VPN کی شناخت اس پر منحصر ہے کہ آپ کہاں سے دیکھتے ہیں

دو ڈٹیکٹر ایک ہی صارف کا مشاہدہ کر کے اختلاف کر سکتے ہیں، اور دونوں درست ہو سکتے ہیں۔ رسائی لنک کے پاس کا مشاہدہ کرنے والا VPN کی بیرونی گفتگو دیکھتا ہے؛ ویب سائٹ وہ ایپلیکیشن کنکشن دیکھتی ہے جو خارجی راستے سے آتا ہے۔ یہ مختلف فنگر پرنٹس والے مختلف کنکشن ہیں، اور ایک کا ثبوت دوسرے پر منتقل نہیں ہوتا۔ کسی بھی TLS یا TCP ٹیسٹ پر بحث سے پہلے مشاہداتی نقطے کا نام لینا ہی دعوے کو بامعنی بناتا ہے۔

مشاہداتی نقطہ بتائے بغیر ڈٹیکٹر پیمائش نہیں، رائے بیان کرتا ہے۔

دو مشاہداتی نقطے، دو مختلف کنکشن

بیرونی گفتگو ٹنل پروٹوکول کی ہے: اس کے اپنے پیغام کی شکلیں، اس کی اپنی حالت مشین، اس کا اپنا وقت۔ اندرونی کنکشن وہ براؤزر ہے جو ویب سائٹ کو TLS کھولتا ہے، ٹنل سے گزرتا ہے اور پھر خارجی راستے سے آگے بھیجا جاتا ہے۔ دونوں ایک ہی لمحے موجود ہیں اور وہ ایک ہی بہاؤ نہیں ہیں۔ ایک وہ ہے جو رسائی نیٹ ورک دیکھ سکتا ہے، دوسرا وہ ہے جو منزل دیکھ سکتی ہے، اور دونوں میں سے کسی کو ختم کرنے والا درمیانی بکس دونوں تصویریں بدل دیتا ہے۔

یہی فرق شناخت کی بحثوں میں زیادہ تر الجھن کی وضاحت کرتا ہے۔ بہاؤ کے بارے میں ایک بات بتانے والا ٹیسٹ اکثر اس پرت سے مختلف پرت کے سوال کا جواب دیتا ہے جو آپریٹر کے ذہن میں تھی۔

رسائی راستے کا مشاہدہ کرنے والا کیا دیکھتا ہے

رسائی لنک کے پاس نظر آنے والا مواد خود ٹنل پروٹوکول ہے: OpenVPN کے لیے کنٹرول اور ڈیٹا پیکٹ کی اقسام، WireGuard کے مقررہ حجم کے ہینڈ شیک اور ڈیٹا کے نمونے، یا تعیناتی کا شامل کردہ کوئی بھی غلاف۔ کوئی درجہ بندی کرنے والا انہیں پہچان سکتا ہے یا نہیں، یہ اس پر منحصر ہے کہ کیا نظر آتا ہے، کون سی ترسیل انہیں لے جاتی ہے اور کوئی اضافی دھندلاہٹ ہے یا نہیں۔ قابل شناخت نمونہ بہاؤ کے بارے میں ثبوت ہے، اور اس کے پیچھے موجود شخص کی شناخت یا نیت کے بارے میں ثبوت نہیں۔

پورٹ 443 کسی سروس تک پہنچنے کا رواج ہے۔ یہ ہر ٹنل ترسیل کو HTTPS نہیں بناتا۔

ویب سائٹ واقعی کیا دیکھتی ہے

روٹ کیے گئے ٹنل کے ساتھ براؤزر اب بھی سائٹ کے ساتھ اپنا TLS سیشن چلاتا ہے۔ خارجی راستے پر ترجمہ VPN گیٹ وے کو براؤزر کا TLS آخری نقطہ نہیں بناتا، اس لیے سائٹ کو ملنے والا ClientHello براؤزر یا اس کی TLS لائبریری بیان کرتا ہے۔ لہٰذا JA3 طرز کا فنگر پرنٹ ایپلیکیشن کنکشن کی خصوصیت بتاتا ہے، اسے لے جانے والے VPN سافٹ ویئر کی نہیں۔ صرف جان بوجھ کر ختم کرنے والا پراکسی ہی وہ ترتیب بدلتا ہے، اور اسے الگ سے شناخت کرنا ہوگا۔

TCP مشاہدات کو بھی وہی احتیاط چاہیے۔ آگے بھیجنا، ترجمہ اور نیا کنکشن شروع کرنے والا پراکسی تین مختلف ڈیزائن ہیں، اور ان میں سے صرف ایک ترسیلی اسٹیک دوبارہ لکھتا ہے۔ ایک غیر معمولی خصوصیت تنہا ٹنل کا واضح اشارہ نہیں دیتی۔

دعوے کو ثبوت کے اندر رکھیں

نیٹ ورک کی درجہ بندی، پروٹوکول کا مشاہدہ، ایپلیکیشن فنگر پرنٹس اور اکاؤنٹ کے اشارے خطرے کے فیصلے کے ان پٹ ہیں، ہر ایک میں غلط مثبت، غلط منفی اور غائب ثبوت ہوتے ہیں۔ ہوسٹنگ رینج کا پتہ تجارتی VPN کے بارے میں کچھ ثابت نہیں کرتا، اور عام براؤزر فنگر پرنٹ براہ راست VPN کے بارے میں کچھ ثابت نہیں کرتا۔ ڈٹیکٹر کا جائزہ لیتے وقت معلوم راستوں والا مجاز ڈیٹاسیٹ استعمال کریں اور درج کریں کہ کس مشاہدے نے کون سا نتیجہ دیا۔

پروٹوکول کی درجہ بندی کو نتائج والے رسائی فیصلے سے الگ رکھیں۔ حسبِ ضرورت جواب یا بگڑے پیکٹ کی چال اس کے پیچھے کے استنباط کی تصدیق نہیں کرتی؛ یہ صرف ایک اندازے پر دباؤ ڈالتی ہے۔

مفید رپورٹ مشاہدہ، مشاہداتی نقطہ اور اعتماد کا نام لیتی ہے۔ صرف «VPN پتہ چلا» کی لائن وہی حصہ چھپاتی ہے جو کسی کو اس کی تصدیق کرنے دیتا۔