سائٹ آپ کو صرف VPN آن ہونے پر بلاک کرتی ہے؟ یہی ہے جو وہ دیکھتی ہے
بلاک عام طور پر ایگزٹ پتہ ہوتا ہے، لیک نہیں۔ جس نیٹ ورک سے آپ کا ٹریفک آتا دکھتا ہے، وہ ریزولور جو سائٹ لاگ کر سکتی ہے، اور صفحے کا کوڈ کیا جانتا ہے، یہ جانچیں۔
دکان گھر پر ٹھیک لوڈ ہوتی ہے اور سرنگ بلند ہوتے ہی «غیر معمولی ٹریفک» کی دیوار دکھاتی ہے۔ ایک فورم آپ کو لاگ ان کرنے سے انکار کرتا ہے، اور ایک اسٹریمنگ صفحہ اصرار کرتا ہے کہ آپ ایسے ملک میں ہیں جہاں کبھی نہیں گئے۔ ان میں سے کسی کے لیے جاسوس سافٹ ویئر درکار نہیں۔ سائٹ وہ پتہ دیکھتی ہے جہاں سے آپ کے پیکٹ آتے ہیں، اور VPN کے ساتھ وہ پتہ گھر کی لائن کا نہیں، ڈیٹا سینٹر کا ہوتا ہے۔ VPN ڈیٹیکشن کہی جانے والی زیادہ تر چیز اسی ایک حقیقت سے شروع اور ختم ہوتی ہے، اور باقی اندازہ ہے جس کی غلطی کی شرح پہلے سے معلوم ہے۔
بلاک وہاں سے شروع ہوتا ہے جہاں سے آپ کے پیکٹ آتے دکھتے ہیں
ہر درخواست ایک ماخذ پتہ رکھتی ہے، اور اسے وصول کرنے والا سرور اسے عوامی ڈیٹا میں تلاش کر سکتا ہے: کون سا نیٹ ورک اس کا اعلان کرتا ہے، وہ نیٹ ورک ہوسٹنگ فراہم کنندہ ہے یا نہیں، یہ بدسلوکی کی فہرستوں میں آیا ہے یا نہیں، اور رجسٹری کون سا ملک تفویض کرتی ہے۔ ان میں سے کوئی بھی آپ کی شناخت نہیں کرتا، اور یہ سب مل کر آپ کو ایک زمرے میں رکھنے کے لیے کافی ہے۔
اپنے ٹریفک کو اجنبی کی نظر سے دیکھیں۔ دو کمانڈز بیشتر سطح ڈھانپ لیتی ہیں، اور دوسری وہ ہے جو لوگ بھول جاتے ہیں:
curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.comپہلی ایگزٹ پتہ، اس کی تنظیم اور ملک واپس دیتی ہے۔ دوسری اس ریزولور کا پتہ واپس دیتی ہے جو Google کے نام سرور تک پہنچا؛ یہ اکثر آپ کے ایگزٹ سے مختلف نیٹ ورک کا ہوتا ہے، اور یہی وہ پتہ ہے جو سائٹ دیکھتی ہے اگر وہ ریزولور کی طرف کا ڈیٹا لاگ کرے۔ جب یہ دونوں مختلف ملکوں کے ہوں، تو کچھ سائٹیں اس عدم مطابقت کو مشکوک سمجھتی ہیں، اگرچہ آپ کی ترتیب میں کچھ بھی غلط نہ ہو۔
جب انکار سرنگ بلند ہونے کے بعد ہی شروع ہو، تو سب سے پہلے ایگزٹ پتے پر شبہ کریں۔ براؤزر کو چھونے سے پہلے سرور بدلیں اور دوبارہ کوشش کریں۔ وہ بلاک جو ایک ہی فراہم کنندہ کے تین ایگزٹ پر آپ کا پیچھا کرے، فراہم کنندہ کی حدود سے متعلق ہے؛ وہ بلاک جو دوسرے سرور پر غائب ہو جائے، اسی ایک پتے سے متعلق ہے۔
ٹائم زون، زبان اور گھڑی پتے سے مطابقت نہیں رکھتے
