معماری نظارت ایران و بحران ردیابی تلگرام: ریسک افشای auth_key_id و راهنمای دفاع کاربران
رفع mtproto ne rabotayet · تصحیح mtrproto, mtporoto, мтпрото

در ایران، لحظه‌ای که یک چت تلگرام را باز می‌کنید، دستگاه شما قبلاً کارت شناسایی خود را به سیستم نظارت تحویل داده است.

این یک هشدار اغراق‌آمیز نیست – بلکه از یک ویژگی طراحی پروتکل رمزگذاری زیربنایی تلگرام به نام "auth_key_id" (شناسه کلید مجوز) ناشی می‌شود. در می ۲۰۲۶، یک گزارش ارزیابی فنی منتشر شده توسط شرکت امنیت سایبری مستقل Symbolic Software تأیید کرد که کلاینت‌های تلگرام پیام‌های MTProto را از طریق اتصالات TCP رمزنگاری نشده ارسال می‌کنند و باعث می‌شوند auth_key_id به صورت متن واضح در ترافیک شبکه افشا شود. هر نهادی با دسترسی غیرفعال به شبکه می‌تواند به راحتی این شناسه را استخراج کند. اگر mtproto не работает را تجربه می‌کنید، این افشا ممکن است با اثر انگشت DPI نیز مرتبط باشد.

این مقاله معماری نظارت منحصر‌به‌فرد ایران را با تجزیه و تحلیل ریسک‌های خاص افشای auth_key_id ترکیب می‌کند، اثربخشی VPNها و پروکسی‌های مختلف را ارزیابی می‌کند و در نهایت یک طرح دفاعی عملی برای کاربران ارائه می‌دهد.

I. معماری نظارت سیستماتیک ایران: از Shahkar تا SIAM

مزیت اصلی سیستم نظارت ایران در ادغام لایه شبکه، لایه شبکه موبایل و لایه احراز هویت نهفته است. حتی اگر با موفقیت به یک سرور پروکسی متصل شوید، سیستم نظارت همچنان می‌تواند شما و دستگاه شما را از طرق مختلف شناسایی کند و افشای auth_key_id تلگرام این سیستم‌ها را با یک شناسه دقیق اضافی فراهم می‌کند.

1. شبکه اطلاعات ملی و سیستم رهگیری قانونی (LIS)

ایران شبکه اطلاعات ملی (NIN) را ساخته است که اینترنت داخلی را از اینترنت بین‌المللی جدا می‌کند. مقامات از مدل مسدودسازی "لیست سیاه" به مدل "لیست سفید" تغییر یافته‌اند و از پایگاه‌های داده SHAHKAR و HAMTA برای ردیابی مدارک هویتی و دستگاه‌های کاربران استفاده می‌کنند و به راحتی دسترسی عمومی به اینترنت بین‌المللی را قطع می‌کنند در حالی که دسترسی ممتاز را برای گروه‌های خاص محفوظ نگه می‌دارند.

بر روی این معماری، سازمان تنظیم مقررات ارتباطات ایران با همکاری بزرگترین اپراتور داخلی، سیستم رهگیری قانونی (LIS) را ایجاد کرده است که عمدتاً شامل چهار زیرسیستم است: رهگیری قانونی (LI)، کنترل دستگاه غیرمجاز (CID)، سیستم SHAHKAR و سیستم SHAMSA. از جمله:

• سیستم SHAHKAR: یک پایگاه داده احراز هویت مرکزی که اطلاعات همه کاربران موبایل را ذخیره می‌کند. ثبت‌نام سیم‌کارت نیاز به ثبت اثر انگشت و کارت ملی دارد. این سیستم تأیید می‌کند که آیا کاربری که از یک آیپی یا شماره تلفن خاص استفاده می‌کند یک فرد واقعی است یا خیر.
• سیستم SIAM: یک سیستم کامپیوتری که قادر به دستکاری از راه دور اتصالات موبایل است و حدود ۴۰ عملکرد را در اختیار اپراتورها قرار می‌دهد تا استفاده تلفنی کاربران را تغییر، مختل و نظارت کنند، از جمله کاهش اجباری به شبکه‌های ناامن ۲G، ردیابی موقعیت، جمع‌آوری فراداده و غیره.
• بازرسی عمیق بسته (DPI): سیستم نظارت می‌تواند محتوای بسته و ویژگی‌های ترافیک را تجزیه و تحلیل کند و امضاهای پروتکل VPN، الگوهای رمزگذاری غیرعادی، پورت‌های غیراستاندارد و آیپی‌هایی که به مراکز داده اشاره می‌کنند را شناسایی کند.

