VPN کا MFA درخواست مسترد ہو گیا: کلائنٹ کو کیا کرنا چاہیے

مسترد شدہ MFA درخواست نیٹ ورک مسئلے جیسی لگتی ہے اور نہیں ہے۔ سرور نے دوسرا عنصر مانگا، عنصر منفی طور پر واپس آیا یا کبھی پہنچا ہی نہیں، اور کوئی سرنگ بننے سے پہلے ہی سیشن مسترد کر دیا گیا۔ اس کے بعد کیا ہوتا ہے وہ کلائنٹ کے رویے کا سوال ہے: ناکامی دکھا کر صارف کو صاف کوشش شروع کرنے دی جائے، یا ایسے طریقوں سے دوبارہ کوشش کی جائے جو مزید درخواستیں پیدا کریں اور بالاآخر اکاؤنٹ تحفظ فعال کر دیں۔ دوسرا راستہ وہی ہے جس سے ایک غلط ٹائپ شدہ کوڈ مقفل اکاؤنٹ بن جاتا ہے۔

دیکھیں کون سی درخواست ناکام ہوئی

یہ پہچان کر شروع کریں کہ کون سی درخواست ناکام ہوئی۔ پش اطلاع، TOTP کوڈ، FIDO ثبوت اور SAML بہاؤ ہر ایک الگ طریقے سے ناکام ہوتا ہے، اور کلائنٹ عام طور پر جانتا ہے کہ اس نے کون سی مانگی تھی۔ مسترد ہونا، میعاد ختم شدہ چیلنج اور وہ ترسیلی ناکامی جو کبھی ڈیوائس تک نہ پہنچی — سب ایک ہی عام خرابی پر ختم ہوتے ہیں، اس لیے فرق اکثر صرف کلائنٹ کی اپنی حالت میں ہی باقی رہتا ہے۔

اس حالت کو درستگی سے لاگ کرنا مناسب ہے۔ چیلنج شناخت کنندہ یا لین دین کا حوالہ، عنصر کی قسم، وقت کی مہر اور نتیجہ لکھیں، مگر کوڈ یا ثبوت کبھی نہیں۔ چیلنج شناخت کنندہ ہی منتظم کو شناخت فراہم کنندہ کی طرف واقعہ تلاش کرنے دیتا ہے؛ اس کے بغیر سپورٹ گفتگو «گزشتہ ایک گھنٹے میں کہیں» سے شروع ہوتی ہے اور عموماً وہیں ختم ہو جاتی ہے۔ اسے راز نہیں بلکہ تشخیصی میٹاڈیٹا سمجھیں۔

نئے چیلنج کے ساتھ ایک بار، جان بوجھ کر دوبارہ کوشش کریں

دوبارہ کوشش نئے چیلنج کے ساتھ نئی کوشش ہونی چاہیے، پرانے کی تکرار نہیں۔ جب کلائنٹ پچھلا چیلنج دوبارہ استعمال کرتا ہے، شناخت فراہم کنندہ اسے پرانا سمجھ کر مسترد کر دیتا ہے یا، اس سے بدتر، پچھلی کوشش کے لیے بنائی گئی منظوری قبول کر لیتا ہے۔ نیا چیلنج مانگیں، اسے دکھائیں اور صارف کو ابھی اسکرین پر موجود چیلنج پر عمل کرنے دیں۔

درمیان میں مختصر وقفے کے ساتھ دو کوششیں معقول ڈیفالٹ ہیں؛ لامحدود لوپ نہیں۔ اگر دوسری کوشش اسی طرح ناکام ہو تو جاری رکھنے کے بجائے رک کر رپورٹ کریں۔

کلائنٹ کو کیا نہیں کرنا چاہیے

کلائنٹ کو ایسے کئی کام نہیں کرنے چاہئیں جو مددگار لگتے ہیں اور نہیں ہیں۔ جب تک کوئی «منظور» پر ٹیپ نہ کرے پش اطلاعات بھیجتے نہ رہیں، کیونکہ یہ صارفین کو ایسی درخواستیں منظور کرنے کی عادت ڈالتا ہے جو انہوں نے خود شروع نہیں کیں، اور فشنگ کٹس بالکل اسی رویے پر انحصار کرتی ہیں۔ مضبوط عنصر ناکام ہونے پر کمزور عنصر کی طرف نہ جائیں، اور اسی وقت ظاہر ہونے والی سرٹیفکیٹ شکایت سے بچنے کے لیے سرور کی شناخت کی جانچ بند نہ کریں۔ ان تینوں شارٹ کٹ میں سے ہر ایک توثیقی ناکامی کو سیکیورٹی واقعہ بنا دیتا ہے۔

