ایک اضافی روٹ سرٹیفکیٹ کن توثیق کاروں کو متاثر کرتا ہے؟

آپ کو ایسا روٹ سرٹیفکیٹ ملتا ہے جو وہاں نہیں ہونا چاہیے، اور پہلا سوال یہ ہے کہ یہ کس کی شناخت اختیار کر سکتا ہے۔ ایماندار جواب اس پر منحصر ہے کہ کون سا سافٹ ویئر اس اسٹور سے رجوع کرتا ہے اور آپ کا VPN اپنے گیٹ وے کی تصدیق کیسے کرتا ہے۔ براؤزر، پیکیج مینیجر اور پن شدہ فنگر پرنٹ والا VPN کلائنٹ ضروری نہیں کہ ایک ہی اعتماد کا فیصلہ شیئر کریں۔ دائرہ کار طے کرنے سے پہلے توثیق کاروں کا نقشہ بنائیں۔

سسٹم اسٹور میں روٹ کوئی عالمگیر چابی نہیں ہے

روٹ انسٹال کرنے سے اس چابی سے دستخط شدہ سرٹیفکیٹ ایسے پروگراموں کے لیے قابل قبول ہو جاتے ہیں جو متاثرہ اسٹور استعمال کرتے ہیں۔ یہ انہیں خود بخود ہر جگہ قابل قبول نہیں بناتا، کیونکہ کچھ ایپلیکیشنز اپنا بنڈل لاتی ہیں یا پن شدہ قدر چیک کرتی ہیں۔ یہ یہ بھی ثابت نہیں کرتا کہ کسی نے مشین پر کوڈ چلایا؛ اعتماد کی تبدیلی کئی صلاحیتوں میں سے ایک ہے۔ سرٹیفکیٹ کو پورے واقعے کے بجائے ایسی دریافت سمجھیں جس کا دائرہ کار متعین کرنا ہے۔

اسٹور سرٹیفکیٹ جتنا ہی اہم ہے: صارف سطح کا بنڈل اور سسٹم سطح کا اینکر مختلف صارفین تک پہنچتے ہیں۔

ہر توثیق کار اور اس کے اعتماد کے ماخذ کا نقشہ بنائیں

متاثرہ ورک فلو کے لیے سرٹیفکیٹ کی توثیق کرنے والے ہر جزو کو لکھیں: براؤزر، پیکیج مینیجر، میل کلائنٹ، VPN۔ پھر وہ اعتماد کا ماخذ تلاش کریں جو ہر ایک پڑھتا ہے۔

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

ڈائریکٹری کی فہرست Debian طرز کے سسٹمز میں مقامی طور پر شامل کیے گئے اینکر دکھاتی ہے، اور اعتماد کی فہرست دکھاتی ہے کہ سسٹم اسٹور اس وقت کیا پیش کرتا ہے۔ اپنا اسٹور رکھنے والا براؤزر وہاں نظر نہیں آئے گا، اور Java یا Python ایپلیکیشن کوئی اور بنڈل استعمال کر سکتی ہے۔ کون سے اندراج متوقع ہیں اور کون سے نہیں، یہ صرف دکھائے گئے نام کے بجائے فنگر پرنٹ استعمال کر کے درج کریں۔ کچھ بھی حذف کرنے سے پہلے واقعہ کے جواب دہندہ کو یہی فہرست درکار ہوتی ہے۔

VPN کی اپنی ہم منصب توثیق چیک کریں

ایسا VPN جس میں نجی CA یا واضح فنگر پرنٹ ہو، گیٹ وے کا جائزہ اپنی ترتیب کے مطابق کرتا ہے۔ کلائنٹ کیا توقع کرتا ہے اور گیٹ وے کیا پیش کرتا ہے اس کا موازنہ کریں۔

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

آؤٹ پٹ اینڈ پوائنٹ کی پیش کردہ سرٹیفکیٹ کا SHA-256 فنگر پرنٹ اور موضوع دیتا ہے، جنہیں آپ ترتیب شدہ قدر سے موازنہ کر سکتے ہیں۔ OpenVPN میں ہم منصب فنگر پرنٹ کا آپشن ہے جو سسٹم اسٹور کو دستخط کنندہ قبول کرنے کی ضرورت کے بغیر ٹنل کے لیے یہ موازنہ کرتا ہے۔ یہ آزادی ٹنل کے لیے مفید ہے اور براؤزر کے بارے میں کچھ نہیں کہتی۔ اگر متوقع فنگر پرنٹ شروع ہی سے مشکوک کنکشن سے نقل کیا گیا ہو تو یہ بھی مدد نہیں کرتا۔

واقعے کا دائرہ سرٹیفکیٹ سے آگے متعین کریں

غیر مجاز اینکر ہٹانے اور عام طور پر ان کے ساتھ آنے والی تبدیلیاں تلاش کرنے کے لیے ڈیوائس مالک کا طریقہ استعمال کریں: نئی سروسز، تبدیل شدہ کلائنٹس، بدلی ہوئی پراکسی ترتیبات۔ زیر انتظام مشین پر، دوسرے سافٹ ویئر کے انحصار والے مواد کو حذف کرنے سے پہلے جائز ترتیب کی تصدیق کریں۔ ہر توثیق کار کے لیے درج کریں کہ اس کا اعتماد کہاں سے آتا ہے، وہ کس شناخت کی توقع کرتا ہے اور آپ نے کیسے تصدیق کی کہ موجودہ ترتیب درست ہے۔ صفائی کے بعد کام کرنے والی ٹنل ایک مشاہدہ ہے، اینڈ پوائنٹ صاف ہونے کا ثبوت نہیں۔

پھر ان ورک فلو کا دوبارہ تجربہ کریں جو اسٹور استعمال کرتے تھے، کیونکہ اینکر ہٹانے سے وہ اندرونی سروس ٹوٹ سکتی ہے جو جائز طور پر اس پر انحصار کرتی تھی۔ بحالی اس وقت مکمل ہوتی ہے جب متوقع اعتماد کے تعلقات کام کریں اور غیر متوقع نہ کریں۔