دو پاس ورڈ درخواستیں MFA نہیں: VPN لاگ اِن کیا تصدیق کرتا ہے

لاگ اِن صفحہ پہلے پاس ورڈ مانگتا ہے، پھر دوسرا راز، اور تعیناتی کو فوراً کثیر العوامل کہا جانے لگتا ہے۔ کبھی ایسا واقعی ہوتا ہے۔ اکثر یہ ایک ہی عامل ہوتا ہے جو دو بار جمع کیا گیا، کیونکہ دونوں قدریں ایسی معلومات ہیں جو وہی شخص اسی یادداشت یا اسی نوٹ سے ٹائپ کرتا ہے۔ مضبوط ٹنل خفیہ کاری اسے نہیں بدلتی، اور مصنوعات کے نام میں لفظ ”محفوظ“ بھی نہیں۔

دعوے کو طریقہ کار سے الگ کرنے کے لیے ایک ہی سوال چاہیے: ہر مرحلہ کیا اور کس کے سامنے ثابت کرتا ہے؟

عامل ایک ثبوت ہے، خانہ نہیں

کثیر العوامل توثیق کا مطلب ہے کہ اسی اکاؤنٹ کے لیے ایک سے زیادہ الگ قسم کا ثبوت جانچا جاتا ہے: کوئی چیز جو صارف جانتا ہے، کوئی چیز جو اس کے پاس ہے، کوئی چیز جو وہ خود ہے۔ دو خانے جو دونوں یاد رکھی گئی ترتیب جمع کرتے ہیں ایک ہی قسم کا ثبوت ہیں جو دو بار مانگا گیا۔ یہ مفید ضابطہ ہو سکتا ہے، کیونکہ دو خودمختار رازوں کا اندازہ لگانا ایک سے مشکل ہے، مگر یہ وہ نہیں جسے اصطلاح بیان کرتی ہے اور خطرے کی تشخیص میں اسے ایسا نہیں گننا چاہیے۔

تصدیق کا پہلو جمع کرنے کے پہلو جتنا ہی اہم ہے۔ ڈیوائس پر پیدا کردہ کوڈ اسی ڈیوائس پر کنٹرول ثابت کرتا ہے صرف اس صورت میں جب سرور اسے اس اکاؤنٹ سے منسلک راز کے خلاف جانچے اور تکرار مسترد کرے۔ مشترکہ کوڈ جو سب کے لیے کام کرے، بلا حد کوڈ، یا ایسی ڈیوائس پر منظور شدہ درخواست جو کبھی نہ دکھائے کہ کیا منظور ہو رہا ہے، سب لیبل کے اشارے سے کمزور ہیں۔

چنانچہ جب کوئی پوچھے کہ VPN میں MFA ہے یا نہیں، تو پوچھیں کہ دوسرا مرحلہ کیا ثابت کرتا ہے اور سرور اسے کیسے منسلک کرتا ہے۔ اگر جواب ”اسی ڈائریکٹری سے دوسرا پاس ورڈ“ ہو، تو آپ کے پاس ایک عامل اور پالیسی کی گفتگو ہے، دوسرا عامل نہیں۔

سرٹیفکیٹ کے معاملے کو پڑھنا چاہیے، فرض نہیں کرنا

کلائنٹ سرٹیفکیٹ کے ساتھ پاس ورڈ دو عوامل لگتے ہیں، اور ایسا ہو بھی سکتا ہے: سرٹیفکیٹ کسی ذخیرے یا ٹوکن پر رکھا جاتا ہے اور پاس ورڈ یاد رکھا جاتا ہے۔ یہ ایک بھی ہو سکتا ہے، اگر سرٹیفکیٹ فائل محفوظ شدہ پاس ورڈ کے ساتھ اسی پروفائل ڈائریکٹری میں غیر محفوظ پڑی ہو، یا اگر سرٹیفکیٹ ایسی ڈیوائس کو جاری کیا گیا ہو جسے کئی لوگ انفرادی جواب دہی کے بغیر بانٹتے ہیں۔

طے کرنے والا سوال یہ ہے کہ سرٹیفکیٹ کس کی یا کس چیز کی شناخت کرتا ہے۔ ڈیوائس سرٹیفکیٹ ثابت کرتا ہے کہ کوئی زیرِ انتظام مشین موجود ہے۔ صارف سرٹیفکیٹ کسی شناخت کو ثابت کرتا ہے۔ اگر تعیناتی ہر لیپ ٹاپ کے لیے ایک سرٹیفکیٹ جاری کرے اور پھر اس کی موجودگی کو شخص کا ثبوت سمجھے، تو دوسرا عامل خاموشی سے ایسی ہارڈ ویئر کی خاصیت بن گیا ہے جو ہر وہ شخص ورثے میں پاتا ہے جو لیپ ٹاپ تھامے ہوئے ہے۔

