חברות נוכחית אינה מבטיחה גישה להיסטוריה מלפני ההצטרפות.

ייבוא קובץ הפעלה של Telethon#

Telethon SQLite, Pyrogram SQLite ו-Telegram Desktop TData משתמשים בפורמטים שונים. הלוח מזהה וממיר את המבנים הנתמכים; שינוי שם הקובץ אינו נחשב להמרה. בחר סשן אחד ואת קובץ ה-JSON הנלווה אליו תחת "קובצים", ולאחר מכן לחץ על "חבר חשבון". ניתן לקבל עד ארבעה קבצים תואמים ו 8 MiB בסך הכל. ראו מגבלות הפורמט לפרטים על TData/JSON. אין אפשרות לשחזור סיסמה. כניסה באמצעות טלפון/2FA או QR יוצרת אישור נפרד.

נתיב שורת הפקודה האופציונלי, המיועד אך ורק ל-Telethon, נותר זמין:

1. הפסק את פעולת הלקוח המשתמש בהפעלה המקורית וצור עותק תואם. הממיר דוחה קבצים עם WAL/יומן לא גמור. סגור את הלקוח המקורי כראוי במקום למחוק את הקבצים הללו כדי לעקוף את הבדיקה.
2. מסביבת TgWitness, הפעל:

python -m tgwitness.sessions account.session --out account.tgwitness-session

3. תחת "הוסף חשבון" → "קבצים", טען את התוצאה או הדבק את המחרוזת שלה, והמשך.
4. בדקו את מזהה החשבון המספרי המוצג, בחרו מקורות והתחילו במעקב.

הממיר פותח את SQLite לקריאה בלבד, אינו מבצע שדרוג סכימה או בקשת רשת, ואינו מדפיס את ההפעלה. הוא בודק את גרסת הסכימה, סוגי הטבלאות, שורה אחת מההפעלה, IP/יציאה/מרכז נתונים ואורך המפתח. קלט CLI מוגבל ל-64 MiB; טקסט StringSession מוגבל ל-4 KiB. המרה באמצעות לוח הבקרה מעלה קבצים לשרת TgWitness המאומת, מעבד אותם בזיכרון, ומחזיר את פרטי הזיהוי הנורמליים לאותו דפדפן מבלי לשמור את הקבצים המקוריים שהועלו. יש להשתמש ב-HTTPS עבור שרת מרוחק.

הקובץ שהומר הוא סיסמת גישה לחשבון שאינה מוצפנת. יש לשמור אותו במקום אחסון מוגן, ואסור בשום אופן להעלות אותו או לשלוח אותו לשירות המרה של צד שלישי. TgWitness שומר את ההפעלה המורשית בכספת המוצפנת שלו. העתקת הפעלה אינה יוצרת הרשאה נפרדת: אין להפעיל לקוחות במקביל עם מפתחות אימות משוכפלים ולהניח כי העדכונים מועברים באופן עצמאי.

ההמרה מעבירה הרשאות, ולא את ההודעות המקוריות, את מטמון הישות או סמן עדכון קבוע. היא אינה מתקנת שחזור עדכונים לאחר הפעלה מחדש של התהליך.

MTProto, Telethon ושרתי פרוקסי#

MTProto הוא הפרוטוקול של טלגרם. Telethon היא ספריית הלקוח ב-Python שבה משתמש TgWitness. MTProxy הוא פרוקסי העברה של טלגרם; SOCKS5 ו-HTTP CONNECT מספקים מנהרות כלליות. אף אחד מהם אינו מחליף את אימות החשבון.

שמור את נתיב החיבור עבור כל סביבת עבודה ב-חשבון → הגדרות → הגדרות חיבור → שינוי נתיב החיבור לפני הכניסה. סביבות עבודה חדשות מוגדרות כברירת מחדל ל-MTProxy אוטומטי · רשימות ציבוריות עם התנהגות "הסתרת IP". סביבות עבודה קיימות שהשתמשו במפורש ב-Direct שומרות על מצב המאפשר זאת.

