تصور کنید ابزار تغییر آیپی را روشن کردهاید و حتی وارد چت مخفی یا همان سیکرت چت تلگرام شدهاید؛ تصور همه ما این است که حالا دیگر نباید ردی از پیامهای خصوصیمان باقی بماند… اما یک گزارش فنی جدید ادعا میکند ماجرا آنقدرها ساده نیست.
بر اساس گزارش فنی شرکت Symbolic Software که اخیراً منتشر شده، ساختار پروتکل اختصاصی تلگرام (MTProto) بهگونهای است که شناسه ثابت auth_key_id (شناسهای مشتقشده از کلید احراز هویت کاربر) را در ترافیک شبکه آشکار میکند. این شناسه (که به گفته پژوهشگران امنیتی حتی با تغییر آیپی یا جابهجایی بین شبکهها هم ثابت میماند و در گذر زمان هم عوض نمیشود) میتواند برای ردگیری دستگاه کاربر، مورد استفاده قرار گیرد.
اما آیا این ادعا واقعاً درست است؟ و مهمتر از آن، پاسخ تلگرام به این گزارش تا چه اندازه قانعکننده بوده؟
ماجرا از کجا شروع شد؟
چند روز پیش پژوهشگران گزارشی منتشر کردند که ادعا میکند اپلیکیشن تلگرام روی اندروید و دسکتاپ، بخشی از دادههای انتقالی را بدون رمزگذاری کامل روی پروتکل TCP منتقل میکنند. در این میان، auth_key_id ظاهراً بهصورت متنِ رمزگذارینشده یا با مبهمسازی (Obfuscation) بسیار ضعیف، در هدر بستهها قابل مشاهده است.
نکته کلیدی:
شناسه auth_key_id در MTProto معمولاً یک شناسهی پایدار و بلندعمر است، نه یک Identifier کوتاهعمر و ۲۴ ساعته. این شناسه تا زمانی که Auth Key اصلی بازتولید نشود، ثابت باقی میماند.
پژوهشگران میگویند این شناسه:
- با restart شدن برنامه تغییر نمیکند،
- با VPN عوض نمیشود،
- بین وایفای و دیتای موبایل ثابت میماند،
- و حتی در چتهای مخفی هم قابل مشاهده است.
اگر این ادعا درست باشد، حتی در صورت رمزنگاری پیامها، اپراتور اینترنت، مدیر شبکه سازمانی یا هر ناظری که به مسیر ارتباطی دسترسی دارد میتواند ترافیک مربوط به یک دستگاه را در طول زمان پایش کند.
اما تلگرام چه دفاعیهای دارد؟
تلگرام در واکنش به این گزارش، بخش مهمی از ادعاها را رد کرد. طبق گزارشی که وبسایت CyberInsider منتشر کرد، تلگرام میگوید این رفتار «طراحی و شناختهشده» است و auth_key_id صرفاً برای شناسایی نشست در سمت سرور استفاده میشود.
تلگرام همچنین ادعا میکند که:
- این شناسه به حساب کاربری یا شماره تلفن ارتباط مستقیم ندارد،
- مهاجم فقط با دیدن auth_key_id نمیتواند هویت کاربر را بفهمد،
- و استفاده از این شناسه برای مدیریت «نشست» (Session) در معماری MTProto ضروری است.
از نظر فنی، این بخش از پاسخ تلگرام تا حدی درست به نظر میرسد. auth_key_id واقعاً شماره تلفن یا user ID نیست و بهتنهایی هویت واقعی کاربر را فاش نمیکند. اما منتقدان میگویند مسئلهی اصلی چیزی دیگر است: «قابلیت لینککردن ترافیک».
به زبان ساده، مشکل این نیست که ناظر بیرونی ناگهان اسم شما را ببیند؛ مشکل این است که بتواند تشخیص دهد تمام این اتصالها، متعلق به «همان دستگاه قبلی» هستند و الگوها را پایش کند.
تفاوت مهم بین «رمزنگاری محتوا» و «متاداده»
اینجا دقیقاً همان نقطهای است که بسیاری از کاربران عادی به اشتباه میافتند. رمزنگاری سرتاسری (End-to-End Encryption) معمولاً از محتوای پیام محافظت میکند. این یعنی کسی وسط راه نمیتواند متن چت شما را بخواند. اما متادیتا یا فراداده (Metadata) شامل جزییات دیگر است، مانند اینکه:
- چه زمانی آنلاین شدهاید،
- به کدام سرور وصل شدهاید،
- حجم ترافیک چقدر بوده است،
- و آیا این اتصال متعلق به همان دستگاه قبلی است یا نه.
پژوهشگران میگویند مشکل MTProto دقیقاً در همین لایه رخ میدهد. حتی چتهای مخفی هم این شناسه مربوط به انتقال پیام را حذف نمیکند، چون فقط محتوای پیام رمزنگاری میشود، نه هدرهای ارتباطی.
آیا این یعنی تلگرام «ناامن» است؟
نه دقیقاً. تا این لحظه هیچ مدرکی منتشر نشده که نشان دهد مهاجمان میتوانند فقط با auth_key_id به پیامها یا حساب کاربران دسترسی پیدا کنند. حتی خود پژوهشگران هم بهجای شکستن رمزنگاری پیامها، بیشتر روی ردگیری در شبکه تمرکز کردهاند.
اما از منظر حریم خصوصی، موضوع همچنان حساس است؛ مخصوصاً برای کاربرانی که در محیطهای پرریسک زندگی میکنند یا تصور میکنند ابزار تغییر آیپی یا سیکرت چت، آنها را کاملاً ناشناس میکند. در واقع این گزارش بیشتر روی هشدار درباره ردپای دیجیتال کاربران در شبکه تمرکز دارد.
بحث اصلی شاید حتی خودِ auth_key_id نباشد؛ بلکه شفافیت طراحی پروتکل استفاده شده در تلگرام است. سالهاست بسیاری از متخصصان امنیت از تلگرام انتقاد میکنند که بهجای استفاده از پروتکلهای استاندارد و بازبینی شده مانند سیگنال، مسیر اختصاصی خودش را رفته است.
حالا این گزارش دوباره همان سوال قدیمی را زنده میکند: وقتی یک پیامرسان با چند صد میلیون کاربر فعال از پروتکل اختصاصی استفاده میکند، توسعهدهندگان و کاربران چگونه میتوانند مطمئن باشند که تمام جزئیات طراحی واقعاً از منظر حریم خصوصی امن است؟ شما در مورد امنیت تلگرام چه نظری دارید؟
