# หนึ่งสมุดบันทึก สี่โหมดการเก็บรวบรวม แปดระดับการตรวจสอบ

Canonical page: https://phishdestroy.github.io/TgWitness/th/guides/modes.html

โหมด, สถานการณ์ และระดับหลักฐาน

TgWitness บันทึกสิ่งที่บัญชีที่เชื่อมต่อสังเกตเห็นได้ ฝ่ายที่สามสามารถตรวจสอบความสมบูรณ์ของบันทึกได้โดยใช้กุญแจที่ได้รับการเชื่อถืออย่างอิสระ

[โหมดการเก็บรวบรวม](https://phishdestroy.github.io/TgWitness/th/guides/modes.html#scope)[สถานการณ์](https://phishdestroy.github.io/TgWitness/th/guides/modes.html#scenarios)[ระดับหลักฐาน](https://phishdestroy.github.io/TgWitness/th/guides/modes.html#levels)

ภาพรวม 3–5 นาที · ตัวอย่างสมมติ · การนำไปใช้ในปัจจุบัน

1. **Telegram**

   การอัปเดตที่บัญชีสามารถเห็นได้
2. **Collector**

   บันทึกที่เชื่อมโยงกัน แต่ละบันทึกได้รับการลงนาม
3. **ผู้ตรวจสอบ**

   กุญแจที่เชื่อถือได้ + ขอบเขตที่รักษาไว้

`h₁ → h₂ → h₃ · Ed25519`ความสมบูรณ์ได้รับการตรวจสอบแล้ว แหล่งที่มาของ Telegram และความจริงของข้อความยังคงเป็นประเด็นที่แยกจากกัน

## เลือกขอบเขตการสังเกต

สามขอบเขตและตั้งค่าล่วงหน้าสำหรับการสืบสวน การยกเว้นและประเภทแหล่งที่มาที่เปิดใช้งานยังคงมีผลบังคับใช้

ค่าเริ่มต้น**การสนทนาที่เลือก**

บันทึก

ใช้เฉพาะแหล่งข้อมูลที่คัดสรรด้วยมือเท่านั้น

การสนทนาใหม่

ไม่ถูกเพิ่มอัตโนมัติ

เลือกใช้

ชุดช่องหรือกลุ่มที่ทราบกันดี ยังไม่มีการกำหนดความจุการสนทนาที่คงที่

**ไม่ทำ** มันไม่ค้นพบการสนทนาอื่น ๆ หรือเติมข้อมูลประวัติการสนทนาในอดีต

โฟลเดอร์บัญชี**โฟลเดอร์ Telegram**

บันทึก

การรวมโฟลเดอร์และหมวดหมู่ โดยไม่รวมการยกเว้นและการสนทนาที่ถูกเก็บเข้าคลังเมื่อมีการกำหนดค่า

การสนทนาใหม่

การจับคู่แชทที่ใช้งานอยู่; การเปลี่ยนแปลงในโฟลเดอร์ภายในหนึ่งชั่วโมง

เลือกใช้

นักวิเคราะห์ได้จัดเก็บโฟลเดอร์คดีไว้แล้ว ยืนยันการเก็บรวบรวมข้อมูลในบัญชีที่จัดไว้เฉพาะ

**ไม่ทำ** มันไม่ใช้เงื่อนไขการเปลี่ยนแปลงของโฟลเดอร์ muted/read ของโฟลเดอร์

ยืนยันขอบเขต**บัญชีทั้งหมด**

บันทึก

การสนทนาที่บัญชีสามารถเห็นได้ รวมถึงการสนทนาส่วนตัวและบอต ในประเภทที่เลือกไว้

การสนทนาใหม่

จะเพิ่มเมื่อมีการอัปเดตครั้งแรก

เลือกใช้

บัญชีการสังเกตการณ์เฉพาะทาง รวมถึงบัญชีที่เข้าร่วมในคดี

**ไม่ทำ** มันไม่เข้าร่วมการสนทนาอัตโนมัติหรือข้ามการเข้าถึงแหล่งข้อมูล

การตั้งค่าล่วงหน้าสำหรับบัญชีทั้งหมด**โหมดการตรวจสอบ**

บันทึก

ทุกประเภทแหล่งข้อมูล, การดำเนินการของตัวเอง, โปรไฟล์แหล่งข้อมูล และข้อความ 200 ข้อความล่าสุดที่มองเห็นได้จากแหล่งข้อมูลที่เพิ่งค้นพบ

