هندسة المراقبة في إيران وأزمة تتبع تليجرام: خطر تعرض auth_key_id ودليل دفاع المستخدم
إصلاح mtproto لا يعمل · تصحيح mtrproto، mtporoto، мтпрото

في إيران، في اللحظة التي تفت فيها محادثة تليجرام، يكون جهازك قد سلم بالفعل بطاقة هويته إلى نظام المراقبة.

هذا ليس من باب الإنذار – بل ينبع من ميزة تصميم في بروتوكول تشفير MTProto الأساسي لتليجرام تسمى "auth_key_id" (معرف مفتاح التفويض). في مايو 2026، أكد تقرير تقييم تقني نشرته شركة الأمن السيبراني المستقلة Symbolic Software أن عملاء تليجرام ينقلون رسائل MTProto عبر اتصالات TCP غير مشفرة، مما يتسبب في كشف auth_key_id كنص عادي في حركة مرور الشبكة. يمكن لأي كيان لديه وصول سلبي إلى الشبكة استخراج هذا المعرف بسهولة. إذا كنت تعاني من mtproto لا يعمل، فقد يكون هذا الكشف مرتبطًا أيضًا ببصمة DPI.

تجمع هذه المقالة بين هندسة المراقبة الفريدة في إيران لتحليل المخاطر المحددة لكشف auth_key_id، وتقييم فعالية مختلف VPNs والبروكسيات، وتقدم أخيرًا خطة دفاع عملية للمستخدمين.

I. هندسة المراقبة المنهجية في إيران: من Shahkar إلى SIAM

تكمن الميزة الأساسية لنظام المراقبة في إيران في تكامله بين طبقة الشبكة وطبقة الشبكة المحمولة وطبقة مصادقة الهوية. حتى إذا نجحت في الاتصال بخادم بروكسي، لا يزال بإمكان نظام المراقبة التعرف عليك وعلى جهازك من خلال وسائل متعددة، ويوفر كشف auth_key_id الخاص بتليجرام لهذه الأنظمة معرفًا إضافيًا دقيقًا.

1. شبكة المعلومات الوطنية ونظام الاعتراض القانوني (LIS)

بنيت إيران شبكة المعلومات الوطنية (NIN)، التي تفصل الإنترنت المحلي عن الإنترنت الدولي. تحولت السلطات من نموذج حظر "القائمة السوداء" إلى نموذج "القائمة البيضاء"، باستخدام قواعد بيانات SHAHKAR و HAMTA لتتبع وثائق هوية المستخدمين وأجهزتهم، مما يسهل قطع الوصول العام إلى الإنترنت الدولي مع الاحتفاظ بالوصول المميز لمجموعات محددة.

فوق هذه البنية، أنشأت هيئة تنظيم الاتصالات في إيران، بالتعاون مع أكبر مشغل محلي، نظام الاعتراض القانوني (LIS)، والذي يتضمن بشكل أساسي أربعة أنظمة فرعية: الاعتراض القانوني (LI)، التحكم بالأجهزة غير القانونية (CID)، نظام SHAHKAR، ونظام SHAMSA. من بينها:

• نظام SHAHKAR: قاعدة بيانات مصادقة مركزية تخزن معلومات جميع مستخدمي الهاتف المحمول. يتطلب تسجيل بطاقة SIM التسجيل البيومتري ورقم الهوية الوطنية. يتحقق النظام مما إذا كان المستخدم الذي يستخدم عنوان IP معين أو رقم هاتف هو فرد حقيقي.
• نظام SIAM: نظام كمبيوتر قادر على التلاعب عن بعد باتصالات الهاتف المحمول، مما يوفر للمشغلين حوالي 40 وظيفة لتغيير وتعطيل ومراقبة استخدام المستخدمين للهاتف، بما في ذلك الخفض الإجباري إلى شبكات 2G غير الآمنة، تتبع الموقع، جمع البيانات الوصفية، إلخ.
• فحص الحزم العميق (DPI): يمكن لنظام المراقبة تحليل محتوى الحزم وخصائص حركة المرور، وتحديد توقيعات بروتوكول VPN، وأنماط التشفير غير الطبيعية، والمنافذ غير القياسية، وعناوين IP التي تشير إلى مراكز البيانات.

