آپ کا VPN ٹریفک کون دیکھ سکتا ہے؟ چار نگران
مقامی نیٹ ورک، VPN آپریٹر، آجر اور منزل میں سے ہر ایک مختلف حصہ دیکھتا ہے۔ رازداری کے لیے سرنگ پر بھروسہ کرنے سے پہلے ان کا موازنہ کریں۔
سرنگ یہ بدلتی ہے کہ آپ کا ٹریفک کہاں قابل مشاہدہ ہوتا ہے۔ یہ اسے ناقابل مشاہدہ نہیں بناتی، اور جو فریق بصارت حاصل کرتا ہے وہی وہ ہے جس سے آپ نے ٹریفک بھیجا۔ یہ تبادلہ فائدہ مند ہے یا نہیں، یہ اس پر منحصر ہے کہ آپ کس مرحلے پر بھروسہ نہیں کرتے، اس لیے مفید موازنہ برانڈز کے درمیان نہیں، نگرانوں کے درمیان ہے۔
ایک کنکشن پر چار فریق بیٹھتے ہیں
لیپ ٹاپ سے باہر کی طرف ایک درخواست کا پیچھا کریں اور چار مقامات نظر آتے ہیں: وہ رسائی نیٹ ورک جس سے آپ جڑے، VPN کا اخراج، اگر ڈیوائس زیرِ انتظام ہو تو کارپوریٹ ماحول، اور منزل خود۔ ہر ایک راستے میں الگ جگہ لیتا ہے، اس لیے ہر ایک الگ قسم کا ثبوت جمع کرتا ہے۔ جدول ایک نظر میں پوری دلیل ہے۔
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
جدول کو خطرے سے باہر کی طرف پڑھیں۔ اگر کیفے کا Wi-Fi تشویش ہے، پہلی سطر بدلتی ہے؛ اگر فراہم کنندہ تشویش ہے، تو آپ نے ایک آپریٹر کی جگہ دوسرا لے لیا ہے اور اب دوسری سطر زیادہ اہمیت رکھتی ہے۔ سطریں مقابلہ نہیں کرتیں؛ ہر ایک اسی راستے پر الگ مقام بیان کرتی ہے۔
رسائی نیٹ ورک اب بھی سرنگ دیکھتا ہے
آپ کا فراہم کنندہ یا ہوٹل کا نیٹ ورک IP پتے سے کنکشن، منتقل شدہ بائٹس اور ان کے چلنے کے اوقات دیکھتا ہے۔ یہ سرنگ کے اندر کی سائٹیں نہیں دیکھتا، بشرطیکہ ناموں کا حل بھی سرنگ کے اندر سفر کرے اور منزل تک سیدھا نہیں، اخراج کے ذریعے پہنچا جائے۔
دو رساؤ لوگوں کی توقع سے زیادہ بار بچ جاتے ہیں۔ مقامی حل کنندہ کو بھیجی گئی DNS استفسارات اب بھی سائٹوں کے نام بتاتی ہیں، اور عام TLS مصافحے میں سرور کا نام راستے پر پڑھا جا سکتا ہے، جب تک خفیہ کردہ کلائنٹ سلام استعمال نہ ہو۔ دونوں میں سے کوئی کلائنٹ نصب کرنے سے درست نہیں ہوتا؛ دونوں ترتیب کے سوالات ہیں۔
VPN آپریٹر اور اس کے پیچھے آجر
تجارتی فراہم کنندہ بالکل وہیں کھڑا ہوتا ہے جہاں آپ کا فراہم کنندہ کھڑا تھا: یہ آپ کے پیکٹ آگے بھیجتا ہے اور جو الگ سے خفیہ نہیں وہ سب پڑھ سکتا ہے۔ عام HTTP فارم میں لکھا گیا پاس ورڈ اخراج پر پڑھا جا سکتا ہے، اگرچہ پہلا مرحلہ خفیہ تھا۔ سرنگ نے بھروسہ منتقل کیا، اس نے انکشاف مٹایا نہیں۔ یہ ماننے سے پہلے کہ تبدیلی نے کچھ بہتر کیا، فراہم کنندہ کی لاگنگ پالیسی پڑھیں۔
زیرِ انتظام کام کے لیپ ٹاپ پر آخری نقطہ تنظیم کی ملکیت ہوتا ہے، اس لیے ڈیوائس مینجمنٹ، DNS لاگنگ اور پراکسی ریکارڈ سرنگ جڑی ہو یا نہ ہو، اس کا مشاہدہ کرتے ہیں۔ ذاتی VPN زیرِ انتظام ڈیوائس کو نجی نہیں بناتا، اور کئی نیٹ ورکس پر یہ رازداری کا اقدام نہیں، پالیسی کی خلاف ورزی ہے۔
آپ کے گھر کے دوسرے آلات کا ٹریفک اس آجر کو نظر نہیں آتا، جب تک کام کا لیپ ٹاپ جان بوجھ کر ان کا گیٹ وے نہ بنے۔ یہ فرق تب اہم ہے جب ایک خاندان ایک ہی کنکشن شیئر کرتا ہے اور بدترین صورت مان لیتا ہے۔
منزل، اور اخراج پر پڑوسی
آپ جس سائٹ پر جاتے ہیں وہ اخراج کا پتہ، جس اکاؤنٹ سے سائن ان کیا، کوکیز اور براؤزر کی خصوصیات دیکھتی ہے۔ سرنگ صرف پہلی چیز بدلتی ہے، اور سائن ان کرنا بہرحال اخراج کے پتے کو آپ سے جوڑ دیتا ہے۔
مشترکہ خدمات ایک زیادہ باریک خطرہ شامل کرتی ہیں۔ اگر فراہم کنندہ صارفین کو ایک دوسرے سے الگ نہ رکھے، تو پورٹ پر سننے والی مشین اسی اخراج کے دوسرے صارفین کے لیے قابلِ رسائی ہو سکتی ہے۔ میزبان کے فائر وال پر ڈیفالٹ طور پر آنے والا ٹریفک روکنا اس خطرے کا بڑا حصہ ڈھک دیتا ہے۔ اسے جانچنے کا مطلب ہے دوسرا آلہ اسی سروس سے جوڑنا اور سننے والے پورٹ تک پہنچنے کی کوشش کرنا۔
کچھ چیزیں کبھی نہیں بدلتیں: اکاؤنٹ کی شناخت، اطلاقی سطح کی ٹریکنگ، اور فون کا خود یہ جاننا کہ جب آپ کنکشن شیئر کرتے ہیں تو وہ ٹریفک آگے بھیج رہا ہے۔ سرنگ روٹنگ کا فیصلہ ہے، شناخت کی تبدیلی نہیں۔
پروڈکٹ چننے سے پہلے چنیں کہ آپ کس نگران سے چھپ رہے ہیں۔ اگر مقامی نیٹ ورک ہے، تو تقریباً ہر درست طریقے سے ترتیب دیا گیا اخراج مدد کرتا ہے۔ اگر فراہم کنندہ کی اپنی لاگنگ ہے، تو معاہدہ فیصلے کا حصہ ہے۔ اگر آپ کا آجر ہے، تو کوئی ذاتی سرنگ یہ کام نہیں کرے گی۔