کیا سرور سرٹیفکیٹ چین کلائنٹ کے ٹرسٹ اسٹور کو نظر انداز کر سکتی ہے؟

براؤزر ایسی سائٹ پر سرٹیفکیٹ کی وارننگ دکھاتا ہے جس کی چین مکمل ہے، اور پہلا ردِعمل سرور کو درست کرنا ہوتا ہے۔ عام طور پر سرور وہی پیش کر رہا ہوتا ہے جو اسے کرنا چاہیے۔ کلائنٹ طے کرتا ہے کہ کون سے اینکرز قبول کرنے ہیں، اور درمیانی سرٹیفکیٹس کی کوئی ترتیب رابطے کے دوسرے سرے سے یہ فیصلہ تبدیل نہیں کر سکتی۔ سرٹیفکیٹ کے مسئلے جیسی نظر آنے والی بیشتر چیزوں کی وضاحت یہی حد کرتی ہے۔

توثیق کلائنٹ پر، کلائنٹ کے اینکرز کے ساتھ ہوتی ہے

پاتھ توثیق پیش کیے گئے سرٹیفکیٹس لیتی ہے اور توثیقی نظام کے پاس پہلے سے موجود اعتماد اینکر تک چین بناتی ہے۔ RFC 5280 اسی ماڈل کو بیان کرتا ہے، اور اینکر کے انتخاب کو سرور کے بجائے مقامی عمل درآمد کے پاس رکھتا ہے۔ ایپلیکیشن اپنی پالیسی اس کے اوپر شامل کر سکتی ہے: ایک پن شدہ کلید، ادارتی ٹرسٹ اسٹور، یا زیادہ سخت شناختی جانچ۔ سرور جو سرٹیفکیٹ فہرست بھیجتا ہے وہ اس عمل کو دیا گیا ثبوت ہے، اسے کبھی ہدایت نہیں۔

لہٰذا مکمل چین ثابت کرتی ہے کہ سرور کے پاس حصے موجود ہیں۔ یہ ثابت نہیں کرتی کہ کلائنٹ انہیں قبول کرے گا۔

یہ دیکھنے کے لیے کہ سرور واقعتاً کیا بھیجتا ہے، یہ چلائیں openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts اور آؤٹ پٹ میں سرٹیفکیٹس گنیں۔ وہاں نامکمل چین سرور کی طرف سے درستی ہے۔ مکمل چین سوال کو کلائنٹ اور اس کے اینکرز کی طرف منتقل کرتی ہے، جہاں سرور کا کوئی ووٹ نہیں۔

TLS معائنہ واقعتاً کیا بدلتا ہے

معائنہ آلہ کلائنٹ کی طرف کا TLS سیشن ختم کرتا ہے اور اصل سروس کی طرف الگ سیشن کھولتا ہے۔ پھر کلائنٹ آلے کے سرٹیفکیٹ کی توثیق کرتا ہے، جسے کلائنٹ کے قابلِ اعتماد اینکر تک چین ہونا چاہیے۔ اسی لیے زیرِ انتظام آلات ڈیوائس مینجمنٹ کے ذریعے معائنہ کی جڑ حاصل کرتے ہیں، اور اسی لیے اس کے بغیر ذاتی آلہ وارننگ دکھاتا ہے۔

یہ ترتیب دانستہ اور مقامی ہے۔ اصل سرور کی چین میں کچھ بھی غیر منتظم براؤزر کو متبادل شناخت قبول کرنے پر مجبور نہیں کر سکتا، اور اس میں کچھ بھی زیرِ انتظام آلے کو ایسا کرنے سے نہیں روکتا۔

VPN کا اختتام HTTPS ڈکرپشن نہیں ہے

VPN تہہ کلائنٹ اور گیٹ وے کے درمیان پیکٹ لے جاتی ہے۔ اسے ہٹانا، یا اس کی کنفیگریشن پڑھنا، اندر کا HTTPS پے لوڈ ظاہر نہیں کرتا۔

TLS سیشن اب بھی براؤزر اور ویب سرور کے درمیان، انہی توثیقی قواعد کے ساتھ چلتا ہے، جب تک کوئی اسے واضح طور پر ختم نہ کرے۔ دونوں تہوں کو ملانا VPN منتظم سے سرٹیفکیٹ فراہم کرنے کی درخواست پیدا کرتا ہے، حالانکہ زیرِ بحث سرٹیفکیٹ کسی معائنہ پراکسی یا خود سائٹ کا ہے۔ کوئی بھی ٹرسٹ اسٹور بدلنے سے پہلے پوچھیں کہ کون سا جزو سرٹیفکیٹ پیش کر رہا ہے۔

آپ جو جزو کنٹرول کرتے ہیں اس میں توقعات طے کریں

اگر آپ ایپلیکیشن اور اس کا کلائنٹ چلاتے ہیں، تو متوقع سروس شناخت، قبول شدہ جاری کنندگان اور پننگ یا کلائنٹ توثیق کی کوئی بھی ضرورت مل کر متعین کریں۔ تجدید اور بحالی کی ایسی منصوبہ بندی کریں کہ جائز سرٹیفکیٹ تبدیلی رکاوٹ نہ بنے۔ اگر آپ صرف عوامی سرور چلاتے ہیں، تو دستاویز کریں کہ کون سی توثیق درکار ہے اور کون سے کلائنٹ ماحول معاونت یافتہ ہیں۔ ترجیحی چین بھیجنا کسی اجنبی کے آلے کی تصدیق نہیں کرتا۔

زیرِ انتظام آلات پر، عدم مطابقت کو ایپلیکیشن اور نیٹ ورک کے مالکان کے ذریعے حل کریں۔ توثیق بند کرنا، بغیر وضاحت جڑ شامل کرنا، یا معائنہ پالیسی سے آگے نکلنے کی کوشش کرنا مطلوبہ ہم مرتبہ تعلق قائم نہیں کرتی۔

نتیجہ صاف کلائنٹ پروفائل پر جانچیں، اس مشین پر نہیں جہاں پہلے ہی استثنا شامل کیا جا چکا ہے۔ نئے آلے کو کیا تجربہ ہوگا یہ صرف یہی جانچ دکھاتی ہے۔