AES-256 بمقابلہ OFB: مکمل VPN سائفر ساخت منتخب کریں

AES-256 اور OFB مختلف سوالات کے جواب دیتے ہیں، اور سائفر کے جائزے یہیں غلطی کرتے ہیں جب انہیں مسابقتی اختیارات سمجھا جائے۔ ایک کلید کے سائز کے ساتھ بلاک سائفر کا نام لیتا ہے؛ دوسرا بتاتا ہے کہ بلاک سائفر لمبے پیغام کے لیے بہاؤ میں کیسے بدلتا ہے۔ تحفظ کے انتخاب کی کتاب کو پوری ساخت دیکھنی چاہیے، بشمول یہ کہ وصول کنندہ تبدیل شدہ پیکٹ کیسے پہچانتا ہے۔

ساخت کے چار حصوں کے نام بتائیں

ہر جائزہ چار سوالوں پر آتا ہے: کون سا ابتدائیہ اور کلید کا سائز، اس سے پیغامات کیسے پروسیس ہوتے ہیں، وصول کنندہ غیر مجاز تبدیلی کو کیسے مسترد کرتا ہے، اور پروٹوکول ان پٹ، کلیدیں اور ان کی عمر کیسے سنبھالتا ہے۔ مانوس ناموں کی فہرست صرف پہلے کا جواب دیتی ہے۔ دوسرا اور تیسرا وہ جگہ ہے جہاں حقیقی فرق ہیں، اور چوتھا وہ جگہ جہاں عمل درآمد خاموشی سے الگ ہوتے ہیں۔ اسی ترتیب سے پوچھیں اور جوابات لکھیں۔

OFB NIST کی بلاک سائفر موڈ اشاعت میں رازداری کے موڈوں کے درمیان آتا ہے، اور رازداری ہی وہ واحد چیز ہے جو یہ دیتا ہے۔ جو پروٹوکول انکرپشن موڈ کو الگ MAC کے ساتھ جوڑتا ہے اسے انہیں درست طریقے سے ترکیب کرنا ہوگا، اور الگورتھم کا نام اس ترکیب کو ثابت نہیں کرتا۔ اس لیے صرف موڈ کا نام تعیناتی کا فیصلہ نہیں کر سکتا۔

چوتھا سوال وہ ہے جسے آپریٹر چلتی ہوئی نظام پر واقعی جانچ سکتا ہے۔

تصدیق شدہ ساخت کو ترجیح دیں

تصدیق شدہ انکرپشن رازداری اور سالمیت ایک ساتھ دیتا ہے، اور AEAD ساختیں متعلقہ ڈیٹا کو انکرپٹ کیے بغیر تبدیلی سے بچاتی ہیں۔ یہ پیکٹ تحفظ کی خصوصیت ہے، اور اس کا تعلق اس سے نہیں کہ کسی شخص نے کامیابی سے سائن ان کیا یا نہیں۔

Netgate کی Netgate کی OpenVPN کرپٹوگرافک ترتیبات کی رہنمائی ڈیٹا چینل کے لیے AEAD اختیارات کی طرف اشارہ کرتی ہے، جن میں AES-GCM بھی شامل ہے، اور یہی وہ معاون پالیسی ہے جس کی پیروی کرنی چاہیے۔ وہ اختیارات استعمال کریں جنہیں نصب شدہ ریلیز اور ہم منصب کلائنٹ سپورٹ کرتے ہیں، نئی تعیناتی میں تاریخی موڈ ترتیب نقل کرنے کے بجائے۔ پرانی مطابقت، کرپٹو بیک اینڈ اور آف لوڈ سپورٹ حقیقت میں دستیاب چیزوں کو محدود کرتے ہیں۔

