امنیت و حریم خصوصی تلگرام

کدی که توی چت «Telegram» اومد

مثلا فرض کنید یه پیام توی چت رسمی «Telegram» میاد: «کد ورود: ۴۸۲۹۱. این کد رو به کسی ندید.» و همزمان یه نفر توی یه گروه بهتون پیام داده که «برای تایید عضویت توی قرعه‌کشی، کدی که برات اومد رو بفرست». این همون زنجیره‌ایه که درس کد یک‌بارمصرف گفت: یکی شماره‌ی شما رو زده و فقط همین کد رو کم داره.

این درس قدم‌به‌قدم، از روی راهنمای رسمی تلگرام، می‌گه چطور جلوی این‌ها رو بگیرید، و بقیه‌ی تنظیم‌هایی که امنیت و حریم خصوصی تلگرامتون رو بیشتر می‌کنن. قانون همیشگی: اسم انگلیسی هر گزینه رو همون‌طور که توی راهنمای تلگرامه می‌نویسیم؛ چون اندروید، آیفون و کامپیوتر یکم فرق دارن، اگه جای گزینه فرق داشت، توی تنظیمات با همون اسم جستجو کنید.

شروع چت مخفی

طبق راهنمای تلگرام، برای شروع چت مخفی، پروفایل کسی که می‌خواید باهاش حرف بزنید رو باز کنید، سه نقطه رو بزنید، و Start Secret Chat. چت مخفی یه چت جدا کنار چت معمولی با همون آدم می‌سازه، با یه قفل کنار اسمش. توی چت مخفی، می‌تونید «تایمر خودنابودی» (Self-Destruct Timer) بذارید که پیام‌ها بعد از خونده شدن، از هر دو گوشی پاک بشن؛ راهنما می‌گه تایمر فقط روی پیام‌هایی اثر داره که بعد از گذاشتنش فرستاده می‌شن.

برای اینکه مطمئن بشید کسی وسط راه نیست، طبق راهنما، توی تنظیمات چت مخفی یه تصویر به اسم «کلید رمزگذاری» (Encryption Key) هست؛ اونو با تصویر روی گوشی طرف مقابل مقایسه کنید. اگه یکی بودن، چت امنه. همون راهنما صادقانه می‌گه روی بعضی گوشی‌ها هیچ راه صددرصدی برای فهمیدن اسکرین‌شات نیست، پس چت مخفی برای اعتماد به غریبه نیست.

تایید دومرحله‌ای

راهنمای تلگرام می‌گه ورود با کد پیامکی استاندارد پیام‌رسان‌هاست، ولی اگه امنیت بیشتری می‌خواید، چت‌های ابری رو با یه رمز اضافه محافظت کنید. جاش طبق راهنما: Settings، بعد Privacy and Security، بعد 2-Step Verification. وقتی روشن باشه، برای ورود هم کد لازمه هم رمز. یعنی کسی که کد رو با فریب گرفته یا شماره رو با سیم‌سواپ دزدیده، پشت در دوم می‌مونه.

«رمز دومرحله‌ای تلگرام چند رقمیه؟» از سوال‌های پرتکراره. جوابش اینه که رمزش رو خودتون انتخاب می‌کنید و عدد ثابتی نیست؛ پس یه رمز بلند بذارید، مثلا چند کلمه‌ی تصادفی، که جای دیگه استفاده نکردید، و توی مدیر رمز نگهش دارید. درس رمز خوب. تلگرام یه «راهنمای رمز» (Hint) هم می‌پرسه؛ چیزی ننویسید که خود رمز رو لو بده.

