کیا VPN KRACK سے بچاتا ہے؟ پیچ کیا ٹھیک کرتا ہے

اگر آپ کوئی VPN اس لیے خرید رہے ہیں کہ کسی سرخی نے کہا تھا کہ KRACK Wi-Fi انکرپشن توڑ دیتا ہے، تو آپ غلط پرت ٹھیک کر رہے ہیں۔ 2017 کے اُس انکشاف نے WPA2 کے چار مرحلوں والے ہینڈ شیک کے خلاف چابی کی دوبارہ تنصیب کے حملوں کا ایک خاندان بیان کیا تھا، اور درستی آپریٹنگ سسٹم اپ ڈیٹس، وائرلیس ڈرائیور پیچ اور راؤٹر فرم ویئر کی صورت میں آئی۔ سرنگ مقامی نیٹ ورک سے آپ کی ٹریفک چھپا سکتی ہے، مگر اُس کے نیچے مکمل ہونے والا ہینڈ شیک ٹھیک نہیں کر سکتی۔ لہٰذا پہلا سوال یہ نہیں کہ کون سا VPN خریدنا ہے؛ بلکہ یہ ہے کہ آپ کے کون سے آلات اب بھی بغیر پیچ والا وائرلیس اسٹیک چلا رہے ہیں۔

یہی فرق بجٹ کی فکر کا بھی جواب دیتا ہے۔ جو سبسکرپشن کا خرچ نہیں اٹھا سکتا وہ کبھی اصل حل سے باہر نہیں تھا، کیونکہ حل ایک مفت اپ ڈیٹ تھا۔ پیسے ایسے ہارڈ ویئر بدلنے میں لگتے ہیں جسے اب اپ ڈیٹ نہیں ملتا۔

حملے نے اصل میں کیا ہیرا پھیری کی

WPA2 جوڑنے کے وقت چار مرحلوں والے ہینڈ شیک کے ذریعے نئی جوڑی کی چابی نکالتا ہے۔ رسائی کا مقام نونس بھیجتا ہے، کلائنٹ اپنے نونس سے جواب دیتا ہے، دونوں فریق جوڑی کی عارضی چابی شمار کرتے ہیں، اور رسائی کا مقام اُس پیغام سے تصدیق کرتا ہے جسے کلائنٹ مانتا ہے۔ چابی کی دوبارہ تنصیب کا حملہ پاس فریز کا اندازہ لگانے کے بجائے اُسی ترتیب میں مداخلت کرتا ہے اور کلائنٹ کو پہلے سے نصب چابی دوبارہ نصب کرنے پر مجبور کرتا ہے۔ ہر دوبارہ تنصیب اُس چابی سے جڑے ترسیلی نونس اور وصولی دہراؤ کاؤنٹر کو ری سیٹ کر سکتی ہے۔

جب وہ کاؤنٹر پیچھے جاتے ہیں تو جس ٹریفک کو رد ہونا چاہیے تھا اُس کا کچھ حصہ پھر قابل قبول ہو جاتا ہے۔ قسم اور عمل درآمد کے مطابق ریڈیو دائرے میں موجود حملہ آور فریم دوبارہ چلا سکتا، اُنہیں ڈکرپٹ کر سکتا یا داخل کر سکتا تھا۔ گروپ چابی کے ہینڈ شیک اور تیز منتقلی کے ہینڈ شیک کی اپنی قسمیں تھیں، اسی لیے اُس اطلاع نے ایک کے بجائے کئی حملوں کے نام گنوائے۔

Android 6.0 اور اُس کے بعد کا بدترین معاملہ تھا۔ اُس کے wpa_supplicant ورژنز کو مکمل صفر کی چابی نصب کرنے پر مجبور کیا جا سکتا تھا، جس نے ڈکرپشن کو اُن پلیٹ فارمز کے مقابلے بہت آسان بنا دیا جہاں دوبارہ تنصیب صرف کاؤنٹر ری سیٹ کرتی ہے۔ اُس تفصیل نے اُس وقت کے سب سے عام فون پلیٹ فارم پر نظریاتی کمزوری کو عملی کمزوری سے الگ کیا۔

درستی وائرلیس اسٹیک میں رہتی ہے

اوپر کی درستی نے سپلکنٹ اور رسائی مقامات کو کہا کہ جب چابی پہلے سے نصب ہو تو دوبارہ بھیجا گیا ہینڈ شیک پیغام نظر انداز کریں۔ wpa_supplicant اور hostapd کی پیچ شدہ بلڈز میں یہ موجود تھا، اور تقسیم کاروں نے اِسے پرانی شاخوں میں واپس منتقل کیا، لہٰذا wpa_supplicant -v جو سٹرنگ چھاپتا ہے وہ نقطۂ آغاز ہے، فیصلہ نہیں۔ تقسیم کی سیکیورٹی اطلاع پڑھیں اور صرف ورژن نمبر نہیں، مخصوص پیچ کی تصدیق کریں۔ پرانا ورژن بتانے والی بلڈ بھی درست ہو سکتی ہے، اور نئے ورژن والی بلڈ میں بھی بنانے والے کا بیک پورٹ نہیں ہو سکتا۔

لنک کے دونوں سروں کو توجہ چاہیے۔ درست شدہ راؤٹر اُس لیپ ٹاپ کو پیچ نہیں کرتا جو اُس سے جڑتا ہے، اور درست شدہ لیپ ٹاپ راؤٹر کو پیچ نہیں کرتا۔ بنانے والوں نے ہر مصنوع کے لیے اطلاع جاری کی، اور راؤٹر کی درستیاں عام طور پر فون اپ ڈیٹس سے پیچھے رہتی تھیں کیونکہ ہر ماڈل کو اپنی فرم ویئر بلڈ چاہیے۔ اگر کسی آلے کی آخری ریلیز اطلاع سے پہلے کی ہے تو بنانے والے کے مخالف کہنے تک اُسے بغیر پیچ سمجھیں۔

جن آلات کو آپ اپ ڈیٹ نہیں کر سکتے اُن کے لیے اختیارات تنگ اور بے رونق ہیں۔ اُنہیں ریٹائر کریں، حساس ٹریفک والے نیٹ ورکس سے دور رکھیں، یا اُس حصے تک محدود کریں جہاں اُس کے واحد ساتھی بھی اتنے ہی قابلِ ترک ہوں۔ اِن میں سے کسی اختیار میں سبسکرپشن نہیں، اور دوسرا سرنگ فراہم کرنے والا چننے سے کوئی بہتر نہیں ہوتا۔

سرنگ کیا ڈھکتی ہے

VPN حد کو سرکاتا ہے۔ آپ کا آلہ ہر پیکٹ کو انکرپٹ کر کے VPN سرور کو بھیجتا ہے، جو اُسے ڈکرپٹ کر کے آگے بھیجتا ہے۔ جو شخص Wi-Fi لنک میں ہیرا پھیری کرتا ہے وہ سرنگ کے بیرونی پیکٹ دیکھتا ہے، اندر کا پے لوڈ نہیں، لہٰذا لنک پرت کے فریم بے نقاب کرنے والا دوبارہ تنصیب کا حملہ سرنگ والے کنکشن کا مواد خود بخود بے نقاب نہیں کرتا۔ یہ حفاظت اُس وقت بھی قائم رہتی ہے جب نیچے کا وائرلیس اسٹیک غیر محفوظ رہے، اور دونوں کنٹرول گڈمڈ ہونے کی وجہ یہی ہے۔

شرط "سرنگ والا" ہے۔ منقسم سرنگ، بائی پاس فہرست یا کیپٹو پورٹل کی استثنا کچھ ٹریفک سرنگ سے باہر بھیجتی ہیں، اور اُس ٹریفک کو اِس سے کوئی فائدہ نہیں۔ اسی نیٹ ورک کے اُن دوسرے آلات کی ٹریفک کو بھی جو کبھی کلائنٹ نصب نہیں کرتے۔ سرنگ ہر آلے اور ہر راستے کا فیصلہ ہے، کمرے کی خصوصیت نہیں، اور راؤٹر سطح کا VPN صرف وہی ڈھکتا ہے جو واقعی راؤٹر سے گزرتا ہے۔

سرنگ جو نہیں کر سکتی وہ ہے ڈرائیور ٹھیک کرنا، ڈی اوتھنٹیکیشن کا سیلاب روکنا یا حملہ آور کو چینل جام کرنے سے روکنا۔ جو کنکشن کبھی اِس میں داخل نہیں ہوتا اُسے بھی یہ محفوظ نہیں کر سکتی۔ یہ دستیابی اور لنک پرت کے مسائل ہیں، اور سرنگ کا سائفر سوٹ کتنا ہی مضبوط ہو، یہ وائرلیس اسٹیک کے ساتھ ہی رہتے ہیں۔

