مقامی نیٹ ورک آپ کے VPN کے ذریعے اب بھی کیا دیکھتا ہے

جب بھی کوئی پوچھتا ہے کہ کیا VPN اس کی ٹریفک چھپاتا ہے، تین مشاہدہ کرنے والے ایک ہی سوال میں جمع ہو جاتے ہیں: وہ نیٹ ورک جس سے وہ جڑا ہے، اس کے ہاتھ میں موجود مشین، اور سرنگ کا آپریٹر۔ ہر ایک کچھ مختلف سیکھتا ہے، اور سرنگ ان میں سے ہر نظریے کو مختلف انداز میں بدلتی ہے۔ الٹی سمت میں کام کرنا اور جو دعویٰ کیا جا رہا ہے اسی سے شروع کرنا مفید ہے، کیونکہ جانچ کا سامنا دعوے ہی کو کرنا ہوتا ہے۔ طے کریں کہ آپ کو کون سا دعویٰ درکار ہے، پھر اس سے اوزاروں کا موازنہ کریں۔

پہلا دعویٰ: کوئی ٹریفک نہیں پڑھ سکتا

سب سے تنگ دعوے سے شروع کریں: پے لوڈ ناقابلِ مطالعہ رہتا ہے۔ راستے پر بیٹھا غیر فعال مشاہدہ کرنے والا TLS سیشن کے اندر نہیں دیکھ سکتا، اس لیے سرنگ اس سائٹ میں تھوڑا ہی اضافہ کرتی ہے جو پہلے سے HTTPS استعمال کرتی ہے، اور دونوں سروں کے خلاف کچھ نہیں بڑھاتی۔ یہ دعویٰ وہ توڑتا ہے جو ڈیوائس کنٹرول کرتا ہے، کیونکہ معائنہ کرنے والا پراکسی رابطہ ختم کرتا ہے اور اسے اس جڑ سے دوبارہ دستخط کرتا ہے جس پر مشین پہلے ہی بھروسہ کرتی ہے۔ اسی لیے سرٹیفکیٹ زنجیر میں جڑ نصب کرنے والی تنظیم کا نام ہونے پر بھی تالا اب بھی دکھائی دیتا ہے۔

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS پر وہ پائپ لائن مشین کے کیچین میں ہر سرٹیفکیٹ کے لیے ایک موضوعی سطر چھاپتی ہے، کھڑکی کھولے بغیر، اور Windows پر certutil -store Root وہی اسٹور فہرست کرتا ہے جو certlm.msc گرافیکل طور پر دکھاتا ہے۔ کسی اسکول، آجر یا نیٹ ورک سیکیورٹی پروڈکٹ کی جڑ ہی وہ اندراج ہے جسے تلاش کرنا چاہیے۔ ایک مل جانا صرف یہ ثابت کرتا ہے کہ رکاوٹ ممکن ہے، یہ نہیں کہ وہ ہو رہی ہے۔

اس بارے میں آپ کیا کر سکتے ہیں یہ پالیسی کا سوال ہے، ٹیکنالوجی کا نہیں۔ جو ہارڈ ویئر آپ کا نہیں اس سے پروفائل یا معائنہ جڑ ہٹانا عام طور پر قابلِ قبول استعمال کے معاہدے کی خلاف ورزی کرتا ہے، اور انتظامی نظام اسے نوٹس کر کے دوبارہ لاگو کرتا ہے، اس لیے یہ شرط کہ ڈیوائس کا مالک آپ کی ٹریفک نہ پڑھے، دوسری ڈیوائس مانگتی ہے، دوسری سیٹنگ نہیں۔

دوسرا دعویٰ: کوئی نہیں دیکھتا کہ آپ کہاں جاتے ہیں

منزل زیادہ مشکل دعویٰ ہے، کیونکہ صفحہ لوڈ ہونے سے پہلے دو افشا ہوتے ہیں۔ استفسار اس حل کنندہ تک جاتا ہے جسے استعمال کرنے کے لیے نظام ترتیب دیا گیا ہے، اور جواب اس نیٹ ورک کو نظر آتا ہے جو اسے لے کر جاتا ہے۔ پھر TLS مصافحہ مطلوبہ سرور کا نام کھلے طور پر لے کر جاتا ہے، جب تک دونوں سروں پر Encrypted Client Hello معاون نہ ہو۔ دونوں افشاؤں میں سے کسی میں ڈکرپشن شامل نہیں، اس لیے سرنگ کا کسی پر بھی اثر نہیں۔

resolvectl status | grep -A2 "Link"
nslookup example.com

کون سا حل کنندہ واقعی استعمال ہو رہا ہے یہی افشا کی مقدار طے کرتا ہے، اور اسے بحث کرنے کی بجائے ناپا جا سکتا ہے۔ Linux پر resolvectl status ہر لنک کے لیے DNS سرور چھاپتا ہے، اور اس کا آؤٹ پٹ بتاتا ہے کہ سائٹ کا حل کنندہ جواب دے رہا ہے یا تھوپا گیا۔ Windows اسی سوال کا جواب nslookup example.com سے دیتا ہے، جس کے آؤٹ پٹ کا پہلا بلاک جواب دینے والا DNS سرور ہے۔

