# การเข้าถึงและสิทธิ์

Canonical page: https://phishdestroy.github.io/TgWitness/th/docs/reference/access/

กำหนดสิทธิ์การเข้าถึงบัญชีและห้องสนทนา, เลือกสิทธิ์การเข้าถึง, จำกัดจำนวนเซสชันและที่อยู่ IP, และยกเลิกสิทธิ์การเข้าถึง

ให้สิทธิ์ผู้ตรวจสอบเข้าถึงการสนทนาหนึ่งครั้ง ให้สิทธิ์นักวิเคราะห์ส่งออกกรณี หรือ ให้ผู้ดำเนินการควบคุมบัญชีที่เลือกไว้ แต่ละคนจะได้รับโทเค็นของตัวเอง โทเค็นของ แผงควบคุมหลักจะอยู่กับผู้ดูแลระบบ

[การตั้งค่าบัญชี](https://phishdestroy.github.io/TgWitness/th/docs/reference/accounts/) · [เส้นทางการเชื่อมต่อ](https://phishdestroy.github.io/TgWitness/th/docs/reference/connection/) · [โมเดลความปลอดภัย](https://phishdestroy.github.io/TgWitness/th/docs/reference/security/)

## สองขอบเขตงาน สองหน้าที่ที่แตกต่างกัน

**ขอบเขตการเก็บ**ข้อมูลกำหนดว่าบัญชีจะบันทึกอะไร: การสนทนาที่เลือกไว้, โฟลเดอร์ Telegram หรือบัญชีทั้งหมด **ขอบเขตการ**เข้าถึงกำหนดว่าบัญชีและ การสนทนาที่บันทึกไว้เหล่านั้น คนอื่นสามารถดูและใช้ได้หรือไม่ การให้สิทธิ์การเข้าถึงไม่ทำให้เข้าร่วม การสนทนา Telegram, ไม่เริ่มการเก็บข้อมูล หรือให้สิทธิ์การเข้าถึงบัญชี Telegram

สิทธิ์การเข้าถึงสามารถเปิดพื้นที่ทำงานที่เลือกไว้, การสนทนาที่เลือกไว้ภายในพื้นที่ทำงานนั้น หรือทุก พื้นที่ทำงานได้ **ทุกพื้นที่ทำงาน รวมถึงพื้นที่ทำงานที่เพิ่มเข้ามาในภายหลัง** ยังครอบคลุม บัญชีในอนาคตด้วย ให้เลือกพื้นที่ทำงานอย่างชัดเจนเมื่อต้องการจำกัดการเข้าถึงให้อยู่เฉพาะในพื้นที่ทำงานนั้นเท่านั้น

## ให้สิทธิ์การเข้าถึงแก่ผู้ใช้

1. ลงชื่อเข้าใช้ในฐานะผู้ดูแลระบบหลัก และเปิดส่วน **Access**
2. ในส่วน **“ให้สิทธิ์เข้าถึงแก่บุคคลใด**บุคคลหนึ่ง” ให้ป้อนชื่อที่คุณจะสามารถระบุได้ในบันทึก
3. เลือกพื้นที่ทำงาน และหากจำเป็น ให้เลือกการสนทนาแต่ละครั้ง
4. เลือกสิ่งที่บุคคลนี้อาจทำได้ โดยตัวเลือก “ดู” จะถูกรวมไว้เสมอ
5. ตั้งระยะเวลาหมดอายุ, ข้อจำกัดการลงชื่อเข้าใช้/เซสชัน และที่อยู่ที่ได้รับอนุญาตตามความต้องการ
6. คลิก "**Create access**" (สร้างสิทธิ์เข้าถึง) คัดลอกโทเค็นทันที: โทเค็นนี้จะแสดงขึ้นเพียงครั้งเดียวเท่านั้น
7. ส่งที่อยู่แผงควบคุมและโทเค็นแบบส่วนตัว ผู้รับจะป้อนโทเค็นนั้น บนหน้าเข้าสู่ระบบปกติ; พวกเขาไม่จำเป็นต้องใช้โทเค็นแผงควบคุมหลักของคุณหรือเซสชัน Telegram ของคุณ

เปิดแผงควบคุมด้วยโทเค็นที่ออกให้ในเซสชันเบราว์เซอร์ที่แยกต่างหาก และตรวจสอบ การสนทนาที่แสดงอยู่และกิจกรรมที่ได้รับอนุญาตก่อนที่จะส่งมอบให้

