सुरक्षा और डेटा प्रबंधन

TgWitness आपके अपने कंप्यूटर या सर्वर पर चलता है। खाता कनेक्शन, सार्वजनिक प्रॉक्सी-सूची के रखरखाव और वैकल्पिक बाहरी सेवाओं के लिए स्पष्ट राउटिंग नीतियां हैं। सूचनाएं, टाइमस्टैम्प, ऑफ-साइट प्रतियां और एक गवाह अलग से कॉन्फ़िगर किए जाते हैं। यह पेज बताता है कि क्या सुरक्षित है, कैसे, और क्या ऑपरेटर पर निर्भर रहता है।

कमजोरियों की रिपोर्टों के लिए, सुरक्षा नीति देखें।

पहुँच मॉडल#

मुख्य पैनल टोकन पूर्ण नियंत्रण प्रदान करता है। अन्य लोग अपनी स्वयं की सीमित पहुँच प्राप्त कर सकते हैं: चुने हुए वर्कस्पेस और चैट, अनुमतियाँ, समाप्ति, आईपी प्रतिबंध, साइन-इन सीमाएँ और रद्द की जा सकने वाली सत्र। चैट-सीमित पहुँच पूरे वर्कस्पेस के संचालन नहीं कर सकती, भले ही उनकी अनुमति टिक की गई हो। वर्कस्पेस एक प्रक्रिया साझा करते हैं और होस्ट प्रशासक से डेटा को अलग नहीं करते हैं।

पैनल डिफ़ॉल्ट रूप से लोकलहोस्ट पर सुनता है। ब्राउज़र साइन-इन एक सत्र क्रेडेंशियल के लिए एक्सेस टोकन का आदान-प्रदान करता है; ब्राउज़र इसे एक बेयरर टोकन के रूप में भेजता है। इसे प्रमाणीकरण कुकी के बजाय sessionStorage में रखा जाता है। लॉक/साइन-आउट ब्राउज़र सत्र को साफ़ कर देता है। ब्राउज़र बंद करने या सत्र समाप्त करने से संग्रह रुकता नहीं है।

जारी किए गए टोकन और सत्र क्रेडेंशियल एन्क्रिप्टेड वॉल्ट में हैश के रूप में रखे जाते हैं। रद्दीकरण संबंधित सत्रों को समाप्त कर देता है; अनुमति परिवर्तन बाद के अनुरोधों को प्रभावित करते हैं। डाउनलोड की गई फ़ाइलों को वापस नहीं लिया जा सकता। प्रशासक अपने स्वयं के ब्राउज़र सत्रों को भी सीमित कर सकते हैं, लेकिन मुख्य पैनल टोकन का सीधे उपयोग करने वाली स्क्रिप्ट्स पूरी पहुंच बनाए रखती हैं और उन ब्राउज़र-सत्र सीमाओं को बायपास कर देती हैं।

विफल प्रमाणीकरण क्लाइंट पते द्वारा दर-सीमित है। आईपी प्रतिबंध एप्लिकेशन द्वारा देखे गए पते का उपयोग करते हैं; इस पर भरोसा करने से पहले रिवर्स-प्रॉक्सी व्यवहार की जाँच करें। विटनेस क्रेडेंशियल अलग, केवल-पठन योग्य चेकपॉइंट/स्वास्थ्य क्रेडेंशियल होते हैं।

डेमो एक्सेस#

/api/demo-access एक स्पष्ट रूप से शुरू किए गए, अलग-थलग सिंथेटिक डेमो के लिए जानबूझकर बिना प्रमाणीकरण वाला बूटस्ट्रैप है। यह एक अलग प्रोसेस-लाइफटाइम क्षमता जारी करता है, कभी भी वास्तविक पैनल टोकन या TGWITNESS_TOKEN ओवरराइड नहीं। जारी करने और उपयोग करने के लिए एक लूपबैक पीयर और होस्ट की आवश्यकता होती है, कोई फॉरवर्डेड हेडर नहीं, और कोई क्रॉस-ओरिजिन अनुरोध नहीं। अतिरिक्त वर्कस्पेस या एक अधिकृत सत्र इस पथ को अक्षम कर देते हैं। लाइव वर्कस्पेस कभी भी इस क्षमता को जारी नहीं करते हैं। यह डेमो खातों को नहीं जोड़ सकता है या संग्रह सेटिंग्स को नहीं बदल सकता है।