جب لیپ ٹاپ سرنگ اٹھنے سے پہلے سائٹ کے حل کنندہ سے پوچھتا ہے، یا پروفائل کسی متبادل سرور کے بغیر آتا ہے اور پرانا استعمال میں رہتا ہے، تب بھی منتظم کچھ بھی ڈکرپٹ کیے بغیر ہوسٹ نام جمع کرتا ہے۔ براؤزر میں انکرپٹڈ DNS یا تو تھوپے گئے حل کنندہ کو بچا جاتا ہے یا مکمل طور پر بلاک ہو کر بند حالت میں ناکام ہوتا ہے۔ ایگزٹ آپریٹر اپنی طرف سے وہی نام دیکھتا ہے۔ اس لیے حل کنندہ بدلنے سے وہ افشا سرنگ فراہم کنندہ سے دور نہیں ہوتا۔

تیسرا دعویٰ: کسی کو معلوم نہیں کہ آپ جڑے

تیسرا دعویٰ وہ ہے جسے سرنگ سہارا نہیں دے سکتی، کیونکہ پیکٹ اب بھی مقامی نیٹ ورک عبور کرتے ہیں۔ وہ نیٹ ورک سرے کا پتہ، تخمینی مقدار، وقت اور ایک طویل المدت انکرپٹڈ سیشن کی موجودگی سیکھتا ہے، جو بلاک کرنے، محدود کرنے یا محض توجہ دینے کے لیے کافی ہے۔ جو فائر وال پیکٹ نہیں پڑھ سکتا وہ بھی اسے گزرنے دینے سے انکار کر سکتا ہے۔ دیکھا جانا اس کے برابر نہیں کہ کوئی دیکھ ہی نہ رہا ہو: آپ نے مشاہدہ کرنے والے کو ہٹایا نہیں، منتقل کیا ہے۔

منقسم ٹنلنگ اور تھوپے گئے راستے کو نظر انداز کرنے والی کوئی بھی ایپ سرنگ سے باہر ایسے بہاؤ پیدا کرتی ہیں جو بالکل پہلے جیسے دکھتے ہیں۔ محتاط مشاہدہ کرنے والا سب سے پہلے انہی بہاؤ کو نوٹس کرتا ہے، اور کلائنٹ کی روٹ جدول دکھاتی ہے کہ کون سی منزلیں خارج ہیں۔

دوسرے سرے کا آپریٹر اس منظر کا آئینہ دار عکس رکھتا ہے: ایگزٹ پتہ، وقت، مقدار اور عام طور پر سائٹوں کے نام۔ آپ کا فراہم کنندہ ہی نقطۂ نظر رکھنے والا فریق بنتا ہے، جو عدمِ نظر سے مختلف سودا ہے۔ قابلِ بھروسہ فراہم کنندہ چننا حقیقی فیصلہ ہے؛ نتیجے کو غیر مشاہدہ کہنا نہیں۔

طے کریں کہ آپ کو کون سا دعویٰ درکار ہے

کلائنٹ کو چھونے سے پہلے ضرورت ایک سطر میں لکھیں: مواد چھپائیں، منزلیں چھپائیں، یا یہ چھپائیں کہ آپ جڑے تھے یا نہیں۔ مواد کو HTTPS اور سرنگ پہلے ہی سنبھالتے ہیں، جبکہ منزلوں کے لیے ایسا حل کنندہ اور راستہ درکار ہے جو سائٹ کے آلات کو مکمل طور پر بچا جائے۔

تیسری ضرورت ہی غیر آرام دہ ہے، کیونکہ کہیں کچھ اب بھی نظر آنے والے طور پر جڑا ہوا ہے، انکرپٹڈ ہو یا نہ ہو۔ کوئی کلائنٹ سیٹنگ اسے نہیں بدلتی۔ اگر ضرورت اور پالیسی الگ ہو جائیں تو وہ خلا پالیسی کے مالک سے گفتگو کا موضوع ہے، کلائنٹ آپشن کا نہیں۔ جو اس کا جواب دے سکتا ہے وہی پالیسی لکھنے والا ہے۔