TunnelCrack بمقابلہ TunnelVision: ہر ایک اصل میں کیا توڑتا ہے

ٹنل سے باہر جانے والی کسی بھی VPN ٹریفک کے لیے دو تحقیقی نام ایک دوسرے کی جگہ استعمال ہوتے ہیں، مگر ان کے پیچھے کے میکانزم ایک جیسے نہیں۔ TunnelCrack روٹنگ استثناؤں کے دو خاندانوں کی وضاحت کرتا ہے؛ TunnelVision اس راستے کی وضاحت کرتا ہے جو DHCP آخری ڈیوائس پر فراہم کرتا ہے۔ کوئی بھی انکرپشن نہیں توڑتا، اور کوئی بھی یہ نہیں بتاتا کہ آج کوئی مخصوص کلائنٹ بلڈ کیا کرتا ہے۔ پانچ جانچیں میکانزم کو سرخی سے الگ کرتی ہیں۔

پہلا مرحلہ: جس میکانزم کا جائزہ لے رہے ہیں اس کا نام لیں

اگست 2023 میں TunnelCrack کی افشا حملے کے دو خاندانوں کی وضاحت کرتی ہے۔ مقامی نیٹ ورک کی صورت میں، وہ ٹریفک جسے کلائنٹ مقامی نیٹ ورک کا حصہ سمجھتا ہے مقامی رسائی کی استثنا لے کر ٹنل سے باہر نکل جاتی ہے۔ سرور کے پتے کی صورت میں، وہ راستہ جو کلائنٹ کو خود VPN سرور تک پہنچنے کے لیے درکار ہے ٹنل سے باہر ہوتا ہے، اور اس پتے کو کنٹرول کرنے والا مخالف اس استثنا سے فائدہ اٹھا سکتا ہے۔

TunnelVision DHCP کی فراہم کردہ بے طبقہ اسٹیٹک راستوں کے بارے میں ایک الگ رپورٹ ہے۔ ایک بدنیت DHCP سرور آخری ڈیوائس کو ایسے راستے دے سکتا ہے جو ٹریفک کا راستہ بدل دیں، جن میں VPN سرور کی طرف کا راستہ بھی شامل ہے۔ رپورٹ متعلقہ روٹنگ اثرات پر پہلے کے کام کو تسلیم کرتی ہے، جو یاد دلاتا ہے کہ بنیادی میکانزم نام سے پرانا ہے۔

نام اپنے میکانزم سے جڑے رکھیں۔ دوسرے کے خبروں میں ہونے کی وجہ سے ایک کے لیے اصلاح لگانا وہ طریقہ ہے جس سے جائزہ بغیر احاطے کے حرکت پیدا کرتا ہے۔

دوسرا مرحلہ: مقامی رسائی کی استثنا دیکھیں

زیادہ تر کلائنٹ مقامی نیٹ ورک کی ٹریفک کو مستثنیٰ رکھتے ہیں تاکہ ٹنل کے فعال رہنے کے دوران پرنٹر، اسکرین کاسٹنگ اور فائل شیئرنگ کام کرتی رہیں۔ یہ استثنا سیکیورٹی لاگت والا پالیسی فیصلہ ہے: اسی نیٹ ورک پر مخالف خود کو مقامی میزبان ظاہر کر سکتا ہے، اور اس تک پہنچنے والی ٹریفک کبھی ٹنل میں داخل نہیں ہوئی۔

پوچھیں کہ کیا تعینات پروفائل کو یہ استثنا بالکل درکار ہے۔ وہ دور دراز افرادی قوت جو کبھی مقامی دریافت استعمال نہیں کرتی وہ اسے اکثر بند کر سکتی ہے، اور باقی مقامی خدمات تک دستاویزی راستے سے پہنچا جا سکتا ہے۔ جہاں استثنا ضروری ہو، وہاں اسے مقامی ٹریفک کہنے کے بجائے بتائیں کہ یہ کون سے مقامات کا احاطہ کرتی ہے۔

جانچ کنفیگریشن کا سوال ہے، پیکٹ کیپچر نہیں۔ جس بلڈ کو تعینات کر رہے ہیں اس کے لیے پروفائل سیٹنگ اور کلائنٹ دستاویزات پڑھیں، کیونکہ طے شدہ قدر مصنوعات کے درمیان اور ایک ہی مصنوع کی نسخوں کے درمیان مختلف ہوتی ہے۔ جواب پروفائل کے پاس لکھیں، تاکہ اگلے جائزہ لینے والے کو اسے رویے سے نکالنا نہ پڑے۔ جس استثنا کو کسی نے دستاویز نہیں کیا وہ ایسی استثنا ہے جس کا کوئی جائزہ نہیں لیتا۔

تیسرا مرحلہ: دیکھیں کہ سرور کا پتہ کیسے سیکھا جاتا ہے

کلائنٹ کو کسی بھی ٹنل کے وجود سے پہلے VPN سرور تک پہنچنا ہوتا ہے، اس لیے وہ منزل ڈیزائن کے مطابق ٹنل سے باہر روٹ ہوتی ہے۔ اگر پتہ کسی نام سے سیکھا جائے تو حل کا مرحلہ اعتماد کے راستے کا حصہ ہے، اور وہ مخالف جو اس استفسار کا جواب دے سکتا ہے وہ کلائنٹ کو اپنے زیر کنٹرول میزبان کی طرف بھیج سکتا ہے۔