การสนทนาใหม่

การสนทนาหรือบอทใหม่จะได้รับโปรไฟล์และภาพถ่ายประวัติ

เลือกใช้

เข้าร่วมทีมหรือโต้ตอบกับบอทผ่านแผงควบคุม ตรวจสอบและบันทึกการตั้งค่าล่วงหน้า

**ไม่ทำ** มันไม่สร้างภาพถ่ายทุกการสนทนาที่มีอยู่ หรือติดตามการเรียกกลับที่ถูกกดในไคลเอนต์อื่น

บัตรเหล่านี้เป็นการเปรียบเทียบในระบบท้องถิ่น ไม่ใช่เครื่องมือควบคุมผู้รวบรวมข้อมูลแบบเรียลไทม์ และไม่ส่งผลต่อการเปลี่ยนแปลงบัญชี

**ไม่ทำ** ไม่มีโหมดใดที่อ่านการสนทนาลับ บันทึกข้อมูลขณะที่กระบวนการถูกหยุดลง เข้าร่วมแหล่งข้อมูลด้วยตนเอง หรือดึงประวัติเก่ากว่าที่ร้องขอ snapshot/export.

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/collection/)

## รวบรวมผ่าน GitHub Actions (รุ่นทดลอง)

เข้าสู่ระบบ Telegram ใหม่ หนึ่งแชต ไฟล์เก็บถาวรที่เข้ารหัส และหลักฐานแหล่งที่มาจาก GitHub

[เปิดตัวช่วยรวบรวม](https://phishdestroy.github.io/TgWitness/th/docs/capture/)

## สิ่งที่ถูกบันทึก

เพียงการสังเกตการณ์ที่ส่งถึงหรือได้รับการร้องขออย่างชัดเจนเท่านั้นที่จะถูกบันทึกไว้ แหล่งที่มาที่ไม่ทราบจะยังคงไม่ทราบ

 สวิตช์การจับภาพ · ภาพประกอบท้องถิ่นข้อความใหม่การแก้ไขการลบปฏิกิริยาสมาชิก

แผงควบคุมจะปรับใช้สวิตช์เหล่านี้ตามแต่ละพื้นที่ทำงาน (workspace) การปิดสวิตช์หนึ่งจะรักษาบันทึกที่มีอยู่ไว้; การเปิดสวิตช์นั้นกลับจะไม่สร้างเหตุการณ์ที่พลาดไปขึ้นมาใหม่