מצבי IP#

המסלול קובע את החיבור. מצב ה-IP קובע מתי כתובת השרת עשויה להיחשף. בקרות אלה אינן מתקינות VPN ואינן מנתבות את כל התעבורה של המחשב.

מצב מנהרה/VPN מניח שאתה מנהל את הרשת הזו בנפרד. ללא מנהרה פעילה, היעדים יכולים לראות את כתובת השרת עצמו. בחר את המצב בהתאם לרשת שלך בפועל, ולא לפי שם האפשרות.

בחר מסלול#

סודות TLS מזויפים מסוג ee נדחים. הנורמליזציה של Telethon 1.45 יכולה להסיר קידומת ודומיין, אך היא אינה מיישמת TLS מזויף. הדביקו tg://proxy?server=…&port=…&secret=… או https://t.me/proxy?server=…&port=…&secret=… ובחרו באפשרות "מלא שדות מהקישור". פעולה זו מאמתת וממלאת את השדות ללא יצירת חיבור או שמירה; בדקו ושמרו את המסלול בנפרד. שדות ידניים נשארים זמינים. ראו קישורי פרוקסי של טלגרם.

פרוקסי ציבוריים המסופקים על ידי ההתקנה שלכם#

הרשימה המובנית משלבת ארבעה מקורות: SoliSpirit/mtproto, zakky8/mtproto-proxy-pro, kort0881/telegram-proxy-collector ו-3yed-61/MTP-Collector. תמונת המצב המצורפת מכילה נתוני נקודות קצה, ייחוס למקורות ותאריכי הורדה. הופעתו של ספק ברשימה אינה מהווה הוכחה לכך שהפרוקסי פועל או מספק כל עדכון של טלגרם.

MTProxy האוטומטי בודק את קישוריות התקשורת של טלגרם, שומר על פרוקסי פעיל ומעביר לפרוקסי אחר כאשר הוא נכשל. סביבות העבודה מעדיפות פרוקסי שונים כאשר יש מספיק רשומות פעילות זמינות; כתובת יציאה ייחודית אינה מובטחת. פרוקסי שנכשלו נחים לפני ניסיון נוסף. אם אף אחד לא עובד, מצב ה-IP קובע אם האיסוף חייב להמתין או שמותר להשתמש בחיבור ישיר. החלפת פרוקסי אינה משנה את החשבון או מוחקת את היומן שלו. בחירות ושינויים במסלול נרשמים ביומן החתום.

כאשר מסלולים אוטומטיים פעילים, הרשימות מתעדכנות מדי שעה ובדיקות העברה מתבצעות מדי עשר דקות כברירת מחדל. ניתן להגדיר מרווחי זמן אלה. עדכון רשימות ציבוריות מחייב רענון; הצגת הרשימה בלבד אינה משנה מסלול ידני שנשמר.

כל תגובה בפיד מוגבלת ל-1 MiB עם זמן המתנה של שמונה שניות לבקשה ו מועד אחרון להורדה של 20 שניות בסך הכל; הפניות נדחות. עד 64 רשומות תואמות לכל מקור נשמרות ונעשות בהן הסרת כפילויות. המנתח מקבל סודות תומכים בשיטת הקסדצימלית וב-base64url וכן את פיד ה-JSON. ee TLS מזויף, קישורים לא חוקיים, ליטרלים של כתובות IP פרטיות/שמורות ושמות מארחים מקומיים מוחמצים. שמות מארחים מפורשים ונבדקים לפני השימוש, וכתובת ה-IP שנבחרה נקבעת לאותו חיבור. רכישה מחדש אוטומטית מפרשת שם מארח שוב; יש להחיל מחדש ערך ידני כדי לפרש אותו שוב.

תגובות פיד שנכשלו, ריקות או שאינן תואמות שומרות על תמונת המצב הקודמת של המקור. העדכונים הם אטומיים, מסודרים ברצף ומוגבלים לניסיון אחד בדקה לכל סביבת עבודה. בדיקת העברה מוצלחת מבססת קישוריות, אך לא אנונימיות או שלמות הלכידה.

