# יומן אחד. ארבעה מצבי איסוף. שמונה רמות אימות.

Canonical page: https://phishdestroy.github.io/TgWitness/he/guides/modes.html

מצבים, תרחישים ורמות ראיות

TgWitness מתעד את מה שהחשבון המחובר מתבונן בו. צד שלישי יכול לאמת את תקינות התיעוד מול מפתח מהימן באופן עצמאי.

[מצבי איסוף](https://phishdestroy.github.io/TgWitness/he/guides/modes.html#scope)[תרחישים](https://phishdestroy.github.io/TgWitness/he/guides/modes.html#scenarios)[רמות הראיות](https://phishdestroy.github.io/TgWitness/he/guides/modes.html#levels)

סקירה כללית של 3–5 דקות · דוגמאות בדיוניות · יישום נוכחי

1. **Telegram**

   עדכונים הנראים לחשבון
2. **אספן**

   רשומות מקושרות, כל אחת חתומה
3. **מאמת**

   מפתח מהימן + גבול שמור

`h₁ → h₂ → h₃ · Ed25519`שלמות הנתונים נבדקת. מקור ה-Telegram ואמיתות ההודעה נותרים נושאים נפרדים.

## בחרו את היקף התצפית

שלושה תחומי תצפית והגדרה קבועה מראש לחקירה. החרגות וסוגי המקורות המותרים עדיין חלים.

ברירת מחדל**צ'אטים נבחרים**

רשומות

רק מקורות שנבחרו ידנית.

צ'אטים חדשים

לא מתווסף באופן אוטומטי.

בחרו ב-

קבוצה ידועה של ערוצים או קבוצות. לא נקבעה קיבולת צ'אט קבועה.

**אינו עושה** הוא אינו מגלה צ'אטים אחרים ואינו משלים היסטוריה קודמת.

תיקיית חשבונות**תיקיית Telegram**

רשומות

תוכן התיקיות וקטגוריות, ללא החרגות וצ'אטים בארכיון כאשר מוגדר כך.

צ'אטים חדשים

התאמת צ'אטים פעילים; שינויים בתיקיות תוך שעה.

בחרו ב-

אנליסט כבר מנהל תיק מקרה. יש לאשר את האיסוף בחשבון ייעודי.

**אינו עושה** הוא אינו מיישם את התנאים המשתנים של התיקייה muted/read של התיקייה.

אשרו את ההיקף**חשבון שלם**

רשומות

צ'אטים הנראים לחשבון, כולל שיחות פרטיות ובוטים, בתוך סוגי צ'אטים נבחרים.

צ'אטים חדשים

יתווסף עם הגעת העדכון הראשון.

בחרו ב-

חשבון תצפית ייעודי, כולל חשבון המשתתף בתיק.

**אינו עושה** הוא אינו מצטרף לצ'אטים באופן אוטומטי ואינו עוקף את הגישה למקור.

הגדרה קבועה מראש לכל החשבון**מצב חקירה**

רשומות

כל סוגי המקורות, פעולות עצמיות, פרופילי מקורות ו-200 ההודעות הגלויות האחרונות של מקורות שהתגלו לאחרונה.

צ'אטים חדשים

צ'אט או בוט חדש מקבל פרופיל ותמונת מצב של ההיסטוריה.

בחרו ב-

הצטרפו לצוות או תקשרו עם בוט דרך הלוח. בדקו ושמרו את ההגדרה המוקדמת.

**אינו עושה** הוא אינו לוקח תמונת מצב של כל צ'אט קיים ואינו מתעד קריאות חוזרות שנלחצו בלקוח אחר.

כרטיסים אלה מהווים השוואה מקומית, ולא פקדי איסוף בזמן אמת. הם אינם משנים את החשבון.

**אינו עושה** אף מצב אינו קורא צ'אטים סודיים, אינו מתעד בזמן שהתהליך מושעה, אינו מצטרף למקורות באופן עצמאי ואינו שולף היסטוריה קודמת מעבר למבוקש snapshot/export.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/collection/)

## איסוף באמצעות GitHub Actions (גרסה מקדימה)

כניסה חדשה ל־Telegram, צ׳אט אחד, ארכיון מוצפן ואישור מקור של GitHub.

[פתיחת עוזר האיסוף](https://phishdestroy.github.io/TgWitness/he/docs/capture/)

## מה נרשם

רק תצפיות שנמסרו או שהתבקשו במפורש נכנסות לרישום. ייחוס לא ידוע נשאר לא ידוע.

