Telegram · Налаштування та перевірка звітів

TgWitness / Документація · Розслідування

Перетворіть вибрані спостереження на зрозумілий звіт про справу: її суть, обсяг, збережені зміни, діаграми, висновки та посилання на джерела. Кожен звіт надає отримувачу можливість перевірити наданий матеріал та оцінити повноту збору даних.

Розділ «Основа довіри та обмеження» з’являється у звітах журналу, передачі, чату, облікового запису та спільного доступу. PDF-файли журналу та передачі використовують ту саму оцінку, що й їхній підписаний файл report.json. ZIP-маніфести містять case_assessment у підписаному маніфесті. Ця оцінка передається разом з експортованим матеріалом. Оригінальні спостереження зберігають свої існуючі підписи.

Формати документів та порядок читання#

Студія звітів#

Відкрийте «Експорт» → «Налаштування» та перегляньте попередній варіант. Пройдіть по меню «Дані» → «Дизайн та вміст» → «Попередній перегляд»:

1. Використовуйте весь робочий простір або виберіть чати, авторів, включаючи дати спостереження за UTC та типи подій. Завантажте каталог для пошуку чатів та авторів або введіть їхні Telegram-ідентифікатори. Фільтри авторів відповідають записаним ідентифікаторам відправників; повідомлення про видалення без відправника не відповідає фільтру авторів.
2. Оберіть макет сторінки, а потім виберіть діаграми, мітки учасників, стенограму та ваші письмові висновки. Зміна макета не впливає на ці налаштування.
3. Створіть попередній перегляд. У ньому відображаються фактичні показники, активність, учасники, зразки записів, збережені зміни та діапазони номерів повідомлень, яких бракує. Зміна вибору робить попередній перегляд застарілим. Збережіть перед завантаженням HTML, підписаного PDF, підписаного JSON або ZIP-файлу з доказами.

У попередньому перегляді даних враховується повний стабільний префікс журналу, а не початкова вибірка. Обмежуються лише відображені зразкові рядки та довгі списки; кількість пропущених елементів показано. Під час подальшого експорту створюється новий стабільний знімок, тому тривале збирання даних може збільшити ці показники. Обсяг, кількість та ідентифікація джерел включені до підписаного звіту. Відкриття або попередній перегляд форми не призводить до її збереження.

Рекомендації щодо юрисдикції. У розділі Деталі документа відкрийте Рекомендації щодо юрисдикції · опціонально , щоб вибрати юрисдикцію та цивільну/комерційну або кримінальну процедуру. У додатку наведено правові підстави, посилання на джерела, примітки щодо підготовки та стан досліджень. Підсумки та пояснення щодо заходів безпеки збору даних місцевою мовою є необов’язковими. За замовчуванням жодна юрисдикція не обрана. Ці параметри належать до робочого простору та не враховуються у збережених конфігураціях макета та неявних налаштуваннях за замовчуванням щодо спільного доступу та копіювання. Див. налаштування за замовчуванням, підтримувані звіти та обмеження дослідження .

Виберіть копію для одержувача. Діаграми та стенограма використовують вибрані записи. Цілісність, зберігання та охоплення описують повний журнал джерел. Архів ZIP із доказами містить оригінальні записи та вкладення. Використовуйте мінімізовану передачу, коли одержувач має отримати лише вибрані, дозволені дані.

Перегляньте редагування, видалення та відсутні ідентифікатори#

Редагування показує збережений текст «До» та «Після» і виділяє змінені слова. Видалення показує останню версію, збережену перед повідомленням. Якщо раніше вміст не було збережено, у звіті про це зазначається. Коли ви вибираєте лише редагування або видалення, попередні версії залишаються доступними як чітко позначений контекст поза фільтрами. Повідомлення, що не мають відношення до справи, не додаються до цих історій.

Неспостережувані ідентифікатори повідомлень — це прогалини між відомими номерами у вибраних чатах та діапазоном ідентифікаторів, отриманих на основі дати. Кожен відомий запис джерела перевіряється перед тим, як оголосити номер неспостережуваним: відфільтрування іншого автора, типу події чи дати не може створити помилкову прогалину. Суміжні збережені повідомлення позначаються як контекст. Відсутність номера не доводить, що повідомлення існувало або було видалено; повідомлення про видалення та невдалі повторні перевірки залишаються окремими типами подій.