**แมทริกซ์เหตุการณ์: ข้อมูลที่บันทึกไว้และสิ่งที่ยังไม่ทราบ**

| หมวดหมู่ | บันทึกแล้ว | ยังไม่ทราบ |
| --- | --- | --- |
| ข้อความ | ข้อความ, ID, ข้อมูลเมตาของผู้ส่ง, บริบทการตอบกลับ และซองอัปเดตต้นฉบับ | ไม่มีลายเซ็น Telegram ที่สามารถตรวจสอบได้โดยฝ่ายที่สาม |
| แก้ไข | ทุกเวอร์ชันที่ได้รับการสังเกต โดยไม่เขียนทับเวอร์ชันก่อนหน้า | การแก้ไขระหว่างทางอาจถูกมองข้าม; ผู้ส่งไม่จำเป็นต้องเป็นผู้แก้ไข |
| การลบ | ข้อความแจ้งเตือน พร้อมข้อความที่บันทึกไว้ก่อนหน้านี้ (หากมี) | ไม่มีการระบุผู้ลบ (deleter) และเวลาดำเนินการที่แม่นยำ |
| การลบที่ไม่มีขอบเขต | คำเตือนระดับบัญชี; คู่ที่ไม่รู้จักยังคงถูกระบุอย่างชัดเจน | ไม่มีการคาดเดาการสนทนา การเชื่อมโยงข้อมูลจะใช้ ID ที่บันทึกไว้ก่อนหน้านี้ในระดับบัญชี เมื่อเป็นไปได้ |
| ปฏิกิริยา | ตัวนับที่ส่งมาและตัวตนล่าสุดที่มองเห็นได้ | ไม่ใช่ทุกตัวรีแอคเตอร์ที่มองเห็นได้; รายชื่อทั้งหมดที่มีอยู่จำเป็นต้องใช้การค้นหาแยกต่างหาก |
| สมาชิก | ข้อความบริการที่ส่งไปแล้วและการอัปเดตของผู้เข้าร่วม | บทบาทและประเภทการสนทนาจำกัดการมองเห็น; การไม่แสดงตัวไม่ได้หมายความว่าไม่ปรากฏตัว |
| ไฟล์แนบ | ตัวอธิบายเวอร์ชันต้นฉบับ, ไบต์ที่บันทึกไว้, SHA-256 และผลลัพธ์ของการลอง | ไฟล์ที่ถูกลบอาจไม่สามารถเข้าถึงได้; เวอร์ชันใหม่กว่าจะไม่แทนที่ไฟล์เดิม |
| ภาพถ่ายประวัติ | ข้อความที่แสดงอยู่ปัจจุบัน ถูกทำเครื่องหมายเป็นการสังเกตประวัติ | การแก้ไขก่อนหน้านี้และเนื้อหาที่ถูกลบจะไม่ถูกสร้างขึ้นใหม่ |
| การกระทำของตนเอง | ส่งออกไป messages/edits และคีย์บอร์ดตอบกลับที่ตรงกัน button_press เมตาดาต้า | การเรียกกลับ (callbacks) ที่ถูกกดในไคลเอนต์ Telegram อื่นจะไม่ปรากฏให้เห็น |
| ปุ่มบอท | ข้อมูลเมตาดาต้าของ callback, URL, web-app และคำขอจะถูกเก็บรักษาไว้พร้อมกับข้อความ | URL และ phone/location คำขอ เป็นข้อความ ไม่ใช่ถูกเปิดหรือดำเนินการโดยอัตโนมัติ |

### ขีดจำกัดการแนบไฟล์ตามค่าเริ่มต้น

รูปภาพ

20 MiB

วิดีโอ

100 MiB

ไฟล์

50 MiB

ภาพเคลื่อนไหว

20 MiB

หมายเหตุเกี่ยวกับวิดีโอ

50 MiB

เสียง

20 MiB

เสียง

50 MiB

สติกเกอร์

5 MiB

**ไม่ทำ** สวิตช์ไม่ลบข้อมูลเมตาดาต้าที่ฝังอยู่หรือปิดการใช้งานบันทึกการดำเนินงาน การบันทึกไม่ระบุตัวผู้กระทำที่ Telegram ไม่ได้จัดหา

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/collection/)

## ใช้สิทธิ์การอนุญาตที่คุณมี

แต่ละบัญชีมีพื้นที่ทำงาน บันทึก กุญแจลงนาม เส้นทาง และคิวของตัวเอง

### โทรศัพท์ + รหัส

เข้าสู่ 2FA เมื่อเปิดใช้งาน

### QR code

สแกนจากอุปกรณ์ที่ได้รับอนุญาต; 2FA อาจยังคงจำเป็น

### Telethon .session

นำเข้าไฟล์เซสชันของบัญชี

### Pyrogram .session

นำเข้า Pyrogram ที่ได้รับการสนับสนุน

### TData ZIP

บัญชี Desktop ที่ได้รับการสนับสนุนเพียงหนึ่งบัญชี; รหัสผ่านท้องถิ่นหากได้กำหนดไว้

### StringSession text

วาง Telethon StringSession.