صفحے کا کوڈ کسی اجازت کی درخواست کے بغیر آپ کا ٹائم زون، زبان کی ترجیحات اور اسکرین کی ترتیبات پڑھ سکتا ہے۔ ایک براؤزر وسطی یورپی وقت بتائے جبکہ کنکشن سنگاپور کے ڈیٹا سینٹر سے آ رہا ہو، تو یہ صرف پتے سے زیادہ مضبوط اشارہ ہے، اور اسی طرح کی عدم مطابقت کو نوٹ کرنے کے لیے دھوکہ دہی کی اسکورنگ بنائی گئی ہے۔
Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().localeڈویلپر کنسول کی وہ تین سطریں بتاتی ہیں کہ آپ کا براؤزر رضاکارانہ طور پر کیا دیتا ہے۔ VPN کلائنٹ صرف آپ کا راستہ بدل سکتا ہے، اور کچھ نہیں، اس لیے آپ جو پروفائل اٹھائے پھرتے ہیں وہ ملکی ہی رہتا ہے جبکہ آپ کا ایگزٹ ایسا نہیں۔ یہاں اہم چیز تسلسل ہے: ایگزٹ جیسے ہی علاقے پر سیٹ لیپ ٹاپ عام دکھتا ہے، اور جو خود سے متصادم ہو وہ ایسا نہیں دکھتا۔
ناکامی وقفے وقفے سے ہونے کی وجہ بھی یہی ہے۔ بہت سی سائٹیں پروا نہیں کرتیں، چند اسے اسکور کرتی ہیں، اور ایک رکنیت والی سائٹ فیصلہ کرتی ہے کہ آپ دھوکے باز ہیں۔ کلائنٹ تینوں صورتوں میں درست کام کر رہا ہے، اسی لیے «یہ ضرور آپ کا براؤزر ہوگا» والا عام سپورٹ جواب بیک وقت چڑچڑا کرنے والا اور جزوی طور پر سچ ہے۔
صفحے کا کوڈ آپ کی مشین کے بارے میں واقعی کیا جانتا ہے
JavaScript میں نیٹ ورک انٹرفیس کی فہرست دینے والا کوئی API نہیں۔ صفحہ یہ نہیں پوچھ سکتا کہ آپ کے لیپ ٹاپ کے پاس کون سے پتے ہیں، اس لیے یہ پرانا دعویٰ کہ اسکرپٹ آپ کا LAN پتہ پڑھتی ہے، زیادہ تر پلگ ان دور کی یاد ہے، جب ActiveX کنٹرولز، Java ایپلٹس اور دیگر مقامی کوڈ بالکل یہی کر سکتے تھے۔
| Signal | What it reveals | Status today |
|---|---|---|
| Source address of the request | Exit network, country, hosting status | Always visible; the main signal |
| Time zone and language | Where the profile claims to be | Readable without permission |
| WebRTC candidates | Local addresses, historically | Host candidates are mDNS-obfuscated by default |
| Interface list | All local addresses | Not available to ordinary JavaScript |
«کوئی مقامی پتہ لیک نہیں» کے اصول کا WebRTC ایماندار استثنا ہے۔ اس کی امیدواروں کی جمع آوری ایک زمانے میں ہر پوچھنے والے صفحے کو مقامی پتے دکھا دیتی تھی، اور حل یہ تھا کہ ہوسٹ امیدواروں کو بے ترتیب mDNS ناموں سے بدل دیا جائے۔ وہ ڈیفالٹ موجودہ براؤزرز میں لاگو ہے، لیکن یہ پروٹوکول کی ضمانت نہیں، براؤزر کا فیصلہ ہے، اس لیے پرانا بلڈ یا مقامی امیدوار دوبارہ فعال کرنے والی سخت ترتیب اب بھی لیک کر سکتی ہے۔ یہاں کسی بھی ایکسٹینشن سے زیادہ براؤزر اپ ڈیٹ کرنا آپ کی مدد کرتا ہے۔