2. كيف تعمل سلسلة المراقبة

بمجرد أن يولد جهازك حركة مرور، يجمع نظام المراقبة المعلومات من طبقات متعددة: تحلل أجهزة DPI حركة مرور الشبكة في الوقت الفعلي، وتحدد البروتوكولات، وتستخرج البيانات الوصفية؛ يمكن لنظام SIAM الحصول على أرقام الهواتف و IMSI من طبقة الشبكة المحمولة؛ تربط قاعدة بيانات SHAHKAR بطاقات SIM بالهويات الحقيقية. عندما ترتبط هذه الأنظمة بـ auth_key_id، يتم تشكيل سلسلة ربط هوية كاملة. الجزء الأكثر رعبًا في نظام إيران ليس القدرات التقنية الفردية، ولكن هذه البنية المتكاملة عبر الطبقات: يربط Shahkar بطاقات SIM بالهويات الوطنية، يمكن لـ SIAM التلاعب بالأجهزة، يسجل HAMTA نماذج الأجهزة – مجتمعة، يصبح auth_key_id المفتاح النهائي لفتح هذا الباب.

II. كشف auth_key_id: المفتاح النهائي في سلسلة المراقبة

1. ما هو auth_key_id؟

auth_key_id هو معرف 64 بت في بروتوكول MTProto. عندما يسجل عميل تليجرام الدخول لأول مرة إلى جهاز، فإنه يولد مفتاح تفويض 2048 بت (auth_key) من خلال تبادل مفاتيح Diffie-Hellman، و auth_key_id هو تجزئة SHA-1 ذات 64 بت السفلية لذلك المفتاح. يجلس في مقدمة رأس MTProto الخارجي في كل إرسال رسالة، مما يشير إلى الخادم "أي مفتاح لاستخدامه لفك تشفير المحتوى التالي."

2. شدة الكشف

يؤكد التقييم التقني لـ Symbolic Software: يظل auth_key_id دون تغيير عبر الجلسات وتغييرات IP وتبديل الشبكات والتحركات الجغرافية، مما يجعله أداة قوية للمراقبين السلبيين للشبكة لتتبع جهاز واحد على المدى الطويل. يمكن لأي وسيط شبكة – ISP، مسؤول الشبكة، نظام المراقبة الحكومي – جمع قيم auth_key_id من خلال مراقبة الشبكة السلبية، دون هجمات رجل في المنتصف، أو اختراق الشهادات، أو التلاعب بالبروتوكول. يكفي التقاط الحزم البسيط وإزالة التمويه.

3. مسارات الإساءة في نظام المراقبة الإيراني

في مواجهة نظام المراقبة متعدد الطبقات في إيران، يواجه auth_key_id مخاطر كشف متعددة. سواء باستخدام اتصال مباشر أو VPN، فقد يتسرب في عدة عقد رئيسية:

طبقة المراقبة	الآلية التقنية	خطر الكشف
طبقة الشبكة (DPI)	يحلل ISP الحزم عبر أجهزة DPI	حتى إذا قام VPN بتشفير المحتوى، فقد يتم استخراج auth_key_id كمعرف على مستوى التطبيق؛ إذا استخدم تليجرام TCP غير مشفر، فإنه مكشوف بالكامل. هذا غالبًا ما يؤدي إلى mtproto لا يعمل عندما يعطل DPI المصافحات.
طبقة الشبكة المحمولة (SIAM)	يمكن لـ SIAM الخفض الإجباري إلى 2G غير آمنة، وجمع البيانات الوصفية	يسجل auth_key_id ويربطه بـ IMSI/رقم الهاتف، مما يربط الهوية بدقة بجهاز شخصي.
طبقة الهوية (Shahkar)	بطاقة SIM مرتبطة بالهوية الوطنية، يمكنها استهداف أرقام محددة	إذا قام اتصال معين (على سبيل المثال، تسجيل الدخول إلى Wi-Fi الفندق) بربط auth_key_id بهويتك الحقيقية، يمكن لنظام المراقبة استخدام Shahkar لتتبع جميع سجلات اتصال auth_key_id السابقة الخاصة بك.
الطبقة المادية (كاشف IMSI)	ينشر محطات قاعدة مزيفة في مواقع الاحتجاجات	يلتقط IMSI الهاتف ونموذج الجهاز و auth_key_id في وقت واحد، مما يشكل ملف تعريف هوية جهاز كامل.
إعادة النظر السلبية	يحتفظ المشغلون بسجلات طويلة الأجل	بمجرد ربط مرساة هوية بـ auth_key_id، يمكن لنظام المراقبة البحث في السجلات التاريخية لإعادة بناء أنماط الاتصال وآثار السلوك على مدى أشهر أو حتى سنوات.

4. طبيعة الخطر

يكمن خطر كشف auth_key_id في ثباته وقابليته للربط. إنه ليس علامة مؤقتة على مستوى الجلسة، بل هو معرف ثابت مرتبط بمفتاح التفويض طويل الأجل للجهاز. إذا ربط اتصال واحد (على سبيل المثال، التسجيل في Wi-Fi الفندق) auth_key_id بهويتك الحقيقية، يمكن لنظام المراقبة استخدام هذا "المرساة" للبحث في جميع سجلات حركة المرور التاريخية – يمكن تتبع سجلات الاتصال الخاصة بك من الأشهر القليلة الماضية عبر شبكات مختلفة في وقت واحد، حتى لو كنت تستخدم VPN أو غيرت الشبكات في ذلك الوقت.

III. تقييم VPNs والبروكسيات في إيران (بما في ذلك إصلاحات mtproto لا يعمل)

1. VPNs التقليدية: محظورة بشكل منهجي

• OpenVPN: يتم التعرف على بصمات البروتوكول بالكامل بواسطة أنظمة DPI، محظورة في إيران لسنوات عديدة، معدل الكشف يقترب من 100%.
• WireGuard: عملية المصافحة لها بنية ثابتة، تم تدريب أنظمة DPI الإيرانية على التعرف عليها. يتم تحديد خادم WireGuard المنشور حديثًا وحظره عادةً في غضون ساعات. توفر إضافة طبقات التمويه تحسنًا قصير الأجل، لكن التمويه نفسه يشكل تدريجيًا بصمة يمكن للنظام تصنيفها.
• IPSec/L2TP: "ميتة" فعليًا في إيران، محظورة بشكل كبير أيضًا بسبب بصمات البروتوكول الواضحة.

الخلاصة: الاعتماد على هذه البروتوكولات لبناء خوادم VPN ذاتية من الصفر لم يعد حلاً مستدامًا.

2. Shadowsocks: أفضل قليلاً من VPNs التقليدية، لكن ليس طويل الأمد

تم إنشاء Shadowsocks في الأصل من قبل مطورين صينيين لتجاوز "الجدار العظيم العظيم"، باستخدام طرق تشويش غير قياسية. لا يمكن لأنظمة DPI تصنيف حركة المرور الخاصة به بوضوح كبروكسي/VPN، مما يمنحه ميزة نسبية في بيئة الرقابة الإيرانية. لكن Shadowsocks ليس حلاً شاملاً. يفتقر إلى محاكاة الميزات المتقدمة مثل مصافحات TLS، وبعد الاستخدام طويل الأجل، قد يتم تصنيف أنماط حركة المرور الخاصة به والتعرف عليها بواسطة أنظمة التعلم الآلي.

3. VLESS + Reality: أقوى تقنية لمكافحة الرقابة حاليًا

تم تصميم بروتوكول VLESS خصيصًا لتجنب كشف DPI، وتغليف معلومات التوجيه في TLS القياسي، مما يجعل حركة المرور الناتجة على مستوى الحزم لا يمكن تمييزها عن اتصالات HTTPS العادية. باستخدام تقنية نقل REALITY، يمكنه استعارة شهادات TLS من مواقع الويب المشروعة لإخفاء الهدف الحقيقي. عندما تختبر أنظمة الاختبار النشط في إيران خادم VLESS+Reality، تتلقى نفس الاستجابة كموقع ويب حقيقي، ولا يكشف الخادم عن وظيفة البروكسي الخاصة به. يبلغ المشغلون الذين يقومون بتكوين خوادم VLESS بشكل صحيح داخل إيران عن معدلات كشف أقل من 5%. الخادم الذي سيتم حظره في غضون أيام بموجب معايير WireGuard يمكن أن يعمل لشهور تحت تكوين VLESS+Reality الصحيح.

