В эпоху цифрового капитализма информация о пользователе стала самой ценной валютой. Мы привыкли, что за бесплатные сервисы приходится расплачиваться данными, но мало кто задумывается, когда именно начинается этот сбор. Эксперимент с анализом трафика браузерных версий трех популярных в России платформ — Telegram, ВКонтакте и мессенджера "Макс" (бывший Mail.ru Agent) — позволил заглянуть под капот приложений и выяснить, кто и на каком этапе начинает слежку.
Самым шокирующим открытием стало поведение сервисов еще на этапе входа в аккаунт. Оказалось, что некоторые системы начинают «прослушивать» пользователя задолго до того, как он введет пароль или отсканирует QR-код.
Тишина в эфире: Telegram и ВКонтакте до авторизации
Первым делом было проверено поведение сервисов на стартовой странице. Что отправляют приложения, когда пользователь просто открыл окно браузера и увидел форму входа?
-
Telegram показал себя максимально закрытым. Все запросы, которые уходят от пользователя, сводятся к установке защищенного постоянного соединения (WebSocket). Это техническая необходимость для работы мессенджера в реальном времени.
-
ВКонтакте, будучи социальной сетью, сразу начинает процесс идентификации браузера (связка cookies) и сбор диагностики. Это выглядит логично, учитывая огромный функционал платформы, где нужно подгружать интерфейс, музыку, видео и рекомендации еще до входа.
-
Messenger Max повел себя иначе. Еще на этапе загрузки страницы с QR-кодом он начал агрессивную разведку.
Цифровой слепок: как Макс видит вас без сканирования кода
Главное отличие «Макса» от конкурентов — это технология снятия цифрового отпечатка (fingerprinting). В то время как пользователь разглядывает QR-код, браузер по команде сервера mail.ru выполняет серию скрытых тестов.
Вот что уходит на серверы «Макса» в первые секунды после открытия страницы:
-
Тесты Canvas и WebGL: Браузер заставляют отрисовать невидимые фигуры. По тому, как видеокарта и процессор справляются с этой задачей, формируется уникальный идентификатор устройства.
-
Аудиотесты: Проверяется звуковая карта и ее настройки.
-
Сбор шрифтов: Сканируется полный список шрифтов, установленных в системе.
-
Расширения браузера: Косвенно вычисляется наличие плагинов и адблокеров.
Из всех этих параметров собирается супер-отпечаток. Это делается якобы для антифрод-защиты (борьбы с ботами и DDoS-атаками), но по факту еще неавторизованный пользователь уже превращается в объект наблюдения с уникальным ID. Ни Telegram, ни ВКонтакте в «чистом» браузере такого объема данных до логина не собирают.
Авторизация и жизнь в сети: кто что передает
После того как пользователь заходит в аккаунт, картина становится еще интереснее. Для наглядности представим данные в таблице.
| Критерий | Telegram | ВКонтакте | Messenger Max |
|---|---|---|---|
| Основной канал связи | WebSocket (MTProto) | HTTP API + WebSocket | WebSocket (открытый) |
| Шифрование сообщений | Сквозное (в секретных чатах) / Клиент-серверное в облачных. В браузере — бинарный код. | Клиент-серверное (ключи на серверах). В браузере — стандартное HTTPS. | Отсутствует в веб-версии. Сообщения видны в открытом виде внутри фрейма. |
| Что передается в ленте | Только зашифрованные данные. Пост-запросы отсутствуют. | Тонны данных методом POST: поведенческие логи, тайминги просмотров, клики, авторизационные ключи. | Активная телеметрия. Отправляется местоположение по IP, данные о производительности, ID устройства. |
| Набор текста | Функция «печатает» есть, но сам текст не передается до отправки. | Фиксируется факт касания окна, но побуквенная передача текста отсутствует. | Статус «печатает» появляется, пакеты идут, но контент сообщения скрыт (как и у всех). |
| Безопасность сессии | Ключи авторизации скрыты. IP-адрес не найден в открытых запросах. | Активно логирует каждое движение, формируя рекламный профиль. | Критическая уязвимость: В коде найден токен авторизации и номер телефона в открытом виде, что позволяет угнать сессию. |
Голосовые вызовы и странные находки
При передаче голосовых сообщений и звонках архитектура приложений тоже различается.
-
Telegram использует разбивку на бинарные части (blob) и шифрует их.
-
ВКонтакте при звонках использует WebRTC (P2P соединение), но параллельно продолжает безостановочно слать статистику действий в интерфейсе через HTTP. Ключи шифрования, скорее всего, хранятся на сервере, что соответствует требованиям законодательства (пакет Яровой).
-
Messenger Max технически похож на ВКонтакте в плане звонков, но проверка кода выявила пугающие артефакты. Например, в исходном коде страницы был обнаружен флаг России и аудиорасшифровщик для голосовых, хотя функции голосовых сообщений в веб-версии нет. Это говорит о «сырости» или глубокой интеграции legacy-кода.
Выводы: наблюдаемость как новая норма
Проведенный анализ показывает три разные философии работы с данными пользователя:
-
Telegram выступает эталоном скрытности на транспортном уровне. Благодаря протоколу MTProto и бинарному шифрованию, рядовой пользователь или перехватчик трафика просто не увидит, что именно передается. Все упаковано в «черный ящик».
-
ВКонтакте живет по законам социальных сетей. Он собирает буквально все поведенческие метрики (клики, тайминги, просмотры), чтобы кормить алгоритмы рекомендаций и рекламы. Это чтение, но оно ожидаемо.
-
Messenger Max оказался самым противоречивым. С одной стороны, он использует сложные системы защиты от ботов ( fingerprinting). С другой — его веб-версия оставляет сообщения в открытом виде, а токены доступа доступны для кражи.
Главный вывод исследования: уровень вторжения в приватность часто не зависит от громких заявлений в рекламе. «Макс» начинает слежку еще до того, как вы стали его пользователем, а Telegram просто не дает наблюдателю никакой информации, запаковывая все в надежный контейнер. Выбор, как всегда, остается за пользователем: комфортная реклама или тотальная приватность.