ایمیل بازیابی

موقع روشن کردن تایید دومرحله‌ای، تلگرام یه ایمیل بازیابی می‌پرسه که اگه رمز یادتون رفت، از راهش برگردید. یکی از رایج‌ترین جستجوها «رمز دومرحله‌ای تلگرام رو فراموش کردم، بدون ایمیل»‌ه؛ یعنی خیلی‌ها ایمیل نذاشتن و حالا گیر افتادن. ایمیل بذارید. راهنمای تلگرام یه نکته‌ی مهم هم داره: این ایمیل خودش باید با رمز قوی و، اگه می‌شه، ورود دومرحله‌ای محافظت بشه؛ چون حالا اون ایمیل یکی از کلیدهای تلگرامتونه. درس حساب گوگل گفت ایمیل رو چطور محکم کنید.

کلید عبور

تلگرام «کلید عبور» (Passkey) هم داره، که جستجوهای «پسکی تلگرام» و «کلید عبور تلگرام چیه» دنبال همینن. طبق راهنمای تلگرام، وقتی روی یه دستگاه وارد هستید، می‌تونید یه کلید عبور بسازید که بعدا با همون روشی که قفل گوشی رو باز می‌کنید، یعنی رمز صفحه، اثر انگشت یا چهره، وارد تلگرام بشید، به جای کد پیامکی؛ حتی وقتی سفرید یا پیامک نمی‌رسه. همون راهنما می‌گه کلید عبور از کد پیامکی امن‌تره.

جاش طبق راهنما: Settings، Privacy and Security، Passkeys؛ اونجا جزئیات هر کلید عبور، مثل تاریخ ساخت و آخرین استفاده، هم دیده می‌شه. اگه مدیر رمزی مثل آی‌کلود کیچین یا مدیر رمز گوگل دارید، می‌تونید کلید عبور رو اونجا پشتیبان کنید تا با عوض کردن گوشی گم نشه. و یادتون باشه، طبق همون راهنما، با کلید عبور هنوز هم می‌شه کد پیامکی خواست؛ پس شماره‌ی حساب باید شماره‌ی فعلی و دست خودتون باشه، و رمز دومرحله‌ای هم روشن بمونه. درس پس‌کی.

قفل برنامه

راهنمای تلگرام یه جمله‌ی صادقانه داره: تلگرام نمی‌تونه شما رو از کسی که گوشی باز و بی رمز شما رو برمی‌داره، یا از بخش فنی محل کار که به کامپیوترتون دسترسی داره، محافظت کنه. برای همین پیشنهاد می‌کنه یه «قفل برنامه» (Passcode) قوی هم بذارید، که از Settings، Privacy and Security، Passcode Lock روشن می‌شه. با این قفل، حتی اگه گوشی بازه، برای باز کردن تلگرام یه رمز جدا لازمه. برای دستگاه‌های مشترک، راهنمای تلگرام همین رو توصیه می‌کنه.

گوشی دزدیده شد

راهنمای تلگرام صاف می‌گه شماره‌ی تلفن تنها راهیه که تلگرام کاربر رو باهاش می‌شناسه، و هر کی شماره رو داشته باشه، حساب رو داره؛ پس اگه نه به شماره دسترسی دارید نه به تلگرام روی یه دستگاه دیگه، کاری از دستشون برنمیاد. اگه روی یه دستگاه دیگه هنوز واردید، طبق همون راهنما:

1. از Settings، Privacy and Security، تایید دومرحله‌ای رو روشن کنید، تا شماره به‌تنهایی برای ورود کافی نباشه.
2. از Settings، Devices (یا Active Sessions)، نشست گوشی دزدیده‌شده رو ببندید.
3. با اپراتور تماس بگیرید تا سیم‌کارت قدیمی رو مسدود کنه و یه سیم‌کارت تازه با همون شماره بده.

این دقیقا دلیلیه که باید تایید دومرحله‌ای و یه دستگاه دوم وارد، مثل کامپیوتر، رو از الان داشته باشید، نه بعد از دزدی.

