کیا VPN کی عوامی چابی شیئر کی جا سکتی ہے؟ تین چیزیں جانچیں

آپ اپنی VPN عوامی چابی کسی ساتھی، فراہم کنندہ یا فورم کو دے سکتے ہیں، اور سرنگ کام کرتی رہتی ہے۔ لیکن نجی چابی، حتیٰ کہ معاون عملے کو بھی، وہ شناخت سونپے بغیر نہیں دے سکتے جو اس چابی سے ثابت ہوتی ہے۔ فیصلہ کم ہی اتنا صاف رہتا ہے، کیونکہ لوگ جوڑی کے اس نصف میں الجھ جاتے ہیں جسے وہ دیکھ رہے ہیں، اور کیونکہ کچھ تعیناتیاں عوامی قدر کو نام کی طرح برتتی ہیں۔ تین جانچیں اسے طے کرتی ہیں: کون سا نصف آپ کے پاس ہے، تعیناتی اسے کس سے باندھتی ہے، اور تبدیلی پر کتنا خرچ آتا ہے۔

پہلی جانچ: جوڑی کا کون سا نصف آپ کے کلپ بورڈ میں ہے

غیر متناسب چابیاں جوڑوں میں آتی ہیں, اور اخذ کی سمت ہی ساری بات ہے۔ WireGuard میں نجی چابی 32 بے ترتیب بائٹس ہے اور عوامی چابی اسی سے شمار ہوتی ہے؛ الٹی سمت ممکن نہیں۔ wg genkey نجی قدر لکھتی ہے، wg pubkey عوامی قدر نکالتی ہے، اور صرف دوسری ہی ساتھی کو بھیجے گئے پیغام میں آتی ہے۔

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

اسناد کی دنیا زیادہ متحرک حصوں کے ساتھ یہی تقسیم استعمال کرتی ہے۔ سرور کی سند عوامی چابی اور نام رکھتی ہے، اور CA کی نجی چابی سے دستخط ہوتی ہے جو کبھی CA نہیں چھوڑتی۔ اس سرور کی تصدیق کرنے والے کلائنٹ کو CA کی سند چاہیے، جو عوامی ہے، اور CA کی نجی دستخطی چابی سے اسے کوئی فائدہ نہیں۔

اگر یقین نہ ہو کہ کون سی قدر آپ کے پاس ہے تو فائل کا نام نہیں، نشان تلاش کریں۔ درج ذیل سے شروع ہونے والا PEM بلاک، -----BEGIN PRIVATE KEY-----, یا پرانا BEGIN RSA PRIVATE KEY انداز، خفیہ نصف ہے۔ وہ قدر جسے آپ اس نشان کے بغیر پیسٹ کر سکتے ہیں اشتراک کی امیدوار ہے، اگلی دو جانچوں کے تابع۔

دوسری جانچ: تعیناتی اس عوامی قدر کو کس سے باندھتی ہے

خفیہ نگاری کی حفاظت اور گمنامی مختلف خصوصیات ہیں۔ WireGuard ساتھی کی عوامی چابی تعیناتی کے اندر مستحکم شناخت کنندہ ہے: سرور کنفیگریشن اسے فہرست میں رکھتی ہے، مصافحہ اس کا نام لیتا ہے، اور لاگ پڑھنے والا منتظم ہر بار وہی سطر دیکھتا ہے جب وہ ساتھی جڑتا ہے۔ اگر آپ اپنی ترتیب کے بارے میں سوال کے پاس چابی پوسٹ کریں تو آپ نے وہ سطر پوسٹ کی باقی ہر چیز سے جوڑ دی ہے۔

اسناد اپنی ساخت ہی سے شناخت ظاہر کرتی ہیں۔ Subject اور subject alternative name پڑھے جا سکتے ہیں، اور عوامی طور پر قابل اعتماد TLS اسناد کے لیے سند خود قابل تلاش Certificate Transparency لاگز میں شائع ہوتی ہے۔ ان میں سے کوئی بھی نجی چابی ظاہر نہیں کرتا، اور سب ایک رشتہ ظاہر کرتے ہیں۔

یہیں تعیناتیاں مختلف ہوتی ہیں، اور یہی جواب طے کرتا ہے۔ لیبارٹری سرور پر ایک بار استعمال ہونے والا تجرباتی ساتھی کسی کمپنی کے سائٹ سے سائٹ تک کے آخری مقام کی شناخت کرنے والی چابی سے مختلف چیز ہے، چاہے بائٹس ایک جیسے دکھائی دیں۔