תעבורת טלגרם ובקשות HTTPS משתמשות בנתיבים שונים. הורדות רשימות משתמשות ב חיבור HTTPS נפרד ובנתיב הבקשות החיצוני המסופק. TGWITNESS_PROXY_FEED_PROXY מבטל במפורש נתיב זה באמצעות פרוקסי HTTP/SOCKS5; שני גרסאות ה-Compose של האספן מעבירות אותו. מאגר הרקע פועל בהתאם לסביבת העבודה הראשית. לא נשלחים לספקי העדכונים שום הפעלות טלגרם, פרטי הזדהות ל-API, אסימון לוח הבקרה או אסימון בוט. שמות הספקים, תאריכי הצילום ומסלול ההורדה מופיעים תחת "מאיפה מגיעה הרשימה".

MTProxy מעביר תעבורת טלגרם בלבד. פעולות HTTP בסביבת העבודה, כגון חותמות זמן, התראות, עותקים מחוץ לאתר ובדיקות מקור, משתמשות בפרוקסי SOCKS5/HTTP נפרד כאשר הוא מוגדר, ולאחר מכן במסלול SOCKS5/HTTP של החשבון. ללא אף אחד מהם, Hide IP דוחה את הבקשה; המצבים האחרים מאפשרים חיבור ישיר. ניתן להשבית בקשות חיצוניות. פרוקסי להורדת עדכונים שהוגדר במפורש נשאר כקיצור דרך נפרד הניתן לעקיפה על ידי המפעיל. שירות העדים העצמאי שומר על מסלול משלו.

פרמטרים אוטומטיים של מאגר

תחת **פרמטרים → MTProxy אוטומטי**, הגדר את סף הכישלון, זמן ההמתנה, הרוטציה המתוכננת, שיתוף הפרוקסי ועיכוב הגיבוי המותר. | בקרה | ברירת מחדל | | --- | --- | | ניתוק לפני החלפה | 3 תוך 10 דקות | | מספר הפרוקסי שנבדקים בכל ניסיון חיבור | 3 | | זמן מנוחה ראשון / מקסימלי לאחר כשל | 10 דקות / 6 שעות | | רוטציה מתוכננת | מושבת; הפעלה במקרה של כשל | | חשבונות לכל פרוקסי | 0: עדיף כניסות נפרדות, שתף לפי הצורך. הגדר 1 כדי להמתין לכניסה בלעדית. | | עיכוב לפני מעבר ישיר מותר | 10 דקות; Hide IP עדיין מסרב ל-Direct | | רענון פיד / בדיקות העברה | 60 / 10 דקות; ערכי סביבת העבודה הראשית חלים על המאגר המשותף | פרוקסי שונים אינם מבטיחים כתובות יציאה שונות. הגדרות אלו אינן עוקפות את המגבלות של Telegram ואינן מבטיחות אנונימיות.

כדי להחליף את הרשימה הציבורית בקטלוג המפעילים שלך, הגדר את העקיפה שלהלן. פעולה זו מבטלת לחלוטין את המנויים החיצוניים, גם כאשר מערך ה-proxies שלו ריק.

העתיקו את הקטלוג הריק ל-proxy-config/proxies.json והוסיפו את נקודות הקצה הציבוריות שהטמעתם:

{"format": "tgwitness-proxy-catalog-v1", "proxies": [
  {"id": "project-eu", "label": "Project EU",
   "link": "tg://proxy?server=REPLACE_HOST&port=443&secret=REPLACE_SECRET"}
]}

יש להחליף את ערכי הדוגמה. מתקבלים עד 32 ערכים נפרדים. הרשימה המאומתת מחזירה תוויות/מארחים/יציאות ללא סודות משותפים; בחירת אחד מהם שומרת את פרטי הזיהוי שלו בכספת סביבת העבודה. הזמינות נותרת בלתי נבדקת עד לביצוע בדיקת העברה מפורשת. קטלוג פגום מאפשר ביצוע תצורה ידנית.

