VPN سرٹیفکیٹ کے فنگر پرنٹ کو الگ چینل سے کیسے تصدیق کریں

فنگر پرنٹ اتنا ہی قابلِ اعتماد ہے جتنا وہ چینل جس نے آپ کو بتایا کہ کیا توقع رکھنی ہے۔ اگر جس قدر سے آپ موازنہ کر رہے ہیں وہ اسی کنکشن سے آیا ہے جس کی آپ جانچ کر رہے ہیں، تو یہ موازنہ اس حقیقت کے سوا کچھ ثابت نہیں کرتا کہ اس کنکشن کو کنٹرول کرنے والا فریق مستقل ہے۔ جانچ ایک مقررہ ترتیب میں چلنی چاہیے، اور ناکام مرحلے کو آپ کو اگلے مرحلے کی طرف دھکیلنے کے بجائے روک دینا چاہیے۔ جب VPN کلائنٹ بتاتا ہے کہ سرٹیفکیٹ بدل گیا ہے تو میں یہی ترتیب استعمال کرتا ہوں۔

قدر کا نام لینے سے پہلے شے کا نام لیں

طے کریں کہ متوقع قدر سرور کے پتے والے سرٹیفکیٹ کی ہے، اسے جاری کرنے والے CA کی ہے، یا پتے کے اندر موجود عوامی کلید کی ہے۔ یہ تین مختلف جانچیں ہیں اور یہ مختلف طریقوں سے ناکام ہوتی ہیں۔ مطابقت رکھنے والا CA فنگر پرنٹ سرور کو پن نہیں کرتا، اور عوامی کلید کا ہیش جان بوجھ کر ایسی دوبارہ اجرا سے بچ جاتا ہے جو وہی کلید برقرار رکھتی ہے۔

الگورتھم بھی لکھ لیں۔ SHA-256 آج عام توقع ہے، لیکن پرانے اوزار کچھ اور نہ مانگنے پر SHA-1 چھاپتے تھے، اور 40 حروف کی ہیکس قدر اس بات کی علامت ہے کہ آپ دو مختلف چیزوں کا موازنہ کرنے والے ہیں۔

متوقع قدر دوسرے چینل سے حاصل کریں

دوسرا چینل ایسا ہونا چاہیے جس میں وہ فریق لکھ نہ سکے جس سے آپ بچاؤ کر رہے ہیں۔ جس پروویژننگ نظام میں آپ پہلے ہی تصدیق کرتے ہیں، تجوری میں رکھا چھپا ریکارڈ، ترتیب کا ڈیٹا بیس، یا کسی دوسرے عمل کے ذریعے پہنچایا گیا دستخط شدہ دستاویز، سب موزوں ہیں۔ ساتھی کا چیٹ پیغام، تلاش کے نتیجے سے پہنچا ہوا معاون صفحہ، اور وہ سب کچھ جو اس ٹرمینل میں چسپاں کیا جائے جس میں آپ پہلے ہی ڈیبگ کر رہے ہیں، موزوں نہیں ہیں۔

پوری قدر اور الگورتھم مانگیں، کبھی سابقہ نہیں۔ کولن اور بڑے یا چھوٹے حروف اہم نہیں، لیکن کاٹنا 256 بٹ کی جانچ کو اندازے کا کھیل بنا دیتا ہے۔

اگر کوئی آزاد ماخذ سے متوقع قدر فراہم نہیں کر سکتا، تو ایماندار نتیجہ یہی ہے کہ اس سرٹیفکیٹ کی آج تصدیق نہیں ہو سکتی۔ یہ کہنا اس چیز کو پن کرنے سے بہتر ہے جو کلائنٹ نے ابھی دکھایا، کیونکہ اس سے تنبیہ عادت بن جاتی ہے۔

قدر اپنی طرف نکالیں

سرٹیفکیٹ فائل کے لیے حکم openssl x509 -in server.crt -noout -fingerprint -sha256 ہے۔ واضح ڈائجسٹ اہم ہے: اس کے بغیر پیداوار آپ کے OpenSSL نسخے پر منحصر ہوتی ہے۔ نتیجہ کولن سے الگ ہیکس تار ہے، اس لیے موازنے سے پہلے کولن ہٹائیں اور دونوں اطراف کو چھوٹے حروف میں لائیں۔

