VPN پاس ورڈ بمقابلہ کلائنٹ سرٹیفکیٹ: کون جلد بحال ہوتا ہے

ایک تعیناتی صارف نام اور پاس ورڈ مانگتی ہے، دوسری کلائنٹ سرٹیفکیٹ، اور تیسری دونوں۔ یہ انتخاب لاگ ان پرامپٹ سے کہیں زیادہ بدلتا ہے: یہ طے کرتا ہے کہ اسناد کیسے جاری ہوتی ہیں، کیسے میعاد ختم ہوتی ہیں، رات 2 بجے بحالی کیسی دکھتی ہے اور کون بالکل ایک ڈیوائس کی رسائی منسوخ کر سکتا ہے۔ ڈائلاگ باکس نہیں، آپریشنل لائف سائیکل کا موازنہ کریں۔

پاس ورڈ اکاؤنٹ کا راز ہے جسے توثیق کا عمل جانچتا ہے، جبکہ سرٹیفکیٹ ایک شناخت اور اس کی نجی کلید کی ملکیت کا ثبوت ہے۔ یہ مختلف ناکامی کے طریقوں والی مختلف چیزیں ہیں۔

دو مختلف ثبوت، دو مختلف پرامپٹ

پاس ورڈ مشترکہ راز کے علم کو ثابت کرتا ہے، اس لیے سرور ہیش کا موازنہ کرتا ہے اور لائف سائیکل کا مالک اکاؤنٹ نظام ہے۔ سرٹیفکیٹ نجی کلید کی ملکیت ثابت کرتا ہے، اور سرور اپنے قابل اعتماد CA تک دستخطوں کا سلسلہ جانچتا ہے۔ دوسرا شخص کی بجائے ڈیوائس کی شناخت کر سکتا ہے، اسی لیے تعیناتیاں اکثر ہر لیپ ٹاپ کے لیے ایک جاری کرتی ہیں۔ کلید فائل کی حفاظت کرنے والا پاس فریز پھر تیسری چیز ہے: یہ فائل کو سکون میں محفوظ رکھتا ہے اور VPN اکاؤنٹ کا پاس ورڈ نہیں ہے۔

ہر امتزاج میں سرور کی تصدیق ضروری رہتی ہے۔ جس اینڈ پوائنٹ کی شناخت آپ جانچنا بند کر چکے ہیں اسے بھیجی گئی درست اسناد بھی جواب دینے والے کو دی گئی اسناد ہی ہیں، اس لیے سرور سرٹیفکیٹ کی جانچ مسئلہ حل کرنے کے مرحلے میں نہیں، بنیادی پروفائل میں ہونی چاہیے۔

جاری کرنا، میعاد ختم ہونا اور منسوخی ہی اصل لاگت ہیں

پاس ورڈ جاری کرنا سستا اور معاونت مہنگی ہے: ری سیٹ، پالیسی، دوبارہ استعمال اور ہیلپ ڈیسک قطار۔ سرٹیفکیٹ وہ لاگت آگے لاتے ہیں، جہاں CA، دستخط کا عمل اور تقسیم کا ذریعہ درکار ہوتا ہے، پھر ایسا میعاد ختم ہونے کا کیلنڈر شامل کرتے ہیں جو کسی کو یاد نہیں رہتا۔ دونوں کو منصوبہ بند منسوخی چاہیے۔ منسوخ شدہ سرٹیفکیٹ کو ایسی CRL چاہیے جو ہر سرور واقعی پڑھے، اور غیر فعال اکاؤنٹ کو توثیق کے بیک اینڈ کی طرف سے اگلی مطابقت پذیری کے بجائے اگلے کنکشن پر انکار چاہیے۔

کوئی بھی طریقہ کار محض موجود ہونے سے محفوظ نہیں ہوتا۔ سوال یہ ہے کہ ٹیم کون سا لائف سائیکل مستقل چلا سکتی ہے۔

ڈیوائس گم ہونے پر کیا ٹوٹتا ہے

گمشدہ لیپ ٹاپ کے لیے، وہ اجازت ہٹائیں جو اس ڈیوائس نے واقعی استعمال کی تھی۔ پاس ورڈ ری سیٹ اس کا سرٹیفکیٹ منسوخ نہیں کرتا، اور نیا سرٹیفکیٹ جاری کرنا غیر متعلقہ اکاؤنٹ کا پاس ورڈ نہیں بدلتا۔ فی ڈیوائس الگ شناختیں ہدفی ہٹانا ممکن بناتی ہیں، جبکہ مشترکہ اسناد کا مطلب ہے کہ ایک ڈیوائس ہٹانے سے کئی متاثر ہوتی ہیں۔ ہر طریقہ کار کے لیے بحالی کا طریقہ کار ضرورت سے پہلے لکھیں، بشمول یہ کہ دفتری اوقات سے باہر کون متبادل سرٹیفکیٹ پر دستخط کر سکتا ہے۔

منسوخی کے راستے کی مشق کریں، اسے فرض نہ کریں: آزمائشی شناخت منسوخ کریں، تصدیق کریں کہ سرور نئے کنکشن پر اسے مسترد کرتا ہے، پھر اسے بحال کریں۔ کبھی مشق نہ کی گئی منسوخی کا عمل عین اسی وقت ناکام ہوتا ہے جب اس کی ضرورت ہو۔

کام دگنا کیے بغیر دونوں چلانا

بہت سی تعیناتیاں جان بوجھ کر دونوں کو یکجا کرتی ہیں: ڈیوائس کے لیے سرٹیفکیٹ اور شخص کے لیے اکاؤنٹ اسناد، تاکہ چوری شدہ لیپ ٹاپ کافی نہ ہو اور لیک شدہ پاس ورڈ بھی کافی نہ ہو۔ یہ امتزاج صرف اسی وقت فائدہ دیتا ہے جب دونوں لائف سائیکل الگ رہیں اور دونوں خودکار ہوں۔ ورنہ ہیلپ ڈیسک دو قطاریں چلاتا ہے اور سلامتی کا فائدہ نظری رہتا ہے۔

وہ طریقہ چنیں جسے سروس کے کلائنٹ اور انتظامی اوزار واقعی سپورٹ کرتے ہیں۔ ناموافق پروفائل کے کنیکٹ ہونے کے لیے تصدیق کمزور کرنا پورا مقصد الٹ دیتا ہے، اور کنیکٹ ہونے تک ترمیم شدہ پروفائل اکثر ایسا ہوتا ہے جو اب وہ چیز نہیں جانچتا جس کے لیے بنایا گیا تھا۔

ریکارڈ کریں کہ ہر تعیناتی کون سا ثبوت مانگتی ہے اور ہر ایک کیسے منسوخ ہوتا ہے۔ اگلا واقعہ بالکل وہی پوچھے گا۔