Come funziona l'acquisizione forense Telegram con C.E.R.T.O.

Accesso a Telegram Web

L'utente esegue il login a Telegram Web tramite QR code, scansionato dall'app Telegram sul proprio dispositivo mobile. C.E.R.T.O. rileva automaticamente l'avvenuto login mediante polling ogni 2 secondi sullo stato della sessione.

Al login completato, il sistema cattura automaticamente i dati di sessione:

• Auth key per Data Center — chiave di autenticazione in formato esadecimale per ciascun DC
• Server salt per DC — parametro crittografico della sessione MTProto
• userId, phone, username — estratti dai mirror del worker, IndexedDB e localStorage
• Contatti — salvati su disco per la persistenza della sessione

Selezione delle chat

L'elenco delle chat viene estratto tramite SCRIPT_GET_CHAT_LIST, uno script iniettato che valuta il DOM di Telegram Web. Per ciascuna chat vengono mostrati: nome, peerId, tipo e anteprima dell'ultimo messaggio.

Sono supportati tre tipi di chat:

L'utente seleziona le chat da acquisire. Il sistema fornisce una stima delle dimensioni basata sul conteggio messaggi (scroll-up counting) e sull'analisi delle dimensioni dei media presenti nel testo (pattern kB/MB/GB).

Acquisizione, analisi e report

Per ciascuna chat selezionata, il sistema esegue una serie di operazioni automatizzate.

Caricamento cronologia — Scroll UP

Fino a 2.000 tentativi di scroll verso l'alto (incrementi di 700px) per caricare l'intera cronologia dei messaggi nel mirror MTProto. Il conteggio dei messaggi nel mirror viene verificato ogni 1.500ms. Lo scroll si arresta quando il sistema raggiunge la cima della chat per 10 volte consecutive oppure non rileva nuovi messaggi per 15 tentativi.

Estrazione testo — Scroll DOWN

Scroll dall'alto verso il basso, massimo 200 step, ciascuno pari al 90% del viewport. Durante ogni step vengono estratti tutti i messaggi visibili dal DOM: message ID (mid), testo, nome autore, timestamp e classi CSS.

Tripla estrazione dati

Download media

Gap detection

Per gruppi e canali (dove gli ID dei messaggi sono sequenziali per chat), il sistema analizza tutti gli ID tra il minimo e il massimo presenti, individuando gli ID mancanti. I gap vengono riportati come array missingIds nel file di metadati della chat.

Generazione HTML interattivo

Per ogni chat viene generato un file chat.html con bubble in stile Telegram, una palette di 10 colori assegnati via hash sul nome dell'autore, lightbox CSS-only per le foto, rendering inline di video/PDF/documenti, separatori per data e lazy loading delle immagini.

Post-elaborazione

Al termine dell'estrazione, il sistema esegue automaticamente:

• Sincronizzazione oraria NTP e rilevamento IP pubblico
• Snapshot dei processi di sistema (ps aux)
• Generazione report in formato TXT e PDF
• Calcolo hash manifest (MD5, SHA-1, SHA-256, SHA-512 per ogni file)
• Generazione registri per tipologia di file
• Cifratura escrow AES-256-CBC (chiave lato server)
• Marca temporale RFC 3161 (FreeTSA o InfoCert eIDAS)
• Creazione archivio ZIP finale

L'estrazione avviene da tre sorgenti complementari. 1. Mirror JS: la sorgente primaria, accede a port.mirrors.messages del worker MTProto — si tratta di testo in chiaro già decifrato dal client, con la struttura dati più completa (ID, data, autore, media, reply, forward). 2. DOM: estrazione secondaria delle bubble dei messaggi visibili durante lo scroll, utilizzata come fallback per il testo. 3. Cache API: sorgente terziaria per le foto profilo e i media in album già presenti nella cache del browser. Il mirror ha priorità; il DOM interviene come fallback testuale.

Per gruppi e canali, gli ID dei messaggi sono sequenziali all'interno della chat. Il sistema individua tutti gli ID mancanti tra il minimo e il massimo presenti nella conversazione. I gap possono indicare: messaggi cancellati dall'utente, rimozioni da parte degli amministratori, messaggi di servizio, messaggi scaduti per auto-delete. La gap detection non è applicabile alle chat 1:1, dove gli ID dei messaggi sono globali e non sequenziali per singola conversazione.

Telegram Web serve i media attraverso un Service Worker. I video vengono scaricati tramite stream URL con richieste HTTP Range in chunk da 512KB. La dimensione totale viene estratta dai parametri JSON dell'URL. Il limite è di 100MB per video. I file vengono salvati come video_{messageId}.mp4.

No. Le chat segrete di Telegram utilizzano crittografia end-to-end dispositivo-a-dispositivo e non sono disponibili su Telegram Web. Possono essere acquisite esclusivamente le chat cloud (individuali, gruppi e canali) visibili nell'interfaccia web di Telegram.