سرنگ کیا خفیہ کرتی ہے اور کیا پڑھنے کے قابل چھوڑ دیتی ہے

آپ کی سرنگ چل رہی ہے، ایک ٹیب سبز تالا دکھا رہا ہے، اور دوسرے ٹیب میں سادہ HTTP صفحہ اب بھی خبردار کر رہا ہے کہ رابطہ محفوظ نہیں۔ یہ امتزاج لوگوں کو الجھاتا ہے، کیونکہ دونوں حفاظتیں مختلف فاصلے ڈھانپتی ہیں۔ VPN اپنے سروں کے درمیان ٹریفک کی حفاظت کرتا ہے، اور اخراج کے بعد ٹریفک پھر عام ہو جاتا ہے۔ HTTPS ایک رابطے کو ویب سائٹ تک محفوظ رکھتا ہے۔ ان دو حقیقتوں کو ساتھ رکھنا اس بارے میں زیادہ تر سوالات کی وضاحت کرتا ہے کہ VPN واقعی کیا چھپاتا ہے۔

سرنگ واقعی کیا ڈھانپتی ہے

کلائنٹ اور VPN ساتھی کے درمیان مبصر پڑھنے کے قابل درخواست کے بجائے خفیہ بائٹس دیکھتا ہے۔ یہ اس حصے کو ڈھانپتی ہے جس سے سرنگ گزرتی ہے، اور یہ عام طور پر وہی حصہ ہوتا ہے جس پر آپ کا کنٹرول نہیں۔ یہ VPN اخراج اور ویب سائٹ کے درمیان کڑی تک نہیں پہنچتی، کیونکہ سرنگ اخراج پر ہی ختم ہو گئی۔ سرنگ ختم ہونے کے لمحے سے بائٹس دوبارہ پڑھنے کے قابل ہو جاتے ہیں۔ اس میں کچھ بھی غلط کنفیگریشن نہیں ہے۔

اخراج ایک مشین ہے جو خفیہ کاری کھولتی اور آگے بھیجتی ہے، اور VPN ٹھیک اسی کے لیے ہے۔ جو کچھ یہ آگے بھیجتی ہے وہ اسے اسی شکل میں نظر آتا ہے جس میں ملا تھا، اس لیے سادہ HTTP درخواست اخراج سے آگے سادہ متن ہی رہتی ہے۔

اسے کمی نہیں بلکہ خصوصیت کے طور پر پڑھیں۔ خفیہ کاری ایک راستے تک محدود ہے، اور راستہ وہیں ختم ہوتا ہے جہاں خدمت شروع ہوتی ہے۔

آسان الفاظ میں چابیاں، nonce اور سالمیت

جاری ٹریفک ہم آہنگ خفیہ نگاری سے محفوظ رہتی ہے، اور دونوں سرے مصافحے کے دوران چابی کا مواد حاصل یا پیدا کرتے ہیں۔ RFC 5116 میں عام طور پر بیان کردہ تصدیق شدہ خفیہ کاری ایک ہی ساخت میں رازداری اور سالمیت دیتی ہے۔ وصول کنندہ تبدیل شدہ بائٹس کو صرف پڑھ نہ سکنے کے بجائے مسترد کرتا ہے، اور لوگ یہی حصہ بھول جاتے ہیں جب وہ سمجھتے ہیں کہ خفیہ کاری کا مطلب گڈمڈ کرنا ہے۔

چابیاں اسی تبادلے سے آتی ہیں، لاگ ان پر لکھے پاس ورڈ سے نہیں۔ پاس ورڈ شناخت کی تصدیق کرتا ہے، پھر پروٹوکول سیشن کا مواد قائم کرتا ہے۔ عارضی چابی کا تبادلہ ہی آگے کی رازداری دیتا ہے، اس لیے ریکارڈ شدہ سیشن بعد میں طویل مدتی چابی لیک ہونے پر بھی ناقابلِ مطالعہ رہتا ہے۔

کسی تفصیل میں بڑی تعداد ان سوالات میں سے کسی کا جواب نہیں دیتی، اور غیر متعلق الگورتھم کے اعداد کا موازنہ درجہ بندی نہیں ہے۔ اس کے بجائے پوچھیں کہ چابی کا تبادلہ کیا فراہم کرتا ہے۔