पैनल सामग्री और निर्यात#

पैनल कोई बाहरी फ़ॉन्ट, एनालिटिक्स, CDN संसाधन, या एम्बेडेड रिमोट मीडिया का उपयोग नहीं करता है। टेलीग्राम-स्रोत पाठ को HTML के रूप में नहीं, बल्कि साधारण पाठ के रूप में डाला जाता है। डाउनलोड की गई अटैचमेंट्स को बाइनरी अटैचमेंट के रूप में परोसा जाता है। JSONL एक्सपोर्ट मूल स्ट्रिंग्स को संरक्षित करते हैं; HTML उन्हें एस्केप कर देता है; CSV सेल जिनके फ़ॉर्मूला बन सकते हैं, उनके सामने एक अपॉस्ट्रॉफ़ी लगा दी जाती है।

एक्सपोर्ट्स में प्रमाणीकरण और हस्ताक्षर रहस्य शामिल नहीं होते हैं, लेकिन जानबूझकर एकत्रित स्रोत मेटाडेटा, पहचानकर्ता, और संभवतः व्यक्तिगत या संवेदनशील सामग्री शामिल होती है। टेलीग्राम एक्सेस हैश और फ़ाइल संदर्भ कच्चे स्रोत मेटाडेटा में आ सकते हैं।

विश्राम में रहस्य#

Telegram API क्रेडेंशियल, StringSession, और Ed25519 प्राइवेट की Fernet का उपयोग करके एन्क्रिप्ट किए जाते हैं। डिफ़ॉल्ट रूप से इसकी कुंजी उसी संरक्षित डेटा निर्देशिका में संग्रहीत होती है। यह आकस्मिक प्लेनटेक्स्ट के खुलासे को कम करता है; यह उस हमलावर के खिलाफ सुरक्षा नहीं है जो पूरी डायरेक्टरी पढ़ सकता है। TgWitness संदेश की सामग्री और मीडिया को एन्क्रिप्ट नहीं करता है। डिस्क एन्क्रिप्शन और प्रतिबंधात्मक OS परमिशन का उपयोग करें। यूनिक्स प्राइवेट की फ़ाइलें मोड 0600 के साथ बनाई जाती हैं; नए बनाए गए डेटा डायरेक्टरी मोड 0700 का उपयोग करती हैं। मौजूदा डायरेक्टरी अनुमतियों को नहीं बदला जाता है। विंडोज डायरेक्टरी ACLs को विरासत में लेता है: उन्हें सेवा खाते और अधिकृत प्रशासकों तक सीमित करें।

बाहरी मास्टर कुंजी#

एक नई डेटा निर्देशिका के लिए, TGWITNESS_VAULT_KEY_FILE एक बाहरी यादृच्छिक मास्टर कुंजी प्रदान कर सकता है। HKDF-SHA256 और एक अलग यादृच्छिक सॉल्ट प्रत्येक वर्कस्पेस के लिए एक अलग फर्नेट कुंजी उत्पन्न करते हैं। रिकवरी के लिए vault.external.json को बनाए रखना आवश्यक है। खोई हुई या गलत मास्टर कुंजियों के कारण क्लोज़ फ़ेल हो जाता है। मौजूदा स्थानीय वॉल्ट्स को चुपचाप माइग्रेट नहीं किया जाता है। चल रही प्रक्रिया कुंजी तक पहुँच सकती है; यह HSM आइसोलेशन नहीं है। पैनल चयनित मोड की रिपोर्ट करता है और स्पष्ट रूप से बताता है कि संदेश/मीडिया भंडारण एप्लिकेशन द्वारा एन्क्रिप्ट नहीं किया गया है। पूर्ण थ्रेट मॉडल के लिए कनेक्शन, प्रॉक्सी और डेटा सुरक्षा देखें।