 לכידת מתגים · איור מקומיהודעות חדשותעריכותמחיקותתגובותחברות

הלוח מיישם מתגים אלה לכל סביבת עבודה. כיבוי מתג אחד שומר על הרשומות הקיימות; הפעלתו מחדש אינה משחזרת אירועים שהוחמצו.

**מטריצת אירועים: חומר שנשמר ופרטים לא ידועים שנותרו**

| קטגוריה | נשמר | נשאר לא ידוע |
| --- | --- | --- |
| הודעה | טקסט, מזהים, מטא-נתונים של השולח, הקשר התשובה ומעטפת העדכון המקורית. | אין חתימת Telegram הניתנת לאימות על ידי צד שלישי. |
| ערוך | כל גרסה שנצפתה, מבלי לדרוס את הקודמות. | עריכות ביניים עלולות להחמיץ; השולח אינו בהכרח העורך. |
| מחיקה | הודעה בתוספת טקסט שנשמר בעבר, אם קיים. | המחיק והזמן המדויק של הפעולה אינם מסופקים. |
| מחיקה ללא הגדרת היקף | הודעה ברמת החשבון; עמית לא ידוע נשאר מפורש. | אין ניחוש צ'אט. הקורלציה משתמשת במזהים שהושמרו בעבר ברמת החשבון, במידת האפשר. |
| תגובה | מונה מספרי הזיהוי שהועברו וזהויות אחרונות גלויות. | לא כל ה-reactors נראים לעין; רשימה מלאה וזמינה דורשת שאילתות נפרדות. |
| חברות | הודעות שירות שנמסרו ועדכונים למשתתפים. | התפקיד וסוג הצ'אט מגבילים את הנראות; שתיקה אינה מעידה על היעדרות. |
| קובץ מצורף | תיאור הגרסה המקורית, בתים שנשמרו, SHA-256 ותוצאות הניסיונות. | קובץ שנעלם עשוי להיות בלתי זמין; גרסה חדשה יותר אינה מחליפה אותו. |
| תמונת מצב היסטורית | הודעות הנראות כרגע, המסומנות כתצפיות היסטוריות. | עריכות קודמות ותוכן שנעלם אינם משוחזרים. |
| פעולות עצמיות | יוצא messages/edits ומטא-נתונים תואמים של מקלדת התשובה button_press . | קריאות חוזרות שנלחצו בלקוח Telegram אחר אינן נראות. |
| כפתורי בוט | קריאת החזרה, כתובת ה-URL, אפליקציית האינטרנט ומטא-נתוני הבקשה נשמרים יחד עם ההודעה. | כתובות URL ו phone/location הבקשות הם טקסט, ואינם נפתחים או מבוצעים באופן אוטומטי. |

### מגבלות ברירת מחדל על קבצים מצורפים

תמונות

20 MiB

וידאו

100 MiB

קבצים

50 MiB

אנימציות

20 MiB

הערות וידאו

50 MiB

קול

20 MiB

אודיו

50 MiB

מדבקות

5 MiB

**אינו עושה** מתג אינו מסיר מטא-נתונים מוטמעים ואינו מבטל רשומות תפעוליות. הלכידה אינה מזהה גורם ש-Telegram לא סיפקה.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/collection/)

## השתמשו בהרשאות שברשותכם

לכל חשבון יש מרחב עבודה, יומן, מפתח חתימה, מסלול ותור משלו.

### טלפון + קוד

הזן 2FA כאשר האפשרות מופעלת.

### QR קוד

יש לסרוק ממכשיר מורשה; 2FA עשוי להידרש בכל זאת.

### Telethon .session

ייבא את קובץ ההפעלה של החשבון.

### Pyrogram .session

ייבא את Pyrogram .

### TData ZIP

חשבון Desktop אחד נתמך; קוד גישה מקומי, אם הוגדר.

### StringSession טקסט

הדבקו Telethon StringSession.

### .session + .json

בחרו את ההפעלה ואת מטא-הנתונים הנלווים המתאימים.

### מפתח אימות HEX + DC ID

ייבאו את אישור החשבון עם מזהה מרכז הנתונים שלו.

**API זוג**

הצמד API הוא אופציונלי. ללא זוג כזה, TgWitness משתמש במאגר של זוגות ציבוריים, כולל זוגות מ-Telegram Desktop הרשמי.

`Direct · SOCKS5 · HTTP CONNECT · MTProxy`MTProxy הוא ניסיוני; רשימות ציבוריות מובנות MTProxy . מסלול פרוקסי שנכשל אינו עובר לחיבור ישיר.

שני סביבות עבודה על מחשב אחד אינן מהוות שני עדים עצמאיים.

