ڈیوائس ٹیگز VPN اسناد نہیں ہیں: تین دعوے جنہیں الگ کرنا ہے

ہوسٹ نام، سیریل نمبر اور پوشیدہ مارکر فائلیں لیپ ٹاپ کو لیبل کرنے میں مدد کرتی ہیں، اور ان میں سے کوئی بھی یہ ثابت نہیں کرتا کہ ان میں سے کوئی پیش کرنے والا لیپ ٹاپ ہی منظور شدہ ڈیوائس ہے۔ داخلہ تین الگ دعووں پر کھڑا ہے: اثاثہ وہی ہے جو تنظیم نے ریکارڈ کیا، کلائنٹ کے پاس اس کے لیے جاری کردہ اسناد ہیں، اور وہ اسناد پالیسی کے تقاضے کے مطابق محفوظ ہیں۔ انہیں ایک ہی جانچ میں یکجا کرنا ہی وہ راستہ ہے جس سے نقل شدہ فائلیں اور کلون شدہ چابیاں گزر جاتی ہیں۔

ایک میں یکجا کیے جانے والے تین دعوے

انوینٹری ریکارڈ اثاثہ اور اس کے مالک کی وضاحت کرتا ہے۔ اندراج مناسب اسناد کو اس ریکارڈ سے باندھتا ہے۔ کنکشن کے وقت VPN وہ ثبوت جانچتا ہے جو اس کا ترتیب شدہ طریقہ طلب کرتا ہے۔ اندراج کے فارم میں لکھا گیا سیریل نمبر خود بخود اس ڈیوائس کی اجازت نہیں پانا چاہیے، کیونکہ فارم صرف یہ ثابت کرتا ہے کہ کسی کو سیریل نمبر معلوم ہے۔ تین مراحل الگ کریں اور ہر ایک کو الگ جانچا جا سکتا ہے۔

مارکر فائل ایک پہلو سے سیریل نمبر سے بدتر ہے: اس کی نقل بنانا بہت آسان ہے، اور ہر نقل یکساں طور پر قائل کرنے والی لگتی ہے۔

دیکھیں کہ ڈیوائس واقعی کیا پیش کرتی ہے

یہ ماننے سے پہلے کہ اسناد ڈیوائس کے لیے مخصوص ہیں، وہ اسناد دیکھیں جو کلائنٹ واقعی محفوظ کرتا ہے۔

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

فہرست دکھاتی ہے کہ کون سے مشین سرٹیفکیٹ موجود ہیں اور نجی کلید موجود ہے یا نہیں، جو عوامی فائل اور قابل استعمال اسناد کے درمیان فرق ہے۔ اسٹور کا ڈمپ فراہم کنندہ کا نام شامل کرتا ہے، اور سافٹ ویئر فراہم کنندہ بمقابلہ پلیٹ فارم کرپٹو فراہم کنندہ اس بات کا پہلا اشارہ ہے کہ کلید کہاں رہتی ہے۔ اپنی نجی کلید کے بغیر سرٹیفکیٹ کچھ بھی تصدیق نہیں کرتا، جبکہ دوسری مشین پر برآمد شدہ نجی کلید اسناد کو قابلِ منتقلی بناتی ہے، چاہے اس کا موضوع کچھ بھی کہے۔ دکھایا گیا نام چھوڑ کر فنگر پرنٹ اور فراہم کنندہ درج کریں۔

ہارڈویئر تحفظ کو ثبوت درکار ہے

سرٹیفکیٹ عوامی معلومات ہے، اس لیے معنی خیز سوال یہ ہے کہ نجی کلید کہاں رہتی ہے اور کیا وہ تحفظ تصدیق شدہ ہے۔ TPM کلید کی تصدیق ایسے درخواست دہندہ کی وضاحت کرتی ہے جو سرٹیفکیٹ اتھارٹی کو ثابت کرتا ہے کہ کلید قابلِ اعتماد TPM کے ذریعے محفوظ ہے، جو درخواست میں ہارڈویئر فراہم کنندہ کا نام لینے سے زیادہ مضبوط ہے۔ یہ اپنی اعتماد کی مفروضوں والی ساخت بھی ہے، ایسی چیز نہیں جسے VPN کلائنٹ بطور طے شدہ فعال کرے۔ تصدیق کریں کہ جاری کنندہ کیا قبول کرتا ہے اور گیٹ وے نتیجے میں آنے والی اسناد کے بارے میں کیا نافذ کرتا ہے، کیونکہ ذخیرہ، تصدیق اور داخلے کی پالیسی تین اجزا ہیں۔

ہارڈویئر کی مدد سے بنی کلید پھر بھی پیچ کی سطح، موجودہ تفویض یا سیشن کے استعمال کے بارے میں کچھ نہیں کہتی۔ ان کے اپنے کنٹرول درکار ہیں۔

تبدیلی اور ہٹانے کو ٹھوس بنائیں

منصوبہ بنائیں کہ جب ڈیوائس گم ہو، مرمت ہو، دوبارہ تفویض ہو یا تبدیل ہو تو کیا ہوتا ہے۔ مدر بورڈ کی تبدیلی یا مٹایا گیا کلید اسٹور عام طور پر معاون دوبارہ اندراج کا تقاضا کرتا ہے، اصل مشین کی نقل کرنے کے لیے پرانے راز نقل کرنے کا نہیں۔ اثاثہ، اسناد کی شناخت، مالک، اندراج کا فیصلہ اور رسائی کا کردار اکٹھے درج کریں، تاکہ اگلا منتظم دیکھ سکے کہ کیا کس کا ہے۔ وہ اجازت ہٹائیں جو گیٹ وے واقعی قبول کرتا ہے، کیونکہ انوینٹری کی حالت بدلنا موجودہ اسناد یا سیشن کے بارے میں کچھ ثابت نہیں کرتا۔

پھر حد جانچیں: منظور شدہ ڈیوائس جڑتی ہے، صرف نقل شدہ لیبل نہیں، اور ریٹائر شدہ شناخت کام کرنا بند کر دیتی ہے۔ approved نامی فائل تب تک لیبل رہتی ہے جب تک کوئی قابلِ اعتماد عمل اسے معنی نہ دے۔