HTTPS اور سرنگ مختلف چھلانگوں کی حفاظت کرتے ہیں

ایک صفحے کے لوڈ میں تین الگ حفاظتیں ہو سکتی ہیں: Wi-Fi لنک، VPN سرور تک سرنگ اور ویب سائٹ تک TLS سیشن۔ ہر ایک الگ طور پر طے ہوتی ہے۔ درست سرٹیفکیٹ اور جدید پروٹوکول ورژن والا TLS پہلی چھلانگ دشمنانہ ہونے پر بھی براؤزر اور سائٹ کے درمیان تصدیق شدہ انکرپشن دیتا ہے، کیونکہ سرٹیفکیٹ کی جانچ ہی دھوکے باز کو اپنی چابی داخل کرنے سے روکتی ہے۔

اُس جانچ کے کناروں پر کمزور مقامات ہیں۔ HTTPS سے HTTP پر ری ڈائریکٹ، سادہ HTTP پر اسکرپٹ لوڈ کرنے والا صفحہ، یا سرٹیفکیٹ انتباہ پر کلک کر کے آگے بڑھنے والا صارف، سب ٹریفک کو محفوظ سیشن سے باہر لے جاتے ہیں۔ HSTS اور براؤزر کے درمیانی صفحات اِس لیے ہیں کہ یہ غلطیاں عام ہیں، اِس لیے نہیں کہ TLS نازک ہے۔

HTTPS اور سرنگ رکھنے سے وائرلیس عمل درآمد غیر محفوظ رہنا بند نہیں ہوتا۔ فریم اب بھی خراب ڈرائیور سے ڈکرپٹ ہوتے ہیں؛ فرق یہ ہے کہ حملہ آور کو اندر کیا ملتا ہے اور کیا وہ مواد پہلے ہی کسی اور چیز سے محفوظ تھا۔

مخلوط نیٹ ورک کے لیے درستی کی ترتیب

رسائی مقام سے شروع کریں، کیونکہ وہی آلہ آپ کے کنٹرول میں ہے اور ہر کلائنٹ اُس پر منحصر ہے۔ پھر کلائنٹ آپریٹنگ سسٹمز کو سب سے پرانے سے دیکھیں، کیونکہ جن پلیٹ فارمز نے اپ ڈیٹ ملنا بند کر دیا وہی کبھی پیچ نہیں ہوں گے۔ اُس فہرست کے مکمل ہونے کے بعد ہی VPN کا فیصلہ معنی رکھتا ہے، اور یہ درستی نہیں، بے نقابی کا فیصلہ ہے۔ اُلٹی ترتیب میں کرنا، پہلے سرنگ اور بعد میں فرم ویئر، سبسکرپشن چلنے تک اصل نقص کو اُس کی جگہ پر رکھتا ہے۔

جو آپ نے جانچا وہ لکھیں، فرم ویئر ورژن اور تاریخ سمیت۔ "اپ ڈیٹ شدہ" ایسی حالت نہیں جس کی بعد میں کوئی جانچ کر سکے۔

تین جانچیں کام کا بڑا حصہ ڈھکتی ہیں، اور یہ اسی ترتیب سے جاتی ہیں۔ پہلی دو صاف آئیں اِس لیے تیسری نہ چھوڑیں۔

• راؤٹر فرم ویئر: نصب شدہ ورژن کا موازنہ اپ ڈیٹ بٹن سے نہیں، بنانے والے کے اطلاع صفحے سے کریں۔
• کلائنٹ OS: ہر فون، لیپ ٹاپ اور ٹیبلٹ کے لیے وائرلیس درستی سمیت پیچ کی سطح کی تصدیق کریں۔
• باقیات: جن آلات کے پاس پیچ کا راستہ نہیں اُن کی فہرست بنائیں اور ریٹائر، الگ تھلگ یا قبول کرنے کا فیصلہ کریں۔

اگر باقیات کی فہرست طویل ہے تو کلائنٹ الگ تھلگ کرنے والا مہمان نیٹ ورک ہارڈ ویئر بدلنے تک وقت خرید لیتا ہے۔ پھر ہر بینڈ پر ایک جانا پہچانا کلائنٹ آزمائیں، نتیجہ لکھیں اور اگلی فرم ویئر ریلیز کے بعد دوبارہ جانچیں۔ ہارڈ ویئر کی فہرست ہی اگلی اطلاع کو تیز بناتی ہے؛ سرنگ اُس دوران خلا کو ڈھکتی ہے۔