کیا وہ VPN ایپ سرکاری بلڈ ہے یا نقلی؟

نقلی سافٹ ویئر نام، آئیکن اور اسکرین شاٹ نقل کرتا ہے، اور اتنا اچھا جڑتا ہے کہ قابل اعتماد لگے۔ ٹنل کا چلنا کسی بات کا ثبوت نہیں، کیونکہ سوال یہ ہے کہ بائنری کس نے لکھی۔ اسے سیکیورٹی جائزے کے بجائے شناخت کی جانچ سمجھیں، اور ہر حوالہ قدر ایپ کے اپنے صفحے کے بجائے اس چینل سے لیں جو آپ نے خود چنا ہو۔ آگے پانچ جانچیں ہیں، اور ہر ایک ناکام ہو سکتی ہے جبکہ باقی پاس ہوں۔ انہیں ترتیب سے کریں، کیونکہ بعد کی جانچ پہلی کو نہیں بچا سکتی۔

اپنی حوالہ قدریں اس چینل سے لیں جو آپ نے خود چنا

یہ دیکھنے سے پہلے کہ کیا نصب ہے، پروجیکٹ کی سرکاری ڈاؤن لوڈ ہدایات یا اپنی تنظیم کا زیر انتظام سافٹ ویئر چینل کھولیں۔ متوقع اسٹور پبلشر، پیکج یا انسٹالر کی شناخت اور معاون پلیٹ فارم لکھیں، پھر وہ نوٹ وہاں رکھیں جہاں اگلی اپ ڈیٹ پر آپ کو ملے۔ تلاش کا نتیجہ یا اسپانسر شدہ جگہ وہ چینل نہیں، اور ادا شدہ جگہ قدرتی نتیجے سے اوپر اسی لیے ہوتی ہے کہ لوگ پہلی مطابقت پر کلک کرتے ہیں۔ تصدیق کے بعد صفحہ بک مارک کریں، تاکہ اگلا ڈاؤن لوڈ بار بار تلاش کے بجائے فیصلے سے شروع ہو۔

آئینہ یا کسی تیسرے فریق کا پیکج ذخیرہ بھی ایک چینل ہے، اور یہ اتنا ہی قابل بھروسہ ہے جتنا اس کا منتظم۔ لکھیں کہ آپ نے کون سا استعمال کیا، کیونکہ اپ ڈیٹس کے درمیان لوگ یہی تفصیل بھولتے ہیں۔

نام نہیں، نصب شدہ پبلشر کا موازنہ کریں

جہاں موجود ہو وہاں پلیٹ فارم کے اپنے دستخط اور ایپلیکیشن ریکارڈ پر بھروسہ کریں، پھر ورژن، اپ ڈیٹ راستہ اور ایپ کی مانگی گئی اجازتیں پڑھیں۔ درست دستخط دیکھنا اس پبلشر کو دیکھنے کے برابر نہیں جس کی آپ توقع رکھتے تھے، کیونکہ سرٹیفکیٹ صرف یہ تصدیق کرتا ہے کہ بائنری پر اس کے مالک نے دستخط کیے۔ ایسی کمپنی کے دستخط جو آپ نے کبھی نہ سنی ہو، پھر بھی درست دستخط ہیں، اسی لیے جانچ کو وہ فریق نامزد کرنا چاہیے جس کا آپ نے ارادہ کیا۔ اضافی سافٹ ویئر لانے والا انسٹالر، سرٹیفکیٹ مانگتا ہے یا ایسی اکاؤنٹ ونڈو کھولتا ہے جس کی آپ توقع نہیں رکھتے تھے، پروڈکٹ کی اپنی دستاویزات سے وضاحت مانگتا ہے۔

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

پلیٹ فارم کے مطابق جانچ چلائیں، اور اس کے نتائج کا موازنہ پہلے مرحلے میں بنائے گئے حوالہ نوٹ سے کریں۔ پبلشر کے خانے میں فرق کسی بھی ظاہری مشابہت سے زیادہ معلومات دیتا ہے، کیونکہ آئیکن نقل کرنے میں کچھ خرچ نہیں ہوتا۔ اگر نتائج ایسی تنظیم کا نام لیں جو پروجیکٹ کی دستاویزات میں کہیں نہ ہو، وہیں رک جائیں اور سائن ان نہ کریں۔

