VPN پورٹل کا انسٹالر: پیکیج، پروفائل یا دوبارہ تعمیر؟

VPN پورٹل کا ڈاؤن لوڈ بٹن بالکل ایک فائل واپس کرتا ہے، اور وہ فائل دو بہت مختلف چیزیں ہو سکتی ہے: ساتھ سفر کرنے والی کنفیگریشن پروفائل کے ساتھ وینڈر کا تیار انسٹالر، یا وہ بلڈ جو تنظیم نے خود مرتب کی ہو۔ صفحہ دونوں صورتوں میں ایک جیسا دکھتا ہے، اس لیے بٹن نہیں بتا سکتا کہ آپ کے پاس کون سی ہے۔ اس کے پیچھے تین سوال ہیں — executable فائل کس نے شائع کی، انسٹال کون سی کنفیگریشن لکھتا ہے، اور اگلی کلائنٹ ریلیز آنے پر اسے کون درست کرتا ہے۔ پہلے کا جواب آپ آرٹیفیکٹ کے میٹاڈیٹا سے، دوسرے کا پیکیج کے مندرجات سے، اور تیسرے کا صرف اس ٹیم سے دیتے ہیں جو تعیناتی کی مالک ہے۔

براؤزر کا تالا منتقلی کو ڈھکتا ہے، آرٹیفیکٹ کو نہیں۔

ڈاؤن لوڈ اینڈ پوائنٹ دراصل کیا واپس کرتا ہے

زیادہ تر پورٹل ڈاؤن لوڈ درخواست ایک چھوٹے ہینڈلر کو دیتے ہیں، جو یا محفوظ فائل اسٹریم کرتا ہے یا موقع پر فائل جوڑتا ہے، پھر جواب نکلنے سے پہلے فائل کا نام اور مواد کی قسم طے کرتا ہے۔ جو آتا ہے وہ ایک کنٹینر ہے: MSI، PKG، DEB یا RPM، یا ان میں سے کسی کے گرد خود نکالنے والا غلاف۔ اندر کلائنٹ کی بائنری ہوتی ہے، اور فائل کے نام میں کچھ بھی قابل اعتماد طور پر نہیں بتاتا کہ وہ بائنری وینڈر سے آئی یا اندرونی بلڈ پائپ لائن سے۔ client-setup.exe نام کی فائل نام دینے کا فیصلہ ریکارڈ کرتی ہے، اصل کا حقیقت نہیں۔

ڈاؤن لوڈ شدہ بائٹس کا موازنہ وینڈر کے شائع کردہ چیک سم سے کریں۔ عدم مطابقت بددیانتی ثابت نہیں کرتی؛ یہ ثابت کرتی ہے کہ فائل وینڈر کا بلڈ نہیں، اور یہی وہ فرق ہے جس پر کارروائی کرنا قابلِ قدر ہے۔

پروفائل کلائنٹ میں کہاں داخل ہوتی ہے

پہلے سے بھری ترتیبات عموماً الگ فائل کے طور پر سفر کرتی ہیں، جسے انسٹالر ہر صارف یا ہر مشین کے راستے میں نقل کرتا ہے: Windows پر JSON یا XML پروفائل، macOS پر کنفیگریشن پروفائل، Linux پر /etc کے تحت ایک ٹکڑا۔ اس فائل کی قدریں — گیٹ وے کے ہوسٹ نام، اعتماد کے لنگر، کبھی کبھی اندراج کا مواد — پہلی بار شروع ہونے پر کلائنٹ کے ڈیفالٹ بن جاتے ہیں۔ اسی لیے ایک ڈاؤن لوڈ کوڈ کے ساتھ ساتھ راز بھی لے جا سکتا ہے۔

پوچھیں کہ اپ گریڈ راستہ پروفائل کے ساتھ کیا کرتا ہے۔ پیکیجنگ کے مطابق یہ کلائنٹ اپ ڈیٹ میں بچ سکتا ہے، اس سے اوپر لکھا جا سکتا ہے، یا نئی ورژن میں اسکیما کی جانچ میں ناکام ہو سکتا ہے۔