Оберіть дизайн#

Доступні вісім макетів сторінок для звітів у форматі HTML (щодо журналу та окремого чату) та підписаних PDF-файлів. Вони використовують ті самі записи та розрахунки, але мають різні обкладинки, типографіку, заголовки розділів, таблиці та інтервали.

Дизайн зберігається для кожного робочого простору та фіксується у підписаному маніфесті експорту. HTML працює в автономному режимі, підтримує світлу та темну теми, а також адаптується до вузьких екранів та мов, що пишуться справа наліво. Вбудовані PDF-файли використовують вбудовані шрифти; дизайн «Editorial» включає шрифт Noto Serif на умовах вбудованої ліцензії SIL Open Font License. Серії читання, а також «Ledger» і поля також застосовуються до оглядів облікових записів, чатів облікових записів та копій для спільного доступу.

Для PDF-файлів китайською, японською та корейською мовами додатково потрібен відповідний шрифт на сервері, наприклад Noto Sans CJK, встановлений у всій системі або розміщений у папці TGWITNESS_FONT_DIR. Якщо такий шрифт недоступний, у ZIP-архіві зберігаються звіти у форматах HTML та JSON.

Ці два макети передбачають зручний для читання журнал без використання JavaScript. Для великих експортних файлів цей вигляд містить до 500 повних записів у межах ліміту в 8 Мбайт; у звіті вказано цей ліміт та наведено посилання на повний переглядач і вихідні записи. Каталог облікових записів та індекс взаємозв’язків описують саме цей зразок для читання, а не всіх учасників. Діаграми повного журналу зберігають свій окремо зазначений обсяг.

Виберіть вміст#

Зміна попереднього налаштування зберігає ваш макет, деталі справи та письмовий аналіз. Перевірки цілісності, покриття, обмеження та інструкції з верифікації залишаються в кожному макеті. Вихідні записи у файлі ZIP залишаються незмінними, коли діаграма або стенограма приховані.

Опціональні «Примітки щодо експертизи» містять питання, метод, результати та висновок, написані автором звіту. У результатах слід вказувати номер файлу-джерела та номер запису. Підпис зберігає ці авторські заяви разом із звітом; спостереження з джерел та інтерпретація автора залишаються ідентифікованими. У скорочених передачах ці приватні нотатки та повні журнали оглядів не включаються. Вибір діаграм та методів обстеження застосовується до журнальних звітів.

Виберіть активність за певний період, теплову карту днів тижня та годин за UTC, рейтинги учасників, рейтинги чатів та склад записів. Оберіть 5–30 груп за рейтингом та нейтральні псевдоніми учасників або ідентифікатори облікових записів. Невідомі відправники та решта учасників відображаються в окремих рядках. Псевдоніми впливають лише на діаграми; вихідні записи все ще містять їхні справжні ідентифікаційні дані.

Попередній перегляд дизайну оновлюється на основі незбереженого чернетки з використанням обкладинки, компонентів експертизи та діаграм, обмежених результатами, що відповідають першим 50 000 записів джерела. Попередній перегляд даних нижче розраховує повний набір даних. Він явно не підписаний і не зберігає редагування. Кнопки «Обкладинка» та «Діаграми» перемикають його розділи. Це не є повним попереднім переглядом PDF. Функція «Зберегти налаштування звіту» застосовує вибрані параметри до майбутніх експортів; існуючі підписані файли є незмінними. У PDF використовуються обрана обкладинка, типографіка, макет розділів та ті самі вибрані агрегати, що й у HTML та підписаному JSON.

Оцінка надійності, обмеження охоплення та інструкції з верифікації залишаються актуальними. Приховування діаграм або читабельної транскрипції не видаляє рядки авторитетних джерел з архіву ZIP. Вимкнені серії діаграм опускаються в аналітичному JSON-файлі; використовуйте мінімізований експорт, щоб обмежити розкриття записів джерел.

Фільтри відбору даних застосовуються до журнальних звітів; експортовані дані з облікових записів та спільного доступу зберігають власні межі збору та розкриття інформації.

Загальні налаштування дизайну та діаграм зберігаються у нових експортованих файлах чатів та облікових записів, а також у попередньому перегляді спільного доступу. Мова облікового запису та налаштування конфіденційності залишаються незалежними; приватні нотатки щодо справ та розслідувань не копіюються в ці експортовані файли. Звіти щодо облікових записів та спільного доступу залишаються у форматі HTML, захищеним підписаним маніфестом архіву. Журнал, зведена передача журналу та набори для одного чату також надають підписані PDF-файли.