## เลือกสิทธิ์การเข้าถึง

| สิทธิ์ | สิ่งที่เครื่องมือนี้สามารถทำได้ |
| --- | --- |
| `view` | อ่านการสนทนาที่ได้รับอนุญาต ข้อความที่ถูกบันทึก โปรไฟล์ ไฟล์ และบันทึกในสมุดบันทึกที่ผ่านการกรอง ซึ่งถูกรวมไว้เสมอ |
| `export` | สามารถส่งออกประวัติการสนทนาและแฟ้มข้อมูลที่ได้รับอนุญาตได้ การส่งออกหลักฐานของพื้นที่ทำงานทั้งหมดจำเป็นต้องมีสิทธิ์เข้าถึงพื้นที่ทำงานทั้งหมด |
| `sources` | จัดการแหล่งข้อมูล ภาพถ่ายหน้าจอ และการจับภาพโปรไฟล์ การเข้าถึงแบบจำกัดตามแชทสามารถดำเนินการได้เฉพาะในแชทที่ได้รับอนุญาตเท่านั้น ส่วนการค้นพบแหล่งข้อมูลและการตั้งค่าขอบเขตในระดับบัญชีทั้งหมดจะยังคงถูกปิดไว้ |
| `collect` | เริ่มหรือหยุดการทำงานของตัวเก็บข้อมูล ต้องมีสิทธิ์เข้าถึงพื้นที่ทำงานทั้งหมด เนื่องจากการเก็บข้อมูลจะส่งผลต่อบัญชี |
| `interact` | ดำเนินการโต้ตอบ Telegram ที่ได้รับการสนับสนุนภายในขอบเขตการเข้าถึง การเข้าถึงแบบจำกัดการสนทนาไม่สามารถใช้การดูตัวอย่างลิงก์สำหรับบัญชีทั้งหมดได้ |
| `settings` | ปรับการตั้งค่าการเก็บข้อมูล, เวลาบันทึก, การแจ้งเตือน, สำเนาที่เก็บไว้นอกระบบ และพารามิเตอร์ต่างๆ ต้องมีสิทธิ์เข้าถึงพื้นที่ทำงานทั้งหมด |
| `account` | ลงชื่อเข้าหรือออกจาก Telegram และจัดการเส้นทางเชื่อมต่อ ต้องมีสิทธิ์เข้าถึงพื้นที่ทำงานทั้งหมด |

สิทธิ์และขอบเขตจะถูกตรวจสอบร่วมกัน การเลือกสิทธิ์หนึ่งจะไม่เปิด แชทอื่น ๆ หรือปลดล็อกการดำเนินการระดับพื้นที่ทำงาน สำหรับสิทธิ์ที่จำกัดเฉพาะแชท สำหรับการส่งออกแบบขนาน สิทธิ์การเข้าถึงต้องครอบคลุมการสนทนาที่ส่งออกในทุกบัญชี ที่เลือกไว้ สิทธิ์การเข้าถึงที่ออกแล้วไม่สามารถสร้างสิทธิ์การเข้าถึงใหม่ จัดการเซสชัน ของผู้อื่น หรือเปิดคอนโซลผู้ดูแลระบบได้

### สามวิธีตั้งค่าที่มีประโยชน์

| บุคคล | ขอบเขต | สิทธิ์ |
| --- | --- | --- |
| ผู้ตรวจสอบ | การบันทึกการสนทนาในหนึ่งกรณี | `view` |
| นักวิเคราะห์กำลังเตรียมการส่งต่องาน | การสนทนาที่จำเป็นต้องตรวจสอบและส่งออก | `view`, `export`; เพิ่ม `interact` เฉพาะเมื่อจำเป็นต้องดำเนินการผ่าน Telegram |
| ผู้ดำเนินการการเก็บรวบรวมข้อมูล | พื้นที่ทำงานที่เลือกไว้ทั้งหมด | `view`, `sources`, `collect`; เพิ่ม `settings` หรือ `account` เฉพาะเมื่อจำเป็นเท่านั้น |

นี่เป็นตัวอย่างที่คุณสามารถกำหนดค่าได้ผ่านกล่องเลือกสิทธิ์ ไม่ใช่บทบาทที่กำหนดไว้ล่วงหน้า

## ข้อจำกัดและเซสชัน

| บริบท | วิธีการทำงาน |
| --- | --- |
| เซสชันคู่ขนาน | จำกัดจำนวนเซสชันที่เปิดพร้อมกันไว้ที่ 1–100 เมื่อถึงขีดจำกัด ให้ปฏิเสธการเข้าสู่ระบบครั้งต่อไป หรือปิดเซสชันที่เปิดมานานที่สุด |
| อนุญาตให้เข้าสู่ระบบ | จำกัดจำนวนครั้งการใช้โทเค็นที่สำเร็จเพื่อเริ่มเซสชัน เซสชันที่มีอยู่จะไม่ถูกปิดเพียงเพราะได้ใช้สิทธิ์การเข้าสู่ระบบครั้งสุดท้ายที่ได้รับอนุญาตแล้ว |
| มีผลจนถึง | การเข้าถึงมีวันหมดอายุที่แน่นอน การเข้าถึงที่หมดอายุแล้วไม่สามารถเข้าสู่ระบบหรือส่งคำขอได้อีก |
| ไม่มีกิจกรรมเป็นเวลาหลายนาที | เวลาหมดอายุความไม่ใช้งานของเซสชัน ตั้งแต่อินเทอร์วัล 5 นาที ถึง 30 วัน คำขอที่สำเร็จจะขยายเวลาดังกล่าว; แผงที่เปิดอยู่สามารถรักษาสถานะใช้งานได้โดยการส่งคำขอตรวจสอบเป็นระยะ |
| ที่อยู่อีเมลที่ได้รับอนุญาต | รับที่อยู่ IP หรือซับเน็ต CIDR ที่กำหนดไว้ หากไม่กรอกค่าใด ๆ จะอนุญาตให้ใช้ที่อยู่ใดก็ได้ เว้นแต่มีการเปิดใช้งานการผูกมัดการเข้าสู่ระบบครั้งแรก |
| เชื่อมโยงกับการเข้าสู่ระบบครั้งแรก | การลงชื่อเข้าใช้ที่สำเร็จครั้งแรกจะกำหนดที่อยู่ที่ได้รับอนุญาตสำหรับการเข้าถึงนั้น |

