اپنی مرضی کا VPN سرٹیفکیٹ اضافی انکرپشن پرت نہیں ہے

VPN اینڈ پوائنٹ پر اپنی مرضی کا سرٹیفکیٹ نصب کرنا تحفظ بڑھانے جیسا لگتا ہے، کیونکہ سرٹیفکیٹ اور انکرپشن ہر جگہ ساتھ نظر آتے ہیں۔ عملاً یہ دو چیزیں بدلتا ہے: اینڈ پوائنٹ کون سی شناخت پیش کرتا ہے، اور اس کا ساتھی کس جاری کنندہ پر بھروسا کرنے کو تیار ہے۔ ان میں سے کوئی بھی آپ کے ڈیٹا کو دوبارہ نہیں لپیٹتا۔ اگر اصل ضرورت دوسری محفوظ چینل ہو، تو آپ کو اپنے اینڈ پوائنٹس والی دوسری چینل چاہیے، دوسرا سرٹیفکیٹ نہیں۔

TLS 1.3 ہینڈ شیک میں تین الگ کام

RFC 8446 ان چیزوں کو الگ رکھتا ہے، اور یہی علیہدگی پورا جواب ہے۔ Certificate پیغام اینڈ پوائنٹ کی سرٹیفکیٹ زنجیر لے کر جاتا ہے۔ CertificateVerify متعلقہ نجی کلید کی ملکیت ثابت کرتا ہے اور ہینڈ شیک کا ریکارڈ باندھتا ہے۔ ریکارڈ پرت طے شدہ ٹریفک کیز سے ٹریفک کی حفاظت کرتی ہے۔

سرٹیفکیٹ بدلیں اور پہلی دو چیزیں بدل جاتی ہیں۔ ریکارڈ تحفظ دو بار نہیں چلتا، اور جاری کنندہ کے اب نجی ہونے سے وہ زیادہ مضبوط نہیں ہوتا۔

نجی CA اصل میں کیا دیتا ہے

یہ ایک کنٹرول شدہ شناخت نظام دیتا ہے: کس کو جاری کرنا ہے آپ طے کرتے ہیں، ساتھی کون سے جاری کنندگان قبول کریں گے آپ طے کرتے ہیں، اور اپنے شیڈول کے مطابق منسوخ کر سکتے ہیں۔ جب آپ دونوں سرے خود چلاتے ہیں تو یہ واقعی مفید ہے۔

لیکن یہ ذمہ داریاں بھی لاتا ہے۔ اعتماد جان بوجھ کر تقسیم کرنا پڑتا ہے، ساتھی کی تصدیق جاری رہنی چاہیے، اور اسناد کے زندگی چکر کا مالک کوئی ہونا چاہیے۔ نجی CA ان تینوں میں سے کسی سے بچنے کا شارٹ کٹ نہیں ہے۔

دوسری چینل کب درست جواب ہے

فرض کریں کوئی ایپلیکیشن اپنی سروس کی طرف تصدیق شدہ HTTPS کھولتی ہے جبکہ اس کے پیکٹ VPN سے بھی گزرتے ہیں۔ اس ڈیزائن کی دو حدیں ہیں جن کے اینڈ پوائنٹ مختلف ہو سکتے ہیں، اور دوسری محفوظ چینل ایسی ہی دکھتی ہے۔

یہ فرق گیٹ وے پر اہم ہے۔ اگر ایپلیکیشن کا TLS سیشن ایپلیکیشن پر نہیں بلکہ VPN گیٹ وے پر ختم ہوتا ہے، تو سرنگ کے پار جو تحفظ آپ کے خیال میں تھا وہ وہاں نہیں ہے۔ اس خصوصیت کا دعویٰ کرنے سے پہلے لکھیں کہ کون سی چینل کون ختم کرتا ہے۔

پوچھیں کہ انسٹال کیا بدلتا ہے

سرٹیفکیٹ انسٹال کرنے کی درخواست تین مختلف چیزوں کے معنی دے سکتی ہے۔ یہ کلائنٹ کی اپنی شناخت، ایپلیکیشن کے لیے مخصوص اعتماد لنگر، یا ڈیوائس پر ہر چیز کے لیے پلیٹ فارم کی سطح کا اعتماد بدل سکتی ہے۔ یہ برابر نہیں ہیں، اور صرف آخری غیر متعلقہ سافٹ ویئر پر اثر ڈالتا ہے۔

پوچھیں کہ تینوں میں سے کیا مقصود ہے، پھر پوچھیں کہ اسے کیا حاصل کرنا ہے۔ اگر جواب مزید انکرپشن ہے، تو تجویز غلط طریقہ کار کی طرف ہے۔

حدیں لکھیں

ہر چینل کے لیے اینڈ پوائنٹ، ہر فریق کی تصدیق کردہ شناخت اور درمیان میں بیٹھے آپریٹر کو کیا نظر آ سکتا ہے، درج کریں۔ پھر ناکامی کا رویہ درج کریں: تصدیق ناکام ہونے پر کیا ہوتا ہے، اور چینل مسترد ہونے پر کیا ہوتا ہے۔

ایک صفحے پر دو سطریں عام طور پر وہ بحث طے کر دیتی ہیں جو سرٹیفکیٹ کی گردش طے نہیں کر سکتی۔

تین سوالوں سے فیصلہ کریں

کیا مسئلہ یہ ہے کہ اینڈ پوائنٹ خود کو کون بتاتا ہے، یا یہ کہ ڈیٹا کے ساتھ کیا ہوتا ہے؟ کیا تحفظ کو VPN گیٹ وے سے آگے کسی مخصوص ایپلیکیشن تک جاری رہنا چاہیے؟ اور کیا آپ ان دو اینڈ پوائنٹس کے نام بتا سکتے ہیں جو دوسری چینل ختم کریں گے؟

اگر پہلا سوال اصل ہے تو شناخت اور اعتماد درست کریں۔ اگر دوسرا یا تیسرا ہے تو دوسری چینل ڈیزائن کریں اور سرٹیفکیٹ کو اس کی جگہ رہنے دیں۔