بڑی کلید کا نمبر VPN کو زیادہ محفوظ کیوں نہیں بناتا

اشتہار کہتا ہے 256 بٹ، دوسری مصنوعات کہتی ہے 128 بٹ، اور نتیجہ واضح لگتا ہے جب تک آپ محسوس نہ کریں کہ یہ اعداد مختلف چیزیں بیان کرتے ہیں۔ سِمٹرک سائفر کی کلید، سرٹیفکیٹ کی عوامی کلید اور کلید کے تبادلے کا پیرامیٹر ایک ہی پیمانے پر نہیں ناپے جاتے۔ ان میں سے کوئی بھی یہ نہیں بتاتا کہ کلائنٹ نے سرور کی تصدیق کی تھی یا نہیں۔ نمبر حقیقی معلومات ہے، اور اس کے گرد کی مارکیٹنگ کے اشارے سے کہیں زیادہ محدود ہے۔

کسی بھی چیز کا موازنہ کرنے سے پہلے پوچھیں کہ کون سی کلید گنی جا رہی ہے اور وہ کس چیز کی حفاظت کرتی ہے۔

تین کاموں والی تین کلیدیں

ڈیٹا سائفر سرنگ کا پے لوڈ انکرپٹ کرتا ہے، اور اس کی کلید ہر سیشن کے لیے نئے سرے سے حاصل کی جاتی ہے۔ سرٹیفکیٹ کی عوامی کلید تصدیق کے دوران کسی سرے کی شناخت ثابت کرتی ہے۔ کلید کے تبادلے کا مرحلہ، عام طور پر Diffie-Hellman کی عارضی شکل، ایک مشترکہ راز قائم کرتا ہے جسے بعد میں کوئی فریق دوبارہ نہیں بنا سکتا۔ ہر ایک کی اپنی طاقت کے مفروضے اور اپنے سائز کے رواج ہیں۔

اسی لیے 256 کو 2048 اور 32 کے ساتھ سائز کے لحاظ سے ترتیب نہیں دیا جا سکتا؛ یہ مختلف سوالات کے جواب ہیں۔

ایک ہی کردار کے اندر بھی نمبر صرف استعمال شدہ الگورتھم خاندان کے حوالے سے کچھ کہتا ہے۔

نمبر کہاں مدد کرتا ہے اور کہاں رک جاتا ہے

ایک الگورتھم کے اندر بڑی کلید کچے زور کی تلاش کی لاگت بڑھاتی ہے، اور شائع شدہ رہنما اصول حساب کی طاقت بدلنے کے ساتھ سرٹیفکیٹ کلیدوں کے لیے کم از کم طے کرتے ہیں۔ یہ جائز اور محدود موازنہ ہے: AES-128 اور AES-256 دونوں وسیع فرق کے ساتھ براہ راست حملے کا مقابلہ کرتے ہیں، اس لیے عملی طور پر فرق شاذ و نادر ہی فیصلہ کن عنصر ہوتا ہے۔

اس موازنے سے باہر نمبر کنفیگریشن کی غلطیوں، سرٹیفکیٹ کی توثیق یا پروٹوکول کے ورژن کے بارے میں کچھ نہیں بتاتا۔

پورا طے شدہ سوٹ پڑھیں

کنکشن دراصل جو استعمال کرتا ہے وہ ایک سوٹ ہے: سائفر موڈ، سالمیت یا تصدیق شدہ انکرپشن کی ساخت، کلید کے تبادلے کا گروپ اور تصدیق کا طریقہ۔ مناسب مصافحے کے ساتھ جدید AEAD موڈ الگ MAC کے ساتھ جڑے پرانے موڈ سے مختلف تجویز ہے، چاہے عنوان میں کلید کا سائز یکساں ہو۔

openvpn --show-ciphers | head -20
openvpn --show-tls | head -20
openssl x509 -in server.crt -noout -text | grep -E 'Public-Key|Signature Algorithm'
wg show

کنفیگر کی گئی زیادہ سے زیادہ نہیں، طے شدہ نتیجہ پڑھیں۔ مضبوط سوٹ پیش کرنے والا کلائنٹ بھی کمزور طریقے سے جڑتا ہے اگر سرور کمزور اختیار چنے اور پروفائل اجازت دے۔ اگر کارکردگی کی فکر ہو تو اسے متعلقہ ڈیوائس اور راستے پر ناپیں، کیونکہ ہارڈویئر کی تیز رفتاری اور پیکٹ کے سائز کے سامنے آنے کے بعد کلید کا سائز تھرو پٹ کا برا اندازہ ہے۔

وہ حصے جو کوئی نمبر کبھی نہیں ناپتا

سافٹ ویئر کی دیکھ بھال پہلی کوتاہی ہے۔ جس لائبریری کو اصلاحات ملنی بند ہو گئیں اس پر بنی سرنگ اس کی کلید کے سائز کے اشارے سے کمزور ہے، اور کوئی کنفیگریشن قدر اسے ٹھیک نہیں کرتی۔ آپریٹر کا رویہ دوسرا ہے: کنکشن کے ریکارڈ، اکاؤنٹ کا ڈیٹا اور معاونت کی کارروائی مکمل طور پر کرپٹوگرافی سے باہر ہیں۔ جو سروس آپ کی توقع سے زیادہ محفوظ رکھتی ہے وہ لمبی کلید سے زیادہ محفوظ نہیں ہوتی۔

ساتھی کی تصدیق تیسری اور سب سے زیادہ اثر رکھنے والی ہے۔ جو کلائنٹ کوئی بھی سرٹیفکیٹ قبول کرتا ہے اس کے پاس غیر تصدیق شدہ ساتھی کے گرد لپٹا مضبوط سائفر ہوتا ہے، جو درست توثیق والے معمولی سائفر سے بدتر ہے۔ نمبر سے پہلے یہ تینوں جانچیں، اور نمبر اپنی صحیح جگہ لے لے گا۔