کد ورود تلگرام

کد ورود تلگرام همیشه با پیامک نمیاد. طبق راهنمای تلگرام، اگه اخیرا روی یه دستگاه دیگه از تلگرام استفاده کرده باشید، ممکنه کد رو داخل خود تلگرام بفرسته، توی چت تاییدشده‌ی «Telegram» که بالای فهرست چت‌هاست. «کد تایید تلگرام نمیاد» خیلی وقت‌ها یعنی کد همونجا اومده. و همون راهنما می‌گه کدهای ورود خود حساب تلگرام، که توی همین چت میان، نباید به هیچ‌کس داده بشن، حتی به سرویس‌ها یا برنامه‌های دیگه.

اگه کدی اومد که شما درخواستش نکرده بودید، یعنی یکی شماره‌تون رو زده؛ کد رو به هیچ‌کس ندید، و اگه تایید دومرحله‌ای ندارید، همین الان روشنش کنید.

کد سرویس‌های دیگه

تلگرام یه کار دیگه هم می‌کنه که شاید دیده باشید: بعضی سایت‌ها و برنامه‌ها کد ورودشون رو، به جای پیامک، از راه تلگرام می‌فرستن. طبق راهنمای تلگرام، این کدها فقط توی یه چت تاییدشده به اسم «Verification Codes» میان، نه توی چت «Telegram». اگه همچین کدی اومد و شما درخواستش نکرده بودید، احتمالا کسی اشتباهی شماره‌ی شما رو توی یه سرویس دیگه زده، و همون راهنما می‌گه حساب تلگرامتون کاملا امنه. فقط اون کد رو به کسی ندید.

یه قاعده‌ی ساده: کد توی چت «Telegram» یعنی ورود به خود تلگرام؛ کد توی «Verification Codes» یعنی ورود به یه سرویس دیگه. هیچ‌کدوم مال هیچ آدمی نیست.

کی شماره‌تون رو ببینه

توی تلگرام می‌شه توی چت و گروه پیام داد، بی اینکه شماره‌تون دیده بشه. طبق راهنمای تلگرام، به‌طور پیش‌فرض شماره فقط برای کسایی دیده می‌شه که شما اونا رو به مخاطب‌هاتون اضافه کردید، و از Settings، Privacy and Security، Phone Number می‌شه عوضش کرد. «هیچ‌کس» (Nobody) رو انتخاب کنید، مگه دلیلی دارید. همون راهنما یادآوری می‌کنه که کسی که از قبل شماره‌ی شما رو داره و توی دفترچه‌ش ذخیره کرده، همیشه می‌بینه.

توی همون بخش، معمولا یه گزینه هم هست که تعیین می‌کنه کی بتونه شما رو با شماره‌تون پیدا کنه. اگه شماره‌تون جایی عمومی شده، مثلا روی یه آگهی، این رو روی «مخاطب‌های من» بذارید تا هر کسی با زدن شماره، حساب تلگرامتون رو پیدا نکنه.

کی پیداتون کنه

طبق راهنمای تلگرام، کسی می‌تونه بهتون پیام بده که یا شماره‌تون رو داره، یا شما اول بهش پیام دادید. بی شماره، فقط در دو حالت پیداتون می‌کنن: اگه توی یه گروه مشترک باشید، یا اگه یه نام کاربری عمومی گذاشته باشید که با جستجوی سراسری پیدا می‌شه. یعنی هر گروه بزرگی که عضوش هستید، یه راه رسیدن غریبه‌ها به شماست؛ و کلاهبردارها دقیقا از همین گروه‌ها شروع می‌کنن. درس پیام‌رسان‌ها کنار هم گفت چرا.

آخرین بازدید

طبق راهنمای تلگرام، از Privacy and Security تعیین می‌کنید کی آخرین بازدید و آنلاین بودنتون (Last Seen & Online) رو ببینه. یه نکته‌ی جالب داره: اگه آخرین بازدید خودتون رو از کسی پنهان کنید، شما هم مال اون رو نمی‌بینید. به جاش یه مقدار تقریبی دیده می‌شه، مثل «اخیرا» که از یه ثانیه تا دو سه روز رو می‌گیره، «این هفته» یا «این ماه». راهنما می‌گه این کار مزاحم‌ها رو دور نگه می‌داره، ولی هنوز نشون می‌ده آدم قابل دسترسه.

