OCSP کی رازداری: جواب دہندہ سرٹیفکیٹ دیکھتا ہے، آپ کا URL نہیں

حالت کی جانچ ایک سرٹیفکیٹ کے بارے میں ایک سوال پوچھتی ہے، اور جواب اپنے ہی کنکشن پر سفر کرتا ہے۔ اس میں اس صفحے کا راستہ نہیں ہوتا جس نے جانچ تک پہنچایا۔ رازداری کی بحثیں اکثر اس تبادلے کو براؤزنگ تاریخ کی فیڈ سمجھتی ہیں، جو درخواست جو کچھ اٹھاتی ہے اسے بڑھا چڑھا کر دکھاتی ہے اور جواب دہندہ جو دیکھ سکتا ہے اسے کم آنکتی ہے۔ یہ کیا ظاہر کرتی ہے یہ طے کرنے سے پہلے درخواست پڑھیں۔

درخواست ایک سرٹیفکیٹ کی شناخت کرتی ہے

OCSP سرٹیفکیٹ شناخت کنندہ ایک ہیش فنکشن، جاری کنندہ کے دو ہیش اور ہدف سرٹیفکیٹ کے سیریل نمبر سے بنایا جاتا ہے، جیسا کہ RFC 6960 میں بیان کیا گیا ہے۔ ہر فیلڈ ایک سرٹیفکیٹ کی طرف اشارہ کرتا ہے، URL یا HTTP درخواست کی طرف نہیں۔

صفحے کا راستہ، کوئری اسٹرنگ اور کوئی بھی فارم مواد معیاری شناخت کنندہ میں نہیں ہوتا۔ یہ دعویٰ کہ جواب دہندہ کو درست URL ملتا ہے، سرٹیفکیٹ جانچ کے علاوہ کہیں اور سے ثبوت مانگتا ہے۔ درخواست اب بھی ایک سرٹیفکیٹ اور ایک لمحے کا نام لیتی ہے، اور جواب دہندہ جان سکتا ہے کہ کون سی خدمت اسے پیش کرتی ہے۔

جو غائب ہے وہ صفحہ ہے، پورا سیاق نہیں۔ سرٹیفکیٹ جانچ کے ساتھ جانا پہچانا خدمت اور دہرایا جانے والا ماخذ ان میں سے کسی ایک سے زیادہ معلومات دے سکتے ہیں۔

جواب دہندہ حقیقت میں کیا دیکھ سکتا ہے

جواب دہندہ وہ کنکشن دیکھتا ہے جو اس تک پہنچتا ہے: ماخذ پتہ، وقت اور اس کی تعیناتی جو بھی ٹرانسپورٹ میٹاڈیٹا ریکارڈ کرتی ہے۔ اگر حالت کی درخواست VPN کی پیروی کرتی ہے تو وہ ماخذ صارف کے رسائی نیٹ ورک کی بجائے VPN کا اخراج ہو سکتا ہے۔ صرف اس لیے نہ مانیں کہ حالت کی درخواست صفحے کی درخواست جیسا ہی راستہ لیتی ہے کہ دونوں ایک ہی براؤزر سیشن کے ہیں۔

ایک ہی ٹریس سے اندازہ لگانے کی بجائے کلائنٹ کی معاون روٹنگ اور تصدیقی رویّہ جانچیں۔ منقسم ٹنل دونوں درخواستیں مختلف سمتوں میں بھیج سکتا ہے۔

اسٹیپل شدہ جواب دوسرا عام نمونہ ہے۔ RFC 6066 کی TLS status_request توسیع سرور کو اپنے ہی ہینڈ شیک کے ساتھ OCSP جواب منسلک کرنے دیتی ہے، اس لیے کلائنٹ اس کنکشن کے لیے خود حالت لانے کی بجائے دیا گیا تصدیق کرتا ہے۔ یہ تبدیلی مشاہد کرنے والے کو بدل دیتی ہے۔ لانا سرور کی طرف کرتا ہے، اور کلائنٹ کا اپنا پتہ اس کنکشن کے لیے کبھی جواب دہندہ تک نہیں پہنچتا۔

حالت ہینڈ شیک میں اسٹیپل ہو کر آ سکتی ہے

ان میں سے کوئی بھی ضمانت نہیں دیتا کہ کلائنٹ کبھی کوئی اور تصدیقی درخواست نہیں کرے گا۔ چین کی تعمیر، حالت کی پالیسی اور معاون طریقے عمل درآمد کے مطابق مختلف ہوتے ہیں۔

ایک براؤزر میں سرٹیفکیٹ دیکھنے والا ہر آپریٹنگ سسٹم اور VPN کلائنٹ کی وضاحت نہیں ہے۔ ایک ہی نیٹ ورک کیپچر مختلف تصدیقی ترتیبات کے تحت مختلف معنی رکھ سکتا ہے۔

کیشنگ ایک صفحہ ایک تلاش کے مفروضے کو توڑ دیتی ہے

کیشنگ صفحے کے لوڈ کو تلاشوں سے الگ کرتی ہے۔ براؤزر کسی جواب کو کچھ عرصے کے لیے دوبارہ استعمال کر سکتا ہے، اس لیے ایک صفحہ دیکھنے کا مطلب ایک نیٹ ورک درخواست نہیں۔

الٹی غلطی بھی اتنی ہی عام ہے۔ کیش شدہ جواب یہ نہیں بتاتا کہ اگلا ریفریش کب ہوگا، اور ریفریش کا شیڈول کھلنے والے صفحے سے غیر متعلق ہو سکتا ہے۔ کسی کیپچر کو OCSP سے منسوب کرنے سے پہلے کلائنٹ کی موجودہ دستاویزات اور نافذ تصدیقی پالیسی استعمال کریں۔

درست حالت کا جواب تصدیق کرنے والے کے اصلیت اور تازگی کے قواعد پورے کرے، اور HTTP 200 اچھی حالت کے برابر نہیں۔ وقت کا ختم ہونا منسوخی نہیں۔ یہ نتائج مختلف کلائنٹ رویّے کی طرف لے جاتے ہیں اور انہیں ایک غلطی میں نہیں ملانا چاہیے۔

رازداری کے وہ انتخاب جو تصدیق کو برقرار رکھتے ہیں

جہاں تلاش خود حساس ہے، وہاں سسٹم کے مالک کے ساتھ معاون ترسیل اور کیشنگ کے اختیارات پر بات کریں۔ منسوخی کی جانچ یا چین کی تصدیق بند کر کے اسے حل نہ کریں۔

زیادہ خاموش ٹریس زیادہ محفوظ کنکشن نہیں۔ ہم منصب کی شناخت، چین کی تصدیق اور مطلوبہ منسوخی پالیسی کو برقرار رکھیں، اور ترسیل کا راستہ صرف اسی اختیار سے بدلیں جسے تعیناتی معاونت دیتی ہے۔ درج کریں کہ کون سا اختیار منتخب ہوا اور اس کا مالک کون ہے۔

جب کوئی تلاش غیر متوقع طور پر ظاہر ہو تو وصول کنندہ، راستہ اور سرٹیفکیٹ کی کارروائی الگ الگ نام دیں۔ جاری کنندہ سے ڈاؤن لوڈ، حالت کی استفسار اور صفحے کی درخواست تین واقعات ہیں۔ انہیں ایک سمجھنا رازداری کے جائزے کو غلط کرتا ہے اور چھپاتا ہے کہ کس فریق نے واقعی کچھ سیکھا۔ پروٹوکول کے فیلڈز سے شروع کریں اور باہر کی طرف نیٹ ورک راستے تک بڑھیں۔