كيف تتحقق من أن صورك مشفّرة

1. انظر داخل التطبيق

افتح أي صورة من صورك واضغط «🔍 كيف يبدو هذا الملف على الخادم» أسفل البطاقة. ينزّل التطبيق ذلك الملف من التخزين دون فك تشفيره ويعرض بياناته الحقيقية كما هي. يحاول هاتفك فتحها كصورة فيفشل: إنها نص مشفّر. وبجانبها ترى الصورة نفسها مفتوحة بمفتاحك، وكيف يبدو للخادم تعليقك وتاريخك والأشخاص والمكان: سلسلة واحدة بلا معنى.

2. راقب حركة الشبكة

ستحتاج إلى حاسوب. افتح web.telegram.org في Chrome أو Edge، وانتقل إلى @MyAlbumsBot واضغط «فتح الصور». اضغط F12 واختر تبويب Network. ارفع صورة وراقب الطلبات. لا يحمل الطلب upload/start سوى أحجام الملفات ووسم التكرار وسلسلة meta_enc المشفّرة. أما الملفات نفسها — الأصلي والمعاينة والصورة المصغّرة — فتذهب في طلبات PUT التالية مباشرة إلى التخزين (عنوان ينتهي بـ r2.cloudflarestorage.com)، والكبيرة منها على أجزاء؛ وفي داخلها نص مشفّر ثنائي. حاول أن تجد فيها صورتك أو تعليقك أو اسم شخص — لن تجدها. راجِع كل الطلبات: لا يُرسَل المفتاح ولا رمز الاسترداد أبدًا.

3. اقرأ الشيفرة

التطبيق مكتوب بلغة JavaScript عادية. يُرسَل التشفير (crypto.js) كما هو تمامًا؛ أما app.js فمضغوط لتسريع التحميل — حُذفت منه المسافات والتعليقات وبقيت أسماء الدوال والمتغيرات كما كُتبت — ويمكن توسيعه في أدوات المطوّر (F12 ← Sources) بزر {}. المموّه فقط ملفان صغيران فيهما حلولنا الخاصة — تشغيل الفيديو على أجزاء في iPhone (msevideo.js) واختيار أفضل اللقطات (pick.js): لا يحتويان على تشفير ولا مفاتيح ولا أي طلبات إلى الخادم، لذلك كل ما يهم للتحقق مقروء في crypto.js وapp.js. يمكنك قراءتها الآن:

• crypto.js — كل عمليات التشفير في نحو 300 سطر: إنشاء المفتاح، وAES-256-GCM عبر WebCrypto القياسية في المتصفح، ورمز الاسترداد، ومفتاح مستقل لكل ملف، ومفاتيح الألبومات السرية (PBKDF2، بـ 300,000 تكرار) ومفاتيح الألبومات المشتركة (ECDH P-256).
• app.js — التطبيق نفسه. ابحث عن fetch وXMLHttpRequest: هذه هي كل الاستدعاءات الموجّهة إلى الخادم والتخزين. تحقّق من أن المفتاح (exportB64، recoveryCode) ليس جزءًا من أي منها، وأنه يُحفَظ فقط في تخزين Telegram الخاص بك وعلى الجهاز.
• faces.js وfileinfo.js — اقتراحات «من في هذه الصورة» وقراءة تاريخ الالتقاط ومكانه. كل ذلك يجري على الجهاز، وتُشفَّر النتيجة مع بقية معلومات الصورة.

إن كنت تعرف مطوّرًا، فنصف ساعة تكفي.

4. اطلب منا فتح صورتك

هذا هو التحقق الأكثر مباشرة. أنشئ حسابًا تجريبيًا في Telegram، وارفع صورتين لا تهمّانك، ثم اطلب من الدعم أن يرسل إليك إحداهما أو يصف ما فيها. لن نستطيع: فليس لدينا سوى نص مشفّر، ولا نسخة من المفتاح. لا ترسل إلينا رمز الاسترداد — فهو المفتاح نفسه. ولا يصلح «فقدان» المفتاح عمدًا كاختبار: فهو محفوظ في التخزين السحابي لحسابك في Telegram ويظهر تلقائيًا على أي جهاز مسجَّل بالحساب نفسه.

ما يراه الخادم فعلًا

القائمة بصدق: معرّفك واسمك ولغتك في Telegram؛ والأيام التي فتحت فيها التطبيق والرابط الذي جئت منه أول مرة؛ وعدد ملفاتك وأحجامها؛ ووقت رفع كل منها؛ وما إذا كان صورة أم فيديو؛ وأنك رفعت الملف نفسه مرة أخرى (الحماية من التكرار)؛ وخطتك ومدفوعات النجوم؛ وفي الألبومات المشتركة: من هم الأعضاء وبأي دور، ومن رفع ماذا، ومن تفاعل. أما Cloudflare، التي تنقل الاتصال، فترى عنوان IP الخاص بك؛ ويستخدمه خادمنا فقط للحد من تواتر الطلبات ولا يحفظه في قاعدة بياناته. وكل ما عدا ذلك — المحتوى والتعليقات والأشخاص وتواريخ الالتقاط وأماكنه وأسماء الألبومات والتفاعلات نفسها — مشفّر.

ما لا نستطيع إثباته

هذا تطبيق ويب: تصل شيفرته من خادمنا في كل مرة، لذا يمكننا نظريًا استبدالها يومًا ما. لم تحلّ أي خدمة ويب ذات تشفير تام بين الطرفين هذه المشكلة بالكامل. وجوابنا أن الشيفرة مفتوحة وقابلة للقراءة (الطريقة 3)، ونحن نستعد لتدقيق مستقل للشيفرة سننشر تقريره في صفحة الأمان؛ ومع نمو المشروع سننشر تاريخها على GitHub أيضًا. وأمر أخير: لا يفيد التشفير إذا كان هاتفك غير مقفل وفي يد شخص آخر — ولهذا توجد الألبومات السرية المحمية بكلمة مرور.

للأسئلة: @MyAlbums_support أو [email protected].