**אינו עושה** הייבוא אינו עוקף את אימות Telegram, 2FA או פורמטים של הפעלה שאינם נתמכים. החשבונות עדיין חולקים את תהליך היישום.

[פורמטים של חשבונות](https://phishdestroy.github.io/TgWitness/he/docs/reference/accounts/)

## פעלו מתוך הלוח

שלחו או השיבו, לחצו על כפתור בוט נוכחי, שמרו תצוגה מקדימה של קישור, ואז הצטרפו במפורש לצ'אט או הפעילו בוט באמצעות פרמטר ההפעלה שלו.

`interaction.preview``interaction.requested``interaction.result`

אישורי תצוגה מקדימה, בקשה ותוצאה חתומים. לפני לחיצה על כפתור, השרת משיג את ההודעה שוב ודוחה מקלדת ששונתה. טקסט ה-callback וה-URLs שהוחזרו נשארים בהקשר המוקלט.

**אינו עושה** אין אפליקציות אינטרנט, תשלומים, phone/location שיתוף או שאילתות מוטמעות. הצגת כתובת URL אינה פותחת אותה.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/collection/)

## שחזור והמשכיות

פערים מוצגים, ולא מוסתרים.

### חזור למיקום השמור

לאחר הפעלה מחדש, Telegram מתבקש לבצע עדכונים שהוחמצו. שמירה מוגבלת והבדלים שפג תוקפם עלולים להותיר פערים.

### בדקו שוב את ההודעות הגלויות

הגדרות ברירת מחדל: מקורות בעדיפות גבוהה כל 15 דקות, אחרים כל 6 שעות. התוצאות כוללות message.recovered ו- message.missing_on_recheck.

### קרא coverage.json

תקופות תצפית, פערים עם סיבות ומזהים שלא נצפו מצורפים לייצוא החתום. רשומה חסרה בבדיקה חוזרת אינה הודעת מחיקה.

**אינו עושה** תמונת מצב היסטורית מאוחרת יותר אינה מוחקת תקלה ואינה משחזרת כל גרסה שנעלמה. הסמן השמור אינו מהווה אישור ללא אובדן נתונים של קבלת היומן.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/evidence/)

## שבע רמות. שאלות שונות.

כל מנגנון עונה על שאלה מוגבלת. יש להגדיר שירותים חיצוניים בנפרד ולשמור את עוגני האמון שלהם מחוץ לאספן.

1. ### תיעוד

   SHA-256 שרשרת + Ed25519 לכל אירוע; הראשון previous_hash הוא 64 אפסים.

   **בדיקות צד שלישי** סדר וחתימות תחת מפתח האספן המוצמד.

   **אינו עושה** זה אינו מוכיח את מקורו של Telegram או את שלמותו.

   **פקודת אימות**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
   ```
2. ### מכל

   manifest.json מפרט חתימות קובץ; manifest.sig וחותם עליו. media.saved מקשר את בתים של הקובץ המצורף לאירוע.

   **בדיקות צד שלישי** הקבצים שסופקו תואמים למניפסט החתום ולקבלות המדיה.

   **אינו עושה** הוא אינו חותם על CSV, HTML או צילום מסך.

   **פקודת אימות**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
   ```
3. ### גבול נשמר

   נקודת ביקורת בעת ההפעלה, כל 5 דקות כברירת מחדל, ועצירה מסודרת. שמרו עותק במקום אחר.

   **בדיקות צד שלישי** הייצוא המאוחר תואם לאורך ולכותרת שנשמרו קודם לכן; ניתן לזהות חזרה לאחור.

   **אינו עושה** הוא אינו מזהה החלפה של היומן ושל כל נקודות הבדיקה שנשמרו.

   **פקודת אימות**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --checkpoint checkpoint.json
   ```
4. ### זמן חיצוני

   מצב הראיות שולח נקודת ביקורת SHA-256 ל RFC 3161 הרשויות (FreeTSA, DigiCert) ו OpenTimestamps לוחות שנה.

   **בדיקות צד שלישי** תגובה מאומתת של TSA מתארכת את אותם בייטים; OpenTimestamps מקבעת אותם לביטקוין.

   **אינו עושה** הוא אינו מתייחס לבקשה מוכנה או לאישור לוח שנה בהמתנה כאל חותמת זמן מאושרת.

   **פקודת אימות**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --tsa-ca trusted-ca.pem
   ots upgrade checkpoint.ots
   ots verify checkpoint.ots
   ```
5. ### עד עצמאי

   הפרידו בין מארח, נקודת קצה לקריאה בלבד עם היקף מוגדר, אתגר חדש, key/journal ו TGW1 פוסטים בערוץ.