### .session + .json

เลือกเซสชันและข้อมูลเมตาดาต้าของคู่ที่เกี่ยวข้อง

### กุญแจการรับรอง HEX + DC ID

นำเข้าการอนุญาตบัญชีพร้อมตัวระบุศูนย์ข้อมูลของมัน

**API pair**

คู่ API คู่ของคุณเป็นตัวเลือกเสริม หากไม่มีคู่ดังกล่าว, TgWitness ระบบจะใช้กลุ่มคู่สาธารณะ ซึ่งรวมถึงคู่จาก Telegram Desktop อย่างเป็นทางการ

`Direct · SOCKS5 · HTTP CONNECT · MTProxy`MTProxy อยู่ในขั้นทดลอง; มีรายการคู่ API สาธารณะ MTProxy มีพร้อมใช้งานแล้ว เส้นทางพร็อกซีที่ล้มเหลวจะไม่เปลี่ยนไปใช้การเชื่อมต่อโดยตรง

พื้นที่ทำงานสองแห่งบนเครื่องเดียวกันไม่ใช่ผู้สังเกตการณ์อิสระสองคน

**ไม่ทำ** การนำเข้าข้อมูลจะไม่ข้ามขั้นตอนการอนุญาตของ Telegram, 2FA หรือรูปแบบเซสชันที่ไม่ได้รับการสนับสนุน บัญชีต่าง ๆ ยังคงใช้กระบวนการแอปพลิเคชันร่วมกัน

[รูปแบบบัญชี](https://phishdestroy.github.io/TgWitness/th/docs/reference/accounts/)

## ดำเนินการจากแผงควบคุม

ส่งหรือตอบกลับ กดปุ่มบอตที่มีอยู่ บันทึกตัวอย่างลิงก์ แล้วเข้าร่วมแชทอย่างชัดเจน หรือเริ่มบอตด้วยพารามิเตอร์ start ของมัน

`interaction.preview``interaction.requested``interaction.result`

ใบยืนยันการดูตัวอย่าง การขอ และผลลัพธ์ได้รับการลงนาม ก่อนที่จะกดปุ่ม เซิร์ฟเวอร์จะดึงข้อความมาอีกครั้งและปฏิเสธการเปลี่ยนข้อมูลจากคีย์บอร์ด ข้อความ callback และ URL ที่ส่งกลับมาจะยังคงถูกบันทึกไว้ในบริบท

**ไม่ทำ** ไม่มีแอปเว็บ การชำระเงิน, phone/location การแชร์ หรือการสอบถามแบบอินไลน์ การแสดง URL ไม่ทำให้มันเปิดขึ้น

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/collection/)

## การกู้คืนและความต่อเนื่อง

ช่องว่างจะถูกแสดงให้เห็น ไม่ใช่ถูกซ่อนไว้

### กลับสู่ตำแหน่งที่บันทึกไว้

หลังจากรีสตาร์ท Telegram จะถูกถามถึงการอัปเดตที่พลาดไป การเก็บรักษาข้อมูลในระยะเวลาจำกัดและความแตกต่างที่หมดอายุอาจก่อให้เกิดช่องว่าง

### ตรวจสอบข้อความที่แสดงอีกครั้ง

ค่าเริ่มต้น: แหล่งข้อมูลลำดับความสำคัญทุก 15 นาที ส่วนอื่นๆ ทุก 6 ชั่วโมง ผลลัพธ์รวมถึง message.recovered และ message.missing_on_recheck.

### อ่าน coverage.json

ช่วงเวลาการสังเกตการณ์ ช่องว่างพร้อมเหตุผล และ ID ที่ไม่ได้รับการสังเกตการณ์ จะมาพร้อมกับไฟล์ส่งออกที่ลงนามแล้ว บันทึกที่หายไปเมื่อตรวจสอบซ้ำไม่ใช่การแจ้งการลบ

**ไม่ทำ** ภาพถ่ายประวัติในภายหลังจะไม่ลบการหยุดทำงานหรือกู้คืนทุกเวอร์ชันที่หายไป คอร์เซอร์ที่บันทึกไว้ไม่ใช่การยืนยันการรับบันทึกแบบไม่สูญเสียข้อมูล

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/evidence/)

## เจ็ดระดับ คำถามที่แตกต่างกัน

กลไกแต่ละกลไกตอบคำถามที่มีขอบเขตจำกัด กำหนดค่าบริการภายนอกแยกกัน และเก็บรักษาจุดยึดความเชื่อถือของบริการเหล่านั้นไว้ภายนอกตัวเก็บข้อมูล

1. ### บันทึก

   SHA-256 chain + Ed25519 ต่อเหตุการณ์; ตัวแรก previous_hash คือ 64 ตัวศูนย์.

