ناواقف OVPN فائلیں: مقامی خطرہ اور دور کا اعتماد

OVPN فائل کو پروگرام کا ان پٹ سمجھیں، اس بات کا سرٹیفکیٹ نہیں کہ اس کا مواد بے ضرر ہے۔ سرور کا پتہ جانچنا صرف یہ بتاتا ہے کہ پروفائل کہاں جڑنا چاہتا ہے، اور کچھ نہیں۔ اس فائل کے اندر اعتماد کے دو الگ فیصلے ہیں: کلائنٹ آپ کی مشین پر کیا کر سکتا ہے، اور کون سا آپریٹر ٹریفک وصول کرتا ہے۔ کوئی مانوس پروٹوکول نام ان دونوں میں سے کسی کو طے نہیں کرتا۔

ایک فائل میں دو فیصلے چھپے ہیں

پہلا فیصلہ مقامی ہے۔ پروفائل ایک کنفیگریشن زبان ہے، اور اسے پڑھنے والا کلائنٹ ایسی ہدایات کی حمایت کر سکتا ہے جو پلگ ان لوڈ کریں، اسکرپٹ چلائیں یا یہ بدلیں کہ روٹنگ اور DNS کیسے لاگو ہوتے ہیں۔ دوسرا فیصلہ دور کا ہے۔ فائل میں جو بھی ہو، باہر جانے والا آپریٹر وہ ٹریفک دیکھتا ہے جو اس تک پہنچتی ہے۔

دونوں کو ملانا دونوں سمتوں میں برا مشورہ دیتا ہے: کسی نامعلوم آپریٹر کی صاف دکھنے والی پروفائل، یا کسی مانوس آپریٹر کی پروفائل جس میں ایسا ہک ہو جسے کسی نے نہ پڑھا ہو۔ مقامی طور پر محفوظ پروفائل بھی آپ کی ٹریفک ایسے شخص کو دے سکتی ہے جسے آپ نہ چنتے۔

کسی بھی کلائنٹ سے پہلے پروفائل پڑھیں

کسی بھی کلائنٹ کے عمل سے پہلے فائل کو متن کے طور پر پڑھیں۔ ایسی ہدایات تلاش کریں جو فائل سے باہر اشارہ کریں، قابل عمل فائلوں کا حوالہ دیں یا مراعات بدلیں، اور اس فہرست کا موازنہ کلائنٹ کی دستاویزی حمایت سے کریں۔ مختصر تلاش سیکیورٹی جائزہ نہیں ہے، لیکن یہ بتاتی ہے کہ پروفائل سرورز کی فہرست ہے یا کچھ زیادہ۔

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

خالی نتیجہ تسلی دیتا ہے اور قطعی نہیں، کیونکہ اختیارات ایک دوسرے پر اثر ڈال سکتے ہیں یا شامل فائل سے آ سکتے ہیں۔ چھانٹی ہوئی فہرست کو مزید پڑھنے کی وجہ سمجھیں، فیصلہ نہیں۔

پروفائل کے ساتھ آنے والی ہدایات بھی پروفائل جتنی جانچ کی حقدار ہیں۔ چار درخواستیں آپ کو روکنی چاہئیں: اسکرپٹ فعال کرنا، کوئی مددگار یا لائبریری نصب کرنا، کلائنٹ کو منتظم کے طور پر چلانا، یا درآمد کی پابندی کمزور کرنا۔ ہر ایک اعتماد کی حد کو باہر کی طرف سرکاتی ہے، اور ان میں سے کوئی بھی سرور فہرست درآمد کرنے کا معمول کا حصہ نہیں۔

پوری فائل بھی ایک بار پڑھیں، کیونکہ ایک ناواقف سطر کا فیصلہ سیاق و سباق میں کرنا چھانٹی ہوئی فہرست سے آسان ہے۔ اگر سطر ناواقف ہو، تو اندازہ لگانے کے بجائے اپنے کلائنٹ کی دستی میں اسے تلاش کریں۔

