کیا اسی لیپ ٹاپ پر TOTP واقعی دوسرا عنصر ہے؟
VPN لیپ ٹاپ پر کوڈ جنریٹر اسی سمجھوتے کی حد کے اندر بیٹھا ملکیت کا عنصر ہے۔ پہلے بیج اور سیشن کا سراغ لگائیں۔
ایسے VPN کلائنٹ میں سائن ان کریں جو پہلے پاس ورڈ اور پھر چھ ہندسوں کا کوڈ مانگتا ہے، اور دو درخواستیں دو خودمختار رکاوٹیں معلوم ہوتی ہیں۔ عنصر کی قسم سے گنیں تو ایسا ہی ہے: پاس ورڈ وہ ہے جو آپ جانتے ہیں، کوڈ وہ ہے جو آپ کے پاس ہے۔ ایک سمجھوتے میں آئے لیپ ٹاپ سے کیا ظاہر ہوتا ہے اس سے گنیں تو وہ ایک ہی حد میں ڈھیر ہو سکتے ہیں، کیونکہ آپ کے پاس جو ہے وہ اسی مشین کی فائل ہے جس میں آپ ٹائپ کر رہے ہیں۔ ان دو گنتیوں کے درمیان فرق ہی اس جائزے کا موضوع ہے۔
پاس ورڈ کے خانے سے کوڈ کے خانے تک ایک لاگ ان کا سراغ لگائیں
لیبل نہیں، ترتیب دیکھیں۔ کلائنٹ پاس ورڈ بھیجتا ہے، سرور جواب دیتا ہے کہ دوسرا ثبوت درکار ہے، اور کلائنٹ چھ یا آٹھ ہندسوں کے لیے خانہ کھولتا ہے۔ اس خانے کے پیچھے ایک جنریٹر ایپلیکیشن ہے جس کے پاس مشترکہ راز اور گھڑی ہے۔ یہ راز اور موجودہ وقت کے قدم سے قدر شمار کرتی ہے، اور سرور راز کی اپنی نقل سے وہی قدر دوبارہ شمار کرتا ہے۔
دونوں فریقوں کے پاس یکساں کلیدی مواد ہے۔ کوڈ کو راز کہتے وقت لوگ جو چیز نظر انداز کرتے ہیں وہ یہی ہم آہنگی ہے: فراہم کنندہ بھی آپ کے کوڈ بنا سکتا ہے، اسی لیے بیج کسی بھی واحد پیداوار سے زیادہ قیمتی ہے۔ لیک ہوا کوڈ ایک بار کا قدر ہے؛ اسے بنانے والا بیج مستقل اسناد ہے جو بدلے جانے تک درست قدریں پیدا کرتا رہتا ہے۔
فعال کرنا بہاؤ کا دوسرا نصف ہے۔ جو جنریٹر آلے کے پاس کوڈ، بایومیٹرک درخواست یا خفیہ کنٹینر سے کھلتا ہے وہ ملکیت کا ثبوت اور کچھ اور پیش کرتا ہے۔ جو بغیر خفیہ کاری چلتا ہے اور آپریٹنگ سسٹم کے سیشن سے کھلتا ہے وہ صرف فائل پیش کرتا ہے۔ وہی ایپلیکیشن اندراج کی صورت کے مطابق دونوں ترتیبیں دے سکتی ہے، اس لیے تعیناتی کا فیصلہ اسی مرحلے میں ہے، ایپ کے مارکیٹنگ صفحے پر نہیں۔
طے کریں کہ کوڈ درحقیقت کیا ثابت کرتا ہے
معیارات کی زبان یہاں غیر معمولی طور پر واضح ہے، اور براہ راست پڑھنے کے قابل ہے۔ NIST کی تصدیق کنندگان کی رہنمائی سافٹ ویئر پر مبنی OTP جنریٹرز کو تصدیق کنندہ کے طور پر درج کرتی ہے، فعال کرنے والے عنصر کے ساتھ کثیر العنصر OTP سے واحد العنصر OTP کو الگ کرتی ہے، اور کہتی ہے کہ OTP تصدیق فشنگ کے خلاف مزاحم نہیں ہے۔ ان تینوں شقوں میں سے ہر ایک بدلتی ہے کہ درخواست کے بارے میں آپ کیا دعوی کر سکتے ہیں۔
فشنگ کے خلاف مزاحم نہ ہونا سب سے تیز دھار ہے۔ خانے میں لکھا گیا کوڈ کسی دوسرے کے خانے میں، حقیقی وقت میں، ایسے شخص کے ہاتھ سے لکھا جا سکتا ہے جسے اس پر آمادہ کیا گیا ہو۔ کھڑکی مختصر ہے، جو مفید کوششوں کی تعداد کم کرتی ہے مگر تکنیک کو بند نہیں کرتی۔ اگر آپ کی ضرورت میں اس کی مزاحمت شامل ہے تو جنریٹر جہاں بھی چلے، OTP غلط بنیاد ہے۔
