کیا VM کے اندر VPN ہوسٹ سے ٹریفک چھپا سکتا ہے؟

آپ ورچوئل مشین کے اندر کلائنٹ نصب کرتے ہیں، سرنگ اٹھتی ہے اور مہمان کی ٹریفک خفیہ ہو جاتی ہے۔ مشین سے باہر کے نیٹ ورک کے خلاف اس کی کچھ قدر ہے۔ مہمان چلانے والے آپریٹنگ سسٹم کے خلاف یہ بہت کم دیتی ہے، کیونکہ وہ مہمان کی میموری پڑھ سکتا ہے اور اس کی سکرین دیکھ سکتا ہے۔ نیچے دیے گئے معائنے الگ کرتے ہیں کہ سرنگ کس چیز کی حفاظت کرتی ہے اور ہوسٹ کیا رکھتا ہے۔

ہوسٹ سرنگ سے پہلے صاف متن پڑھتا ہے

ڈیسک ٹاپ ہائپر وائزر مہمان کو CPU وقت دیتا ہے اور وہ میموری پڑھ سکتا ہے جو وہ لکھتا ہے، بشمول وہ صفحہ جو براؤزر نے ابھی ڈکرپٹ کیا۔ ہوسٹ پر نگرانی کا آلہ سائفر پر حملہ کیے بغیر وہ صاف متن پڑھتا ہے، اور اسی سطح کا کیل لاگر کسی بھی کلائنٹ کے اسے لپیٹنے سے پہلے کی اسٹروک جمع کرتا ہے۔ ان میں سے کسی کو بھی ٹوٹا ہوا VPN درکار نہیں، اس لیے صاف سرنگ آلہ لگے ہوسٹ کے پاس کھڑی ہو سکتی ہے۔

وہ مقام جو نہیں دیتا وہ دور کے سرے کی چابیاں ہیں، یا ایسا مواد جسے کوئی دوسرا سرا سرے سے سرے تک محفوظ رکھتا ہے۔ سرنگ اپنے عبور کرنے والے نیٹ ورک کے خلاف اب بھی قائم ہے؛ خلا مقامی ہے۔

نشانات سیشن سے زیادہ زندہ رہتے ہیں

VirtualBox مہمان کو روکیں اور محفوظ شدہ میموری حالت والی .sav فائل اس کے پاس نمودار ہوتی ہے۔ VMware سسپنڈ اور اسنیپ شاٹ کے دوران .vmem اور .vmsn فائلیں چھوڑتا ہے، اور Hyper-V چیک پوائنٹس ہوسٹ والیوم پر .avhdx فرق ڈسکیں بڑھاتے ہیں۔ ان میں سے کوئی فائل مہمان کی ڈسک انکرپشن سے خفیہ نہیں ہوتی۔ ہوسٹ کی پیج فائل وہ صفحات بھی لے سکتی ہے جو ہائپر وائزر نے باہر دھکیلے، وہی نشان جس سے Tails اپنی ورچوئلائزیشن گائیڈ میں خبردار کرتا ہے۔ دیکھیں کہ ہائپر وائزر اسنیپ شاٹ رکھتا ہے یا نہیں اور ہوسٹ کا سوآپ خفیہ والیوم پر ہے یا نہیں۔

ان فائلوں کے لیے رکھنے کا قاعدہ طے کریں، کسی کے مٹانے تک انہیں رکھنے والے ڈیفالٹ پر بھروسا کرنے کی بجائے۔ بھولنے والا سیشن بیان کرنے والا مہمان اس میں کچھ نہیں بدلتا؛ فائل ہوسٹ لکھتا ہے، اس لیے ہوسٹ کی پالیسی لاگو ہوتی ہے۔ اگر آپ نہیں بتا سکتے کہ اسنیپ شاٹ کہاں ہیں یا انہیں کون کھول سکتا ہے، تو مہمان کا ڈیزائن جانچا نہیں گیا۔

ڈسک انکرپشن ایک تنگ معاملہ ڈھانپتی ہے

مہمان کی ڈسک کو خفیہ کرنا آرام میں موجود امیج، دوسری مشین پر لے جایا گیا والیوم، یا بچ نکلنے والا بیک اپ محفوظ کرتا ہے۔ مہمان کے چلنے کے دوران یہ کچھ نہیں کرتی، کیونکہ مہمان کے ڈکرپٹ کرنے کے بعد ہائپر وائزر میموری پڑھتا ہے۔ پاس فریز کو محفوظ نقول کی حفاظت سمجھیں، VM چلانے والی مشین کے خلاف ڈھال نہیں۔

چابیاں اور زندہ عمل درآمد الگ سوالات ہیں۔ ہوسٹ کیے گئے یا مشترکہ ماحول میں فراہم کنندہ امیج کی چابیاں رکھ سکتا ہے جبکہ مہمان ایسے ہارڈ ویئر پر چل رہا ہو جسے آپ کبھی نہیں دیکھتے، اس لیے دونوں جواب لکھیں۔

نقل و حمل ایک ہی منظر نہیں

مہمان کی سرنگ لے جانے والا باہر کے سرے، وقت اور حجم دیکھتا ہے، چاہے پے لوڈ بند ہو۔ اس شکل کا میٹا ڈیٹا اکثر وہ سوال جواب دیتا ہے جو مبصر کے پاس واقعی ہوتا ہے، اس لیے اسے شور نہیں بلکہ انکشاف کا حصہ سمجھیں۔ ایڈاپٹر موڈ اور روٹنگ طے کرتے ہیں کہ ہوسٹ سطح کے VPN قواعد مہمان کی ٹریفک کو چھوتے ہیں یا نہیں۔

یہ ہوسٹ کے براؤزر سے نہیں، مہمان کے اندر سے جانچیں۔ مہمان کے سیدھا برج ہونے پر ہوسٹ کا براؤزر ڈھکا ہو سکتا ہے، اور دونوں مختلف راستے استعمال کرتے ہوئے ایک ہی کنکشن بانٹ سکتے ہیں۔ ایڈاپٹر موڈ لکھیں، پھر مفروضے پر بھروسا کرنے کی بجائے ہوسٹ کے طبعی انٹرفیس پر کیپچر دیکھیں۔

گزرگاہیں کم کریں، پھر ریکارڈ لکھیں

مہمان کو اسی ہارڈ ویئر پر چلائیں جسے آپ کنٹرول کرتے ہیں، ہائپر وائزر کو پیچ شدہ رکھیں، اور مشترکہ فولڈر، کلپ بورڈ شیئرنگ اور گھسیٹ کر چھوڑنا صرف وہاں فعال کریں جہاں کام کو ضرورت ہو۔ ان میں سے ہر ایک ہوسٹ اور مہمان کے درمیان راستہ ہے، اور آتا ہوا ڈیفالٹ عموماً کام کی ضرورت سے زیادہ کھلا ہوتا ہے۔ جو مہمان ایڈ آن استعمال نہیں کرتے انہیں بند کریں، پھر تصدیق کریں کہ ترتیبات ری بوٹ کے بعد بھی رہتی ہیں، کیونکہ اپ گریڈ آپ کی بند کی گئی چیز واپس لا سکتا ہے۔

یہ اقدامات گزرگاہیں کم کرتے ہیں؛ وہ مہمان کو الگ طبعی اعتماد کی حد نہیں بناتے۔ سخت کیے گئے VM کو ایسی حد سمجھنا ہی وہ جگہ ہے جہاں خطرے کی جانچ عام طور پر غلط ہوتی ہے۔

حساس کام کے لیے لکھیں کہ ٹریفک کیسے روٹ ہوتی ہے اور کون سے مقامی نظام کام کا بوجھ چلاتے اور رکھتے ہیں۔ یہ بھی شامل کریں کہ ہوسٹ کو کون کنٹرول کرتا ہے اور کون سی فائلیں سیشن کے بعد رہتی ہیں۔ صرف سرنگ گنوانے والا رازداری کا نوٹ انتظام کا آدھا حصہ بیان کرتا ہے۔