نصب شدہ دستخط اصل میں کیا ثابت کرتے ہیں

جب کوئی پروجیکٹ چیک سم، دستخط یا ریلیز کیز شائع کرے، تو اس کا پورا دستاویزی طریقہ کار، حوالہ کلید حاصل کرنے والا حصہ بھی شامل کرتے ہوئے، مکمل کریں۔ ڈاؤن لوڈ کے ساتھ اسی صفحے پر چھپا چیک سم صرف یہ ثابت کرتا ہے کہ فائل اس صفحے سے مطابقت رکھتی ہے، جو دکھنے سے کمزور دعوی ہے۔ مفید سوال یہ ہے کہ کیا دستخط پروجیکٹ کی دستاویزی شناخت تک، ایسے راستے سے جڑتے ہیں جو نقل کنٹرول نہیں کرتی۔ لوگ اسی مرحلے کو مختصر کر کے یہ پوچھتے ہیں کہ فائل پر دستخط ہیں یا نہیں۔

کلید سرور سے لی گئی کلید اور README میں چھپی فنگر پرنٹ برابر ثبوت نہیں۔ فائل کو تصدیق شدہ کہنے سے پہلے طے کریں کہ آپ نے اصل میں کون سی استعمال کی۔

جب ایپ اصل ہو مگر پروفائل نہ ہو

کلائنٹ اور سرور پروفائل دو مختلف جاری کنندگان سے آتے ہیں، اور انہیں گڈمڈ کرنا غلط بائنری نصب کرنے سے الگ ناکامی ہے۔ ایک پروجیکٹ کے زیر انتظام OpenVPN بلڈ غیر متعلق منتظم کی لکھی ترتیب بخوشی لوڈ کرے گا، اور یہ معمول کا رویہ ہے، مداخلت کا ثبوت نہیں۔ الٹا بھی سچ ہے: قانونی پروفائل غیر سرکاری کلائنٹ کو قابل بھروسہ نہیں بناتا۔ ہر شے کو اس کے اپنے ماخذ کے سامنے جانچیں، اور چلتی ہوئی کنکشن کو کبھی دو جانچوں کو ایک نہ بنانے دیں۔

اقدام سے پہلے پوچھیں کہ دونوں میں سے کون سی چیز واقعی شک میں ہے، کیونکہ علاج مختلف ہے۔ خراب کلائنٹ کا مطلب دوبارہ نصب کرنا، اور خراب پروفائل کا مطلب ایک فائل مٹا کر دوبارہ جاری کرنا ہے۔

غیر یقینی صورت میں اقدام کریں، پھر ٹھیک سے صفائی کریں

اگر شناخت غیر یقینی رہے، تو اسناد دینا بند کریں اور سافٹ ویئر آپ کی بک مارک کردہ تصدیق شدہ چینل سے آزادانہ حاصل کریں۔ فولڈر مٹا کر امید کرنے کے بجائے ناپسندیدہ ایپس کے لیے پلیٹ فارم کی ہدایت پر عمل کریں۔ پھر جو پبلشر، ورژن اور تصدیق کا طریقہ آپ نے قبول کیا اسے لکھ لیں، تاکہ اگلی اپ ڈیٹ کا موازنہ یادداشت سے نہیں، حقیقت سے ہو سکے۔

قانونی تبدیلی کے بعد پرانے پروفائل اور دی گئی اجازتیں کلائنٹ اور آپریٹنگ سسٹم دونوں میں دیکھیں۔ ڈاؤن لوڈ شدہ فائل کو ان انسٹال کرنے سے نصب شدہ ایپ اپنی جگہ رہتی ہے، اور پرانا پروفائل اس کلائنٹ سے زیادہ جی سکتا ہے جس نے اسے بنایا، جبکہ وہ اب بھی ایسے اینڈ پوائنٹ کی طرف اشارہ کرتا ہے جس کی کوئی دیکھ بھال نہیں کرتا۔ WireGuard کا سرکاری انسٹالیشن صفحہ ایسے حوالے کی اچھی مثال ہے جو رکھنے کے قابل ہے: یہ آئینہ نہیں، ڈویلپر کی اپنی فہرست ہے۔