4. بروكسي MTProto: مصمم خصيصًا لتليجرام (و mtproto لا يعمل)

تم تصميم بروكسي MTProto خصيصًا لتليجرام ويعمل فقط مع تليجرام؛ لا يمكنه توجيه حركة مرور المتصفح أو التطبيقات الأخرى. في بيئة الرقابة لعام 2026، تظل بروكسيات MTProto من الجيل الثالث التي تبدأ بـ "ee" (تمكين Fake TLS) فقط فعالة. إذا واجهت mtproto لا يعمل، فإن الترقية إلى MTG 2.2.8 أو استخدام بروكسي مخصص مثل TGV غالبًا ما يحل المشكلة.

ومع ذلك، حتى بروكسيات MTProto Fake TLS لا يمكنها إخفاء auth_key_id. يستخدم عملاء تليجرام TCP غير مشفر في طبقة النقل، وكشف auth_key_id هو مشكلة تصميم أساسية للبروتوكول – بغض النظر عن مقدار تشويش البروكسي، يتم كشف auth_key_id لعقد الشبكة الوسيطة قبل الوصول إلى خادم البروكسي. في 1 أبريل 2026، بدأ العديد من مزودي خدمة الإنترنت الروس في تحديد مصافحات Telegram MTProto/FakeTLS بشكل انتقائي عبر تحليل بصمة TLS، مما تسبب في فشل واسع النطاق لـ mtproto لا يعمل، بينما استمرت خدمات VLESS Reality على نفس الخوادم في العمل بشكل طبيعي.

IV. الحلول الممكنة: استراتيجية دفاع متعددة الطبقات

في مواجهة المراقبة الشاملة في إيران، لا تكفي أداة واحدة لضمان الأمان المطلق. أنت بحاجة إلى استراتيجية دفاع متعددة الطبقات.

الطبقة	الاستراتيجية	نقاط التنفيذ
الطبقة 1: بروكسي مضاد للرقابة	استخدم بروتوكول VLESS + Reality	انشر باستخدام Xray-core أو Sing-box، اختر نطاق تمويه مناسب (مثل api.github.com، update.microsoft.com)، قم بتمكين REALITY، ويفضل مع توجيه P2P اللامركزي.
الطبقة 2: قناة خاصة بتليجرام	بروكسي MTProto من الجيل الثالث (Fake TLS)	استخدم سرًا مسبوقًا بـ ee، المنفذ 443، مع نطاق تمويه حسن السمعة؛ كقناة واردة لتليجرام. ملاحظة: يعمل بروكسي MTProto فقط مع تليجرام ولا يمكنه حل كشف auth_key_id.
الطبقة 3: إعادة تعيين auth_key_id الدورية	إعادة تعيين مفتاح التفويض بانتظام، وإيقاف التتبع طويل المدى (إلزامي أساسي)	الأكثر شمولاً: انتقل إلى إعدادات تليجرام ← الأجهزة، قم بإنهاء جميع الجلسات المشبوهة؛ استخدم تسجيل الخروج وتسجيل الدخول الرسمي لإنشاء auth_key_id جديد تمامًا. لا يمكن لاستخدام PFS منع كشف المعرف ولكن يمكنه الحد من فترة التتبع. قم بإجراء إعادة التعيين كل 1-3 أشهر لتقليل خطر التتبع طويل المدى بشكل كبير.
الطبقة 4: عزل الهوية	افصل الهوية الحقيقية بدقة عن الاتصال الحساس	لا تستخدم نفس حساب تليجرام للأنشطة الحساسة على الشبكات الموثقة (Wi-Fi الفندق، شبكة الشركة). للاتصال الحساس، استخدم Tor أو نفق VPS موثوق به في الخارج. تجنب تسجيل الحسابات الحساسة بأرقام هواتف مرتبطة ببطاقة SIM.
الطبقة 5: سلسلة VPN/بروكسي متعددة الطبقات	اجمع بين بروتوكولات مكافحة الرقابة	مرر حركة مرور تليجرام أولاً عبر بروكسي MTProto (ee Fake TLS) ثم قم بتغليفها داخل نفق VLESS، بحيث يتم حماية auth_key_id بطبقات تشفير متعددة طوال الإرسال.
الطبقة 6: شبكة P2P اللامركزية	تجنب الاعتماد على نقطة واحدة	يمنع استخدام شبكة P2P اللامركزية انقطاع الخدمة بالكامل إذا تم حظر عنوان IP واحد.

