لیک ہوئی VPN کلید بدلنا: سرور کو کیا کرنا چاہیے

کلائنٹ کلید والا لیپ ٹاپ گم ہو گیا، اور پہلا قدم عام طور پر مقامی نقل حذف کرنا ہوتا ہے۔ اس سے سرور پر کچھ نہیں بدلتا، جس کے پاس اب بھی ایسی اجازت ہے جو اس کلید کو قبول کرے گی جب تک کوئی اسے نہ ہٹائے۔ تبدیلی دو کارروائیاں ہیں، اور صرف دوسری پرانے اسناد سے متعلق ہے۔

مقامی نقل اختیار نہیں ہے

VPN اسناد اس لیے قبول کی جاتی ہیں کیونکہ سرور کی طرف کی ترتیب ایسا کہتی ہے۔ سرٹیفکیٹس کے لیے اس کا مطلب ہے کہ سرٹیفکیٹ کسی قابل اعتماد جاری کنندہ سے جڑتا ہے اور اس منسوخی فہرست میں نہیں آتا جسے گیٹ وے دیکھتا ہے۔ WireGuard کے لیے اس کا مطلب ہے کہ ہم منصب کی عوامی کلید انٹرفیس ترتیب میں آتی ہے۔ کلائنٹ پر فائل حذف کرنے سے کسی راز کی ایک نقل ہٹتی ہے اور قبولیت کا قاعدہ اچھوتا رہتا ہے۔

اسی لیے چوری شدہ کلید واضح صفائی کے بعد بھی کام کرتی رہتی ہے، اور اسی لیے نئی ترتیب نصب ہونے کے بعد بھی واقعہ حل نہ ہونے جیسا محسوس ہوتا ہے۔

سرور کے قاعدے سے شروع کریں، پھر کلائنٹ کی طرف باہر کی جانب کام کریں۔

سرٹیفکیٹس: فیصلہ سرور کے پاس ہے

تبدیلی جاری کنندہ کے اپنے عمل کے ذریعے جاری کریں تاکہ نئی شناخت درج ہو، پھر پرانی کو دستخط شدہ منسوخی کے ساتھ واپس لیں۔ گیٹ وے کو اس منسوخی ماخذ کی جانچ کے لیے ترتیب دیا جانا چاہیے، اور اسے دوبارہ لوڈ کرنا ہوگا، ورنہ فائل ڈسک پر پڑی رہتی ہے جبکہ ٹنل پرانی سیریل نمبر قبول کرتی رہتی ہے۔ فعال سیشنز دوبارہ مذاکرات تک بھی زندہ رہ سکتے ہیں، اس لیے دوبارہ جڑنے کی منصوبہ بندی کریں۔

تصدیق کریں کہ تبدیلی مطلوبہ ایپلیکیشن کے لیے کام کرتی ہے، پھر منظور شدہ عمل کے ذریعے تصدیق کریں کہ ریٹائر شدہ سرٹیفکیٹ اب رسائی قائم نہیں کرتا۔

یہ دو مختلف جانچیں ہیں اور دونوں ضروری ہیں۔ RFC 5280 وہ سرٹیفکیٹ اور منسوخی معانی بیان کرتا ہے جن پر گیٹ وے انحصار کرتا ہے۔

WireGuard: ہم منصب کی کلید ہی شناخت ہے

WireGuard میں سرٹیفکیٹ کی پرت نہیں ہے: ہم منصب کی عوامی کلید ہی شناخت ہے، اور سرور کی allowed-ips اندراج ہی اجازت ہے۔ انٹرفیس ترتیب سے پرانا ہم منصب ہٹانا ہی منسوخی ہے، اور یہ نئی مصافحوں پر فوراً لاگو ہوتی ہے۔

موجودہ سیشن اگلی مصافحہ ناکام ہونے پر ختم ہوتے ہیں، جو عام طور پر فوراً نہیں بلکہ چند منٹوں میں ہوتا ہے۔

نئی ترتیب ایسے چینل سے تقسیم کریں جسے آپ پاس ورڈ سونپنا مناسب سمجھیں، کیونکہ نجی کلید ہی اسناد ہیں۔ ہر ڈیوائس کے لیے ایک کلید رکھیں، تاکہ ایک گم شدہ ڈیوائس ہر ڈیوائس کو بدلنے پر مجبور نہ کرے۔

اس بنڈل میں اور کیا تھا

کلائنٹ بنڈل اکثر نجی کلید سے زیادہ لے کر چلتا ہے: ایک جامد TLS کلید، صارف نام اور پاس ورڈ، پہلے سے مشترکہ راز یا پروویژننگ ٹوکن۔ واقعے کو اسی تک محدود رکھیں جو واقعی بے نقاب ہوا اور ان اشیاء کو بھی بدلیں۔ سرٹیفکیٹ بدلتے وقت مشترکہ جامد کلید چھوڑ دینا ایک دروازہ بند اور دوسرا کھلا چھوڑنا ہے۔

اگر بنڈل ڈیوائسز کے درمیان مشترک تھا، تو اسے اٹھانے والی ہر ڈیوائس وہ بے نقابی ورثے میں پاتی ہے۔

کیا بدلا گیا لکھ لیں، کیونکہ اگلا آڈٹ پوچھے گا۔

انکار ثابت کریں، پھر تبدیلی درج کریں

تبدیلی تب مکمل ہوتی ہے جب دو حقائق قائم رہیں: نئی شناخت مطلوبہ سروس کے لیے کام کرتی ہے، اور پرانی مسترد ہوتی ہے۔ دوسرے کو ریٹائر شدہ اسناد کے ساتھ جانچ کے ماحول سے، یا تنظیم کی منظور کردہ کنٹرول شدہ کوشش سے جانچیں، اور گیٹ وے لاگ پڑھ کر تصدیق کریں کہ انکار پالیسی سے آیا ہے، ٹائپنگ کی غلطی سے نہیں۔ پھر پرانا شناخت کنندہ، نیا اور تبدیلی کا وقت درج کریں، کیونکہ آڈیٹر کو اسے دوبارہ بنانے کے لیے یہی تین قدریں درکار ہوتی ہیں۔ ٹکٹ میں اور کچھ بھی اس خلا کی وضاحت نہیں کرے گا۔

نجی کلیدیں ٹکٹوں اور چیٹ سے باہر رکھیں، اور پالیسی کے مطابق ذخیرے اور بیک اپ سے فرسودہ ایکسپورٹ ہٹائیں۔

انکار کی جانچ کے بغیر تبدیلی ایک مفروضہ ہے، حل نہیں۔