غیر قابلِ اعتماد VPN تین الگ حدود ہیں، ایک نہیں

«مجھے اس VPN پر اعتماد نہیں» عام طور پر ایک ہی جملے میں پہنے ہوئے تین بیانات ہیں۔ اس نیٹ ورک کے دور کے ساتھی آپ کے ہوسٹ کی خدمات تک پہنچ سکتے ہیں، سرنگ چلانے والا آپریٹر اس کے اندر سے گزرنے والی ٹریفک دیکھ سکتا ہے، اور آپ کا نصب کردہ کلائنٹ سافٹ ویئر آپ کی مشین کی نیٹ ورک پالیسی بدل سکتا ہے۔ جس عقیدے کو درست کرنا چاہیے وہ یہ ہے کہ فائر وال کا قاعدہ، مجازی مشین یا محتاط آپریٹنگ سسٹم کا انتخاب تینوں کا جواب دیتا ہے۔ ہر اقدام ان میں سے ٹھیک ایک کا جواب دیتا ہے۔

داستان: ایک کنٹرول پورا خطرہ ڈھانپ لیتا ہے

عام مفروضہ یہ ہے کہ غیر قابلِ اعتماد نیٹ ورک میں شامل ہونا ایک فیصلہ اور ایک ہی کمی ہے۔ لوگ وہ کنٹرول چنتے ہیں جس پر پہلے سے اعتماد ہے، اسے لاگو کرتے ہیں اور خطرے کو نمٹا ہوا سمجھتے ہیں: فائر وال آن ہے، کام کی جگہ پھینکنے کے قابل ہے، کلائنٹ معتبر فروش سے آیا ہے۔

یہ کنٹرول اس طرح ایک دوسرے پر نہیں چڑھتے جیسا مفروضہ بتاتا ہے۔ ہوسٹ کا فائر وال محدود کرتا ہے کہ دور کا ساتھی کہاں تک پہنچ سکتا ہے، اور آپ کا TLS ختم کرنے والے آپریٹر کے خلاف کچھ نہیں کرتا۔ مجازی مشین کام کی جگہ کو آپ کے ہوسٹ کی فائلوں سے الگ کرتی ہے، اور دونوں کے نیچے نیٹ ورک اسٹیک دوبارہ ترتیب دینے کی اجازت رکھنے والے کلائنٹ جزو کے خلاف کچھ نہیں کرتی۔ ہر کنٹرول اصل میں جو حد بناتا ہے اس کا نام دینا ہی پورا مشق ہے۔

انہیں الگ کرنا یہ بھی بتاتا ہے کہ آپ نے کون سا خطرہ قبول کرنا چنا ہے۔ زیادہ تر حقیقی فیصلے ایک حد کو کم کرتے ہیں اور دوسری کو برداشت کرتے ہیں، جو تب تک ٹھیک ہے جب تک تبدیلی کا ریکارڈ بتائے کہ کون سی کون سی ہے۔

دور کا ساتھی اصل میں کہاں تک پہنچ سکتا ہے

سننے والی خدمات سے شروع کریں۔ سرنگ کا انٹرفیس جسے وسیع طور پر قابلِ اعتماد سمجھا جاتا ہے کیونکہ اس کے پیکٹ خفیہ ہو کر آئے، وہی عام غلطی ہے، اور یہ اس نیٹ ورک پر ہر کسی کے لیے ہر مقامی سننے والے کو ممکنہ ہدف بنا دیتی ہے۔ خفیہ کاری دو سروں کے درمیان تار کی حفاظت کرتی ہے؛ یہ دوسرے سرے کے ساتھی کے ارادے کے بارے میں کچھ نہیں کہتی۔

ss -tulpn
sudo nft list ruleset
ip -br addr

خدمات کو ہر انٹرفیس کے بجائے اس پتے سے باندھیں جس کی انہیں ضرورت ہے، اور صرف وہی کارروائیاں اجازت دیں جو منظور شدہ کام مانگتا ہے۔ فارورڈنگ، پل اور ایپلیکیشن پراکسی کو واضح رکھیں، کیونکہ دو نیٹ ورک رابطے خود بخود گزرگاہ نہیں بناتے، لیکن پراکسی قاعدہ یقیناً بنا سکتا ہے۔

منظور شدہ پھینکنے کے قابل کام کی جگہ کم کرتی ہے کہ دور کا نیٹ ورک کہاں تک پہنچ سکتا ہے، لیکن صرف اس وقت جب اس کی شیئرنگ ترتیب دعوے سے میل کھاتی ہے۔ مشترکہ فولڈرز، کلپ بورڈ انضمام، اسناد کے ایجنٹ اور انتظامی چینل سب اس حد سے گزرتے ہیں جو کام کی جگہ کو بنانی تھی۔ کام کی جگہ کا لیبل اس بارے میں کچھ ثابت نہیں کرتا کہ ان میں سے کون کھلے ہیں۔