پتہ مستحکم کرنا، درست نام کے ساتھ تصدیق شدہ سرٹیفکیٹ استعمال کرنا اور غیر تصدیق شدہ سرور پر واپس گرنے سے انکار کرنا، سب نمائش کم کرتے ہیں۔ ان میں سے کوئی ٹنل سے باہر سرور تک پہنچنے کی ضرورت کو ختم نہیں کرتا؛ یہ بدلتے ہیں کہ اس پتے کے لیے کون جواب دے سکتا ہے۔

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

راستے کی تلاش وہ انٹرفیس دکھاتی ہے جو کلائنٹ سرور کے پتے کے لیے استعمال کرے گا، اور یہی استثنا کی ٹھوس شکل ہے۔ اگر وہ تلاش ٹنل کا انٹرفیس واپس کرے، تو کلائنٹ ٹنل قائم ہی نہیں کر سکتا، اس لیے بیرونی راستہ متوقع ہے اور سوال صرف یہ ہے کہ اس کی منزل کیسے چنی جاتی ہے۔

چوتھا مرحلہ: DHCP کے فراہم کردہ راستے دیکھیں

بے طبقہ اسٹیٹک راستے DHCP سرور کو روٹنگ ٹیبل کے اندراج تقسیم کرنے دیتے ہیں، اور آخری ڈیوائس عام طور پر بغیر پوچھے انہیں قبول کر لیتی ہے۔ جس نیٹ ورک میں مخالف قانونی سرور سے زیادہ تیزی سے DHCP کا جواب دے سکتا ہے، وہاں یہ اندراج اس ٹریفک کا رخ موڑ سکتے ہیں جسے صارف ٹنل کے اندر سمجھتا ہے۔

آخری ڈیوائس کے راستوں کا موازنہ ان راستوں سے کریں جن کی آپ توقع کرتے ہیں۔ ٹنل کے فعال رہنے کے دوران مقامی گیٹ وے کی طرف اشارہ کرنے والا طے شدہ راستہ یا وسیع سابقہ وہ علامت ہے جو تفتیش کے لائق ہے، اور یہ کسی حملہ آور ٹریفک کے بغیر نظر آتی ہے۔

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

آخری سیٹنگ آخری ڈیوائس کی طرف کا کنٹرول ہے جو بہت سے کلائنٹ اور پلیٹ فارم کسی نہ کسی شکل میں پیش کرتے ہیں: نیٹ ورک کے فراہم کردہ راستوں کو نظر انداز کریں۔ خودکار راستہ قبولیت بند کرنا ایک سودا ہے، کیونکہ یہ کارپوریٹ DHCP سرور سے قانونی منقسم روٹنگ بھی بند کر دیتا ہے، اس لیے اسے عالمی طور پر نہیں بلکہ نیٹ ورک طبقے کے مطابق طے کریں۔

پانچواں مرحلہ: اطلاع کو موجودہ بلڈ سے الگ کریں

شائع شدہ حملہ کسی خاص وقت پر خاص کلائنٹ نسخوں پر مشاہدہ کیا گیا رویہ بیان کرتا ہے۔ یہ ثابت نہیں کرتا کہ آپ کے سامنے کا لیپ ٹاپ متاثر ہے، اور یہ بھی ثابت نہیں کرتا کہ اسے ٹھیک کر دیا گیا ہے۔ دونوں دعووں کے لیے اصل بلڈ نمبر اور فروش کی موجودہ اطلاع درکار ہے۔

کلائنٹ نسخہ، پلیٹ فارم، اوپر دی گئی استثناؤں کو کنٹرول کرنے والی پروفائل سیٹنگز اور جس تاریخ کو آپ نے جانچا اسے درج کریں۔ وہ ریکارڈ ایمانداری سے پرانا ہوتا ہے، جبکہ یہ کہنے والا نوٹ کہ VPN کو TunnelCrack کے لیے پیچ کیا گیا، ایسا ایمانداری سے پرانا نہیں ہوتا۔ ہر بار کلائنٹ اپ ڈیٹ ہونے پر اسے دوبارہ پڑھیں، کیونکہ پروفائل کی طے شدہ قدر اس نسخے کے تحت بدل سکتی ہے جسے آپ نے چھوا نہیں۔

جب آپ واقعی تصدیق کریں، تو منظور شدہ منصوبہ اپنی ہی آخری ڈیوائس اور کسی بے ضرر منزل کے خلاف استعمال کریں۔ مشترکہ نیٹ ورک پر دوسرے صارفین کے خلاف حملہ دہرانا امتحان نہیں ہے، اور مشاہدہ آسان بنانے کے لیے ہم مرتبہ تصدیق یا ایپلیکیشن انکرپشن بند کرنا وہ تحفظ ہٹا دیتا ہے جو آپ ماپنا چاہتے تھے۔

آخر میں، ایپلیکیشن سطح کا تحفظ تصویر میں رکھیں۔ روٹنگ استثنا وہ ٹریفک بے نقاب کر سکتی ہے جو ٹنل لے کر جاتا، اور ایپلیکیشن کا TLS اب بھی اس ٹریفک کو سرے سے سرے تک محفوظ رکھتا ہے۔ دونوں پرتیں آزادانہ ناکام ہوتی ہیں، اسی لیے منسلک کنٹرول چینل اس بات کا ثبوت نہیں کہ ہر بہاؤ مطلوبہ راستے سے گیا۔