عکس، فوروارد و تماس

توی همون Privacy and Security، چند تا تنظیم دیگه هم هست. عکس پروفایل (Profile Photos): تعیین کنید فقط مخاطب‌ها ببینن، تا غریبه‌ها نتونن برای حساب جعلی به اسم شما برش دارن. پیام‌های فوروارد‌شده (Forwarded Messages): تعیین می‌کنه وقتی یکی پیام شما رو جای دیگه می‌فرسته، اسم شما بهش لینک بشه یا نه؛ راهنمای تلگرام می‌گه این تنظیم، کنار امکان پاک کردن پیام، گفتگو رو شبیه حرف زدن رو در رو می‌کنه، بی ضبط صوت.

تماس‌ها (Calls): تعیین کنید کی بتونه بهتون زنگ بزنه. یه گزینه‌ی همتا‌به‌همتا (Peer-to-Peer) هم داره؛ همون‌طور که درس پیام‌رسان‌ها گفت، توی تماس مستقیم، طرف مقابل IP شما رو می‌بینه، پس اونو برای غیرمخاطب‌ها خاموش کنید تا تماس از سرورهای تلگرام رد بشه.

تیک‌ها چی می‌گن

طبق راهنمای تلگرام، یه تیک یعنی پیام به ابر تلگرام رسیده و اگه طرف مقابل اعلان رو باز گذاشته باشه، خبردار شده؛ دو تیک یعنی پیام رو خونده، یعنی تلگرام رو باز کرده و همون گفتگو رو دیده. تلگرام وضعیت «رسیده به گوشی» نداره، چون یه حساب می‌تونه هم‌زمان روی چند دستگاه باز باشه. از نظر حریم خصوصی یعنی: کسی که پیام می‌ده، از روی دو تیک می‌فهمه کی پیامش رو خوندید؛ و برعکس. اگه نمی‌خواید کسی از روی ساعت خوندن پیام‌ها، برنامه‌ی روزانه‌تون رو بفهمه، کنار پنهان کردن آخرین بازدید، به این هم فکر کنید.

گروه و کانال

توی Privacy and Security، گزینه‌ی Groups & Channels (یا Invites) تعیین می‌کنه کی بتونه شما رو به گروه یا کانال اضافه کنه؛ «مخاطب‌های من» بذارید. و یادتون باشه، گروه‌ها و کانال‌های تلگرام هیچ‌وقت سرتاسری نیستن، و هر چیزی که توی یه گروه بزرگ می‌نویسید، مثل یه پست عمومیه. «امنیت کانال تلگرام» هم یعنی امنیت حساب مدیرهاش: هر مدیری که حسابش هک بشه، کانال رو داده؛ پس به همه‌ی مدیرها بگید تایید دومرحله‌ای رو روشن کنن، و فقط به کسایی دسترسی مدیریت بدید که واقعا لازمه.

نام کاربری

نام کاربری (Username) راهیه که بی دادن شماره، بقیه پیداتون کنن. طبق راهنمای تلگرام، اگه کسی با نام کاربری شما رو پیدا کنه و پیام بده و شما جواب بدید، هیچ‌کدوم شماره‌ی اون یکی رو نمی‌بینید، مگه تنظیم‌هاتون اجازه بده. برای کار و آگهی، نام کاربری بدید، نه شماره. و اگه دیگه نمی‌خواید با جستجو پیدا بشید، طبق همون راهنما، توی Settings، نام کاربری رو خالی ذخیره کنید؛ گفتگوهای قبلی دست نمی‌خورن.

