تصدیق کنندہ کا آئیکن غلط؟ لوگو کچھ ثابت کیوں نہیں کرتا

جہاں برانڈ کا لوگو ہونا چاہیے وہاں سرمئی مربع دکھنا پریشان کن لگتا ہے، پھر بھی وہی غلط چیز ہے جس پر کارروائی نہیں کرنی چاہیے۔ تصدیق کنندہ جو تصویر بناتا ہے وہ اندراج کے لیبلوں سے ماخوذ ایک نمائشی تفصیل ہے، جبکہ سکیورٹی کا سوال یہ ہے کہ اس اندراج کے اندر کا راز آپ کے اکاؤنٹ کا ہے یا نہیں۔ ان دونوں کو الگ رکھنا ہی ظاہری مرمت کو اسناد کے واقعے سے الگ کرتا ہے۔ یہ اس مرمت کو بھی روکتا ہے جو معاملات مزید بگاڑ دیتی ہے۔

آئیکن اور راز مختلف سوالات کا جواب دیتے ہیں

تصدیق کنندہ کا اندراج ایک کلیدی URI سے بنتا ہے جو اکاؤنٹ لیبل اور جاری کنندہ کے نام کے ساتھ مشترکہ راز رکھتا ہے۔ ایپ اُس جاری کنندہ سے لوگو بناتی ہے جسے وہ پہچانتی ہے، اور نامعلوم یا بدلا ہوا جاری کنندہ محض ایک عام تصویر بناتا ہے۔ اس نمائش میں کچھ بھی آپ کو نہیں بتاتا کہ راز کی دوسری نقل کس کے پاس ہے، اور صحیح لوگو میں کچھ بھی یہ نہیں بتاتا کہ اندراج صرف آپ کا ہے۔ نمائش کو لیبل کے بارے میں اشارہ سمجھیں، تحویل کے بارے میں بیان نہیں۔

اس کا الٹ بھی درست ہے، اور وہی زیادہ خطرناک سمت ہے۔ قائل کرنے والا لوگو غائب لوگو سے بھی کم ثابت کرتا ہے۔

تصویر درست کرنے کے لیے کبھی دوبارہ اندراج نہ کریں

آن لائن گردش کرنے والی مرمت یہ ہے کہ QR کوڈ دوبارہ بنایا جائے، یعنی راز برآمد کر کے کسی دوسرے اوزار سے گزارا جائے۔ یہ نمائش کے مسئلے کو افشا میں بدل دیتا ہے، کیونکہ برآمد میں وہی مواد ہوتا ہے جو حملہ آور کو درست کوڈ بنانے کے لیے درکار ہوتا ہے۔ اسے ویب جنریٹر پر اپ لوڈ کرنا خوبصورت آئیکن کے بدلے دوسرا عامل کسی تیسرے فریق کے حوالے کرنا ہے۔

اگر اکاؤنٹ اب بھی کوڈ کی تصدیق کرتا ہے تو اندراج برقرار ہے اور نمائش ظاہری ہے۔ جاری کنندہ کے لیبلوں اور آئیکن کی تلاش کے بارے میں تصدیق کنندہ کی اپنی دستاویزات دیکھیں، اور اندراج کو ویسے ہی رہنے دیں۔ لوگو مسلط کرنے کے لیے لیبل میں ترمیم کرنا ایسی وجہ سے اندراج میں تبدیلی ہے جس کا تصدیق سے کوئی تعلق نہیں۔

اصل QR تصویر، خام کلیدی URI اور کوئی بھی دستی راز ٹکٹوں، چیٹ تھریڈز، اسکرین شاٹس اور عوامی مسئلہ ٹریکرز سے دور رکھیں۔ سیٹ اپ صفحے کے اسکرین شاٹ میں اکثر اس سے زیادہ ہوتا ہے جتنا لینے والے نے ارادہ کیا تھا۔

جب راز واقعی افشا ہوا

افشا کو اپنے ردعمل والا الگ واقعہ سمجھیں۔ نیا تصدیق کنندہ درج کرنے کے لیے سروس کے معاون تبدیلی کے عمل کو استعمال کریں، تصدیق کریں کہ نیا اندراج قابل قبول کوڈ بناتا ہے، اور سرور پر پرانا اندراج واپس لیں۔ اندراج کو مقامی طور پر حذف کرنا سرور کی طرف اندراج نہیں ہٹاتا، اس لیے افشا شدہ راز اس وقت تک کام کرتا رہ سکتا ہے جب تک سروس کو بصورت دیگر نہ بتایا جائے۔ خطرے کا زیادہ حصہ مقامی حذف اور سرور کی حالت کے درمیان اسی خلا میں ہے۔

یہاں ترتیب اہم ہے۔ پہلے متبادل کا اندراج کریں، اس کی تصدیق کریں، اور اس کے بعد ہی پرانا ہٹائیں، کیونکہ آخری عامل ختم ہونے پر زیادہ تر سروسز آپ کو لاک کر دیں گی۔ ریکوری کوڈ بھی اسی ترتیب میں آتے ہیں، کیونکہ فون دستیاب نہ ہونے پر وہی متبادل راستہ ہیں۔

دیکھیں کہ کیا وہی راز کہیں اور استعمال ہوا ہے۔ جنریٹر میں چسپاں کیا گیا کلیدی URI آپ کے کنٹرول سے نکل گیا ہے، اور اس کے پیچھے کا اکاؤنٹ اندراج بدلنے تک مشترک سمجھا جانا چاہیے۔

مدد کی درخواستوں میں کوڈ یا سیٹ اپ مواد شامل کیے بغیر بصری مسئلہ بیان ہونا چاہیے۔ اکاؤنٹ سے متعلق ہر چیز فراہم کنندہ کے تصدیق شدہ چینل میں جاتی ہے، عوامی تھریڈ میں نہیں۔

حذف کرنے سے پہلے ریکوری راستہ رکھیں

کسی بھی کام کرنے والے اندراج کو ہٹانے سے پہلے تصدیق کریں کہ منظور شدہ ریکوری راستہ موجود ہے اور آپ اسے استعمال کر سکتے ہیں۔ لاک آؤٹ میں ختم ہونے والی ظاہری مرمت غلط لوگو سے بھی بدتر نتیجہ ہے، اور لاک آؤٹ اس وقت عام ہوتے ہیں جب واحد درج شدہ ڈیوائس وہی ہو جس میں ترمیم کی جا رہی ہو۔

قبولیت کی شرط تنگ ہے: اکاؤنٹ اور تصدیق کنندہ کے درمیان تصدیق شدہ تعلق، اور اندراج کا مواد نجی رکھا گیا ہو۔ کوئی مانوس بیج اس شرط کا حصہ نہیں، اور اس کا نہ ہونا تصادم کا ثبوت نہیں۔

کلیدی URI کی شکل خود Google Authenticator کی کلیدی URI تفصیل میں درج ہے، جو یہ بھی یاد دلاتی ہے کہ پے لوڈ میں لوگو نہیں بلکہ راز ہوتا ہے۔ جس اندراج کو گنوانے کی گنجائش آپ کے پاس نہیں، اس سے کچھ بھی برآمد کرنے سے پہلے اسے پڑھیں۔