تیسری جانچ: کیا منسوخ کر سکتے ہیں، اور کتنی تیزی سے

تیسری جانچ دونوں نصفوں کو مکمل طور پر الگ کرتی ہے۔ شائع شدہ عوامی چابی آپ کے شیڈول کے مطابق بدلی جا سکتی ہے۔ شائع شدہ نجی چابی واپس نہیں بلائی جا سکتی: اپنی نقل مٹانا پہلے لی گئی نقلوں کو نہیں چھوتا، اور ہر وہ ساتھی جس نے اس پر بھروسہ کیا اب کسی باہر والے کے پاس موجود چیز پر بھروسہ کرتا ہے۔

منسوخی کنفیگریشن کا عمل ہے، خفیہ نگاری کا نہیں۔ WireGuard منسوخی کی فہرست فراہم نہیں کرتا، اس لیے آپ ساتھی کو ہٹاتے ہیں:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN اسناد پر بنی تعیناتیاں سند منسوخ کرتی ہیں اور ایسی CRL شائع کرتی ہیں جسے سرور واقعی crl-verify کے ذریعے جانچتا ہے۔ اس ہدایت کے بغیر منسوخی کی فہرست محض سجاوٹ ہے۔ دونوں صورتوں میں ترتیب ایک ہی ہے: متبادل جاری کریں، معاون ذریعے سے تقسیم کریں، پھر پرانی شناخت کو ریٹائر کریں۔

تین جانچوں کو یکجا کرنے سے پیدا ہونے والی غلطیاں

زیادہ تر حقیقی اخراج کسی شخص کا نجی چابی شائع کرنے کا فیصلہ نہیں ہوتا۔ وہ فورم پر پورا پروفائل چسپاں کرنا ہوتا ہے: .conf WireGuard فائل جس میں PrivateKey سطر ہے، .ovpn بنڈل جس میں اندرونی چابی بلاک ہے، یا کلائنٹ ونڈو کا اسکرین شاٹ جس میں چابی کا خانہ اتفاقاً آ گیا ہو۔ عوامی قدر غالباً ٹھیک تھی؛ وہ غلط حصے کے ساتھ سفر کر گئی۔

معاونت کے ورک فلو دوسرا ذریعہ ہیں۔ کوئی جائز تصدیقی مرحلہ آپ کی نجی چابی کا محتاج نہیں، کیونکہ دوسرا فریق اپنی ضرورت عوامی نصف سے اخذ کرتا ہے۔ جب کوئی فارم یا شخص نجی قدر مانگے تو درست جواب عوامی قدر اور اسے پیدا کرنے والا مقامی حکم ہے۔

لاگز اور اسکرین شاٹس اسی زمرے میں آتے ہیں۔ تشخیصی آؤٹ پٹ میں چابی کا مواد، سیشن شناخت کنندہ اور اندرونی پتے ہو سکتے ہیں، اور ایک سوال کا جواب پانے کے لیے یہ سب پوسٹ کرنا تھوڑی سہولت کو بڑے انکشاف سے بدلنا ہے۔

نجی قدر کے اخراج کے بعد شناخت ریٹائر کریں

اگر نجی قدر واقعی باہر نکل گئی ہو تو اس شناخت کو ریٹائر شدہ سمجھیں۔ نئی جوڑی بنائیں، ساتھیوں کی متوقع جگہ پر عوامی نصف نصب کریں، پرانا ساتھی ہٹائیں یا پرانی سند منسوخ کریں، اور وہ جگہیں جانچیں جہاں آپ نے اسے شائع کیا تھا۔ آپ ان نقلوں کو مٹا نہیں سکتے جو آپ کے قابو میں نہیں، اس لیے ہٹانا ماضی کے بارے میں نہیں، مستقبل کے بارے میں ہے۔

پھر تقسیم لکھیں: کون سی چابی کس آلے کی ہے، کس کے پاس نقل ہے، متبادل کیسے پہنچایا جاتا ہے، اور ریٹائر شدہ ساتھی کو کون ہٹاتا ہے۔ یہی وہ حصے ہیں جو لوگ بھول جاتے ہیں، اور یہی طے کرتے ہیں کہ اخراج کتنی دیر مفید رہتا ہے۔