Що відображають діаграми#

Активність журналу та теплові карти враховують нові, історичні, відновлені, відредаговані, видалені та відсутні при повторній перевірці спостереження за часом спостереження колектора в UTC. Сигнали та підтвердження отримання вкладень не враховуються. У рейтингах учасників враховуються лише нові, історичні та відновлені спостереження за повідомленнями: відправник не визнається редактором або особою, яка видалила повідомлення. Повторні спостереження можуть описувати одне й те саме повідомлення Telegram.

Аналітика журналу зберігає підрахунки за типами, посилання на перший/останній запис та SHA-256 джерела events.jsonl. Цифри містять точні значення в HTML та PDF. Щоденні сегменти переходять на місяці після 366 записаних днів; графіки об’єднують їх у не більше ніж 36 інтервалів однакової ширини. Понад 100 000 унікальних ідентифікаторів або 1 200 місяців роблять відповідний графік недоступним, тоді як точні загальні підрахунки залишаються доступними.

Діаграми знімків та спільного використання облікових записів враховують лише рядки повідомлень, що не стосуються послуг, використовуючи час їхнього запису. Сумарні показники спільного використання обчислюються після редагування та фільтрування. Ці діаграми використовують щонайбільше 90 інтервалів дати за UTC однакової ширини та зберігають до 10 000 значень групування; надлишкові показники явно зазначаються та узгоджуються. Останній інтервал може бути коротшим. Невідомі або приблизні дати не враховуються у часових діаграмах.

Порожній інтервал означає відсутність спостережень; щодо пропусків див. інформацію про охоплення. Ці діаграми описують збережену активність. Невідомі відправники залишаються окремою категорією, і про кожну перевірку повідомляється окремо.

Якщо файл analytics.json включено, він захищений підписаними хешами файлів архіву. Журнал report.json вбудовує той самий вибраний агрегат. Перевірка підпису виявляє змінені байти. Щоб перевірити цифри, перерахуйте агрегати журналу за допомогою report_analytics.Analytics та selected, або агрегати знімків за допомогою snapshot_analytics.collect та project.

Індикатори аномалій#

Попередній перегляд. Звіти про докази містять розділ Показники аномалій, обчислені зареєстрованими процесорами (tgwitness/metrics/, один файл на кожен показник). У звіті вказано кожен процесор, що працював, із зазначенням його версії, а також наведено його метод під таблицею, щоб обчислення можна було повторити з events.jsonl за допомогою tgwitness.metrics.run.

Параметри → Показники звіту вибирає процесори та кількість відображуваних рядків, у тому числі у відфільтрованих звітах. Щоденні та щомісячні таблиці показують останні рядки, таблиці розподілу за сервісами ранжують чати за кількістю збережених повідомлень. Підсумки охоплюють кожен рядок.

На основі вихідного коду створіть усі вісім макетів, перелічених вище, на прикладі одного й того ж вигаданого журналу:

python tools/build_report_styles.py --output test-results/report-styles

Відкрийте отриманий файл index.html, щоб порівняти повні HTML-звіти, підписані PDF-файли та архіви ZIP. Кожен макет використовує один і той самий вихідний журнал. Використовуйте новий каталог для результатів кожного запуску, щоб зберегти раніше підписані зразки.

HTML-файл відкривається титульною сторінкою справи та ключовими показниками. Пронумерована карта доказів містить посилання на кожен висновок, факти, що його підтверджують, обмеження та незалежну експертизу. Записи з можливістю пошуку та стабільні посилання на записи залишаються доступними в офлайн-переглядачі. Дизайн адаптується до вузьких екранів, різних тем та браузерів без JavaScript.

Підписаний PDF-файл має спеціальну обкладинку формату А4, посилання на звіт та QR-код, виконавчий резюме, карту доказів, пронумеровані висновки та закладки документів. Заголовки та нижній колонтитул сторінок ідентифікують звіт. QR-код ідентифікує матеріал; він не є незалежним результатом перевірки. Роздруківки з браузера є окремими від цього криптографічно підписаного PDF-файлу.

Хронологія спостережень розміщує зафіксовані періоди спостережень та перерви на одній осі за UTC. Порожній простір не означає, що дані відсутні; детальні таблиці зберігають точні інтервали. Архів ZIP містить звіти у форматі для читання, підписані файли JSON, джерельні записи та інструкції з перевірки.

