«Секретные чаты» в Telegram — не там, где вы думаете

Спросите любого человека, какой мессенджер считается самым безопасным, — и очень многие, не задумываясь, назовут Telegram. Репутация у него такая: шифрование, секретность, защита от посторонних глаз. И вот вы уже спокойно пересылаете туда то, что никому не должны увидеть: ни коллеги, ни близкие, ни случайный человек, заглянувший через плечо в чужой телефон. Спокойствие опирается на одно слово — «секретно». Проблема в том, что в вашей повседневной переписке этого секретного чаще всего нет вообще.

Это не обвинение в адрес мессенджера. Это разбор архитектуры — того, как система устроена на самом деле, а не как о ней принято думать. Потому что в вопросах приватности важно не название инструмента, а то, где физически лежат ваши данные.

Обычный чат — это облачный чат

По умолчанию почти вся переписка в Telegram — это так называемые облачные чаты. Они хранятся на серверах Telegram и синхронизируются между всеми вашими устройствами: вы начали разговор на телефоне, продолжили на компьютере, открыли на планшете — и всё это возможно именно потому, что сообщения лежат в облаке. Это не баг и не утечка, это открытая, документированная архитектура продукта. Удобство синхронизации покупается ценой того, что у ваших сообщений есть дом — сервер, где лежит их копия.

Сами по себе облачные чаты зашифрованы при хранении, но ключ к пониманию в другом: копия существует вне вашего устройства. Она находится на чужой инфраструктуре, подчиняется чужим правилам и чужим юридическим требованиям. Пока ваши слова лежат на сервере, вопрос «кто может их увидеть» решается не только вами и вашим собеседником. Это архитектурный факт, а не повод для паники — но и не повод для спокойствия, если речь идёт о том, что не должно быть найдено никем.

Настоящий секретный чат нужно включать вручную

В Telegram действительно есть сквозное шифрование — в секретных чатах. Но есть три детали, которые меняют всё. Во-первых, секретный чат нужно сознательно создать: он не включается сам. Во-вторых, он живёт только на одном устройстве и не синхронизируется с другими. В-третьих, большинство людей им почти не пользуются — потому что повседневная жизнь требует удобства: начать на телефоне, продолжить на ноутбуке, не терять историю при смене устройства.

Получается разрыв, о котором редко говорят вслух: слава «самого защищённого мессенджера» принадлежит функции, которой почти никто не пользуется, а реальная повседневность протекает в облачных чатах. Человек думает, что пишет «в Telegram, а значит, защищённо», а на самом деле пишет в обычный чат, чья копия лежит на сервере. Имя инструмента создаёт ощущение, которое его настройки по умолчанию не подтверждают.

«Исчезающие» сообщения исчезают только с экрана

Отдельная ловушка — самоуничтожающиеся сообщения. Таймер поставлен, сообщение исчезло через минуту, и кажется, что следов не осталось. Но исчезновение с экрана — это не исчезновение из мира.

Собеседник может сделать скриншот. Может записать экран на видео. Может сохранить содержимое до того, как сработает таймер. Самоуничтожение удаляет показ сообщения, а не то, что другой человек уже увидел и успел сохранить. Это как сжечь письмо после того, как адресат его переписал: пепел есть, а текст — тоже есть, просто уже не у вас.

Та же логика работает и с резервными копиями. Если собеседник пользуется другим мессенджером, где включено резервное копирование в облако, — например, чаты, которые автоматически копируются в облачное хранилище, — то «зашифрованный» разговор может оказаться в резервной копии в расшифрованном виде. Шифрование защищает один отрезок пути, а копии живут на других отрезках, о которых вы не думали.

Смотреть надо на архитектуру, а не на репутацию

Вот главный урок этой истории, и он шире одного мессенджера. Репутация — это рассказ. Архитектура — это факт. Рассказ говорит: «этот инструмент безопасен». Факт говорит: «ваши сообщения лежат на сервере, у них есть копия вне вашего устройства, и самоуничтожение не отменяет скриншот». Когда речь идёт о вещах, которые не должны быть найдены, верить нужно факту.

Удобство синхронизации — замечательная вещь для обычной жизни: для рабочих переписок, для семейных чатов, для мемов и новостей. Но у него есть цена, и цена эта — лишняя копия. Каждая копия — это ещё одно место, где ваши данные могут быть найдены, запрошены, сохранены кем-то другим. Чем больше копий, тем больше дверей. А двери, как известно, открываются не только хозяевами.

Что делать с тем, что не должно быть найдено

Ответ следует из самой архитектуры: то, что не должно быть найдено, не должно жить в системе, где «есть ещё одна копия на сервере». Ему нужно место без сервера, без страницы входа, без синхронизации — носитель, который лежит офлайн, в одном экземпляре, под номером и пломбой, и который никто не откроет удалённо, потому что открывать нечего и нечем: сети нет, доступа нет.

Такое хранение проверяют дважды в год — визуально, по пломбе и внешнему виду, с фотографией, не прикасаясь к содержимому. Более глубокая проверка — только по вашему письменному согласию, а не по умолчанию. Технические детали здесь — лишь строка в скобках, а не предмет гордости. Главное — люди и процедура: номер, пломба, двойная проверка, ответственное хранение.

Пользуйтесь мессенджерами для жизни — они для этого и созданы. Но не путайте удобство с укрытием. Если что-то не должно быть найдено, оно не должно лежать там, где у него уже есть копия. Его место — вне сети, вне облака, вне чужих серверов. Там, где «ещё одного экземпляра» просто не существует.