معاون ساخت ہر بار ہوشیار ترکیب کو ہرا دیتی ہے۔

پیشکش نہیں، طے شدہ نتیجہ پڑھیں

قبول شدہ فہرست میں سائفر کا ظاہر ہونا موجودہ سیشن کے بارے میں کچھ نہیں کہتا۔ کلائنٹ یا گیٹ وے سے طے شدہ ڈیٹا چینل تحفظ پڑھیں، پھر اس پالیسی سے موازنہ کریں جو آپ نافذ کرنا چاہتے تھے۔ ایسی ترتیب جو اب بھی ایک پرانے ہم منصب کے لیے پرانا اختیار درج کرتی ہے، مطابقت کا فیصلہ ہے، آپ کے سامنے کے سیشن کے بارے میں بیان نہیں۔

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

گیٹ وے پر مساوی آؤٹ پٹ پلیٹ فارم کے مطابق سیکیورٹی انجمن یا کنکشن کی کرپٹو تفصیلات ہیں۔ دونوں صورتوں میں پیشکش اور نتیجہ الگ حقائق ہیں۔ ایک پرانے ہم منصب کے لیے پرانا اختیار رکھنے والی فہرست کا مطلب یہ نہیں کہ ہر سیشن اسے استعمال کرتا ہے، اور جو سیشن کرتا ہے وہی وہ چیز ہے جو آپ کو معلوم ہونی چاہیے تھی۔

دونوں حقائق ایک ساتھ درج کریں، تاریخ اور کلائنٹ ورژن کے ساتھ۔

صرف وہی ناپیں جس کا موازنہ ہو سکے

تھرو پٹ سروں کے ہارڈ ویئر، عمل درآمد، اسراع، پیکٹ کے سائز اور منتخب ترتیب پر منحصر ہے۔ نہ کلید کی لمبائی اور نہ OFB کا لفظ بتاتا ہے کہ کون سی تعیناتی تیز ہوگی۔ اس لیے کسی دوسری سائٹ کی پیمائش بہترین صورت میں کسی اور کے ہارڈ ویئر کے بارے میں اشارہ ہے۔ آپ کے اپنے اعداد آپ کے اپنے سروں سے شروع ہوتے ہیں۔

مجاز موازنے کے لیے سرے، کام کا بوجھ اور مطلوبہ پالیسی مستقل رکھیں، اور طے شدہ تحفظ نیز عمل درآمد کے ورژن درج کریں۔ پھر نتیجے کا فیصلہ اس بات سے کریں کہ ایپلیکیشن مکمل ہوئی یا نہیں، کتنا ضائع ہوا اور سرے کیا کر رہے تھے، ایک رفتار جانچ سے کرپٹو لاگت نکالنے کے بجائے۔ دوسرے حالات میں پیدا ہونے والا عدد کہانی ہے، پیمائش نہیں۔

اگر پرانا ہم منصب پالیسی پوری نہیں کر سکتا، تو یہ اس کے مالک کے لیے مطابقت کا فیصلہ ہے۔

سالمیت کو سودے سے باہر رکھیں

سالمیت کی جانچ بند کرنا یا غیر تصدیق شدہ سرور قبول کرنا کارکردگی کی بہتری نہیں ہے اور مطابقت کی مرمت بھی نہیں۔ یہ اس سلامتی خصوصیت کو بدل دیتا ہے جس کے لیے ساخت منتخب کی گئی تھی۔ یہی بات قبول شدہ سائفر فہرست کو اس وقت تک بڑھانے پر بھی لاگو ہے جب تک پرانا ہم منصب جڑ نہ جائے: کنکشن کامیاب ہوتا ہے اور پالیسی مزید موجود نہیں۔

قبول شدہ ساخت اور اس کے مالک کو کتاب میں لکھیں، تاکہ اگلی تبدیلی ترجیح سے نہیں بلکہ فیصلے سے شروع ہو۔

آپ جو چاہتے ہیں وہ ایسی پالیسی ہے جو دونوں سرے نافذ کر سکیں۔ یہ بحث کہ کون سا نام سب سے مضبوط ہے، ایک اور گفتگو ہے، اور وہ عام طور پر فیصلے کے بغیر ختم ہوتی ہے۔