دستخط کی زنجیر کیا ثابت نہیں کرتی

کوڈ دستخط کرنا ناشر کی شناخت کو فائل ہیش سے باندھتا ہے، اور Windows پر Authenticode کا ٹائم اسٹیمپ دستخط کو اس سرٹیفکیٹ سے زیادہ جینے دیتا ہے جس نے اسے بنایا۔ درست نتیجہ دو سوالوں کا جواب دیتا ہے: ان بائٹس پر کس ناشر نے دستخط کیے، اور کیا بعد میں وہ بدلے۔ یہ انسٹالر کی سروسز، رجسٹری کی تحریریں یا ساتھ آنے والے ڈرائیور شمار نہیں کرتا، اور یہ طے نہیں کرتا کہ اس ناشر پر یہاں اعتماد کرنا چاہیے یا نہیں۔ Microsoft کی Authenticode دستاویزات میکانزم بیان کرتی ہیں اور اس تنگ دائرے کے بارے میں واضح ہیں۔

پورٹل کی توثیق تیسرے سوال کا جواب دیتی ہے: کیا سیشن مطلوبہ سرور تک پہنچا۔ تین مختلف جانچیں، تین مختلف ناکامی کے طریقے۔

کوئی چلائے سے پہلے آرٹیفیکٹ کی تصدیق کریں

فائل کو الگ مشین پر رکھیں اور کچھ بھی چلانے سے پہلے اس کا میٹاڈیٹا پڑھیں۔ یہ کمانڈز تین بڑے پلیٹ فارمز پر ناشر کے سوال کا جواب دیتی ہیں۔

# Windows PowerShell
Get-AuthenticodeSignature .\client-setup.exe | Format-List Status, SignerCertificate, TimeStamperCertificate

# macOS
pkgutil --check-signature ./Client.pkg
codesign -dv --verbose=4 /Applications/Client.app

# Debian/Ubuntu
dpkg-deb -I ./client_amd64.deb
sha256sum ./client_amd64.deb

صرف اسٹیٹس لفظ نہیں، دستخط کرنے والے کا موضوع پڑھیں۔ اندرونی سرٹیفکیٹ اتھارٹی کا اندرونی بلڈ پر دستخط کرنا متوقع ہے؛ وینڈر کی ریلیز ہونے کا دعویٰ کرنے والے پیکیج پر وہی سرٹیفکیٹ متوقع نہیں۔

صرف پروفائل والے پیکیج کے لیے، آرکائیو کھولیں اور ہر ایمبیڈ شدہ ہوسٹ نام اور کلید کو ایسے ڈیٹا کے طور پر لیں جس کا حساب دینا ہوگا۔ اگر پروفائل میں دوبارہ استعمال کے قابل کچھ ہو، تو پورٹل کی تقسیم اسے رول آؤٹ شیڈول کے ساتھ مشترکہ راز بنا دیتی ہے۔

تعیناتی سے پہلے ملکیت کا تعین

آخری سوال کے پیچھے کوئی کمانڈ نہیں۔ معلوم کریں کہ وینڈر نیا کلائنٹ بھیجنے پر آرٹیفیکٹ کون اپ ڈیٹ کرتا ہے، اندرونی بلڈ کی دستخط کلید کس کے پاس ہے، اور اینڈ پوائنٹ ہٹنے پر پروفائل کیسے گھمائی جاتی ہے۔ وہ نام ڈاؤن لوڈ لنک کے پاس لکھیں۔

اگر اس جواب کا کوئی مالک نہیں، تو ڈاؤن لوڈ دیکھ بھال کے معاہدے کے بغیر تقسیم کا ذریعہ ہے، اور یہی وہ دریافت ہے جس کی رپورٹ دینا قابلِ قدر ہے۔