NIST کی صفر اعتماد معماری اس سب کے پیچھے اصول بیان کرتی ہے: صرف نیٹ ورک مقام بذات خود مضمر اعتماد نہیں دیتا۔ وسائل کی تصدیق کا سرنگ قبول ہونے کے بعد بھی کام ہے، اور یہ سوال بھی کہ اس نیٹ ورک کو اور کون شیئر کرتا ہے۔

راستے میں موجود آپریٹر کیا دیکھ سکتا ہے

VPN آپ کی ٹریفک کو راستے میں کسی اور جگہ منتقل کرتا ہے؛ یہ ایپلیکیشن خفیہ کاری نہیں جوڑتا۔ اگر فراہم کنندہ آپ کا TLS ختم کرتا ہے، تو وہ وہ پڑھ سکتا ہے جسے آپ کا براؤزر ورنہ محفوظ رکھتا، اور کوئی مقامی فائر وال قاعدہ اسے نہیں بدلتا۔

اصل منزل کے لیے معمول کی سند تصدیق رکھیں اور حل کنندہ اور میٹا ڈیٹا کا راستہ سمجھیں، کیونکہ DNS استفسار اس سے پہلے جانے والے پے لوڈ سے زیادہ ظاہر کر سکتا ہے۔ صرف میٹا ڈیٹا، یعنی آپ نے کن پتوں سے کب رابطہ کیا، اکثر مواد پڑھنے کی کسی ضرورت کے بغیر آپریٹر کے سوال کا جواب دے دیتا ہے۔ اسی لیے «ٹریفک خفیہ ہے» اور «ٹریفک نجی ہے» الگ دعوے ہیں۔

اگر وہ نظر کا کام کے لیے ناقابلِ قبول ہو، تو جواب مزید مقامی فلٹرنگ نہیں بلکہ دوسری منظور شدہ معماری ہے۔ مقامی فلٹرنگ کسی نگراں کو اس راستے سے نہیں ہٹا سکتی جس پر وہ اب بھی بیٹھا ہے۔

مقامی کلائنٹ کیا بدل سکتا ہے

یہی وہ حد ہے جو لوگ چھوڑ دیتے ہیں، اور یہی باقی دو کو بے معنی بناتی ہے۔ لینکس میں CAP_NET_ADMIN اپنے نیٹ ورک سیاق میں انٹرفیس ترتیب، فائر وال انتظام اور راستے کی تبدیلیاں ڈھانپتا ہے۔ اس صلاحیت والا سافٹ ویئر آپ کی ابھی لکھی پالیسی دوبارہ لکھ سکتا ہے۔

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

نیٹ ورک نام کی جگہ نیٹ ورک حالت کے لیے حقیقی حد اور باقی سب کے لیے کمزور ہے: یہ فائل سسٹم یا اسناد کے ذخیرے کو الگ نہیں کرتی۔ اسے پورے مسئلے کا کنٹینر نہیں بلکہ ایک تہہ سمجھیں۔

کلائنٹ اور اس کی ترتیب کی دیکھ بھال والے ماخذ سے حاصل کریں، جو اختیار وہ مانگتا ہے اس کا جائزہ لیں، اور خصوصی اجازت والے اجزا منتظم کے کنٹرول میں رکھیں۔ قیمتی اسناد کے ساتھ غیر واضح انسٹالر چلانے کی اجازت بنے بغیر مجازی مشین قابلِ اہلیت جائزہ حد کا حصہ ہو سکتی ہے۔ انسٹالر آپ جو بھی اختیار دیں اسی سے چلتا ہے، اور وہی اختیار حد ہے۔

لکھیں کہ آپ نے کون سی حد قبول کی

چار چیزوں کا نام لینے والے جملے پر ختم کریں: قابلِ اعتماد مقامی کوڈ، اجازت شدہ دور رسائی، محفوظ ایپلیکیشن ڈیٹا اور باقی رہنے والا آپریٹر تعلق۔ وہ جملہ اس عام دعوے سے زیادہ قیمتی ہے کہ VM، آپریٹنگ سسٹم یا اینٹی وائرس کی مصنوعات نے دشمن نیٹ ورک کو محفوظ بنا دیا۔

پھر تصدیق کریں کہ تنگ کارروائی چلتی ہے اور مطلوبہ انکار اب بھی قائم ہے، سرنگ گرنے کے بعد بھی۔ جو حد صرف اس وقت ہوتی ہے جب سرنگ کھڑی ہو، وہ آپ کی درج کردہ حد نہیں۔

کوئی امتحان ثابت نہیں کرتا کہ ہر کمزوری موجود نہیں، اور خلاف دعوی کرنے والا جائزہ مبالغہ کرتا ہے۔ ایماندار نتیجہ باقی خطرے اور اسے قبول کرنے والے شخص کا نام لیتا ہے۔