   **การตรวจสอบจากฝ่ายที่สาม** การจัดลำดับและลายเซ็นภายใต้กุญแจผู้รวบรวมที่ถูกตรึงไว้

   **ไม่ทำ** มันไม่พิสูจน์แหล่งที่มาของ Telegram หรือความครบถ้วน

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
   ```
2. ### Container

   manifest.json แสดงรายการแฮชของไฟล์; manifest.sig ลงนามในไฟล์นั้น. media.saved ผูกข้อมูลไบต์ของไฟล์แนบกับเหตุการณ์

   **การตรวจสอบจากฝ่ายที่สาม** ไฟล์ที่จัดเตรียมมาตรงกับไฟล์ manifest ที่ลงนามและใบเสร็จรับเงินสื่อ

   **ไม่ทำ** มันไม่ลงนามใน CSV, HTML หรือภาพหน้าจอที่ดาวน์โหลดมาแยกต่างหาก

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
   ```
3. ### ขอบเขตที่รักษาไว้

   จุดตรวจสอบเมื่อเริ่มต้นระบบ (checkpoint) ทุก 5 นาทีตามค่าเริ่มต้น และหยุดระบบอย่างเป็นระเบียบ เก็บสำเนาไว้ที่อื่น

   **การตรวจสอบจากฝ่ายที่สาม** การส่งออกในภายหลังสอดคล้องกับความยาวและส่วนหัวที่เก็บไว้ก่อนหน้านี้; สามารถตรวจพบการย้อนกลับได้

   **ไม่ทำ** ระบบนี้ไม่ตรวจจับการแทนที่ทั้งบันทึกและจุดตรวจสอบทั้งหมดที่เก็บไว้

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --checkpoint checkpoint.json
   ```
4. ### เวลาภายนอก

   โหมดหลักฐานส่งจุดตรวจสอบ SHA-256 ไปยัง RFC 3161 หน่วยงานที่มีอำนาจ (FreeTSA, DigiCert) และ OpenTimestamps ปฏิทิน

   **การตรวจสอบจากฝ่ายที่สาม** การตอบกลับ TSA ที่ได้รับการยืนยันจะกำหนดวันที่ให้กับไบต์เหล่านั้น; ส่วน OpenTimestamps จะยึดตรึงไบต์เหล่านั้นกับ Bitcoin

   **ไม่ทำ** มันไม่ถือว่าคำขอที่เตรียมไว้หรือใบรับปฏิทินที่รอการยืนยันเป็นเวลาประทับที่ยืนยันแล้ว

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --tsa-ca trusted-ca.pem
   ots upgrade checkpoint.ots
   ots verify checkpoint.ots
   ```
5. ### พยานอิสระ

   แยก host, จุดปลายทางอ่านอย่างเดียวที่มีขอบเขต, ความท้าทายใหม่, และ key/journal และ TGW1 โพสต์ในช่อง

   **การตรวจสอบจากฝ่ายที่สาม** หัวข้อที่ได้รับการยอมรับก่อนหน้านี้; สถานะ ok, key_changed, rollback, fork, invalid และ no_response.

   **ไม่ทำ** มันไม่เปลี่ยนพื้นที่ทำงานสองแห่งบนโฮสต์ผู้รวบรวมเดียวกันให้เป็นผู้สังเกตการณ์อิสระ

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --witness witness.zip --witness-fingerprint WITNESS_SHA256 --channel result.json
   ```
6. ### สำเนาสำรองนอกเว็บไซต์

   S3- สำเนาที่เข้ากันได้ ซึ่งถูกเข้ารหัสด้วย AES-256-GCM; Object Lock เมื่อ bucket รองรับ

   **การตรวจสอบจากฝ่ายที่สาม** Restore จะเผยแพร่ไฟล์ก็ต่อเมื่อการตรวจสอบบันทึก จุดตรวจสอบ และสื่อที่เก็บรักษาไว้สำเร็จแล้วเท่านั้น

   **ไม่ทำ** ระบบจะไม่ทำการกู้คืนข้อมูลหากไม่มีกุญแจที่ส่งออก หรือสมมติว่าข้อมูลถูกเก็บรักษาไว้โดยไม่ตรวจสอบคำตอบจากระบบจัดเก็บข้อมูล

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.replica restore --key-file KEY.json --out EMPTY_DIR
   ```
7. ### ตรวจสอบที่มา