הפעלה מקומית: הגדר את TGWITNESS_PROXY_CATALOG לנתיב ה-JSON המקומי. Docker:

docker compose -f compose.yaml -f deploy/compose/compose.proxies.yaml up -d --build

השכבה (overlay) מעגנת את proxy-config כקריאה בלבד; הקבצים חייבים להיות קריאים על ידי ה-UID 10001 של הקונטיינר. ספרייה זו אינה נכללת ב-Git, בהקשר הבנייה של Docker ובארכיוני המקור. קטלוג זה מגדיר את חשבונות האיסוף; בוט ה-witness משתמש במסלול HTTP/SOCKS5 משלו, ולא ב-MTProxy.

המעבר הישיר נשלט על ידי מצב ה-IP שלעיל. יש להשהות את המעקב לפני שינוי מסלול. שמירה מנתקת לקוחות ישנים ומבטלת התחברות שלא הושלמה; לקוח חדש משתמש במסלול השמור. הקישור בין היומן/הפעלה של החשבון נשאר. ההגדרות מחליפות את המסלול הקודם: יש להזין מחדש את פרטי הכניסה לפרוקסי בעת עריכתו.

פרטי ההזדהות מוצפנים ב-network.enc. ה-API אינו מחזיר את שם המשתמש, הסיסמה או המפתח הסודי. הרשומות החתומות מכילות את סוג המסלול ואת המידע האם פרטי ההזדהות קיימים, ללא ציון נקודת הקצה והמפתחות הסודיים. המפעיל יכול לראות את נקודת הקצה בלוח הבקרה. שדות המפתחות הסודיים מתנקים לאחר שמירה, נעילה או מעבר בין סביבות עבודה.

בדיקת חיבור ל-Telegram, הזמינה גם לפני הכניסה, פותחת וסוגרת חיבור זמני וללא אישור ל-Telegram דרך המסלול. היא אינה יוצרת קשר עם אתר לבדיקת IP. הצלחה בבדיקה מאשרת קישוריות העברה, אך לא גישה לקבוצה, מסירה מלאה או אנונימיות.

הפרוקסי חל על חיבורי לקוח Telegram, כולל הורדות מדיה מ-Telegram DC. לדפדפן, ל-pip, ל-SSH ולכלי TSA המופעלים ידנית יש נתיבים נפרדים. שם המארח של הפרוקסי עשוי להיות מתורגם באופן מקומי. rdns משפיע על שמות המארחים היעדיים; Telegram מספקת לעתים קרובות כתובות IP מספריות של DC.

SOCKS5 ו-HTTP CONNECT רגיל אינם מצפינים כשלעצמם את פרטי הזיהוי של ה-proxy או את מנהרת ה-client-to-proxy. MTProto מגן בנפרד על תעבורת טלגרם. יש להשתמש בערוץ מאובטח מתאים אל ה-proxy ברשת שאינה מהימנה. קבוצות פרטיות הן צ'אטים בענן; MTProto אינו הופך אותן לצ'אטים סודיים המוצפנים מקצה לקצה.

הצפנה וחתימות#

ההגנה על האחסון בחשבון מציגה מצבים אלה. אסימון הפאנל הוא סוד גישה, ולא סיסמת הצפנה. הוא מעניק גישה למנהל; ניתן להגביל את טווח האסימונים שהונפקו לחשבונות ולצ'אטים. סביבות העבודה חולקות את תהליך המארח ואינן דיירים מבודדים.

הדגמה סינתטית מבודדת, שהופעלה במפורש, יכולה להיפתח באופן אוטומטי באמצעות חיבור לופבק ישיר. הדבר נעשה באמצעות יכולת נפרדת למשך חיי התהליך; היא אינה חושפת את אסימון הפאנל שהוגדר ואינה מעניקה גישה לסביבות עבודה אמיתיות. בקשות מרחוק, באמצעות פרוקסי או בין-מקורות אינן יכולות להשיג/להשתמש ביכולת הכניסה האוטומטית הזו. נוחות זו אינה מבטלת את מגבלת האימות עבור נתוני חשבונות אמיתיים.

