ٹوکن کوڈ، سمارٹ کارڈ یا FIDO کلید: VPN کیا قبول کرتا ہے

ایک ہی کنیکٹر اور ایک ہی کلید حلقے والے تین آلات تین غیر متعلقہ تبادلوں میں حصہ لیتے ہیں۔ ایک ایسا کوڈ دکھاتا ہے جسے سرور جانچتا ہے، دوسرا ایسی کلید سے دستخط کرتا ہے جو کبھی آلے سے باہر نہیں جاتی، اور تیسرا اپنے پروٹوکول کے ذریعے براؤزر سائن ان کی منظوری دیتا ہے۔ اس لیے یہ سوال کہ VPN کو سرٹیفکیٹ استعمال کرنے چاہئیں یا ہارڈ ویئر ٹوکن، ایک شکل کا موازنہ آلے کی قسم سے کرتا ہے۔ جواب اس پر منحصر ہے کہ آپ نے واقعی تینوں میں سے کون سا خریدا۔

آلے سے پہلے ثبوت کا نام لیں

ایک بار استعمال ہونے والا کوڈ ٹوکن ایسی قدر بناتا ہے جسے تصدیقی خدمت اپنے طریقے سے درست قرار دیتی ہے۔ VPN اس خدمت تک RADIUS یا وفاقی شناخت فراہم کنندہ کے ذریعے پہنچ سکتا ہے، اور ٹوکن کو کبھی سرنگ سے متعلق کوئی چیز رکھنے کی ضرورت نہیں ہوتی۔ یہ جو ثابت کرتا ہے وہ یہ ہے کہ شخص کے پاس وہ آلہ ہے جو کوڈ بناتا ہے۔ اس مشین کے بارے میں یہ کچھ ثابت نہیں کرتا جس پر کوڈ ٹائپ کیا گیا۔

سمارٹ کارڈ طرز کا ٹوکن نجی کلید محفوظ کرتا ہے اور درخواست پر دستخط کی کارروائی کرتا ہے، اسی طرح کلید برآمد کیے بغیر سرٹیفکیٹ کی شناخت ثابت ہوتی ہے۔ اس کے ساتھ والا سرٹیفکیٹ عوامی مواد ہے، اور وہ سرٹیفکیٹ دینا کلید دینے سے بالکل مختلف عمل ہے۔

FIDO کلید پھر تیسرے پروٹوکول میں بولتی ہے۔ براؤزر سے سائن ان اسے شناخت فراہم کنندہ کے پاس استعمال کر سکتا ہے، لیکن اس ویب سائٹ پر کامیابی کا مطلب یہ نہیں کہ وہی کلید VPN کلائنٹ کے سمارٹ کارڈ انٹرفیس سے ظاہر ہوگی۔

کچھ آلات ان میں سے کئی ایپلیکیشنز ساتھ ساتھ نافذ کرتے ہیں، اور بنانے والے کی دستاویزات موڈ الگ الگ اسی لیے درج کرتی ہیں۔ یہ ثبوت نہیں کہ بازار کی ہر کلید ہر موڈ کو سپورٹ کرتی ہے۔

ہارڈ ویئر کلید کی حفاظت کرتا ہے، پالیسی کی نہیں

سرٹیفکیٹ والے آلے پر PIN عام طور پر کلید کے مقامی استعمال کی اجازت دیتا ہے، اور یہ وہ پاس ورڈ نہیں جسے VPN اکاؤنٹ نظام جانچتا ہے۔ تصدیق کنندگان کے بارے میں NIST کی رہنمائی جیسی رہنمائی ایسے مقامی ان پٹ کو ایکٹیویشن راز کہتی ہے، جو تصدیق کنندہ سے الگ ہے۔ یقین پورے ڈیزائن سے آتا ہے، اسکرین پر اشاروں کی تعداد سے نہیں۔

اندراج، تجدید اور ہٹانا کسی بھی صورت میں شناخت کے مالک کے پاس ہی رہتا ہے۔ کوئی اب بھی فیصلہ کرتا ہے کہ کون اندراج کر سکتا ہے، اسناد کو صحیح شخص سے جوڑتا ہے، اور آلہ گم ہونے پر تبدیلی ممکن بناتا ہے۔ نئی کلید خریدنا پرانی کو منسوخ نہیں کرتا۔

ہارڈ ویئر منتخب کرنے سے پہلے سائن ان تقریب بیان کریں: کیا صارف کوڈ ٹائپ کرتا ہے، دستخط کلید کھولتا ہے، یا براؤزر کی درخواست منظور کرتا ہے؟ ہر جواب مختلف کلائنٹ، مختلف گیٹ وے سیٹنگ اور مدد مرکز کے لیے مختلف اسکرپٹ بتاتا ہے۔

عملی طور پر بہاؤ کہاں الگ ہوتے ہیں

کوڈ ٹوکن شروع کرنا سب سے آسان اور قابل بھروسہ جعلی صفحے کے سامنے سب سے کمزور ہے، کیونکہ ٹائپ کیا گیا کوڈ حقیقی وقت میں آگے بھیجا جا سکتا ہے۔ سرٹیفکیٹ والی کلید اس قسم کے حملے کا مقابلہ کرتی ہے اور چلانا زیادہ مہنگا ہے، کیونکہ جاری کرنا اور منسوخ کرنا خدمت کا حصہ بن جاتے ہیں۔ FIDO کلید ویب سائن ان کے ساتھ رہتی ہے اور مکمل طور پر اس پر منحصر ہے کہ شناخت فراہم کنندہ اس ایپلیکیشن کے لیے اسے سپورٹ کرتا ہے یا نہیں۔

مخلوط ماحول عام ہیں، اور وہ بذات خود غلط نہیں: سرنگ کے لیے سرٹیفکیٹ اور انتظامی کنسول کے لیے کوڈ ٹوکن ایک ہم آہنگ تقسیم ہے، بشرطیکہ دونوں ایک ہی شناخت کے خلاف رجسٹر ہوں۔ جو ٹوٹتا ہے وہ ایسی تقسیم ہے جسے کسی نے دستاویز نہیں کیا، جہاں مدد مرکز یہ نہیں بتا سکتا کہ صارف کے پاس کون سا عنصر نہیں ہے۔

فیصلے کو ٹھوس بنائیں

تقریب کو ان مراحل کی ترتیب کے طور پر لکھیں جو حقیقی صارف کرتا ہے، پھر جانچیں کہ کلائنٹ، گیٹ وے اور شناخت فراہم کنندہ سب اس ترتیب کو سپورٹ کرتے ہیں۔ عدم مطابقت عام طور پر آخری مرحلے میں ظاہر ہوتی ہے، جہاں کلائنٹ آلے کو بالکل مخاطب نہیں کر سکتا۔

پھر تصدیق کریں کہ آلہ گم ہونے یا سرٹیفکیٹ کی مدت ختم ہونے پر کیا ہوتا ہے۔ اگر وہ جواب لکھا نہیں ہے، تو تعیناتی میں ایسا خلا ہے جو پیر کی صبح پکڑا جائے گا۔

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert