IKEv1 اور IKEv2 مشترکہ پیشگی کلید کے ساتھ: تصدیق میں کیا فرق ہے

ایک ہی مشترکہ پیشگی کلید کے ساتھ ترتیب دیے گئے دو گیٹ وے مصافحہ مکمل کرتے ہیں، اور پیکٹ کی ریکارڈنگ تار کے پار جاتا کوئی راز نہیں دکھاتی۔ یہی وہ حصہ ہے جو لوگ یاد رکھتے ہیں۔ دلچسپ حصہ یہ ہے کہ ہر نسخہ راز کے معلوم ہونے کا ثبوت دینے کے لیے واقعی کیا حساب کرتا ہے، کیونکہ IKEv1 اور IKEv2 یہ ثبوت مختلف ان پٹ سے بناتے ہیں اور ایسا کرتے ہوئے مختلف معلومات ظاہر کرتے ہیں۔ دونوں نشانات ساتھ ساتھ پڑھیں اور فرق ظاہری رہنا بند ہو جاتا ہے۔

ثبوت کو کیا حاصل کرنا ہے

Diffie-Hellman دونوں فریقوں کو ایک مشترکہ قدر دیتا ہے جس کے عوامی نصف حصے کو دیکھنے والا کوئی بھی حساب کر سکتا ہے۔ بذات خود یہ شناخت کے بارے میں کچھ ثابت نہیں کرتا: کلید کے تبادلے کو مکمل کرنے والا حملہ آور آپ کے گیٹ وے جیسی ہی مشترکہ قدر رکھتا ہے۔ تصدیق کا مرحلہ اس تبادلے کو ایسے راز سے باندھنے کے لیے ہے جو صرف مطلوبہ فریقوں کے پاس ہو، اور ان شناختوں اور پیرامیٹرز سے بھی جن پر وہ متفق ہوئے۔

یہی بندھن وہ وجہ ہے کہ ہیش کلید سے زیادہ کچھ ڈھانپتا ہے۔ اگر یہ صرف راز ڈھانپتا تو حملہ آور اسے مختلف شناختوں یا تجاویز کے ساتھ کسی اور تبادلے میں دوبارہ چلا سکتا تھا۔

IKEv1 Main Mode: SKEYID اخذ کریں، پھر ثابت کریں

Main Mode چھ پیغام چلاتا ہے۔ پہلا جوڑا سلامتی کی انجمن پر گفت و شنید کرتا ہے، دوسرا Diffie-Hellman کی عوامی قدریں اور nonce کا تبادلہ کرتا ہے، اور تیسرا ابھی قائم شدہ خفیہ کاری کے تحت شناختیں اور تصدیقی ہیش لے کر جاتا ہے۔ RFC 2409 ساخت کی تعریف کرتا ہے: مشترکہ پیشگی کلید کی تصدیق میں SKEYID راز اور دونوں nonce سے اخذ ہوتا ہے، اور بعد کا کلیدی مواد SKEYID، Diffie-Hellman کی مشترکہ قدر، کوکیز اور مستقلات سے۔

پانچویں اور چھٹے پیغام میں ہیش Diffie-Hellman قدر، دو کوکیز، تجویز اور بھیجنے والے کی شناخت پر SKEYID کو کلید بنا کر حساب کیا جاتا ہے۔ وصول کنندہ اسے اپنے ترتیب شدہ راز سے دوبارہ حساب کرتا ہے۔ عدم مطابقت تبادلہ ختم کر دیتی ہے، اور راز بذات خود کبھی بوجھ نہیں ہوتا۔

Aggressive Mode وہی کام تین پیغاموں میں سمیٹ دیتا ہے، یعنی شناختیں اور تصدیقی ہیش خفیہ شدہ چینل کے وجود سے پہلے سفر کرتے ہیں۔ یہ اندازہ لگائے جانے والے راز کے لیے حقیقی خطرہ ہے، اور اس سوال سے الگ ہے کہ راز بھیجا گیا یا نہیں۔ IKEv1 کو RFC 9395 نے متروک کر دیا ہے، اس لیے پرانا نشان تشخیصی مشق ہے، تعیناتی کا ہدف نہیں۔