عوض کردن شماره

طبق راهنمای تلگرام، هر شماره‌ی تلفن یه حساب جداست. اگه شماره‌تون رو برای همیشه عوض می‌کنید، از Settings، شماره‌ی وصل به حساب رو به شماره‌ی تازه تغییر بدید، تا همه‌ی چت‌ها، گروه‌ها و مخاطب‌ها همراهتون بیان؛ و همون راهنما تاکید می‌کنه که به شماره‌ی وصل‌شده دسترسی داشته باشید، وگرنه ممکنه حساب رو از دست بدید. حساب رو روی شماره‌ای که دیگه ندارید رها نکنید؛ درس سیم‌سواپ گفت شماره‌ی رهاشده به یکی دیگه داده می‌شه، و اون آدم، بی رمز دومرحله‌ای، حساب شما رو گرفته.

هوش مصنوعی و مینی‌اپ

تلگرام امکانات هوش مصنوعی خودش رو داره، مثل ترجمه و خلاصه‌ی پست‌های بلند. طبق راهنمای تلگرام، این امکانات روی یه پلتفرم متن‌باز به اسم Cocoon اجرا می‌شن و داده‌ای به شرکت‌های دیگه نمی‌فرستن. ولی همون راهنما فرق مهمی رو می‌گه: اگه از هوش مصنوعی از راه یه ربات یا مینی‌اپ (Mini App) شخص ثالث استفاده کنید، دارید از یه سرویس دیگه استفاده می‌کنید، نه تلگرام، و باید سیاست حریم خصوصی همون ربات رو ببینید. یعنی ربات «هوش مصنوعی رایگان» توی تلگرام، همه‌ی چیزهایی که بهش می‌گید رو برای سازنده‌ش می‌فرسته. درس هوش مصنوعی.

پاک کردن پیام

طبق راهنمای تلگرام، توی گفتگوهای دونفره، هر پیامی که فرستادید یا گرفتید رو، هر وقت، می‌شه برای هر دو طرف پاک کرد، و حتی کل تاریخچه‌ی گفتگو رو از هر دو طرف؛ و پیام پاک‌شده هیچ ردی توی چت نمی‌ذاره. توی گروه‌ها، فقط پیام‌های خودتون رو. یادتون باشه، همون‌طور که درس پیام‌رسان‌ها گفت، پاک کردن، اسکرین‌شاتی که طرف قبلا گرفته یا نسخه‌ی غیررسمی‌ای که پیام‌های پاک‌شده رو نگه می‌داره، رو پاک نمی‌کنه.

پاک کردن داده‌ها

طبق راهنمای تلگرام، بیشتر داده‌هاتون رو بی پاک کردن حساب هم می‌شه پاک کرد. از Settings، Privacy and Security (روی آیفون، یه قدم بیشتر: Data Settings)، «پاک کردن مخاطب‌های همگام‌شده» (Delete Synced Contacts) رو بزنید، که شماره‌های دفترچه‌ی تلفنی که یه روز با تلگرام همگام کردید رو از سرور پاک می‌کنه؛ و «پاک کردن همه‌ی پیش‌نویس‌های ابری» (Delete All Cloud Drafts). اگه نمی‌خواید دوباره همگام بشن، همگام‌سازی مخاطب‌ها رو هم خاموش کنید.

خودنابودی حساب

طبق راهنمای تلگرام، اگه دست‌کم ۱۸ ماه وارد تلگرام نشید، حساب با همه‌ی پیام‌ها، فایل‌ها و مخاطب‌ها پاک می‌شه، و این مدت رو می‌شه از تنظیمات عوض کرد. اگه تلگرام رو کم استفاده می‌کنید یا یه حساب قدیمی دارید، این مدت رو کوتاه‌تر کنید تا حساب فراموش‌شده سال‌ها روی سرور نمونه. و اگه می‌خواید حساب رو همین الان پاک کنید، راهنما می‌گه این کار برگشت‌ناپذیره، همه‌ی پیام‌ها و گروه‌ها و مخاطب‌های حساب پاک می‌شن، ولی پیام‌هایی که برای بقیه فرستادید، پیش اونا می‌مونه، و گروه‌هایی که ساختید هم سر جاشون. درس حق پاک کردن.

