کیا وہ شائع شدہ OpenVPN کلید CA ہے، ہم منصب کلید ہے یا tls-auth؟

کوئی بتاتا ہے کہ VPN کلید عوامی ہے، اور یہ جملہ تین بالکل مختلف صورتیں چھپاتا ہے۔ یہ CA سرٹیفکیٹ ہو سکتا ہے جو ہر کلائنٹ کے پاس ہونا چاہیے، ایک نجی شناختی کلید جو کبھی ایک مشین سے باہر نہیں جانا چاہیے تھی، یا ایک مشترکہ کنٹرول چینل راز جو دونوں سروں کو رکھنا ہے۔ مرمت، فوری ضرورت اور نقصان کا دائرہ ہر صورت میں مختلف ہے، اس لیے پہلا کام درجہ بندی ہے، عمل نہیں۔ درجہ غلط ہو تو ہر اگلا قدم بیکار محنت ہے۔

فائل کے نام سے نہیں، ہدایت سے شروع کریں

فعال ترتیب پڑھیں اور دیکھیں کون سی ہدایت متعلقہ مواد کی طرف اشارہ کرتی ہے۔ OpenVPN کے TLS اختیارات قابلِ اعتماد سرٹیفکیٹ مواد کے لیے ca، مقامی ہم منصب کے سرٹیفکیٹ کے لیے cert اور اس سے متعلق نجی کلید کے لیے key استعمال کرتے ہیں۔

فائل کے نام کچھ ثابت نہیں کرتے۔ key.pem نامی فائل میں سرٹیفکیٹ ہو سکتا ہے، اور پروفائل میں شامل بلاک میں ڈسک کی الگ فائل جیسی ہی وہی چیز ہو سکتی ہے۔ نام پر بھروسا کرنے کے بجائے فائل کھولیں اور اس کا ہیڈر دیکھیں۔ یہی ایک جانچ رپورٹ کی بیشتر ابہام دور کرتی ہے۔

اگر پروفائل PKCS#12 بنڈل ہے تو اسے کنٹرول شدہ جگہ پر کھولیں تاکہ دیکھ سکیں اس میں واقعی کیا ہے۔ ایک بنڈل میں سرٹیفکیٹ، اس کی زنجیر اور نجی کلید ہو سکتی ہے، یعنی بنڈل کا اخراج تینوں کا اخراج ہے۔

کسی کے فائل بدلنے سے پہلے درجہ بندی لکھ لیں: چیز، ہدایت، کون سے ہم منصب اسے رکھتے ہیں اور کون اسے پڑھ سکتا ہے۔ باقی سارا جواب اسی جملے پر منحصر ہے۔

CA سرٹیفکیٹ اشتراک کے لیے بنایا گیا ہے

عوامی CA سرٹیفکیٹ بھروسے کا مواد ہے۔ کلائنٹ کو سرور کی تصدیق کے لیے یہ درکار ہوتا ہے، اور اس کی تقسیم عام صورت ہے، واقعہ نہیں۔ اسے شائع کرنے سے CA کی نجی دستخطی کلید شائع نہیں ہوتی، اور حملہ آور کو نئی شناختیں بنانے کی سہولت دینے والی چیز وہی ہے۔

یہ فرق ٹکٹ میں واضح لکھنے کے قابل ہے، کیونکہ دونوں کو مسلسل ملایا جاتا ہے۔ جس سوال کا جواب دینا ہے وہ یہ ہے کہ خارج شدہ فائل سرٹیفکیٹ ہے یا دستخطی کلید، اور فائل کے مواد پر ایک نظر اسے طے کر دیتی ہے۔ سرٹیفکیٹ میں عوامی کلید اور دستخط ہوتے ہیں؛ دستخطی کلید اس میں بالکل نظر نہیں آتی۔

تقسیم کو اب بھی احتیاط چاہیے۔ کلائنٹ کو سرٹیفکیٹ منظور شدہ پروفائل ترسیل کے راستے سے ملنا چاہیے، کسی پیسٹ سائٹ سے نہیں، اور غیر قابلِ اعتماد راستے سے آنے والا سرٹیفکیٹ راستے میں بدلا جا سکتا ہے۔

