كيف تتحقق من أن صورك مشفّرة

1. انظر داخل التطبيق

افتح أي صورة من صورك واضغط «🔍 كيف تبدو هذه الصورة على الخادم» أسفل البطاقة. ينزّل التطبيق ذلك الملف من التخزين دون فك تشفيره ويعرض بياناته الحقيقية كما هي. يحاول هاتفك فتحها كصورة فيفشل: إنها نص مشفّر. وبجانبها ترى الصورة نفسها مفتوحة بمفتاحك، وكيف يبدو للخادم تعليقك وتاريخك والأشخاص والمكان: سلسلة واحدة بلا معنى.

2. راقب حركة الشبكة

ستحتاج إلى حاسوب. افتح web.telegram.org في Chrome أو Edge، وانتقل إلى @MyAlbumsBot واضغط «فتح الصور». اضغط F12 واختر تبويب Network. ارفع صورة وانقر على الطلب upload: يحتوي متنه على ثلاثة ملفات ثنائية وسلسلة meta_enc. حاول أن تجد فيه صورتك أو تعليقك أو اسم شخص — لن تجدها. راجِع كل الطلبات: لا يُرسَل المفتاح ولا رمز الاسترداد أبدًا.

3. اقرأ الشيفرة

التطبيق مكتوب بلغة JavaScript عادية — غير مموّهة، ودون أدوات تجميع. يمكنك قراءتها الآن:

• crypto.js — كل عمليات التشفير في نحو 120 سطرًا: إنشاء المفتاح، وAES-256-GCM عبر WebCrypto القياسية في المتصفح، ورمز الاسترداد، ومفاتيح الألبومات السرية (PBKDF2، بـ 300,000 تكرار).
• app.js — التطبيق نفسه. ابحث عن fetch: هذه هي كل الاستدعاءات الموجّهة إلى الخادم. تحقّق من أن المفتاح (exportB64، recoveryCode) ليس جزءًا من أي منها، وأنه يُحفَظ فقط في تخزين Telegram الخاص بك وعلى الجهاز.
• faces.js وfileinfo.js — اقتراحات «من في هذه الصورة» وقراءة تاريخ الالتقاط ومكانه. كل ذلك يجري على الجهاز، وتُشفَّر النتيجة مع بقية معلومات الصورة.

إن كنت تعرف مطوّرًا، فنصف ساعة تكفي.

4. اختبار المفتاح المفقود

هذا هو التحقق الأكثر إقناعًا. أنشئ حسابًا تجريبيًا، وارفع صورتين لا تهمّانك، ولا تحفظ رمز الاسترداد. ثم افتح التطبيق في مكان لا يوجد فيه المفتاح (متصفح آخر على web.telegram.org) واطلب منا استعادة الوصول. لن نستطيع: فليست لدينا نسخة من المفتاح. لو كان الخادم قادرًا على فتح صورك، لما أمكن إجراء هذا الاختبار.

ما يراه الخادم فعلًا

القائمة بصدق: معرّفك واسمك في Telegram؛ وعدد ملفاتك وأحجامها؛ ووقت رفع كل منها؛ وما إذا كان صورة أم فيديو؛ وخطتك ومدفوعات Stars. أما Cloudflare، التي تنقل الاتصال، فترى عنوان IP الخاص بك. وكل ما عدا ذلك — المحتوى والتعليقات والأشخاص وتواريخ الالتقاط وأماكنه وأسماء الألبومات — مشفّر.

ما لا نستطيع إثباته

هذا تطبيق ويب: تصل شيفرته من خادمنا في كل مرة، لذا يمكننا نظريًا استبدالها يومًا ما. لم تحلّ أي خدمة ويب ذات تشفير تام بين الطرفين هذه المشكلة بالكامل. وجوابنا أن الشيفرة مفتوحة وقابلة للقراءة (الطريقة 3)؛ ومع نمو المشروع سننشر تاريخها على GitHub ونطلب تدقيقًا مستقلًا. وأمر أخير: لا يفيد التشفير إذا كان هاتفك غير مقفل وفي يد شخص آخر — ولهذا توجد الألبومات السرية المحمية بكلمة مرور.

للأسئلة: @Azike أو [email protected].