कैसे जाँचें कि आपकी फ़ोटो एन्क्रिप्टेड हैं

1. ऐप के अंदर देखें

अपनी कोई भी फ़ोटो खोलें और कार्ड के नीचे “🔍 यह फ़ोटो सर्वर पर कैसी दिखती है” पर टैप करें। ऐप वह फ़ाइल स्टोरेज से बिना डिक्रिप्ट किए डाउनलोड करता है और उसके असली बाइट दिखाता है। आपका फ़ोन उन्हें इमेज की तरह खोलने की कोशिश करता है और नाकाम रहता है: यह सिफ़रटेक्स्ट है। पास में वही फ़ोटो आपकी की (key) से खुली हुई दिखती है, और यह भी कि आपका कैप्शन, तारीख, लोग और जगह सर्वर को कैसे दिखते हैं: एक बेमतलब स्ट्रिंग।

2. नेटवर्क पर नज़र रखें

इसके लिए कंप्यूटर चाहिए। Chrome या Edge में web.telegram.org खोलें, @MyAlbumsBot पर जाएँ और “फ़ोटो खोलें” पर टैप करें। F12 दबाएँ और Network टैब चुनें। एक फ़ोटो अपलोड करें और upload रिक्वेस्ट पर क्लिक करें: उसकी बॉडी में तीन बाइनरी फ़ाइलें और एक meta_enc स्ट्रिंग है। उसमें अपनी फ़ोटो, कैप्शन या किसी व्यक्ति का नाम ढूँढने की कोशिश करें — वे वहाँ नहीं हैं। हर रिक्वेस्ट देख लें: न की (key), न रिकवरी कोड कभी भेजा जाता है।

3. कोड पढ़ें

ऐप सादा JavaScript है — न छिपाया गया (obfuscated), न बंडलर। आप इसे अभी पढ़ सकते हैं:

• crypto.js — पूरी क्रिप्टोग्राफ़ी लगभग 120 लाइनों में: की (key) बनाना, ब्राउज़र के स्टैंडर्ड WebCrypto के ज़रिए AES-256-GCM, रिकवरी कोड, सीक्रेट एल्बम की कीज़ (PBKDF2, 3,00,000 इटरेशन)।
• app.js — खुद ऐप। fetch सर्च करें: सर्वर को जाने वाली सारी कॉल यही हैं। जाँचें कि की (key) (exportB64, recoveryCode) इनमें से किसी का हिस्सा नहीं है और सिर्फ़ आपके Telegram स्टोरेज और डिवाइस पर रखी जाती है।
• faces.js और fileinfo.js — “इस फ़ोटो में कौन है” वाले सुझाव और फ़ोटो खींचने की तारीख व जगह पढ़ना। यह सब डिवाइस पर चलता है; नतीजा फ़ोटो की बाकी जानकारी के साथ एन्क्रिप्ट होता है।

अगर आप किसी डेवलपर को जानते हैं, तो आधा घंटा काफ़ी है।

4. खोई हुई की (key) वाला टेस्ट

सबसे भरोसेमंद जाँच। एक टेस्ट अकाउंट बनाएँ, कुछ फ़ालतू फ़ोटो अपलोड करें और रिकवरी कोड सेव न करें। फिर ऐप ऐसी जगह खोलें जहाँ की (key) नहीं है (web.telegram.org पर कोई दूसरा ब्राउज़र) और हमसे एक्सेस वापस दिलाने को कहें। हम नहीं कर पाएँगे: हमारे पास की (key) की कोई कॉपी नहीं है। अगर सर्वर आपकी फ़ोटो खोल सकता, तो यह टेस्ट मुमकिन ही नहीं होता।

सर्वर क्या देखता है

ईमानदार लिस्ट: आपकी Telegram ID और नाम; आपके पास कितनी फ़ाइलें हैं और वे कितनी बड़ी हैं; हर फ़ाइल कब अपलोड हुई; वह फ़ोटो है या वीडियो; आपका प्लान और Stars भुगतान। कनेक्शन को आगे पहुँचाने वाला Cloudflare आपका IP एड्रेस देखता है। बाकी सब कुछ — कंटेंट, कैप्शन, लोग, फ़ोटो खींचने की तारीख और जगह, एल्बम के नाम — एन्क्रिप्टेड है।

हम क्या साबित नहीं कर सकते

यह एक वेब ऐप है: इसका कोड हर बार हमारे सर्वर से आता है, इसलिए सैद्धांतिक रूप से हम इसे किसी दिन बदल सकते हैं। किसी भी एंड-टू-एंड एन्क्रिप्टेड वेब सेवा ने इस समस्या को पूरी तरह हल नहीं किया है। हमारा जवाब यह है कि कोड खुला और पढ़ने लायक है (तरीका 3); जैसे-जैसे प्रोजेक्ट बढ़ेगा, हम इसका इतिहास GitHub पर पब्लिश करेंगे और एक स्वतंत्र ऑडिट करवाएँगे। एक बात और: अगर आपका अनलॉक्ड फ़ोन किसी और के हाथ में है, तो एन्क्रिप्शन मदद नहीं कर सकता — इसीलिए पासवर्ड से सुरक्षित सीक्रेट एल्बम हैं।

सवाल: @Azike या [email protected]।