Створіть нове, вигадане досьє англійською/російською/німецькою мовами з встановленим середовищем розробки:

python tools/build_dossier_example.py --output test-results/my-new-dossier

Кожен мовний каталог містить файли report.html, report.pdf, report.json та dossier.zip. Існуючі каталоги зразків ніколи не перезаписуються. Для створення звіту не використовуються ані обліковий запис Telegram, ані зовнішній сервіс маркування часом, ані мережеве з’єднання.

Ознайомлення з конкретною справою#

Для журналу, що містить 1 200 записів із перевіреною міткою часу на 1 000-му записі, звіт виявляє 200 пізніших записів, що знаходяться поза межами діапазону цієї мітки часу. Це є верхньою межею існування контрольної точки, а не доказом часу відправлення кожного повідомлення . Якщо три інші файли з часовими мітками не проходять перевірку або не можуть бути перевірені, вони підраховуються окремо і не можуть слугувати підставою для позитивного висновку.

Придатний часовий штамп повинен відповідати всім цим критеріям: його відбиток збігається з контрольною точкою, його підпис ланцюговим чином пов’язаний із надійним кореневим сертифікатом TSA на момент проставлення штампа, а підпис, ключ, лічильник та головний запис контрольної точки точно відповідають префіксу журналу. Простого аналізу часової мітки або наявності квитанції OTS недостатньо. Читач повинен самостійно вибрати довірений корінь TSA та повторити перевірку. OTS потребує власної перевірки підтвердження Bitcoin.

Перевіряйте кожну позицію окремо, з огляду на зафіксований обсяг зібраних даних.

Що обов’язково має зберігатися в конфігурації#

1. Перш ніж покладатися на збір даних, збережіть відбиток ключа колектора через окремий надійний канал. Порівняйте цей відбиток із ключем підпису експортованих даних.
2. Збережіть контрольні точки з незалежними часовими мітками та, у разі використання, журнал свідків, що знаходиться поза адміністративним контролем колектора. Порівняйте їх із експортованим журналом, щоб перевірити його попередні межі.
3. Вкажіть обсяг збору записів, прогалини, фільтри, обмеження та зміни у процесі збору. Поясніть відсутні періоди, що мають відношення до фактичної претензії, чітко розмежовуючи ідентифікатори повідомлень, які не було зафіксовано, повідомлення про видалення та невдалі повторні перевірки.
4. Збережіть оригінальні ZIP-архіви та їхні хеші. Зафіксуйте кожного власника, передачу, дату та мету. Збережіть разом із ними відповідні заяви операторів та примітки щодо справи.
5. Для конфіденційних віртуальних машин збережіть та незалежно перевірте цитату, запит, ланцюжок сертифікатів Intel, вимірювання, точне джерело та умови поводження з ключами. Зберігайте результат перевірки атестації разом із перевіреними артефактами.

Див. розділ « Обсяг верифікації» щодо перевірок отримання даних, цілісності архіву, часу та охоплення збору даних у кожному режимі.

Перевірка одержувачем#

Використовуйте перевірену версію TgWitness та незалежно отриманий відбиток:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --tsa-ca tsa-root.pem
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --witness witness.zip --witness-fingerprint WITNESS_SHA256 --require-witness
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_SHA256 --check-drand

ZIP-файл свідка повинен походити з незалежного надійного джерела; збережіть також його ключ та походження. Збережіть команди, версію інструменту, результати, перевірені хеш-суми вхідних даних та невирішені питання. Перевірка маяка — це окрема онлайн-перевірка; програма для формування звітів ніколи не звертається до сервісу лише для того, щоб відобразити звіт.

У разі суперечки щодо конкретного повідомлення наведіть посилання на архів, авторитетний файл та посилання на запис, а потім опишіть відповідні часові рамки, прогалини в охопленні, відбір та підтверджуючі матеріали. Щодо копії для обміну, також перегляньте зафіксовані трансформації та їхні посилання на вихідний архів. Приватні фільтри та зіставлення ідентичностей залишаються поза межами публічної оцінки.

Перевірка підписаного PDF-файлу виявляє зміни в охоплених байтах. Зберігайте оригінальний цифровий файл та результат перевірки разом із будь-якими скріншотами або роздрукованими копіями для ознайомлення.