הפניה / אסף

Telegram · צ'אטים סודיים: יישום והדגמה

יש להבין את היישום הנפרד של צ'אט סודי, לנסות את הממשק הבדיוני ולסקור את הליקויים הקיימים.

סטטוס שנבדק ב-6 בנובמבר 2026: קיימת יישום נפרד של צ'אט סודי בפיתוח. הוא טרם אוחד ל-main שפורסם ב-3d23e52b647b. האספן הרגיל וייצוא Takeout אינם אוספים צ'אטים סודיים. תרחיש האתר האינטראקטיבי מדגים את הממשק באמצעות נתונים פיקטיביים; הוא אינו מאפשר תקשורת ב-Telegram.

היכן נמצא היישום#

התחייבות 0e60f88e הוסיפה Sources → Pseudo-secret בענף הפיתוח המקומי fix/panel-routes-sessions. התמונת המצב שנבדקה היא bb8788fb685c. היישום שלה כולל tgwitness/secret_chats.py, נתיבי יישום, tgwitness/static/views/secret-chats.js ובדיקות ייעודיות.

התוסף האופציונלי secret-chats באותו ענף משתמש ב- KiaroSama/Telethon-Secret-Chat, המוצמד ל-d87bf037b90060383c7b704d8a06ebb98c621c6f. הספרייה מיישמת את פרוטוקול הצ'אט מקצה לקצה של Telegram על בסיס אישור ה-Telethon הקיים של החשבון. התקנת הספרייה הזו לבדה אינה מוסיפה את האינטגרציה החסרה ל-main.

מה עושה ממשק הפיתוח#

פעולה	התנהגות שנרשמה
התחל צ'אט לפי שם משתמש או מזהה משתמש	שלחו בקשה; על המשתתף האחר לאשר אותה.
קבל בקשה נכנסת	TgWitness הופך לנקודת הקצה המקבלת עבור אותו צ'אט. קבלה אוטומטית היא הגדרה נפרדת, המוגדרת ככבויה כברירת מחדל.
לשלוח או לקבל הודעה	יש להוסיף רשומת `secret_chat.message` יוצאת או נכנסת ולהציג אותה בשרשור.
קבל קובץ מצורף	יש לפענח אותם, לאחסן את הבתים שלהם לפי SHA-256 ולתעד את `secret_chat.file`.
קבל התראה על טיימר או מחיקה	יש לתעד את ההודעה ולשמור את התוכן שנלכד בעבר.
סקור את השיחה	הצג הודעות, קבצים, התראות והדמיית המפתח. הכרטיסייה הפתוחה מתעדכנת כל ארבע שניות.

בגרסת פיתוח המכילה את האינטגרציה, המפעיל מפעיל את המודול עבור החשבון הנבחר ומחבר אותו. הפעלה, קבלה ושליחה דורשות הרשאה לאינטראקציה וכיבוי הגנת "קריאה בלבד" של החשבון. המשתתף האחר חייב לקבל צ'אט יוצא חדש. בקרות אלה אינן קיימות ביישום שפורסם בגרסה הנ"ל.

הכלי מכסה רק צ'אטים שנוצרו או התקבלו על ידי סשן ה-TgWitness הזה. צ'אטים סודיים קיימים בטלפון נשארים במכשיר זה. ייבוא סשן אינו מספק את מפתחות ההצפנה הנפרדים שלהם. חומר המפתחות והמונה של הצ'אטים הסודיים מאוחסנים בכספת סביבת העבודה; הודעות שנשמרו וקבצים מפוענחים כפופים להגנות האחסון הרגילות של סביבת העבודה.

הדגמה באתר האינטרנט#

תרחיש ה-Try Secret Chat באתר פותח שיחה בדיונית. הוא מאפשר לקורא ליזום בקשה, לדמות את קבלתה, לשלוח הודעה לדוגמה, לקבל תשובה וקבצים לפי תסריט, ולבדוק טיימר והודעת מחיקה. ניתן גם לקבל בקשה נכנסת. הפקדים מציינים במפורש את פעולות העמית המדומות.

תסריט זה פועל בזיכרון הדפדפן. איפוס או טעינה מחדש מוחקים אותו. הוא אינו מתחבר, אינו יוצר קשר עם Telegram, אינו יוצר מפתחות הצפנה אמיתיים ואינו משנה את הורדות הדוגמאות החתומות. ההודעות המוצגות בו אינן מהוות ראיות חתומות. התסריט מדגים את האינטראקציה המיועדת; הוא אינו מאשר כי יישום הפיתוח מוכן.

בדיקות ופגמים שטרם תוקנו#

חמשת הבדיקות הקיימות מכסות את המשכיות המפתח המוצפן, מחזור החיים ורשומות ההודעות, מדיניות קבלת הודעות נכנסות, שליחה לקריאה בלבד וייצוא קבצים מצורפים. הן עברו בהצלחה מול הספרייה המוצמדת במהלך הסקירה ב-6 בנובמבר. שלוש בדיקות סינתטיות נוספות שיחזרו פגמים באותה תמונת מצב:

ממצאים	השלכות
סגירת עקיפות `read_only`	הנתיב הסגור יכול לבצע פעולה מרחוק כאשר יש לחסום אינטראקציות.
חיפוש כפילויות מחפש רק ברשומות האחרונות מסוג 500	השמעה חוזרת של הקלטה ישנה עלולה ליצור עותק כפול לאחר הפעלה מחדש.
הורדת קובץ מצורף שנכשלה מסירה את הרישום הממתין שלו	תקלה זמנית גורמת לאובדן משימת הניסיון החוזר.

אלה הן תקלות ידועות, המתועדות גם בדו"ח הביקורת שפורסם . חמש בדיקות שעברו בהצלחה אינן מכסות את הכשלים הללו. הבדיקה השתמשה בסביבות עבודה סינתטיות ובדמיית פעולות של Telegram; היא לא חזרה על תהליך התחברות בזמן אמת ולא אימתה פריסה בסביבת ייצור.