IP คือที่อยู่ของลูกค้าที่แอปพลิเคชันเห็นได้ หากอยู่เบื้องหลัง reverse proxy หรือ tunnel ให้ตรวจสอบที่อยู่แสดงใน "**Open sessions**" ก่อนที่จะใช้กฎ IP: มิฉะนั้น ผู้ใช้หลายคนอาจดูเหมือนใช้ที่อยู่ของ proxy ร่วมกัน

## เปลี่ยนหรือยกเลิกสิทธิ์การเข้าถึง

แก้ไขรายการภายใต้ส่วน **"Accesses"** เพื่อปรับเปลี่ยนขอบเขต สิทธิ์ หรือข้อจำกัด การเปลี่ยนแปลงขอบเขตและสิทธิ์จะถูกตรวจสอบในคำขอถัดไป รวมถึง คำขอจากเซสชันที่เปิดอยู่แล้ว การเพิกถอนสิทธิ์การเข้าถึงจะยุติเซสชันนั้น และทำให้โทเค็นที่ออกไว้ไม่สามารถใช้งานได้ **เซสชันที่เปิดอยู่**ยังช่วยให้ผู้ดูแลระบบ สามารถยุติเซสชันเฉพาะได้โดยไม่ต้องเพิกถอนสิทธิ์การเข้าถึงทั้งหมด

การเพิกถอนสิทธิ์ไม่สามารถเรียกคืนไฟล์ที่ผู้ใช้อื่นได้ดาวน์โหลดไปแล้วได้ การออกจากระบบ, การล็อกหน้าจอ หรือการปิดเซสชัน จะไม่หยุดการทำงานของตัวเก็บข้อมูลที่กำลังทำงานอยู่

## สิ่งที่ผู้ดูแลระบบสามารถเห็นได้

**บันทึกตั้งแต่เริ่มต้นนี้**รวมบันทึกกระบวนการกับกิจกรรมในสมุดบันทึกจากทุก พื้นที่ทำงาน: การเข้าสู่ระบบ, การปฏิเสธ, การเปลี่ยนเส้นทาง และการดำเนินการของผู้ใช้ เป็น คอนโซลในหน่วยความจำสำหรับกระบวนการปัจจุบัน ไม่ใช่สำเนาถาวรของทุกข้อความ เหตุการณ์ข้อความที่เกิดขึ้นบ่อยครั้งจะเก็บไว้ในสมุดบันทึกแทนที่จะไปเติมเต็มคอนโซล

การออก เปลี่ยนแปลง และเพิกถอนสิทธิ์การเข้าถึง รวมถึงการเริ่มหรือสิ้นสุดเซสชัน จะสร้าง บันทึกสมุดบันทึก`access.*` ที่ลงนามด้วยเช่นกัน โทเค็นไม่ถูกรวมอยู่ในบันทึกเหล่านั้น โทเค็นที่ออกและข้อมูลรับรองเซสชันจะถูกเก็บรักษาไว้ในรูปแบบแฮชภายในคลังข้อมูลที่เข้ารหัส

****ผู้ดูแลระบบหลักและขอบเขตความเชื่อถือ**** โทเค็นแผงหลักยังคงไม่ถูกจำกัด การเข้าสู่ระบบผ่านเบราว์เซอร์ด้วยโทเค็นนี้จะสร้างเซสชัน ที่อยู่ภายใต้ขีดจำกัดเซสชันที่ผู้ดูแลระบบกำหนด สคริปต์ที่ส่ง โทเค็นหลักโดยตรงจะยังคงมีสิทธิ์เข้าถึงเต็มรูปแบบ และไม่ถูกนับเป็นเซสชันเบราว์เซอร์ นี่คือระบบควบคุมการเข้าถึงระดับแอปพลิเคชันในระบบติดตั้งเดียว ทุกพื้นที่ทำงานใช้ กระบวนการเซิร์ฟเวอร์ร่วมกัน; นี่ไม่ใช่การแยกตัวจากผู้ดูแลระบบโฮสต์ ให้รักษา โทเค็นหลัก เซสชัน Telegram กุญแจการลงนาม และไดเรกทอรีข้อมูลให้เป็นความลับ โทเค็นพยาน เป็นจุดตรวจสอบ/ข้อมูลรับรองสถานะการทำงานที่แยกต่างหาก ไม่ใช่โทเค็นการเข้าถึงแผงควบคุม