   **בדיקות צד שלישי** ראשים שהתקבלו קודם לכן; מצבים: ok, key_changed, rollback, fork, invalid ו- no_response.

   **אינו עושה** זה לא הופך שני סביבות עבודה על מארח אספן אחד לעדים עצמאיים.

   **פקודת אימות**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --witness witness.zip --witness-fingerprint WITNESS_SHA256 --channel result.json
   ```
6. ### העתק מחוץ לאתר

   S3 העתק תואם המוצפן באמצעות AES-256-GCM; Object Lock כאשר המאגר תומך בכך.

   **בדיקות צד שלישי** Restore מפרסם קבצים רק לאחר שהאימות של היומן, נקודת הבדיקה והמדיה השמורה עובר בהצלחה.

   **אינו עושה** הוא אינו משחזר ללא המפתח שיוצא, ואינו מניח שהנתונים נשמרו מבלי לבדוק את תגובת האחסון.

   **פקודת אימות**

   ```
   python -m tgwitness.replica restore --key-file KEY.json --out EMPTY_DIR
   ```
7. ### הפעילו את מקור

   אישור הפעלה חתום: חשישים של המקור, גרסאות התלות והקשר התהליכי. מדווח עצמית.

   **בדיקות צד שלישי** מה שדיווח אספן החתימות על ביצועו שלו.

   **אינו עושה** הוא אינו מספק אימות תהליכים עצמאי ואינו שולל פגיעה באבטחה לפני ההקלטה.

   **פקודת אימות**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
   ```

### מה שאף רמה אינה מוכיחה

מסירת כל עדכון של Telegram; אמיתות הטקסט; זיהוי השולח כאדם אמיתי; היעדר פגיעה באבטחת האספן לפני ההקלטה; קבילות בבית המשפט.

[עד עצמאי](https://phishdestroy.github.io/TgWitness/he/docs/reference/witness/)

ניסוי SHA-256 ניסוי

### נסו לשנות את הרשומה 2

הרשומה הבאה שומרת את הקישור שנשמר קודם לכן. שינוי הטקסט משנה את ה-hash המחושב של רשומה 2.

טקסט של רשומה 2

רשומה 1`h1`מתחיל ב-64 אפסים

רשומה 2`h2`כולל את השמורים h1

רשומה 3`h3`כולל את השמורים h2

דוגמה סטטית: h2 מכסה את "נפגש ב-11:00". שינוי הטקסט הזה משנה h2; הרשומה 3 עדיין מפנה לשמירה h2.

**בדקו את התקצירים המלאים**

השיגרון של הרשומה השמורה 2

`SHA-256(e₂)`

חישוב מחדש של ה-hash של רשומה 2

`SHA-256(e₂)`

דוגמה זו מחשבת חשישים, לא חתימות. המאמת האמיתי בודק כל חתימה וקישור מול המפתח המהימן.

 [קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/how-it-works/)

## בחרו מסלול דרך הראיות

מצבים בדיוניים. התחילו באיסוף הנתונים לפני האירוע הרלוונטי; שמרו על הגבולות והפערים לצד התוכן.

### ערוץ משנה את פרטי התשלום

מצב → אירועים

צ'אטים נבחרים → הודעות, עריכות, מחיקות.

פלט

גרסאות הפוסטים והקבצים המצורפים שנצפו לפי חתימת hash.

אימות

חתום ZIP + נקודת ביקורת נשמרת + תגובת TSA מאומתת.

**אינו עושה** הוא אינו משחזר מקור שמעולם לא נלכד.

### ההודעות נעלמות לאחר אירוע

מצב → אירועים

תיקייה או חשבון שלם → כל קטגוריות האירועים.

פלט

מסמכים מקוריים שנשמרו, הודעות מחיקה וכיסוי עם פערים.

אימות

חתום ZIP + יומן עדים עצמאי.

**אינו עושה** הוא אינו מזהה את המחיק מהודעה שאינה מציינת שחקן כלשהו.

### חקרו בוט חנות

מצב → אירועים

הגדרות קבועות מראש לחקירה → כפתורים, תצוגה מקדימה של קישורים והפעלה מפורשת של בוט.

פלט

אישורי אינטראקציה חתומים, פונקציות callback שהוחזרו ופרופילים שנשמרו.

אימות

חתום ZIP; אמת כל תיק מול ה- ZIP.

**אינו עושה** הוא אינו פותח אפליקציית אינטרנט של בוט, אינו מבצע תשלום ואינו מתעד קריאות חוזרות של לקוח אחר.

### משתתף משנה שמות בין צ'אטים

מצב → אירועים

כל היקף → sender/profile מטא-נתונים.