TLS براہِ راست بولنے والے سرے کے لیے، جڑیں اور سرٹیفکیٹ کو پائپ سے باہر نکالیں: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com < /dev/null | openssl x509 -noout -fingerprint -sha256۔ یہ ویب منتظم پینل یا TLS سننے والے کے لیے کام کرتا ہے، اس OpenVPN کے لیے نہیں جس کا کنٹرول چینل سرنگ کے اندر ہوتا ہے۔ OpenVPN کے لیے، ساکٹ سے پکڑنے کی کوشش کے بجائے ڈسک پر موجود پروفائل سے سرٹیفکیٹ پڑھیں۔

موازنہ مشینی ہونا چاہیے۔ tr -d ':' اور حروف کی یکسانی سے دونوں قدریں معمول پر لائیں، پھر پوری تار کا موازنہ کریں۔ آنکھ سے موازنہ کرنا وہ طریقہ ہے جس میں مطابق سابقہ آخری بائٹ کے فرق کو چھپا دیتا ہے۔ اگر تاریں مختلف ہوں، تو وضاحت تلاش کرنے سے پہلے فرق کو حقیقی مانیں۔

رکنے کی شرطیں

اگر شے مختلف ہو تو رکیں، کیونکہ CA فنگر پرنٹ پتے والے سرٹیفکیٹ کو بری نہیں کر سکتا اور پتہ CA کو بری نہیں کر سکتا۔ اگر الگورتھم مختلف ہو تو رکیں، کیونکہ SHA-1 قدر کا SHA-256 قدر سے موازنہ آپ کو کچھ نہیں بتاتا۔ اگر فنگر پرنٹ مطابق ہو لیکن سرٹیفکیٹ میعاد ختم، منسوخ یا کسی اور نام کے لیے جاری ہو تو رکیں؛ مطابق ہیش صداقت کی جانچ نہیں ہے اور ٹوٹی زنجیر کو ٹھیک نہیں کرتا۔ اگر سلسلہ وار نمبر اس ریکارڈ کے سلسلہ وار نمبر سے مطابق نہ ہو جس کے ساتھ آپ جانچ کر رہے ہیں تو بھی رکیں، کیونکہ بدلا ہوا سرٹیفکیٹ پکڑنے کا یہ سستا ترین طریقہ ہے۔

اگر نئی قدر اسی چینل سے آئی ہے جس کی آپ جانچ کر رہے تھے تو رکیں۔ گردش فنگر پرنٹ کو قانونی طور پر بدل سکتی ہے، لیکن متبادل قدر پھر بھی قابلِ اعتماد عمل سے ہی آنا چاہیے، اس تنبیہی مکالمے سے نہیں جس نے سوال اٹھایا۔

اگر تجویز کردہ اصلاح میزبان نام یا زنجیر کی تصدیق بند کرنا ہو تو رکیں۔ فنگر پرنٹ عام جانچوں میں ایک پابندی شامل کرتا ہے؛ یہ انہیں بدلتا نہیں جب تک تعیناتی نے جان بوجھ کر صرف پن ماڈل نہ چنا ہو، اور اس انتخاب کے اپنے آپریشنل اخراجات ہیں۔

موازنے کے بعد

درج کریں کہ آپ نے کس چیز کا موازنہ کیا، متوقع قدر کہاں سے آئی اور کب۔ اگر سرٹیفکیٹ دوبارہ جاری ہوا ہے، تو محفوظ توقع کو اسی قابلِ اعتماد چینل سے تازہ کریں اور نیا سلسلہ وار نمبر لکھیں، کیونکہ اگلی گردش کو قابلِ آڈٹ بنانے والا وہی سلسلہ وار نمبر ہے۔

پھر حدود کے بارے میں واضح رہیں۔ فنگر پرنٹ تصدیق کرتا ہے کہ آپ کے پاس موجود سرٹیفکیٹ وہی ہے جس کی توقع کرنے کو کسی نے آپ سے کہا تھا۔ یہ میزبان کے غیر متاثر ہونے کے بارے میں کچھ نہیں کہتا، اور اس بارے میں بھی کچھ نہیں کہتا کہ خدمت اس سرٹیفکیٹ کی رسائی کو درج کرتی ہے یا محدود کرتی ہے۔