ان میں سے کوئی چیز سرٹیفکیٹ کو برا خیال نہیں بناتی۔ یہ ڈیوائس کی ضمانت اور صارف کی ضمانت کے فرق کو لکھنے کے قابل بناتی ہے، کیونکہ دونوں مختلف سوالات کا جواب دیتے ہیں اور ایسی تعمیل شیٹ جو انہیں ایک گنے وہ بڑھا چڑھا کر پیش کرے گی جو محفوظ ہے۔

گیٹ وے پر اعتماد اور صارف پر اعتماد الگ مسائل ہیں

دوسرا عامل کسی ایسے اینڈ پوائنٹ میں اسناد لکھنے کو محفوظ نہیں بناتا جس کی آپ نے تصدیق نہ کی ہو۔ کلائنٹ کو مطلوبہ گیٹ وے پہچاننا ہوتا ہے، اور اسی کے لیے سرور سرٹیفکیٹ اور کلائنٹ کی اعتماد ترتیب ہیں۔ فشنگ لاگ اِن کو ایسے سرور پر منتقل کر کے کام کرتی ہے جسے حملہ آور کنٹرول کرتا ہے، اور وہاں درج درست ایک بار استعمال ہونے والا کوڈ حقیقی وقت میں اصل سروس کو منتقل کر دیا جاتا ہے۔

اسی لیے طریقہ کا انتخاب درخواست کے الفاظ سے زیادہ نتیجہ بدلتا ہے۔ وہ کوڈ جو کوئی شخص ٹائپ کرتا ہے، ہر وہ شخص منتقل کر سکتا ہے جو قائل کرنے والا صفحہ دکھا سکے، جبکہ وہ خفیہ نگاری کے طریقے جو توثیق کو مخصوص ماخذ اور سیشن سے باندھتے ہیں، اپنی ساخت ہی سے اس منتقلی کا مقابلہ کرتے ہیں۔ آپ کے پاس ان میں سے کون سا ہے یہ طریقہ کی خاصیت ہے، مکالمے کے مراحل کی تعداد نہیں۔

فراہم کنندہ کے معاون اندراج اور کلائنٹ بہاؤ کی پیروی کریں، پاس ورڈ خانے پر اضافی درخواست لگانے کے بجائے۔ گھریلو دوسرا مرحلہ عام طور پر درمیان میں کہیں اترتا ہے اور عامل کو معنی بخشنے والی بندش کے بغیر رگڑ بڑھاتا ہے۔

بازیابی دوسرا سامنے کا دروازہ ہے

ہر مضبوط لاگ اِن کے پاس توثیق کار کھو جانے پر واپسی کا راستہ ہوتا ہے، اور یہی راستہ عام طور پر ڈیزائن کا کمزور ترین مقام ہوتا ہے۔ اگر سپورٹ ایجنٹ کسی ریکارڈ شدہ نمبر پر فون کے بعد دوسرا عامل دوبارہ ترتیب دے سکتا ہے، تو حملہ آور کا سب سے سستا راستہ مدد مرکز ہے، لاگ اِن صفحہ نہیں۔

پوچھیں کہ تبدیلی کیسے کام کرتی ہے، کون اسے منظور کرتا ہے اور کیا شواہد مانگے جاتے ہیں۔ پھر جانچیں کہ بازیابی کا مواد جیسے بیک اپ کوڈ بنیادی اسناد سے الگ رکھا جاتا ہے، تاکہ ایک خلاف ورزی دونوں نہ دے دے۔ NIST کی ڈیجیٹل شناخت کے رہنما اصول تصدیق کار کی بندش اور توثیق کار کے دورانیے کو تقاضے کا حصہ مانتے ہیں، بعد کی آپریشنل سوچ نہیں۔

تشخیص میں کیا لکھیں

عوامل کو قسم کے مطابق بیان کریں، نام لیں کہ ہر ایک کیا ثابت کرتا ہے اور بتائیں کہ وہ اکاؤنٹ سے کیسے منسلک ہے۔ نوٹ کریں کہ طریقہ منتقلی کا مقابلہ کرتا ہے یا نہیں، اور بازیابی کے راستے کو اسی احتیاط سے بیان کریں جس سے لاگ اِن کو۔

پھر صاف کہیں کہ تعیناتی اس تعریف کے مطابق کثیر العوامل ہے یا نہیں۔ ”دو پاس ورڈ اور ایک مشین سرٹیفکیٹ“ ایک ایماندار جملہ ہے، اور یہ قاری کو ”ہاں“ کہنے والے چیک باکس سے کہیں زیادہ بتاتا ہے۔