פלט

היסטוריית שמות/שמות משתמש לפי מזהה מספרי, קישורי "גם ב-" ורמזים שחולצו.

אימות

התיק JSON נבדק מול החתימה ZIP.

**אינו עושה** זה לא הופך ארנק, מחרוזת דמוית טלפון או שם משתמש לזהות מוכחת.

### תצפית ארוכת טווח עם עותק מחוץ לאתר

מצב → אירועים

כל היקף → מצב ראיות ו S3 העתק עם תמיכה ב- Object Lock.

פלט

עותק מוצפן, נקודות ביקורת שנשמרו ותגובות עם חותמת זמן.

אימות

שחזר באמצעות המפתח שיוצא, ולאחר מכן אמת ללא השרת המקורי.

**אינו עושה** זה אינו מחליף עד עצמאי או מפתח פענוח המוחזק בנפרד.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/investigation/)

## העבירו חבילה הניתנת לבדיקה

יש לספק את המקור החתום, טביעת אצבע של המפתח שנשמרה באופן עצמאי, נקודת הבדיקה הרלוונטית ותוצאת האימות.

- חתום ZIP
- JSONL
- CSV
- HTML
- נקודת ביקורת
- קבלת אישור
- ייצוא צ'אט: chat.json / chat.html
- תיק מידע JSON
- מוגן בסיסמה AES-256 ZIP
- ייצוא נפרד עבור חשבונות מרובים
- CLI לסטרימינג: 5 GiB מגבלה ברירת מחדל

```
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --checkpoint checkpoint.json
```

השיגו את המאמת מעותק מהימן, ולא מהארכיון הנבדק.

**אינו עושה** עצמאי CSV ו HTML אינם מכולות חתומות. סיסמה מגנה על סודיות ההעברה, לא על האותנטיות. ייצוא מרובה אינו מאחד יומני חשבונות.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/evidence/)

## השוו את הארטפקט שנמסר

אובייקטים בסיסיים ללא חתימה נוספת, חותמת זמן או מערכות עדים. סקריפטים ומרשמי יומן משתנים בהתאם ליישום; "חלקי" פירושו מוגבל לחומר שנלכד או גלוי.

| גישה | עריכות / מחיקות | תיעוד חתימה | זמן חיצוני | עד עצמאי | כיסוי / פערים | אימות ללא מחבר |
| --- | --- | --- | --- | --- | --- | --- |
| ייצוא מ-Telegram Desktop | חלקי | לא | לא | לא | לא | לא |
| Telethon סקריפט תמונת מצב | חלקי | לא | לא | לא | לא | לא |
| יומן מחיקה: יומן טקסט | חלקי | לא | לא | לא | לא | לא |
| צילומי מסך / לכידת דפי אינטרנט | חלקי | לא | לא | לא | לא | לא |
| TgWitness עם תוספות שהוגדרו | חלקי | כן | כן | כן | חלקי | כן |

**אינו עושה** הטבלה אינה מעריכה כל סקריפט או מוצר רישום. בדיקות זמן ועדים אופציונליות דורשות שירותים ועוגני אמון משלהן; אף אחת מהן אינה קובעת את האמת המקורית.

[קראו את הפרטים](https://phishdestroy.github.io/TgWitness/he/docs/reference/evidence/)

## שמרו על הגבולות בהתאם לראיות

אימות הוא שימושי כאשר היקפו נשאר מפורש.

- צ'אטים סודיים אינם זמינים.
- אין תיעוד כלשהו בזמן שהתהליך מושעה; יכולת השחזור מוגבלת.
- רישום מאומת אינו מהווה הוכחה לכך שתוכנו נכון.
- מפעיל בעל המפתח יכול לחתום על תוכן שרירותי. עדים עצמאיים וחותמות זמן מגבילים החלפה מאוחרת, אך לא תפיסה ראשונית לא כנה.
- השתמשו בחשבון ייעודי, ולא בחשבון הראשי שלכם.
- Telegram רשאית להגביל חשבונות בשל נפח הבקשות.

**אינו עושה** אף מצב או רמת ראיות אינם קובעים קבילות משפטית, מסירה מלאה ב-Telegram או זהות בעולם האמיתי.

[מדריך התקנה](https://phishdestroy.github.io/TgWitness/demo/guide.html?lang=he)[חשבון ייעודי](https://phishdestroy.github.io/TgWitness/he/docs/dedicated-account/)[EVIDENCE.md](https://phishdestroy.github.io/TgWitness/he/docs/reference/evidence/)[INVESTIGATION.md](https://phishdestroy.github.io/TgWitness/he/docs/reference/investigation/)