واحد العنصر بمقابلہ کثیر العنصر دوسرا فرق ہے۔ فعال کرنے کے مرحلے کے بغیر نمودار ہونے والا کوڈ فائل پر ملکیت ثابت کرتا ہے اور اس کے سوا کچھ نہیں، اور فائل صرف اس قدر مضبوط ہے جتنا وہ اکاؤنٹ جسے وہ پڑھ سکتا ہے۔ فعال کرنے والا عنصر شامل کریں تو دعوی بہتر ہوتا ہے، پھر بھی یہ لاگ ان پر پیش کردہ ثبوت بیان کرتا ہے، اسے بنانے والی مشین کی تنہائی نہیں۔
دیکھیں کہ سمجھوتے میں آیا لیپ ٹاپ کہاں تک پہنچ سکتا ہے
ورک سٹیشن پر کوڈ چلانے کی صلاحیت رکھنے والا حملہ آور صرف اس خانے کو پڑھنے تک محدود نہیں جس میں آپ ٹائپ کر رہے ہیں۔ کامیاب لاگ ان کے بعد قائم ہونے والا سیشن عام طور پر ٹوکن یا کوکی ہوتا ہے، اور ٹوکن بغیر کسی کوڈ کے دوسری مشین سے استعمال ہو سکتا ہے۔ اگر یہی وہ صلاحیت ہے جس کے خلاف آپ دفاع کر رہے ہیں تو لاگ ان پر دوسری درخواست شامل کرنا حملے کے مراحل کی تعداد بدلتا ہے، نتیجہ نہیں۔
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
تیسرے کالم کو دیانت دار کالم پڑھیں۔ اوپر کی ہر ترتیب ورک سٹیشن کی اعتماد حد کے اندر کچھ چھوڑتی ہے، کیونکہ سیشن وہیں استعمال ہوتا ہے۔ بدلنے والی چیز یہ ہے کہ طویل مدتی راز اس حد کے ساتھ سفر کرتا ہے یا اس سے باہر رہتا ہے، اور یہ کہ ثبوت کسی مخصوص ماخذ سے بندھا ہے تاکہ نقلی صفحہ اسے آگے نہ بھیج سکے۔
دو چھوٹی تفصیلیں اسی تصویر کا حصہ ہیں۔ کوڈ اپنی قبولیت کی کھڑکی بھر درست رہتا ہے، اکثر تیس سیکنڈ کے ساتھ گھڑی کے انحراف کے لیے برداشت، اس لیے پکڑا گیا قدر اسی کھڑکی میں دوبارہ چلایا جا سکتا ہے، جب تک تصدیق کرنے والا دوبارہ استعمال سے انکار نہ کرے۔ اور نیا جنریٹر نصب کرنا پہلے سے تصدیق شدہ سیشن ختم نہیں کرتا، اس لیے پرانا سیشن اس اسناد کی تبدیلی سے زیادہ زندہ رہتا ہے جسے واقعہ قابو کرنا تھا۔
جنریٹر کو صرف وہیں منتقل کریں جہاں علیحدگی مدد کرتی ہے
کوڈ جنریٹر کو فون پر رکھنا ایک مخصوص ناکامی کے لیے حقیقی بہتری ہے: چوری شدہ لیپ ٹاپ اب دونوں ثبوت ساتھ نہیں لے جاتا۔ مگر یہ لیپ ٹاپ پر سیشن اغوا کے خلاف کچھ نہیں کرتا، فشنگ صفحے میں کوڈ ٹائپ کرنے والے صارف کے لیے کچھ نہیں کرتا، اور ایک بار چھپ کر نوٹس ایپ میں تصویر لیے گئے ریکوری کوڈز کے لیے بھی کچھ نہیں کرتا۔
اسی لیے آلہ منتخب کرنے سے پہلے ضرورت لکھیں۔ اگر مقصد لیک ہوئے پاس ورڈ کے خلاف اضافی ثبوت ہے تو یہ صاف کہیں، اور اسی آلے کی ایپ یہ پہلے ہی دیتی ہے۔ اگر مقصد VPN ورک سٹیشن کے سمجھوتے کے خلاف مزاحمت ہے تو اس حملہ آور کی صلاحیت کا نام لیں اور اس کے لیے جانچی گئی ترتیب منتخب کریں، اور فشنگ کی ضرورت کو مفروضہ سمجھنے کے بجائے الگ بیان کریں۔
پھر عملی نصف سنبھالیں، جو طے کرتا ہے کہ ان میں سے کچھ کسی واقعے سے رابطے میں بچتا ہے یا نہیں۔ آلہ گم ہونے کے لیے دستاویزی متبادل راستہ درکار ہے، اسناد کی گردش کے لیے فعال سیشن منسوخ کرنے ہوں گے، اور اندراجی مواد کو بیج جیسی حفاظت درکار ہے، کیونکہ غیر محفوظ اندراجی نقل حملہ آور کو وہی آئندہ کوڈ مختصر راستے سے دے دیتی ہے۔ ان چار نکات کا شمار اسی آلے کے ٹوکن اچھے ہیں یا بے وقعت، اس بحث سے زیادہ مفید ہے۔