2. نحوه عملکرد زنجیره نظارت

به محض اینکه دستگاه شما ترافیک تولید می‌کند، سیستم نظارت اطلاعات را از لایه‌های متعدد جمع‌آوری می‌کند: دستگاه‌های DPI ترافیک شبکه را در زمان واقعی تجزیه و تحلیل، پروتکل‌ها را شناسایی و فراداده را استخراج می‌کنند. سیستم SIAM می‌تواند شماره تلفن و IMSI را از لایه شبکه موبایل به دست آورد. پایگاه داده SHAHKAR سیم‌کارت‌ها را به هویت واقعی متصل می‌کند. هنگامی که این سیستم‌ها با auth_key_id مرتبط می‌شوند، یک زنجیره لنگر هویت کامل تشکیل می‌شود. ترسناک‌ترین بخش سیستم ایران قابلیت‌های فنی فردی نیست، بلکه این معماری یکپارچه میان لایه‌ای است: Shahkar سیم‌کارت‌ها را به کارت‌های ملی مرتبط می‌کند، SIAM می‌تواند دستگاه‌ها را دستکاری کند، HAMTA مدل‌های دستگاه را ثبت می‌کند – در ترکیب، auth_key_id به کلید نهایی برای باز کردن این در تبدیل می‌شود.

II. افشای auth_key_id: کلید نهایی در زنجیره نظارت

1. auth_key_id چیست؟

auth_key_id یک شناسه ۶۴ بیتی در پروتکل MTProto است. هنگامی که یک کلاینت تلگرام برای اولین بار وارد یک دستگاه می‌شود، یک کلید مجوز ۲۰۴۸ بیتی (auth_key) را از طریق تبادل کلید Diffie-Hellman تولید می‌کند و auth_key_id هش SHA-1 ۶۴ بیت پایین آن کلید است. این شناسه در جلوی هدر بیرونی MTProto در هر انتقال پیام قرار دارد و به سرور نشان می‌دهد "از کدام کلید برای رمزگشایی محتوای بعدی استفاده کنم."

2. شدت افشا

ارزیابی فنی Symbolic Software تأیید می‌کند: auth_key_id در طول جلسات، تغییرات آیپی، سوئیچ شبکه و جابجایی جغرافیایی بدون تغییر باقی می‌ماند و آن را به ابزاری قدرتمند برای ناظران غیرفعال شبکه برای ردیابی طولانی مدت یک دستگاه تبدیل می‌کند. هر واسطه شبکه – ISP، مدیر شبکه، سیستم نظارت دولتی – می‌تواند مقادیر auth_key_id را از طریق نظارت غیرفعال شبکه جمع‌آوری کند، بدون نیاز به حملات مرد میانی، شکستن گواهی یا دستکاری پروتکل. ضبط ساده بسته و رفع ابهام کافی است.

3. مسیرهای سوء استفاده در سیستم نظارت ایران

در مواجهه با سیستم نظارت چند لایه ایران، auth_key_id با چندین ریسک افشا مواجه است. چه از اتصال مستقیم استفاده کنید و چه از VPN، ممکن است در چندین گره کلیدی نشت کند:

لایه نظارت	مکانیسم فنی	ریسک افشا
لایه شبکه (DPI)	ISP بسته‌ها را از طریق دستگاه‌های DPI تجزیه و تحلیل می‌کند	حتی اگر VPN محتوا را رمزگذاری کند، auth_key_id به عنوان یک شناسه لایه برنامه ممکن است استخراج شود. اگر تلگرام از TCP رمزنگاری نشده استفاده کند، کاملاً در معرض دید است. این اغلب زمانی که DPI دست دادن را مختل می‌کند منجر به mtproto не работает می‌شود.
لایه شبکه موبایل (SIAM)	SIAM می‌تواند کاهش اجباری به 2G ناامن را اعمال کند، فراداده جمع‌آوری کند	auth_key_id را ثبت کرده و آن را با IMSI/شماره تلفن مرتبط می‌کند و هویت را دقیقاً به یک دستگاه شخصی قفل می‌کند.
لایه هویت (Shahkar)	سیم‌کارت به کارت ملی گره خورده، می‌تواند شماره‌های خاص را هدف قرار دهد	اگر یک اتصال خاص (مانند ورود به وای‌فای هتل) auth_key_id را با هویت واقعی شما مرتبط کند، سیستم نظارت می‌تواند از Shahkar برای ردیابی تمام سوابق اتصال auth_key_id گذشته شما استفاده کند.
لایه فیزیکی (گیرنده IMSI)	استقرار ایستگاه‌های پایه جعلی در مکان‌های اعتراضی	همزمان IMSI تلفن، مدل دستگاه و auth_key_id را ضبط می‌کند و یک نمایه هویت کامل دستگاه را تشکیل می‌دهد.
بازنگری غیرفعال	اپراتورها لاگ‌های طولانی مدت نگهداری می‌کنند	هنگامی که یک لنگر هویت به auth_key_id مرتبط می‌شود، سیستم نظارت می‌تواند لاگ‌های تاریخی را برای بازسازی الگوهای ارتباطی و ردپای رفتار در طی ماه‌ها یا حتی سال‌ها جستجو کند.

4. ماهیت ریسک

ریسک افشای auth_key_id در پایداری و قابلیت پیوند آن نهفته است. این یک نشانگر موقتی در سطح جلسه نیست، بلکه یک شناسه ثابت است که به کلید مجوز طولانی مدت دستگاه گره خورده است. اگر یک اتصال واحد (مانند ثبت‌نام در وای‌فای هتل) auth_key_id شما را با هویت واقعی شما مرتبط کند، سیستم نظارت می‌تواند از این "لنگر" برای جستجوی تمام لاگ‌های ترافیک تاریخی استفاده کند – سوابق ارتباطی شما در چند ماه گذشته در شبکه‌های مختلف می‌تواند یکباره ردیابی شود، حتی اگر در آن زمان از VPN استفاده کرده باشید یا شبکه را تغییر داده باشید.

III. ارزیابی VPNها و پروکسی‌ها در ایران (شامل رفع‌های mtproto не работает)

1. VPNهای سنتی: به طور سیستماتیک مسدود شده‌اند

• OpenVPN: اثر انگشت پروتکل به طور کامل توسط سیستم‌های DPI شناسایی می‌شود، سال‌ها است در ایران مسدود شده، نرخ تشخیص نزدیک به ۱۰۰٪.
• WireGuard: فرآیند دست دادن ساختار ثابتی دارد، سیستم‌های DPI ایران برای تشخیص آن آموزش دیده‌اند. یک سرور WireGuard تازه مستقر معمولاً ظرف چند ساعت شناسایی و مسدود می‌شود. افزودن لایه‌های مبهم‌سازی بهبود کوتاه مدتی ایجاد می‌کند، اما خود مبهم‌سازی به تدریج اثر انگشتی را تشکیل می‌دهد که می‌تواند توسط سیستم طبقه‌بندی شود.
• IPSec/L2TP: عملاً در ایران "مرده" است، همچنین به دلیل اثر انگشت آشکار پروتکل به طور گسترده مسدود شده است.

نتیجه‌گیری: تکیه بر این پروتکل‌ها برای ساخت سرورهای VPN از ابتدا دیگر یک راهکار پایدار نیست.

2. Shadowsocks: کمی بهتر از VPNهای سنتی، اما نه طولانی مدت

Shadowsocks در اصل توسط توسعه‌دهندگان چینی برای دور زدن "دیوار آتش بزرگ" ساخته شد و از روش‌های مبهم‌سازی غیراستاندارد استفاده می‌کند. سیستم‌های DPI نمی‌توانند ترافیک آن را به وضوح به عنوان پروکسی/VPN طبقه‌بندی کنند و به آن مزیت نسبی در محیط سانسور ایران می‌دهد. اما Shadowsocks یک نوش دارو نیست. فاقد شبیه‌سازی ویژگی‌های پیشرفته مانند دست دادن TLS است و پس از استفاده طولانی مدت، الگوهای ترافیک آن ممکن است توسط سیستم‌های یادگیری ماشین طبقه‌بندی و شناسایی شوند.

3. VLESS + Reality: در حال حاضر قوی‌ترین فناوری ضدسانسور

پروتکل VLESS به طور خاص برای فرار از تشخیص DPI طراحی شده است و اطلاعات مسیریابی را در TLS استاندارد می‌پیچد و ترافیک تولید شده را در سطح بسته از اتصالات HTTPS معمولی غیرقابل تشخیص می‌کند. با فناوری حمل‌ونقل REALITY، می‌تواند گواهی‌های TLS وب‌سایت‌های قانونی را برای پنهان کردن هدف واقعی قرض بگیرد. سیستم‌های کاوش فعال ایران، هنگامی که یک سرور VLESS+Reality را کاوش می‌کنند، همان پاسخ یک وب‌سایت واقعی را دریافت می‌کنند و سرور عملکرد پروکسی خود را نشان نمی‌دهد. اپراتورهایی که سرورهای VLESS را به درستی در داخل ایران پیکربندی می‌کنند، نرخ تشخیص کمتر از ۵٪ را گزارش می‌دهند. سروری که در استانداردهای WireGuard ظرف چند روز مسدود می‌شد، می‌تواند در پیکربندی صحیح VLESS+Reality برای ماه‌ها کار کند.