سرنگ کہاں ختم ہوتی ہے

جو سرا سرنگ ختم کرتا ہے وہ آگے بھیجا گیا مواد پڑھ سکتا ہے۔ یہ کارپوریٹ گیٹ وے، تجارتی فراہم کنندہ اور خود میزبان سرور، سب کے لیے یکساں سچ ہے۔ یہ ڈیزائن ہے، اس میں کوئی کمی نہیں۔ مضبوط خفیہ نگاری کسی سمجھوتہ شدہ سرے کو وہاں پہنچنے والا سادہ متن پڑھنے سے نہیں روک سکتی، کیونکہ حفاظت سرے پر ہی رکتی ہے۔

HTTPS اس نقطے کے آگے بھی جاری رہتا ہے، اسی لیے کوئی سائٹ VPN کے بغیر بھی دشمن نیٹ ورک پر محفوظ رہ سکتی ہے۔ دونوں حفاظتیں پہلے حصے میں اوورلیپ کرتی ہیں اور اخراج کے بعد ان میں سے صرف ایک جاری رہتی ہے۔

اسی لیے رابطہ چلانے کے لیے سرٹیفکیٹ کی تصدیق کمزور کرنا سرنگ کا امتحان نہیں ہے۔ یہ دوسری حفاظت بند کر دیتا ہے اور آپ کو آغاز سے کم پر چھوڑ دیتا ہے۔

گمنامی الگ مصنوع کیوں ہے

پتے، وقت اور حجم سرنگ کے باہر قابلِ مشاہدہ رہتے ہیں۔ مبصر دیکھ سکتا ہے کہ ٹریفک VPN سرے کی طرف بہہ رہی ہے، تقریباً کتنی اور کب۔ مواد ناقابلِ مطالعہ ہو سکتا ہے جبکہ نمونہ اب بھی معلومات دیتا ہے۔

فراہم کنندہ بھی آپ کے نیٹ ورک سے مختلف جگہ بیٹھتا ہے، یہ مبصر کی تبدیلی ہے نہ کہ مشاہدے کا خاتمہ۔ کوکیز، لاگ ان اور اکاؤنٹ شناخت کنندگان پہلے کی طرح ہی کام کرتے ہیں، کیونکہ سرنگ نے انہیں بدلنے کا کبھی وعدہ نہیں کیا۔

اگر یہی شرط ہو تو لاگنگ پالیسی اور دائرہ اختیار کے مطابق فراہم کنندہ چنیں، پھر پالیسی خود پڑھیں۔ مارکیٹنگ صفحات اس سوال کا جواب شاذ و نادر ہی ایسے دیتے ہیں جسے کوئی جانچ سکے۔

سرنگ اور سائٹ کو الگ الگ جانچیں

پہلے سرنگ کی تصدیق کریں، تاکہ آپ کو معلوم ہو کہ کون سی حفاظت جانچ رہے ہیں۔ پھر سائٹ کی اپنی ترسیل کی تصدیق کریں، اور ایک کو دوسرے کا مطلب سمجھنے کے بجائے دونوں نتائج کا موازنہ کریں۔ سادہ HTTP اٹھانے والی سرنگ اور HTTPS فراہم کرنے والی سائٹ، دونوں ٹھیک وہی کر رہی ہیں جس کے لیے ترتیب دی گئی تھیں۔

جانچیں اسی میزبان پر چلائیں جسے جانچنے کی آپ کو اجازت ہے، اور خلاصہ نہیں بلکہ آؤٹ پٹ پڑھیں۔

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

جب سرنگ چل رہی ہو اور سائٹ HTTPS ہو، تو پہلے حصے میں دو حفاظتیں اور دوسرے میں ایک ہوتی ہے۔ جب سائٹ سادہ HTTP ہو، تو دوسرا حصہ وہاں موجود ہر شخص کے لیے پڑھنے کے قابل ہوتا ہے، بشمول وہ اخراج جس نے درخواست آگے بھیجی۔ یہ جاننا کہ دونوں میں سے کون سی کم ہے، پوری تشخیص ہے، اور اس کے لیے نئے کلائنٹ کے بجائے دو کمانڈز درکار ہیں۔