SSH کلید کا پاس فریز فائل کی حفاظت کرتا ہے، راستے کی نہیں

پرانے لیپ ٹاپ کی بیک اپ ڈرائیو میں اب بھی نجی SSH کلید موجود ہے، اور کوئی پوچھتا ہے کہ کیا VPN اس کی حفاظت کرتا ہے۔ نہیں کرتا، اور کبھی نہیں کیا۔ VPN دو نیٹ ورکس کے درمیان راستے کی حفاظت کرتا ہے؛ پاس فریز فائل کی حفاظت کرتا ہے؛ ایجنٹ چل رہے سیشن کی حفاظت کرتا ہے۔ تین مختلف طریقے، ناکامی کے تین مختلف انداز، اور چوری شدہ نقل صرف پہلے دو کی پرواہ کرتی ہے۔

پاس فریز فائل کا ہے

SSH کلید کا پاس فریز آرام کی حالت میں نجی کلید کے مواد کو خفیہ کرتا ہے۔ یہ سرور کو بھیجا جانے والا اکاؤنٹ پاس ورڈ نہیں ہے، اور نہ ہی VPN میں شامل ہونے کے لیے استعمال ہونے والی اسناد ہیں۔ ان دونوں کو ملانا ایسی تبدیلیوں کی طرف لے جاتا ہے جو افشا کو حل نہیں کرتیں۔

OpenSSH کی ssh-keygen دستاویز پاس فریز کے انتظام کو محیط ہے، بشمول -p سوئچ جو پہلے سے موجود کلید پر نیا پاس فریز مقرر کرتا ہے۔

موجود کلید کے لیے حکم کی شکل سادہ ہے، اور یہ فائل کو دوبارہ لکھتا ہے:

ssh-keygen -p -f ~/.ssh/id_ed25519

کلید کے مالک کی منظور شدہ دیکھ بھال اور بحالی کا طریقہ استعمال کریں، کیونکہ یہ لکھائی ہے، معائنہ نہیں۔ نجی فائل شائع نہ کریں اور مشترکہ کمانڈ لائن پر حقیقی پاس فریز نہ رکھیں۔ پاس فریز بدلنے سے پہلے لی گئی نقل دوبارہ خفیہ نہیں ہوتی۔ پرانی نقل کی جگہ ٹکٹ میں درج کریں تاکہ مالک فیصلہ کر سکے کہ اسے تباہ کرنا ہے یا نہیں۔

نقل لیپ ٹاپ اور سرنگ سے زیادہ عرصہ زندہ رہتی ہے

کلید کی فائل کی نقل بننے کے بعد لیپ ٹاپ کا فعال VPN کنکشن اس کے بارے میں کچھ نہیں کہتا۔ اہم بات یہ ہے کہ فائل خود کتنی اچھی طرح محفوظ ہے، اور کون سے سرور اب بھی ملتی جلتی عوامی کلید پر بھروسہ کرتے ہیں۔

موجودہ فائل پر پاس فریز بدلنے سے نقل کو چھو نہیں لگتا، اور سرور پر authorized_keys سے وہی عوامی کلید ہٹتی نہیں۔ منسوخی اور دوبارہ خفیہ کاری الگ الگ عمل ہیں۔

لہٰذا لیک ہونے والی نجی کلید کو نیٹ ورک کا واقعہ نہیں، شناخت کا واقعہ سمجھیں۔ قبول شدہ کلید کو ان سرورز اور اندراج کے عمل کے ذریعے ہٹائیں یا بدلیں جو اس کے مالک ہیں۔ VPN روکنا ایک لمحے میں ایک راستہ محدود کرتا ہے؛ یہ منسوخی نہیں ہے۔

قفل کھولنا راز کو ایجنٹ میں منتقل کرتا ہے

ایجنٹ بعد کی توثیق کے لیے غیر خفیہ شدہ شناختیں رکھتا ہے، تاکہ صارف ہر کنکشن پر پاس فریز دوبارہ نہ لکھے۔ یہ اپنی حفاظتی حد والی سہولت ہے۔

ssh-agent اپنے -t اختیار کے ذریعے محدود کر سکتا ہے کہ کوئی شناخت کتنی دیر لوڈ رہے، اور ہر شناخت کی ترتیب اس حد سے تجاوز کر سکتی ہے۔ VPN منقطع ہونے پر ہر لوڈ شدہ کلید بھول جاتی ہے یہ ماننے کے بجائے اُس ایجنٹ کے لیے پالیسی چنیں جو آپ واقعی چلاتے ہیں۔

کلید کھلنے کے بعد متاثر ہونے والا عمل چوری شدہ خفیہ فائل سے الگ مسئلہ ہے۔ ایجنٹ کو دوسرے ہوسٹ پر بھیجنا کلید کی فائل نقل کیے بغیر توثیق کی صلاحیت سونپتا ہے، اس لیے اسے صرف منظور شدہ ضرورت کے لیے فعال کریں۔

تبدیلی سے پہلے اور بعد میں فہرست بنائیں کہ ایجنٹ کے پاس ابھی کیا ہے:

ssh-add -l

بغیر نگرانی والے کاموں کو اپنا منصوبہ درکار ہے

شیڈول شدہ کام کسی مطالبے کا جواب نہیں دے سکتا۔ اسے مشین کی اسناد کا منظور شدہ انتظام درکار ہے، اور قفل کھولنے کا راز کلید والی اسی ڈائریکٹری میں، اسی اکاؤنٹ کے لیے پڑھنے کے قابل رکھنا دوسری حد پیدا نہیں کرتا۔

معاونت یافتہ راز کی ترسیل یا ہارڈ ویئر پر مبنی آپریشن کے لیے خدمت کے مالک کے ساتھ کام کریں، اور تجدید، ناکامی اور بحالی کو شامل کریں۔ کی بورڈ کے سامنے انسان چاہنا ناکامی کی شکل بدل دیتا ہے، اُس ہوسٹ کے مقابلے میں جو کسی کے نہ دیکھنے کے باوجود بوٹ ہوتا ہے۔

سرور کی ہوسٹ شناخت کی جانچ اور اس کے اکاؤنٹ کی پابندیاں بھی برقرار رکھیں۔ VPN راستہ آپ کو نجی راستہ دیتا ہے؛ یہ ثابت نہیں کرتا کہ آپ کی رسائی والا ہر SSH سامع وہی مطلوبہ ہوسٹ ہے۔ سامع اور ہوسٹ کلید کے فنگر پرنٹ کو کلید کی طرح اسی فہرست میں درج کریں۔

حدود کو الگ الگ تصدیق کریں

ہر حد کو اس کے اپنے سوال سے جانچیں۔ کیا فائل پاس فریز کے بغیر کھلتی ہے؟ کیا منقطع ہونے کے بعد بھی ایجنٹ شناخت رکھتا ہے؟ کیا سرور اب بھی عوامی کلید قبول کرتا ہے؟

دو احکام پہلے اور تیسرے کا جواب دیتے ہیں:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

فائل کی حفاظت، کلید کے جائز استعمال اور سرور کی طرف سے ہٹانے کو تین الگ سطروں کے طور پر درج کریں۔ سرنگ، پاس فریز اور ایجنٹ ہر ایک تعلق کا مختلف حصہ پہرہ دیتا ہے، اور ان میں سے صرف ایک نیٹ ورک کے بارے میں ہے۔