کیا iPad کو اپنا VPN کلائنٹ سرٹیفکیٹ درکار ہے؟

نیا iPad ٹیم میں شامل ہوتا ہے، اور سب سے تیز راستہ موجودہ کلائنٹ سرٹیفکیٹ برآمد کر کے ٹیبلٹ پر نصب کرنا ہے۔ یہ تب تک کام کرتا ہے جب تک کوئی چھوڑ نہ دے، ڈیوائس نہ کھو دے یا کوئی ایسا آڈٹ نہ مانگے جو بتائے کہ کون سی ڈیوائس کب منسلک ہوئی۔ فیصلہ سرٹیفکیٹ فائل کے بارے میں نہیں بلکہ شناخت کے بارے میں ہے: کیا ہر ڈیوائس کو الگ سے مجاز اور منسوخ کیا جا سکتا ہے۔ لاگت اور انتظامی محنت جواب کا تعین کرتی ہے، اور دونوں دکھنے سے چھوٹے ہیں۔

مشترکہ جاری کنندہ، الگ شناختیں

ہر ڈیوائس ایک ہی سرٹیفکیٹ اتھارٹی پر بھروسا کر سکتی ہے اور ایک ہی گیٹ وے سے جڑ سکتی ہے، البتہ اس کی کلائنٹ شناخت مختلف ہوتی ہے۔ جاری کنندہ بھروسے کا لنگر ہے، جبکہ شناخت کلیدوں کا جوڑا ہے جس کے موضوع کو سرور کسی پالیسی سے جوڑتا ہے۔ ان دونوں کو ملانا ہی مشترکہ سرٹیفکیٹ کو بے ضرر محسوس کراتا ہے۔ یہ تب تک ہی بے ضرر رہتا ہے جب تک کسی کو یہ جاننے کی ضرورت نہ ہو کہ کس ڈیوائس نے سیشن کھولا۔

جاری کنندہ مشترک کرنے سے ترتیب کا کام بچتا ہے اور فی ڈیوائس جوابدہی میں کچھ نہیں بدلتا۔ شناخت مشترک کرنے سے ہر ڈیوائس ایک ہی منسوخ ہونے والی اکائی میں سمٹ جاتی ہے: ایک کو منسوخ کرنے سے سب منسوخ ہو جاتے ہیں، اور متبادل کو مجاز کرنے سے آج تک بنائی گئی کلید کی ہر نقل مجاز ہو جاتی ہے۔ یہ سودا فائل نقل کرنے کے بجائے واضح طور پر کرنا بہتر ہے، کیونکہ جمعہ کی دوپہر یہ تیز تر ہے۔

جب دوسرا سرٹیفکیٹ بہت مہنگا پڑے

فی ڈیوائس رجسٹریشن ایک مرحلہ لیتی ہے: زیرِ انتظام پے لوڈ، SCEP درخواست یا ایک بار کے پاس ورڈ کے ساتھ رہنمائی شدہ درآمد۔ سیریل نمبرز اور میعادِ اختتام کی تاریخوں کو ٹریک کرنے کی جگہ بھی درکار ہوتی ہے، یہ وہ حصہ ہے جسے بیشتر تعیناتیاں پہلے سرٹیفکیٹ کی میعاد ختم ہونے تک بھول جاتی ہیں۔ دونوں اخراجات ایک بار کے ہیں، اور رجسٹریشن کا بہاؤ انہیں خودکار کرتے ہی دونوں گھٹ جاتے ہیں۔

دو ٹیبلٹ اور ایک صارف والے گھر کے لیے لاگت حقیقی ہے، جہاں مشترکہ شناخت ایک جملے میں درج معقول فیصلہ ہے۔ لیکن جہاں ہر شخص یا ہر ڈیوائس کے حساب سے رسائی واپس لینی پڑے، وہاں یہ معقول نہیں، کیونکہ منسوخی کی کہانی ہی پاس ورڈ کے بجائے سرٹیفکیٹ استعمال کرنے کی پوری وجہ ہے۔ تعیناتی کو اس بات سے پرکھیں کہ ڈیوائسیں کتنی بار ہاتھ بدلتی ہیں، نہ کہ آج کتنی ڈیوائسیں موجود ہیں۔

ڈیوائس رجسٹر کریں، کلید نقل نہ کریں

جدید پلیٹ فارم نجی کلیدیں محفوظ ذخیرے میں رکھتے ہیں، اور کچھ انہیں ڈیزائن کے مطابق ناقابلِ برآمد نشان زد کرتے ہیں۔ یہی خصوصیت نقل کرنا شروع ہی سے ناممکن بناتی ہے، اور لیپ ٹاپ سے برآمد شدہ بنڈل کسی بھی معاون طریقے سے ٹیبلٹ پر دوبارہ درآمد نہ ہو سکنے کی وجہ بھی یہی ہے۔ پھر بھی کوشش کرنے سے ایسی پروفائل بنتی ہے جو صاف نصب ہوتی ہے اور پھر کبھی تصدیق نہیں کرتی۔

وہ رجسٹریشن طریقہ استعمال کریں جو تعیناتی پہلے ہی معاونت کرتی ہے: زیرِ انتظام شناخت پے لوڈ، SCEP سروس یا اکاؤنٹ کی بنیاد پر بہاؤ جو ڈیوائس پر نئی کلید جاری کرتا ہے۔ غائب شناخت حل کرنے کے لیے سرٹیفکیٹ اتھارٹی کی نجی کلید تقسیم کرنا ایک اور غلطی ہے جس کا اثر دائرہ کہیں بڑا ہے۔ اتھارٹی اسناد جاری کرتی ہے اور اسے کبھی آخری مقام تک سفر نہیں کرنا چاہیے۔

جواب دینے سے پہلے منسوخی جانچیں

مشترکہ اختیار چننے سے پہلے بیان کریں کہ بدترین دن منسوخی کیسی دکھتی ہے۔ اگر جواب ایک ہی عمل ہو جو کئی ڈیوائسوں کو متاثر کرے، تو ڈیزائن پہلے ہی آپ کے خلاف فیصلہ کر چکا ہے۔

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

وہ مواد جانچیں جو واقعی آپ کے پاس ہے: نجی کلید موجود ہے یا نہیں، موضوع کیا کہتا ہے اور سیریل نمبر الگ سے منسوخ کیا جا سکتا ہے یا نہیں۔ کلید کے بغیر سرٹیفکیٹ فائل کچھ بھی تصدیق نہیں کر سکتی، اور اسی لیے کچھ نقل شدہ شناختیں پہلے کنکشن پر ناکام ہو جاتی ہیں۔

ٹیبلٹ سے ایپ حذف کرنا منسوخی نہیں ہے، اور جب تک کوئی اسے غیر فعال نہ کرے سرور شناخت قبول کرتا رہتا ہے۔ پہلی ڈیوائس رجسٹر کرنے سے پہلے وہ جملہ رن بک میں لکھیں۔