प्रॉक्सी और नेटवर्क मार्ग#

प्रॉक्सी कॉन्फ़िगरेशन वॉल्ट में एन्क्रिप्ट किया गया है। पासवर्ड और MTProxy सीक्रेट्स API द्वारा लौटाए नहीं जाते हैं या साक्ष्य रिकॉर्ड में लिखे नहीं जाते हैं। प्रत्येक वर्कस्पेस अपना टेलीग्राम रूट और एक IP मोड चुनता है।

आईपी छिपाने वाला मोड सीधे टेलीग्राम फॉलबैक को अस्वीकार करता है और बाहरी HTTP अनुरोधों के लिए एक प्रॉक्सी की आवश्यकता होती है। स्पष्ट रूप से चयनित फॉलबैक मोड अपनी देरी के बाद सीधे टेलीग्राम एक्सेस की अनुमति देता है; टनल/VPN मोड सीधे मार्गों की अनुमति देता है। टनल मोड चुनने से कोई वीपीएन इंस्टॉल या सत्यापित नहीं होता है। ये सेटिंग्स सभी मशीन ट्रैफ़िक, ब्राउज़र, पैकेज मैनेजर या स्थानीय प्रॉक्सी-होस्ट डीएनएस रिज़ॉल्यूशन को नियंत्रित नहीं करती हैं।

MTProxy केवल टेलीग्राम ट्रैफ़िक ले जाता है। बाहरी अनुरोध एक अलग SOCKS5/HTTP प्रॉक्सी, वर्कस्पेस के SOCKS5/HTTP रूट, या एक अनुमत सीधे रूट का उपयोग कर सकते हैं; इन्हें अक्षम भी किया जा सकता है। स्वतंत्र गवाह की अपनी ट्रांसपोर्ट सेटिंग्स होती हैं। साधारण SOCKS5/HTTP CONNECT प्रमाणीकरण स्वयं उन प्रॉक्सी प्रोटोकॉल द्वारा एन्क्रिप्ट नहीं किया जाता है। नकली TLS MTProxy रहस्य समर्थित नहीं हैं।

साइन-इन और सत्र आयात#

कन्वर्ट की गई .tgwitness-session फ़ाइलों में एक प्लेनटेक्स्ट ऑथराइज़ेशन सीक्रेट तब तक रहता है जब तक कि उन्हें वॉल्ट में लोड और स्टोर न किया जाए। ऑफ़लाइन CLI समीक्षा किए गए टेलीथॉन स्कीमा को स्वीकार करता है। पैनल आयात अतिरिक्त रूप से पायरोग्राम SQLite, आधुनिक एकल-खाते वाला TData ZIP, और प्रलेखित JSON इनपुट स्वीकार करता है। यह प्रमाणीकृत है, चार फ़ाइलों / 8 MiB तक सीमित है, और मूल फ़ाइलों को निकालने या सहेजने के बिना मेमोरी में अपलोड को संसाधित करता है। सामान्यीकृत क्रेडेंशियल केवल अनुरोध करने वाले प्रमाणीकृत ब्राउज़र को ही लौटाए जाते हैं; सफल टेलीग्राम प्राधिकरण के बाद उन्हें एन्क्रिप्टेड वॉल्ट में सहेजा जाता है। मूल और परिवर्तित फ़ाइलों की सुरक्षा करें, और एक प्राधिकरण को क्लोन करने वाले समवर्ती क्लाइंट्स से बचें।