کلائنٹ اصل میں کیا چلائے گا

Community OpenVPN کی 2.6 دستی script-security کے درجات کی دستاویز کرتی ہے: درجہ 1 پہلے سے طے شدہ ہے اور صارف کی متعین اسکرپٹس کو روکتا ہے، جبکہ درجہ 2 انہیں اجازت دیتا ہے۔ پلگ ان لوڈ کرنا اپنی ہدایت کے ساتھ الگ سہولت ہے۔ اسی لیے ایک ہی فائل مختلف کلائنٹس میں مختلف معنی رکھ سکتی ہے۔ موبائل اور بنانے والوں کے کلائنٹس تنگ تر ہدایات کا مجموعہ قبول کر سکتے ہیں، یا ہکوں میں سے کوئی بھی نہیں۔

شروع کرنے کا طریقہ کلائنٹ جتنا ہی اہم ہے۔ مراعات یافتہ مددگار کے ذریعے شروع کی گئی پروفائل صارف کی جگہ میں شروع ہونے والی سے زیادہ کر سکتی ہے، اور یہی فرق درآمد کی یاددہانی کو نظر انداز کرنے کے بجائے پڑھنے کی وجہ ہے۔

ورژن بھی اہم ہے، کیونکہ یہ درجات ہر ریلیز کے لیے متعین ہوتے ہیں اور کئی ورژن پیچھے چلنے والا کلائنٹ یکساں پالیسی نافذ نہ کرے۔ جس بلڈ کو آپ چلا رہے ہیں اس سے مطابق دستی پڑھیں، جو سب سے نیا ملے وہ نہیں۔ اگر کلائنٹ کہیں بھی ورژن کی تار نہ دکھائے، تو یہ بذاتِ خود سست ہونے کی وجہ ہے۔

آپریٹر کا موازنہ کریں، صرف پتے کا نہیں

آپریٹرز کا موازنہ ایسے کریں جیسے آپ کسی اور ثالث کا کرتے ہیں۔ پوچھیں کہ اخراج کون چلاتا ہے، وہ کیا لاگ کرتے ہیں، اور پروفائل آپ تک کیسے پہنچی۔ تصدیق شدہ ڈاؤن لوڈ صفحہ اور مطابق فنگر پرنٹ مانوس ہوسٹ نام سے زیادہ بتاتے ہیں۔ قابلِ رسائی سرور صرف یہ ثابت کرتا ہے کہ کسی چیز نے جواب دیا۔

اسناد وہ حصہ ہیں جہاں لوگ دباؤ میں غلطی کرتے ہیں۔ سرور کا نام مانوس لگتا ہے اس لیے ڈاؤن لوڈ کی گئی پروفائل میں غیر متعلقہ اکاؤنٹ کا پاس ورڈ نہ لکھیں۔ پروفائل کھلے طور پر نجی کلید بھی رکھ سکتی ہے، اس لیے پوری فائل کسی جائزہ تھریڈ میں شائع کرنا وہ کلید تھریڈ کو دے دیتا ہے۔

درست طریقے سے تصدیق شدہ HTTPS سیشن اب بھی صفحے کا مواد صرف پیکٹ آگے بھیجنے والوں سے چھپاتا ہے، اس لیے اخراج ہر پاس ورڈ خودکار طور پر نہیں دیکھتا۔ البتہ یہ دیکھتا ہے کہ آپ کن سائٹس تک پہنچتے ہیں، اور اس حد کو بڑھا چڑھا کر کہنے کے بجائے درست کہنا چاہیے۔

جہاں فائل کا ماخذ غیر واضح رہے، یا وہ جو مراعات مانگتی ہے اس کی کوئی ایسی وضاحت نہ ہو جو آپ قبول کر سکیں، وہاں پروفائل کو ایسے ماخذ سے بدلیں جس سے جوابدہی طلب کی جا سکے۔ منظم کام کے کنکشن پر، منتظم کو کلائنٹ اور ترتیب کو دو نہیں، ایک فیصلے کے طور پر منظور کرنا چاہیے۔ یہاں کوئی چیز پہلے بددیانتی ثابت کرنے کو نہیں کہتی؛ رسائی سے انکار جائز جواب ہے۔