   ใบรับการรันที่ลงนาม: ค่าแฮชของแหล่งที่มา, เวอร์ชันของส่วนที่พึ่งพา และบริบทของกระบวนการ รายงานโดยตัวมันเอง

   **การตรวจสอบจากฝ่ายที่สาม** ข้อมูลที่ผู้รวบรวมลายเซ็นรายงานเกี่ยวกับการทำงานของตัวเอง

   **ไม่ทำ** มันไม่ให้การรับรองกระบวนการอย่างอิสระ หรือไม่ยกเว้นการถูกบุกรุกก่อนการบันทึก

   **คำสั่งการตรวจสอบ**

   ```
   python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
   ```

### สิ่งที่ไม่มีระดับใดสามารถพิสูจน์ได้

การส่งมอบทุกการอัปเดตของ Telegram; ความจริงของข้อความ; ว่า ID ผู้ส่งระบุตัวบุคคลจริง; การไม่มีการละเมิดความปลอดภัยของผู้รวบรวมข้อมูลก่อนการบันทึก; ความสามารถในการรับฟังเป็นหลักฐานในศาล

[พยานอิสระ](https://phishdestroy.github.io/TgWitness/th/docs/reference/witness/)

ท้องถิ่น SHA-256 การทดลอง

### ลองเปลี่ยนบันทึกที่ 2

บันทึกถัดไปจะเก็บลิงก์ที่บันทึกไว้ก่อนหน้านี้ การเปลี่ยนแปลงข้อความจะส่งผลให้ค่าแฮชที่คำนวณของบันทึกที่ 2 เปลี่ยนแปลงไปด้วย

ข้อความของบันทึก 2

บันทึก 1`h1`เริ่มต้นด้วยเลขศูนย์ 64 ตัว

บันทึก 2`h2`รวมถึงข้อมูลที่บันทึกไว้ h1

บันทึก 3`h3`รวมถึงข้อมูลที่บันทึกไว้ h2

ตัวอย่างแบบคงที่: h2 ครอบคลุม “พบกันเวลา 11:00” การเปลี่ยนแปลงข้อความดังกล่าวจะส่งผลให้ h2; บันทึก 3 ยังคงอ้างอิงถึงข้อมูลที่บันทึกไว้ h2.

**ตรวจสอบข้อมูลสรุปแบบเต็ม**

บันทึกที่เก็บไว้ 2 hash

`SHA-256(e₂)`

คำนวณใหม่ค่าแฮชของบันทึกที่ 2

`SHA-256(e₂)`

ตัวอย่างนี้คำนวณค่าแฮช ไม่ใช่ลายเซ็น ผู้ตรวจสอบจริงจะตรวจสอบลายเซ็นและลิงก์ทุกชิ้นเทียบกับกุญแจที่เชื่อถือได้

 [อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/how-it-works/)

## เลือกเส้นทางผ่านหลักฐาน

สถานการณ์สมมติ เริ่มการเก็บข้อมูลก่อนเหตุการณ์ที่เกี่ยวข้อง; รักษาขอบเขตและช่องว่างไว้พร้อมกับเนื้อหา