نسخه‌ی غیررسمی

«امنیت تلگرام طلایی» یکی از جستجوهای پرتکراره. نسخه‌های غیررسمی و تغییریافته‌ی تلگرام، با اسم‌هایی مثل «طلایی» یا «پلاس»، رو کسایی غیر از خود تلگرام ساختن، و همه‌ی چت‌ها و رمزهاتون از دست اونا رد می‌شه. راهنمای تلگرام برای چیزهای حساس پیشنهاد می‌کنه فقط از برنامه‌های رسمی، یا دست‌کم متن‌باز قابل بررسی، استفاده کنید. تلگرام رو فقط از فروشگاه رسمی گوشی یا سایت رسمی خودش، telegram.org، بگیرید. درس برنامه‌ی جعلی.

گوشی روت‌شده

راهنمای تلگرام یه هشدار هم درباره‌ی گوشی‌های «روت‌شده» (Rooted) یا «جیلبریک‌شده» (Jailbroken) داره، یعنی گوشی‌هایی که قفل‌های امنیتی سیستم‌عاملشون برداشته شده. می‌گه روی این گوشی‌ها، کسی که دسترسی کامل بگیره، می‌تونه از همه‌ی قفل‌های امنیتی رد بشه و حافظه‌ی برنامه‌ها رو بخونه، و هیچ برنامه‌ای، هر چقدر هم رمزنگاریش قوی باشه، دیگه امن نیست. اگه گوشی رو برای یه برنامه‌ی خاص روت کردید، بدونید این خطر رو دارید. درس اندروید.

اگه کسی خودش رو جای شما جا زد

اگه یه کلاهبردار با اسم و عکس شما یه حساب ساخته و به آشناهاتون پیام می‌ده، طبق راهنمای تلگرام، به حساب رسمی @NoToScam گزارش بدید، و از آشناها بخواید اون حساب رو گزارش کنن. همزمان، از یه راه دیگه به آشناها خبر بدید که از اون حساب پول یا کد نفرستن. و اگه حساب خودتون یه روز «فریز» (Frozen) شد، یعنی به خاطر گزارش بقیه محدود شده، طبق راهنما می‌تونید از داخل برنامه اعتراض کنید.

ده دقیقه، یه بار

1. Settings، Privacy and Security، 2-Step Verification: رمز بلند و ایمیل بازیابی محکم.
2. Passkeys: یه کلید عبور بسازید.
3. Passcode Lock: یه قفل برنامه بذارید.
4. Phone Number: روی «هیچ‌کس» یا «مخاطب‌های من».
5. Profile Photos و Calls: مخاطب‌های من؛ همتا‌به‌همتا برای غیرمخاطب‌ها خاموش.
6. Groups & Channels: مخاطب‌های من.
7. Devices یا Active Sessions: نشست‌های ناشناس رو ببندید.
8. مدت خودنابودی حساب رو کوتاه‌تر کنید، اگه تلگرام رو کم استفاده می‌کنید.

اشتباه‌های رایج

• «همه‌ی چت‌های تلگرام رمزنگاری سرتاسری دارن.» فقط چت مخفی و تماس‌ها؛ چت‌های معمولی و گروه‌ها ابری‌ان.
• «رمز دومرحله‌ای گذاشتم ولی ایمیل نه.» فراموشش کنید، بیرون می‌مونید.
• «کد رو به رباتی دادم که گفت برای تایید لازمه.» کد تلگرام مال هیچ ربات و آدمی نیست.
• «یه ربات رو به گروه خانوادگی اضافه کردم.» اگه «has access to messages» داره، همه‌ی پیام‌ها رو می‌خونه.
• «تلگرام طلایی امکانات بیشتری داره.» همه‌ی چت‌هاتون از دست یه سازنده‌ی دیگه رد می‌شه.
• «کامپیوتر محل کار رو یادم رفت خارج بشم.» از Active Sessions ببندیدش.

آخرین بررسی راهنمای رسمی تلگرام: ۲۴ مهر ۱۴۰۵.