4. پروکسی MTProto: طراحی شده مخصوص تلگرام (و mtproto не работает)

پروکسی MTProto به طور خاص برای تلگرام طراحی شده است و فقط برای تلگرام کار می‌کند. نمی‌تواند ترافیک مرورگر یا سایر برنامه‌ها را پروکسی کند. در محیط سانسور ۲۰۲۶، تنها پروکسی‌های نسل سوم MTProto که با "ee" شروع می‌شوند (فعال کردن Fake TLS) مؤثر باقی می‌مانند. اگر با mtproto не работает مواجه شدید، ارتقا به MTG 2.2.8 یا استفاده از یک پروکسی اختصاصی مانند TGV اغلب مشکل را حل می‌کند.

با این حال، حتی پروکسی‌های Fake TLS MTProto نیز نمی‌توانند auth_key_id را پنهان کنند. کلاینت‌های تلگرام از TCP رمزنگاری نشده در لایه حمل‌ونقل استفاده می‌کنند و افشای auth_key_id یک مشکل طراحی اساسی پروتکل است – مهم نیست که پروکسی چقدر مبهم‌سازی کند، auth_key_id قبل از رسیدن به سرور پروکسی در معرض گره‌های میانی شبکه قرار می‌گیرد. در ۱ آوریل ۲۰۲۶، چندین ISP روسیه شروع به شناسایی انتخابی دست دادن‌های MTProto/FakeTLS تلگرام از طریق تجزیه و تحلیل اثر انگشت TLS کردند و باعث خرابی گسترده mtproto не работает شدند، در حالی که خدمات VLESS Reality در همان سرورها به طور عادی به کار خود ادامه می‌دادند.

IV. راهکارهای عملی: استراتژی دفاع چند لایه

در مواجهه با نظارت جامع ایران، هیچ ابزار واحدی برای تضمین امنیت مطلق کافی نیست. شما به یک استراتژی دفاع چند لایه نیاز دارید.

لایه	استراتژی	نقاط پیاده‌سازی
لایه ۱: پروکسی ضدسانسور	استفاده از پروتکل VLESS + Reality	استقرار با Xray-core یا Sing-box، انتخاب دامنه تظاهر مناسب (مانند api.github.com, update.microsoft.com)، فعال کردن REALITY، ترجیحاً با مسیریابی غیرمتمرکز P2P.
لایه ۲: کانال اختصاصی تلگرام	پروکسی نسل سوم MTProto (Fake TLS)	استفاده از کلید مخفی با پیشوند ee، پورت ۴۴۳، با دامنه تظاهر معتبر؛ به عنوان کانال ورودی تلگرام. توجه: پروکسی MTProto فقط برای تلگرام کار می‌کند و نمی‌تواند مشکل افشای auth_key_id را حل کند.
لایه ۳: بازنشانی دوره‌ای auth_key_id	بازنشانی منظم کلید مجوز، توقف ردیابی طولانی مدت (هسته اجباری)	کامل‌ترین روش: به تنظیمات تلگرام → دستگاه‌ها بروید، تمام جلسات مشکوک را خاتمه دهید. از خروج و ورود مجدد رسمی برای تولید یک auth_key_id کاملاً جدید استفاده کنید. استفاده از PFS نمی‌تواند از افشای شناسه جلوگیری کند اما می‌تواند دوره ردیابی را محدود کند. هر ۱-۳ ماه یک بار بازنشانی انجام دهید تا ریسک ردیابی طولانی مدت تا حد زیادی کاهش یابد.
لایه ۴: جداسازی هویت	جداسازی شدید هویت واقعی از ارتباطات حساس	از همان حساب تلگرام برای فعالیت‌های حساس در شبکه‌های احراز هویت شده (وای‌فای هتل، شبکه شرکت) استفاده نکنید. برای ارتباطات حساس از Tor یا تونل VPS خارج از کشور قابل اعتماد استفاده کنید. از ثبت‌نام حساب‌های حساس با شماره تلفن‌های مرتبط با سیم‌کارت خودداری کنید.
لایه ۵: زنجیره چند لایه VPN/پروکسی	ترکیب پروتکل‌های ضدسانسور	ترافیک تلگرام را ابتدا از پروکسی MTProto (ee Fake TLS) و سپس درون تونل VLESS قرار دهید، به طوری که auth_key_id در طول انتقال توسط چندین لایه رمزگذاری محافظت شود.
لایه ۶: شبکه غیرمتمرکز P2P	اجتناب از وابستگی به نقطه واحد	استفاده از یک شبکه غیرمتمرکز P2P از قطع کامل سرویس در صورت مسدود شدن یک آیپی جلوگیری می‌کند.