ناکامی کو خاموشی سے نگلنا بھی نہیں چاہیے۔ جو کلائنٹ کنکشن بند کر کے گھومتا ہوا اشارہ دکھاتا ہے وہ صارف کو یہ جانے بغیر چھوڑ دیتا ہے کہ دوبارہ کوشش کرنی ہے، انتظار کرنا ہے یا سپورٹ کو فون کرنا ہے۔ عنصر کی قسم اور مختصر کوڈ کے ساتھ ناکامی دکھائیں، پیغام کو رازوں سے پاک رکھیں اور دوبارہ کوشش کے عمل کو خودکار کے بجائے واضح بنائیں۔

اگر درخواست کیبورڈ پر بیٹھے شخص نے شروع نہیں کی، تو درست عمل اسے مسترد رہنے دینا اور تصدیق شدہ سپورٹ راستے سے رپورٹ کرنا ہے۔ شور روکنے کے لیے درخواست منظور کرنا ناکامی کا نمونہ ہے، حل نہیں۔

سپورٹ کے لیے کیا درج کریں

سپورٹ کے لیے مفید ریکارڈ چھوٹا ہے۔ ٹائم زون کے ساتھ تخمینی وقت، اکاؤنٹ، کلائنٹ اور ورژن، عنصر کی قسم، اور ہر کوشش کی غیر راز حالت: مانگی گئی، مسترد، میعاد ختم، منظور مگر پالیسی نے مسترد کیا۔

کلائنٹ اور سرور کی گھڑیوں پر بھی نظر رکھیں۔ TOTP وقت کی کھڑکی کی جانچ ہے، اس لیے جس ڈیوائس کی گھڑی سرک گئی ہے وہ درست دکھنے والے کوڈ بناتی ہے جو ہر بار ناکام ہوتے ہیں، اور جو کلائنٹ سرکنے کا ذکر کیے بغیر غلط کوڈ کی رپورٹ کرتا ہے وہ لوگوں کو ایسے اسناد ری سیٹ کرنے بھیجتا ہے جو کبھی غلط نہیں تھے۔ جس کا لاگ اِن بار بار ناکام ہوتا ہے اسے مزید درخواستیں بنانے سے پہلے معاون کلائنٹ ورژن، اندراج کی حالت اور دستاویزی بحالی بہاؤ جانچنا چاہیے۔

بحالی کا راستہ لاگ اِن کے راستے جتنی ہی دیکھ بھال کا حقدار ہے۔ گمشدہ ڈیوائس کے لیے ورک فلو بالکل اسی لیے موجود ہے کہ مسترد ہونا توثیق کو نظرانداز کرنے کی اجازت نہ بنے، اور کلائنٹ کو اپنا ایجاد کرنے کے بجائے تنظیم کے دستاویزی عمل سے لنک دینا چاہیے۔

جس اصول پر تعمیر کرنی ہے وہ یہ ہے: مسترد ہونا ایک نتیجہ ہے، رکاوٹ نہیں۔ اسے ایک بار، واضح طور پر، عمل کے لیے کافی سیاق و سباق کے ساتھ رپورٹ کریں، اور اگلی کوشش نئی ہونے دیں۔ فشنگ سے مزاحم MFA کے بارے میں CISA کی رہنمائی بتاتی ہے کہ «منظوری تک پوچھتے رہنا» کا نمونہ شروع ہی سے خطرناک کیوں ہے، اور جب کوئی دوبارہ کوشش کا لوپ تجویز کرے تو یہی حوالہ دینے کے قابل ہے۔ مسترد ہونے کے بعد کلائنٹ جو کچھ بھی شامل کرے اس سے اگلا فیصلہ انسان کے لیے آسان ہونا چاہیے، فیصلہ اس سے چھیننا نہیں۔