ہم منصب کلید اور tls-auth راز ایک نہیں ہیں

ہم منصب کی نجی کلید شناختی مواد ہے۔ اس کے نقل ہونے کے بعد سرور مطلوبہ آلے کو نقل رکھنے والے کسی بھی شخص سے الگ نہیں پہچان سکتا، کیونکہ ظاہر کی جانے والی خاصیت ہی مخصوص قبضہ تھی۔ اجازت جاری رکھنا اور تبدیلی VPN مالک کے فیصلے ہیں، فائل پانے والے کے نہیں۔

tls-auth راز تیسری چیز ہے۔ یہ کنٹرول چینل کے پیکٹوں کے گرد HMAC تصدیق شامل کرتا ہے تاکہ غلط تصدیق شدہ پیکٹ TLS تبادلے سے پہلے ہی خارج ہو جائیں، اور یہ نہ ہم منصب کی نجی کلید ہے اور نہ ایپلیکیشن ڈیٹا کو خفیہ کرنے والی کلید۔

اگر وہ مشترکہ راز عوامی ہے تو اس نے جو رکاوٹ دی تھی وہ اسے رکھنے والے ہر شخص کے لیے چلی گئی۔ اس سے یہ لازم نہیں آتا کہ ہر رکھنے والا اس کے پیچھے کی سرٹیفکیٹ اور صارف جانچ پاس کرتا ہے، اسی لیے درجہ بندی انتباہ کی سطح سے زیادہ اہم ہے۔ بتائیں کون سی رکاوٹ گری، اور بتائیں کون سی باقی ہیں۔

جو کردار خارج ہوا اس کی مرمت کریں، پڑوسی کی نہیں

فائل کا نام بدل کر یا ڈاؤن لوڈ لنک چھپا کر مشترکہ راز کو دوبارہ نجی نہیں بنایا جا سکتا۔ تبدیلی کا مطلب نیا قدر بنا کر ہم آہنگ تبدیلی میں ہر ہم منصب تک پہنچانا ہے، اور صرف ایک طرف بدلنے سے پرانا قدر رکھنے والے سب کا انتظام ٹوٹ جاتا ہے۔

اگر ہم منصب کی شناخت بے نقاب ہوئی ہے تو اس شناخت کے لیے آپریٹر کی منسوخی اور دوبارہ اندراج کا عمل استعمال کریں۔ کسی غیر متعلق اکاؤنٹ کا پاس ورڈ بدلنے سے نقل شدہ سرٹیفکیٹ باطل نہیں ہوتا، اور tls-auth فائل بدلنے سے بھی نہیں۔

ان میں سے کسی پر بھروسا کرنے سے پہلے تصدیق کریں کہ تعینات سرور واقعی کیا نافذ کرتا ہے۔ جو منسوخی فہرست تازہ نہیں ہوتی، یا جو کردار جانچ بندش کے دوران بند کر دی گئی تھی، وہ جواب بالکل بدل دیتی ہے۔ ذخیرے کی نقل نہیں، چلتی ترتیب پڑھیں۔

گزشتہ ٹریفک کا اس کی اپنی شرائط پر جائزہ لیں

بے نقاب فائل خود نہیں بتاتی کہ پہلے پکڑے گئے سیشن ڈکرپٹ کیے جا سکتے ہیں یا نہیں۔ یہ کلید کے قیام کے طریقے، بے نقاب مواد اور اس پر منحصر ہے کہ کون سے ریکارڈ موجود ہیں، اور «ساری ٹریفک چلی گئی» اور «کچھ نہیں ہوا» دونوں ان حقائق کے بغیر اندازے ہیں۔

یہ پوچھتے ہوئے کہ اسناد کس درجے میں ہیں، اس کی ایک اور نقل شائع نہ کریں۔ اس کے بجائے منظور شدہ معاونت کے راستے سے ہدایات کے نام اور غیر خفیہ میٹا ڈیٹا شیئر کریں۔

مفید نتیجہ چیز، اس کا کردار، ضائع ہونے والا تحفظ اور مطلوبہ ہم آہنگ اقدام بتاتا ہے۔ اس سے مختصر ہر چیز سرخی ہے، جائزہ نہیں۔