نجی IP پر HTTPS: سرٹیفکیٹ کی شناخت یا میزبان کا نام؟

https://10.60.0.25 پر آپ کی سروس DNS نام کے بغیر بھی تصدیق شدہ TLS رکھ سکتی ہے۔ پتہ ہی وہ شناخت ہے جسے کلائنٹ کو تصدیق کرنا ہے، اور سرٹیفکیٹ کو اسے ٹھیک ٹھیک بیان کرنا چاہیے۔ فیصلہ یہ ہے کہ آیا وہ پتہ شناخت بننے کے لیے کافی مستحکم ہے، یا میزبان نام سنبھالنا آسان رہے گا۔ VPN رسائی کا جواب دیتا ہے؛ اس کا جواب نہیں دیتا۔

شناخت اور اعتماد درست رکھیں، تو IP پر مبنی URL ایک جائز ڈیزائن ہے۔

کلائنٹ دراصل کیا تصدیق کرتا ہے

کلائنٹ URL میں دی گئی حوالہ شناخت کا موازنہ سرٹیفکیٹ کے متبادل موضوع ناموں سے کرتا ہے۔ IP پتے کے لیے اس کا مطلب پتے کے برابر iPAddress اندراج ہے۔ دوستانہ عام نام اس کا متبادل نہیں ہے۔

RFC 9525 IP پتہ شناختوں کو DNS ناموں سے الگ کرتا ہے اور مطابقت کا قاعدہ متعین کرتا ہے۔ پتہ صرف موضوع لیبل میں یا DNS قسم کے اندراج کے طور پر رکھنے سے مطابقت نہیں بنتی۔ اسی لیے انتباہ ظاہر ہونے پر SAN ہی وہ فیلڈ ہے جسے دیکھنا چاہیے۔

اعتماد دوسری، آزاد جانچ ہے۔ نام کی مطابقت ناقابل اعتماد زنجیر، میعاد ختم شدہ سرٹیفکیٹ یا کسی اور مقصد کے لیے جاری سرٹیفکیٹ کو درست نہیں کرتی۔

پہلا فیصلہ: کیا پتہ شناخت بننے کے لیے کافی مستحکم ہے

اگر پتہ تعیناتی کی پوری زندگی میں مستقل ہے، تو IP SAN سرٹیفکیٹ سادہ اور دیانتدار ہے۔ اگر سروس منتقل ہو سکتی ہے، تو ہر منتقلی سرٹیفکیٹ کی تبدیلی اور مربوط کلائنٹ اپ ڈیٹ بن جاتی ہے۔

مستحکم میزبان نام اس جوڑ کو کم کرتا ہے۔ کلائنٹ نام استعمال کرتے ہیں، منظور شدہ DNS اسے موجودہ پتے سے جوڑتا ہے، اور پتہ بدلنا شناخت بدلنا نہیں رہتا۔ سرٹیفکیٹ کو اب بھی تجدید چاہیے، لیکن URL نہیں بدلتا۔

منظم hosts فائل اندراج چھوٹے ماحول میں نقشہ فراہم کر سکتا ہے۔ یہ تقسیم کی ذمہ داری شامل کرتا ہے؛ یہ TLS تصدیق کا متبادل نہیں ہے۔

دوسرا فیصلہ: کلائنٹ جاری کنندہ پر کیسے اعتماد کرے گا

نجی CA کے لیے، منظور شدہ طریقہ کار سے اعتماد کا لنگر مطلوبہ آلات میں تقسیم کریں۔ صارفین کو انتباہات عبور کرنا یا سائن اِن صفحے کا دیا ہوا سرٹیفکیٹ نصب کرنا نہ سکھائیں۔ اگر آپ عوامی طور پر قابل اعتماد سرٹیفکیٹ چاہتے ہیں، تو منصوبہ بندی سے پہلے نجی پتوں کے لیے جاری کنندہ کے موجودہ قواعد دیکھیں۔ زیادہ تر عوامی جاری کنندہ نجی IP کو عوامی شناخت کے طور پر تصدیق نہیں کریں گے۔

اصل براؤزر یا ایپلیکیشن کا جائزہ لیں۔ اس کا اعتماد ذخیرہ اور تصدیق کا رویہ آپریٹنگ سسٹم کی عمومی سرٹیفکیٹ دستاویزات سے زیادہ اہم ہیں۔ اسے صرف کنسول میں نہیں، اصل آلے پر جانچیں۔

VPN گیٹ وے شاید وہ مشین نہ ہو جو ویب ایپلیکیشن چلاتی ہے، اس لیے یہ نہ سمجھیں کہ ٹنل کے سرٹیفکیٹ کا اس سے کوئی تعلق ہے۔

پتہ تبدیلی سے پہلے ہی منصوبہ بندی کریں

اگر 10.60.0.25 10.60.0.40 بن جائے، تو پرانا سرٹیفکیٹ اب URL بیان نہیں کرتا۔ تبدیلی اور کلائنٹ اپ ڈیٹ کی منصوبہ بندی ساتھ کریں، اور منتقلی کے دوران تصدیق کبھی بند نہ کریں۔

وہ شناخت منتخب کریں جو صارفین لکھیں گے یا ایپلیکیشنز ترتیب دیں گی، پھر اس کے گرد جاری کرنا، اعتماد، تعیناتی اور تجدید ہم آہنگ کریں۔ مسترد شدہ انتباہ کے ساتھ قابل رسائی صفحہ اور وہ سروس جس کی شناخت کلائنٹ تصدیق کرتا ہے، ایک جیسا نتیجہ نہیں ہے۔