TData प्रोसेसिंग कंटेनर चेक्सम, स्थानीय डिक्रिप्शन हैश, और संरचना की लंबाई को सत्यापित करती है। प्रदान किया गया डेस्कटॉप स्थानीय पासकोड अस्थायी रूप से उपयोग किया जाता है और संग्रहीत नहीं किया जाता है। यह सीमित पार्सर यह स्थापित नहीं करता है कि हर डेस्कटॉप संस्करण संगत है। क्यूआर छवियाँ स्थानीय रूप से उत्पन्न होती हैं, इनमें अल्पकालिक टेलीग्राम लॉगिन टोकन होते हैं, और इन्हें कभी भी किसी बाहरी रेंडरिंग सेवा पर नहीं भेजा जाता है। लॉक, वर्कस्पेस स्विच, नया लॉगिन, और मार्ग परिवर्तन लंबित क्यूआर प्रयासों को रद्द कर देते हैं। एक टैब को रीलोड/बंद करने से कोई प्रयास समाप्ति तक लंबित रह सकता है। एक सफल क्यूआर लॉगिन फिर भी खाते को बांधता है। साधारण एपीआई बॉडी 16 KiB तक सीमित रहती हैं; प्रमाणीकृत आयात मार्ग एन्कोडेड JSON के 12 MiB तक स्वीकार करता है, और अलग से छोटी डिकोडेड-फ़ाइल सीमा को लागू करता है।

लॉगिन कोड और टेलीग्राम दो-चरणीय सत्यापन पासवर्ड संग्रहीत नहीं किए जाते हैं। फोन नंबर/कोड-हैश की स्थिति प्राधिकरण के दौरान मेमोरी में रखी जाती है। टेलीग्राम सत्र खाते तक पहुंच प्रदान करते हैं; कभी भी GitHub पर कोई डेटा निर्देशिका, सत्र, टोकन, वॉल्ट कुंजी, या निजी हस्ताक्षर कुंजी अपलोड न करें।

लॉग और परिवहन#

डिफ़ॉल्ट एपीआई सत्यापन प्रतिक्रिया को बदला जाता है ताकि यह क्रेडेंशियल मानों को दोहराए नहीं। एप्लिकेशन एक्सेस लॉगिंग अक्षम है। प्राधिकरण हेडर या अनुरोध बॉडी को लॉग करने के लिए रिवर्स प्रॉक्सी कॉन्फ़िगर न करें। HTTP, टोकन और लॉगिन सीक्रेट को प्लेनटेक्स्ट में ले जाता है: जब भी लोकलहोस्ट से बाहर जा रहे हों तो HTTPS या SSH टनल का उपयोग करें।

अखंडता सीमाएँ#

हैश चेन, डेटाबेस ट्रिगर्स, और हस्ताक्षर कुछ संशोधनों का पता लगाते हैं; वे एक स्थानीय प्रशासक को जर्नल को फिर से लिखने और फिर से हस्ताक्षर करने से नहीं रोकते हैं। हस्ताक्षरित चेकपॉइंट और सार्वजनिक-कुंजी फिंगरप्रिंट को एक अलग सिस्टम पर बनाए रखें। एविडेंस मोड और ऑफ-साइट कॉपी (दोनों डिफ़ॉल्ट रूप से बंद हैं) चेकपॉइंट हैश को टाइमस्टैम्प सेवाओं पर और एन्क्रिप्टेड कॉपी को S3-संगत स्टोरेज पर भेजते हैं; एविडेंस प्रारूप देखें। पारदर्शिता लॉग, HSM-समर्थित साइनिंग और औपचारिक चेन-ऑफ-कस्टडी प्रमाणन लागू नहीं किए गए हैं।

यदि आपको कोई समस्या संदेह हो#

मूल डेटा निर्देशिका को संरक्षित रखें और विश्लेषण के लिए एक अलग प्रति का उपयोग करें। सार्वजनिक मुद्दे में निजी टेलीग्राम डेटा या क्रेडेंशियल शामिल न करें। किसी स्वतंत्र सुरक्षा प्रमाणन का दावा नहीं किया जाता है।