آپ کا فراہم کنندہ نام دیکھتا ہے، مواد نہیں
HTTPS صفحے کے مواد کو سرے سے سرے تک محفوظ رکھتا ہے، اور ان بائٹس کو آگے بھیجنے والا سرنگ آپریٹر انہیں پڑھ نہیں سکتا۔ آپریٹر اب بھی دیکھ سکتا ہے کہ آپ نے کس پتے سے رابطہ کیا، اور زیادہ تر تعیناتیوں میں ہینڈ شیک میں سرور کا نام بھی، کیونکہ کنکشن کو صحیح سائٹ پر روٹ ہونے کے لیے نام پڑھنے کے قابل ہونا چاہیے۔ Encrypted Client Hello بالکل اسی فیلڈ کو چھپانے کے لیے ہے، اور یہ صرف اس وقت مدد کرتا ہے جب کلائنٹ اور سائٹ دونوں اس کی حمایت کریں۔
نام کا حل دوسرا نصف ہے۔ اگر آپ کا فراہم کنندہ ریزولور بھی دیتا ہے، تو کسی بھی کنکشن سے پہلے آپ جو بھی نام تلاش کرتے ہیں وہ دیکھتا ہے۔ اگر آپ کا آلہ HTTPS کے ذریعے عوامی ریزولور استعمال کرتا ہے، تو فراہم کنندہ صرف اس ریزولور سے کنکشن دیکھتا ہے اور کچھ نہیں، جبکہ فہرست خود ریزولور دیکھتا ہے۔
غیر خفیہ HTTP درخواست آپریٹر کے لیے پڑھنے کے قابل ہے، اسی وجہ سے جو ہوٹل نیٹ ورک کے لیے پڑھنے کے قابل ہے: اس کے اندر کچھ بھی خفیہ نہیں۔ سرنگ نے کبھی الٹا دعویٰ نہیں کیا، اور یہ ایپلیکیشن کی پسند درست نہیں کرتی۔
«یہ VPN ہے» اور «یہ میں ہوں» کو الگ کریں
شناخت سستی، امکانی اور اکثر غلط ہوتی ہے۔ مشترکہ ایگزٹ پتے اس لیے نشان زد ہوتے ہیں کہ کسی اور نے ان کا غلط استعمال کیا، کارپوریٹ حدود کو ہوسٹنگ کے طور پر درجہ بند کیا جاتا ہے، اور موبائل آپریٹر ایسے جغرافیائی نتائج دیتے ہیں جو سب کو حیران کرتے ہیں۔ شناخت ایک اور مسئلہ ہے: اسے مستقل ربط چاہیے، جیسے وہ اکاؤنٹ جس میں آپ سائن ان ہیں، کوکی، ادائیگی کی تفصیل، یا دو مشاہدہ کرنے والے جو نوٹ ملائیں۔
فیصلہ کریں کہ آپ واقعی کس سے لڑ رہے ہیں۔ اگر مقصد صفحہ پڑھنا ہے، HTTPS وہ کام پہلے ہی کرتا ہے اور سرنگ تھوڑا بہت بدلتی ہے۔ اگر مقصد سائٹ کو یہ جاننے سے روکنا ہے کہ آپ کس شہر میں ہیں، تو ایگزٹ اور ریزولور اہم ہیں۔ اگر مقصد اپنی اصل شناخت سے ربط توڑنا ہے، تو کمزور جگہ اکاؤنٹ ہے، اور سرور بدلنے سے اس لاگ ان پر کچھ نہیں ہوتا جو آپ نے ابھی استعمال کیا۔
نیا ایگزٹ آپ کو کسی چیز سے لاگ آؤٹ نہیں کرتا، اور آپ کے استعمال کردہ اکاؤنٹ کے بارے میں سائٹ نے پہلے سے جو محفوظ کیا ہے اسے مٹا نہیں سکتا۔ اسی لیے عملی ترتیب بھڑک دار نہیں: ایسا ایگزٹ چنیں جس کا نیٹ ورک عام دکھے، براؤزر پروفائل اس کے مطابق رکھیں، براؤزر اپ ڈیٹ کریں تاکہ لیک ہونے کی حساسیت والی خصوصیات اپنے جدید ڈیفالٹ استعمال کریں، اور مان لیں کہ چند سائٹیں اب بھی آپ کے بارے میں غلط اندازہ لگائیں گی۔