IKEv2: مختلف اخذ اور مختلف AUTH بوجھ

IKEv2 IKEv1 کا کلیدی نظام دوبارہ استعمال نہیں کرتا۔ ابتدائی IKE کلیدیں nonce اور Diffie-Hellman کی مشترکہ قدر سے بنے بیج سے آتی ہیں، اور ذیلی سلامتی انجمنیں اسی سے اخذ ہوتی ہیں۔ مشترکہ پیشگی کلید بیج کو بالکل نہیں کھلاتی۔

پھر تصدیق AUTH بوجھ کے طور پر ظاہر ہوتی ہے۔ مشترکہ کلید کی تصدیق کے لیے RFC 7296 راز کی بھری ہوئی شکل مقرر کرتا ہے، جو راز کو مقررہ تار کے ساتھ ہیش کر کے حاصل ہوتی ہے Key Pad for IKEv2, پھر دستخط شدہ تبادلے کے ڈیٹا اور شناخت کو اسی بھری ہوئی کلید سے ہیش کیا جاتا ہے۔ تصدیق کرنے والا وہی قدر دوبارہ بنا سکتا ہے؛ دیکھنے والا راز کے بغیر نہیں بنا سکتا۔

غور کریں کیا بدلا۔ IKEv1 میں راز تصدیقی ہیش کے وجود سے پہلے ہی کلیدی نظام میں گوندھ دیا جاتا ہے؛ IKEv2 میں کلیدی نظام راز سے آزاد ہے اور ثبوت ایک الگ بوجھ ہے جو دستخط شدہ آکٹیٹس سے بندھا ہے۔ وہی تصوراتی ضمانت، مختلف مشینری، اور یہی وجہ ہے کہ پیرامیٹر کے نام اور ریکارڈنگ ایک کے مقابل ایک نہیں ملتے۔

دیکھنے والا واقعی کیا سیکھتا ہے

Diffie-Hellman کی عوامی قدریں، تجاویز، nonce اور کوکیز دونوں نسخوں میں نظر آتی ہیں۔ شناختیں IKEv1 Aggressive Mode میں نظر آتی ہیں اور باقی صورتوں میں محفوظ رہتی ہیں۔ راز کبھی نظر نہیں آتا۔

اس آخری جملے کی ایک حد ہے جو بتانی چاہیے۔ کمزور، انسان کے چنے ہوئے راز پر اندازے سے حملہ کیا جا سکتا ہے: حملہ آور حساب کرتا ہے کہ کسی امیدوار راز کے لیے تصدیقی قدر کیا ہوگی اور موازنہ کرتا ہے۔ IKEv1 Aggressive Mode اسے سب سے سستا بناتا ہے کیونکہ ثبوت کھلا ہوتا ہے، اور معیارات عموماً کم اینٹروپی رازوں کے بارے میں خبردار کرتے ہیں۔ راز کو کبھی نہ بھیجنا برے راز کو محفوظ بنانے کے برابر نہیں۔

اس موازنے کا کیا کریں

ہر فریق جوڑے کے لیے ایک منفرد راز استعمال کریں، اسے بے ترتیب ماخذ سے بنائیں، اور اسی فراہمی کے راستے سے بدلیں جس نے اسے تقسیم کیا۔ اگر راز ایسے ترتیباتی سانچے میں ہے جو ہر شاخ کو بھیجا جاتا ہے، تو ایک جگہ کی خلاف ورزی ہر جگہ خلاف ورزی ہے۔

جہاں عملی لاگت قابل قبول ہو وہاں سند پر مبنی تصدیق کو ترجیح دیں، کیونکہ یہ مشترکہ راز کے اندازے کا مسئلہ ختم کرتی ہے اور ہر فریق کو الگ شناخت دیتی ہے۔ جہاں مشترکہ پیشگی کلید رہے، اسے طویل رکھیں، دائرہ تنگ کریں، اور IKE نسخے کو باہمی تعاون کی تفصیل نہیں بلکہ سلامتی کا فیصلہ سمجھیں۔