V. راهنمای عملی عملیاتی

1. بازنشانی فعال auth_key_id (مرحله اصلی)

از آنجا که پایداری auth_key_id بزرگترین ریسک است، بازنشانی دوره‌ای مؤثرترین راه برای شکستن ردیابی طولانی مدت است.

• خروج و ورود مجدد در برنامه: تنظیمات → ویرایش نمایه (iOS) یا ضربه روی آواتار حساب (اندروید)، گزینه "خروج" را انتخاب کنید. این مستقیم‌ترین راه برای ایجاد بازنشانی auth_key است.
• خروج از راه دور دستگاه‌های مشکوک: در یک دستگاه قابل اعتماد، به تنظیمات → دستگاه‌ها بروید، جلساتی را که تحت کنترل شما نیستند انتخاب و خاتمه دهید و بلافاصله auth_key را در آن دستگاه‌ها باطل کنید.

2. استقرار پروکسی ضدسانسور

توصیه می‌شود پروتکل VLESS + Reality را روی یک VPS مستقر کنید. با استفاده از Xray به عنوان مثال، مراحل مختصر:

• نصب Xray-core: bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
• تولید جفت کلید Reality: xray x25519
• پیکربندی config.json، انتخاب یک دامنه تظاهر قابل اعتماد (توصیه دامنه‌های مایکروسافت یا GitHub)، اجتناب از دامنه‌های تظاهر رایج که قبلاً توسط سیستم‌های نظارت شناسایی شده‌اند.
• وارد کردن پیکربندی در کلاینت (v2rayNG، Nekoray و غیره) و استفاده از گزینه‌های اثر انگشت chrome یا safari.

3. ساخت کانال اختصاصی تلگرام

• دریافت نودهای پروکسی MTProto نسل سوم قابل استفاده (قالب tg://proxy?secret=ee...). TGV اینها را برای کاربران پولی فراهم می‌کند.
• باز کردن تنظیمات تلگرام → داده و ذخیره‌سازی → تنظیمات پروکسی → افزودن پروکسی، انتخاب نوع MTProto، پر کردن جزئیات پروکسی.
• یادآوری مهم: پروکسی MTProto فقط برای "قابلیت دسترسی اتصال" تلگرام است. مشکل افشای auth_key_id را حل نمی‌کند. شما هنوز نیاز به بازنشانی دوره‌ای auth_key_id دارید.

VI. خلاصه و توصیه‌ها

در معماری نظارت فعلی ایران، افشای auth_key_id یک ریسک حریم خصوصی قابل توجه و پایدار را تشکیل می‌دهد. نتیجه‌گیری‌های کلیدی:

• تهدید نظارت جامع است. سیستم‌های DPI، SIAM و Shahkar با هم کار می‌کنند و افشای auth_key_id که در بالا سوار می‌شود، قابلیت ردیابی طولانی مدت دستگاه با دقت بالا ایجاد می‌کند.
• VPNهای سنتی در حال شکست هستند. در سال ۲۰۲۶، OpenVPN و WireGuard دیگر نمی‌توانند به طور پایدار در ایران کار کنند. سیستم سانسور در حال ارتقاء همه جانبه است.
• فناوری‌های مؤثر فعلی VLESS+Reality و پروکسی‌های نسل سوم MTProto هستند. اما پروکسی‌های MTProto نمی‌توانند مشکل اساسی افشای auth_key_id را حل کنند. اگر mtproto не работает را مشاهده می‌کنید، تغییر به VLESS+Reality یا ارتقا پروکسی MTProto خود به MTG 2.2.8 را در نظر بگیرید.
• بازنشانی فعال و دوره‌ای auth_key_id اجباری است. کاربران باید عادت "خروج → ورود مجدد" را هر ۱-۳ ماه یک بار ایجاد کنند تا زنجیره ردیابی طولانی مدت شکسته شود.
• استراتژی دفاع چند لایه ضروری است. در ایران، نمی‌توانید به یک ابزار واحد تکیه کنید. باید به طور جامع از پروکسی‌های ضدسانسور، بازنشانی دوره‌ای کلید و جداسازی هویت برای ایجاد محافظت چند لایه استفاده کنید.
• بازی گربه و موش ادامه دارد. هوشیار بمانید و روش‌های دفاعی خود را به‌روز نگه دارید – این بهترین راه برای محافظت از ایمنی و حریم خصوصی شما است.