### ช่อง (channel) เปลี่ยนแปลงรายละเอียดการชำระเงิน

โหมด → เหตุการณ์

การสนทนาที่เลือก → ข้อความ, การแก้ไข, การลบ

ผลลัพธ์

เวอร์ชันโพสต์และไฟล์แนบที่สังเกตได้ระบุด้วยค่าแฮช

การตรวจสอบ

ลงนาม ZIP + จุดตรวจสอบที่เก็บรักษาไว้ + คำตอบ TSA ที่ได้รับการตรวจสอบแล้ว

**ไม่ทำ** มันไม่สามารถกู้คืนต้นฉบับที่ไม่เคยถูกบันทึกไว้ได้

### ข้อความจะหายไปหลังจากเกิดเหตุการณ์

โหมด → เหตุการณ์

โฟลเดอร์หรือบัญชีทั้งหมด → ทุกหมวดหมู่เหตุการณ์

ผลลัพธ์

ต้นฉบับที่เก็บไว้, ประกาศการลบ และข้อมูลการครอบคลุมที่มีช่องว่าง

การตรวจสอบ

ลงนาม ZIP + บันทึกการสังเกตการณ์ของผู้สังเกตการณ์อิสระ

**ไม่ทำ** มันไม่ระบุผู้ลบจากคำแจ้งเตือนที่ไม่ได้ระบุผู้ดำเนินการ

### ตรวจสอบบอทร้านค้า

โหมด → เหตุการณ์

การตั้งค่าล่วงหน้าสำหรับการตรวจสอบ → ปุ่ม, การดูตัวอย่างลิงก์ และการเริ่มต้นบอทอย่างชัดเจน

ผลลัพธ์

ใบยืนยันการโต้ตอบที่ลงนาม, การเรียกกลับที่ส่งคืน และโปรไฟล์ที่บันทึกไว้

การตรวจสอบ

ลงนาม ZIP; ตรวจสอบเอกสารใด ๆ กับ ZIP.

**ไม่ทำ** มันไม่เปิดแอปเว็บของบอต ไม่ทำการชำระเงิน และไม่บันทึก callback ของไคลเอนต์อื่น

### ผู้เข้าร่วมอาจเปลี่ยนชื่อในแชทต่าง ๆ

โหมด → เหตุการณ์

ขอบเขตใดก็ตาม → ถูกสังเกต sender/profile เมตาดาต้าที่ถูกสังเกต

ผลลัพธ์

ประวัติชื่อ/ชื่อผู้ใช้ตาม ID เลข, ลิงก์ “ยังปรากฏใน” และข้อมูลนำที่สกัดออกมา

การตรวจสอบ

เอกสารประกอบ JSON ได้รับการตรวจสอบเทียบกับเอกสารที่ลงนามแล้ว ZIP.

**ไม่ทำ** มันไม่เปลี่ยนกระเป๋าเงิน, สตริงที่คล้ายหมายเลขโทรศัพท์ หรือชื่อผู้ใช้ ให้กลายเป็นตัวตนที่ได้รับการพิสูจน์แล้ว

### การสังเกตการณ์ระยะยาวพร้อมสำเนาที่เก็บไว้นอกไซต์

โหมด → เหตุการณ์

ขอบเขตใด ๆ → โหมดหลักฐาน และ S3 สำเนาที่ได้รับการสนับสนุน Object Lock.

ผลลัพธ์

สำเนาที่เข้ารหัส, จุดตรวจสอบที่เก็บรักษาไว้ และคำตอบที่มีเวลาประทับ

การตรวจสอบ

กู้คืนด้วยกุญแจที่ส่งออก แล้วตรวจสอบโดยไม่ใช้เซิร์ฟเวอร์ต้นฉบับ

**ไม่ทำ** มันไม่แทนที่ผู้สังเกตการณ์อิสระหรือกุญแจถอดรหัสที่เก็บรักษาไว้อย่างแยกต่างหาก

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/investigation/)

## ส่งมอบแพ็กเกจที่สามารถตรวจสอบได้

ให้ส่งต้นฉบับที่ลงนามแล้ว ลายนิ้วมือกุญแจที่เก็บรักษาไว้อย่างอิสระ จุดตรวจสอบที่เกี่ยวข้อง และผลการตรวจสอบ

- ลงนามแล้ว ZIP
- JSONL
- CSV
- HTML
- จุดตรวจสอบ
- ใบยืนยันการส่ง
- การส่งออกแชท: chat.json / chat.html
- เอกสารประกอบ JSON
- ได้รับการป้องกันด้วยรหัสผ่าน AES-256 ZIP
- การส่งออกแยกกันสำหรับบัญชีหลายบัญชี
- Streaming CLI: 5 GiB ขีดจำกัดเริ่มต้น

```
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --checkpoint checkpoint.json
```

รับตัวตรวจสอบจากสำเนาที่เชื่อถือได้ ไม่ใช่จากคลังข้อมูลที่กำลังตรวจสอบ

**ไม่ทำ** แบบสแตนด์อโลน CSV และ HTML ไม่ใช่คอนเทนเนอร์ที่ลงนาม รหัสผ่านช่วยปกป้องความลับในการถ่ายโอนข้อมูล ไม่ใช่ความถูกต้อง การส่งออกหลายครั้งจะไม่รวมบันทึกบัญชีเข้าด้วยกัน