BitLocker, LUKS, FileVault או אמצעי אחסון מוצפן מנוהל יכולים להגן על האחסון בהתאם למודלי האיום הרלוונטיים. מנהל מערכת של מחשב פועל שאינו נעול עדיין יכול לקרוא את הנתונים. יש לכלול את SQLite WAL/SHM, מדיה, ייצוא זמני, swap, גיבויים והורדות דפדפן בתכנון האחסון. אמצעי אחסון של Docker אינו מוצפן רק בגלל היותו אמצעי אחסון. TgWitness אינו מיישם SQLCipher או הצפנת אובייקטים.

מפתח ראשי חיצוני#

להתקנה חדשה, יש למקם את המפתח הראשי מחוץ לספריית הנתונים. פעולה זו אינה מעבירה באופן אוטומטי כספת מפתחות מקומית קיימת. הכינו ספריית מפתחות הנגישה רק לזהות השירות, ולאחר מכן הפעל:

python -m tgwitness.security create-master-key /private/keys/tgwitness-master.key
export TGWITNESS_VAULT_KEY_FILE=/private/keys/tgwitness-master.key
python -m tgwitness --data-dir /private/observations/new-case

PowerShell, תוך שימוש בסביבת הפרויקט המותקנת:

python -m tgwitness.security create-master-key E:\PrivateKeys\tgwitness-master.key
$env:TGWITNESS_VAULT_KEY_FILE = 'E:\PrivateKeys\tgwitness-master.key'
python -m tgwitness --data-dir E:\PrivateData\new-case

ב-Docker, יש לעגן את הקובץ לקריאה בלבד מחוץ ל-/data, למשל ב- /run/secrets/tgwitness-master.key, ולהגדיר את משתנה הסביבה לנתיב זה. על ה-UID של השירות להיות בעל הרשאת קריאה לקובץ. יש להעביר את הנתיב, ולא את בתים המפתח, דרך קובצי סביבה/תצורה.

כל סביבת עבודה מקבלת "סולט" (salt) ציבורי אקראי ומפתח Fernet משלה, הנגזר באמצעות HKDF-SHA256. ה-vault.external.json מאחסן את מטא-הנתונים של הגזירה, ולא את המפתח הראשי. מפתח חסר או שגוי יגרום לכישלון ההפעלה, מבלי להחליפו בשקט. יש לשמור הן את מטא-הנתונים של ה"סולט" והן את המפתח הראשי לצורך שחזור.

כל סביבות העבודה נגזרות מאותו מפתח ראשי; פגיעה בו משפיעה על כל ההתקנה. התהליך הפועל יכול לפענח סודות. זהו אינו HSM או KDF של סיסמה. לא מתקבלות סיסמאות אנושיות שרירותיות כתחליף למפתח אקראי.

יש לשמור על המפתח הקיים עבור התקנות קיימות עד לביצוע ואישור של מעבר מכוון. מחיקת ה-vault.key או החלפת מפתח ראשי עלולה לשבש את הגישה למפתחות הפעלה/חתימה. יש לשמור גיבויים ומפתחות מוצפנים בנפרד ולבדוק את תהליך השחזור בסביבה מבודדת.

מקורות והיקף האימות#

נבדק ב-26 באוקטובר 2026:

• https://core.telegram.org/api/auth
• https://core.telegram.org/api/obtaining_api_id
• https://docs.telethon.dev/en/stable/basic/signing-in.html
• https://docs.telethon.dev/en/stable/concepts/sessions.html
• https://core.telegram.org/mtproto/mtproto-transports
• https://github.com/telegramdesktop/tdesktop/blob/dev/Telegram/SourceFiles/storage/storage_account.cpp
• Telethon 1.45.0: SQLiteSession, StringSession, Connection._proxy_connect, TcpMTProxy.normalize_secret ושיטות הורדה.

הבדיקות המקומיות כוללות מתקני loopback SOCKS5/HTTP CONNECT, הפעלות SQLite סינתטיות, בידוד מסלולים, אי-הכללת סודות ודחיית מפתחות חסרים. הן אינן בודקות תאימות אמיתית בין Telegram לפרוקסי או התנהגות MTProxy בזמן אמת. ראו VERIFICATION.md ו-LIVE_ACCEPTANCE.md.