V. دليل التشغيل العملي

1. إعادة تعيين auth_key_id بنشاط (خطوة أساسية)

نظرًا لأن ثبات auth_key_id هو الخطر الأكبر، فإن إعادة التعيين الدورية هي الطريقة الأكثر فعالية لكسر التتبع طويل المدى.

• تسجيل الخروج وتسجيل الدخول مرة أخرى في التطبيق: الإعدادات ← تحرير الملف الشخصي (iOS) أو اضغط على الصورة الرمزية للحساب (Android)، اختر "تسجيل الخروج". هذه هي الطريقة الأكثر مباشرة لبدء إعادة تعيين auth_key.
• تسجيل الخروج عن بُعد من الأجهزة المشبوهة: على جهاز موثوق، انتقل إلى الإعدادات ← الأجهزة، حدد وقم بإنهاء الجلسات التي ليست تحت سيطرتك، مما يبطل auth_key على تلك الأجهزة على الفور.

2. نشر بروكسي مضاد للرقابة

يوصى بنشر بروتوكول VLESS + Reality على VPS. باستخدام Xray كمثال، خطوات موجزة:

• تثبيت Xray-core: bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
• إنشاء زوج مفاتيح Reality: xray x25519
• تكوين config.json، اختر نطاق تمويه موثوق (يوصى باستخدام نطاقات Microsoft أو GitHub)، وتجنب نطاقات التمويه الشائعة التي تم وضع علامة عليها بالفعل من قبل أنظمة المراقبة.
• استيراد التكوين على العميل (v2rayNG، Nekoray، إلخ) واستخدام خيارات بصمة chrome أو safari.

3. بناء قناة خاصة بتليجرام

• احصل على عقد بروكسي MTProto من الجيل الثالث قابلة للاستخدام (بتنسيق tg://proxy?secret=ee...). توفر TGV هذه للمستخدمين المدفوعين.
• افتح إعدادات تليجرام ← البيانات والتخزين ← إعدادات البروكسي ← إضافة بروكسي، حدد نوع MTProto، أدخل تفاصيل البروكسي.
• تذكير مهم: بروكسي MTProto هو فقط من أجل "إمكانية الوصول إلى الاتصال" بتليجرام؛ لا يحل مشكلة كشف auth_key_id. لا تزال بحاجة إلى إعادة تعيين auth_key_id بشكل دوري.

VI. ملخص وتوصيات

في ظل هندسة المراقبة الحالية في إيران، يشكل كشف auth_key_id خطرًا كبيرًا ومستمرًا على الخصوصية. الاستنتاجات الرئيسية:

• تهديد المراقبة شامل. تتعاون أنظمة DPI و SIAM و Shahkar، ويخلق كشف auth_key_id المتراكم فوقها قدرة تتبع دقيقة وعالية الدقة للجهاز على المدى الطويل.
• VPNs التقليدية تفشل. في عام 2026، لم يعد بإمكان OpenVPN و WireGuard العمل بشكل مستقر طويل الأجل في إيران؛ نظام الرقابة يتطور في جميع المجالات.
• التقنيات الفعالة حاليًا هي VLESS+Reality وبروكسيات MTProto من الجيل الثالث. لكن بروكسيات MTProto لا يمكنها حل المشكلة الأساسية لكشف auth_key_id. إذا رأيت mtproto لا يعمل، ففكر في التحول إلى VLESS+Reality أو ترقية بروكسي MTProto إلى MTG 2.2.8.
• إعادة تعيين auth_key_id النشطة والدورية إلزامية. يجب على المستخدمين تطوير عادة "تسجيل الخروج ← تسجيل الدخول مرة أخرى" كل 1-3 أشهر لكسر سلسلة التتبع طويلة المدى.
• استراتيجية دفاع متعددة الطبقات ضرورية. في إيران، لا يمكنك الاعتماد على أداة واحدة؛ يجب عليك استخدام بروكسيات مكافحة الرقابة وإعادة تعيين المفاتيح الدورية وعزل الهوية بشكل شامل لبناء حماية متعددة الطبقات.
• تستمر لعبة القط والفأر. ابق يقظًا وحافظ على تحديث طرق الدفاع الخاصة بك – هذه هي أفضل طريقة لحماية سلامتك وخصوصيتك.