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/evidence/)

## เปรียบเทียบผลลัพธ์ที่ส่งมอบ

ข้อมูลพื้นฐานโดยไม่มีการลงนามเพิ่มเติม, ตราประทับเวลา หรือระบบผู้สังเกตการณ์ สคริปต์และเครื่องมือบันทึกข้อมูลอาจแตกต่างกันตามการนำไปใช้; “บางส่วน” หมายถึงจำกัดเฉพาะข้อมูลที่บันทึกได้หรือข้อมูลที่มองเห็นได้

| แนวทาง | การแก้ไข / การลบ | บันทึกลายเซ็น | เวลาภายนอก | พยานอิสระ | ความครอบคลุม / ช่องว่าง | การตรวจสอบโดยไม่ระบุผู้เขียน |
| --- | --- | --- | --- | --- | --- | --- |
| การส่งออกจาก Telegram Desktop | บางส่วน | ไม่ | ไม่ | ไม่ | ไม่ | ไม่ |
| Telethon สคริปต์ snapshot | บางส่วน | ไม่ | ไม่ | ไม่ | ไม่ | ไม่ |
| เครื่องมือบันทึกการลบ: บันทึกข้อความ | บางส่วน | ไม่ | ไม่ | ไม่ | ไม่ | ไม่ |
| ภาพหน้าจอ / การจับภาพเว็บ | บางส่วน | ไม่ | ไม่ | ไม่ | ไม่ | ไม่ |
| TgWitness พร้อมตัวเลือกเสริมที่ตั้งค่าไว้ | บางส่วน | ใช่ | ใช่ | ใช่ | บางส่วน | ใช่ |

**ไม่ทำ** ตารางนี้ไม่ประเมินทุกสคริปต์หรือผลิตภัณฑ์บันทึกข้อมูล การตรวจสอบเวลาและผู้สังเกตการณ์แบบเลือกใช้ต้องการบริการและจุดยึดความเชื่อถือของตนเอง; ไม่มีสิ่งใดที่พิสูจน์ความจริงจากแหล่งต้น

[อ่านรายละเอียด](https://phishdestroy.github.io/TgWitness/th/docs/reference/evidence/)

## เก็บข้อจำกัดไว้พร้อมกับหลักฐาน

การตรวจสอบมีประโยชน์เมื่อขอบเขตของมันยังคงชัดเจน

- การสนทนาลับไม่สามารถใช้งานได้
- ไม่มีการบันทึกข้อมูลใดๆ เมื่อกระบวนการถูกหยุด; การกู้คืนมีข้อจำกัด
- บันทึกที่ได้รับการยืนยันไม่ใช่หลักฐานว่าเนื้อหาของมันเป็นความจริง
- ผู้ดำเนินการที่มีกุญแจสามารถลงนามเนื้อหาใดก็ได้ ผู้สังเกตการณ์อิสระและเวลาประทับช่วยจำกัดการแทนที่ในภายหลัง ไม่ใช่การบันทึกข้อมูลเริ่มต้นที่ไม่ซื่อสัตย์
- ใช้บัญชีเฉพาะ ไม่ใช่บัญชีหลักของคุณ
- Telegram อาจจำกัดบัญชีเนื่องจากปริมาณคำขอ

**ไม่ทำ** ไม่มีโหมดหรือระดับหลักฐานใดที่กำหนดความยอมรับได้ทางกฎหมาย การส่งข้อความ Telegram ที่สมบูรณ์ หรือตัวตนในโลกจริง

[คู่มือการตั้งค่า](https://phishdestroy.github.io/TgWitness/demo/guide.html?lang=th)[บัญชีเฉพาะ](https://phishdestroy.github.io/TgWitness/th/docs/dedicated-account/)[EVIDENCE.md](https://phishdestroy.github.io/TgWitness/th/docs/reference/evidence/)[INVESTIGATION.md](https://phishdestroy.github.io/TgWitness/th/docs/reference/investigation/)