آپ کا VPN فراہم کنندہ کیا دیکھ سکتا ہے اور کیا نہیں
اخراج پتے، اوقات اور اگر Encrypted Client Hello استعمال نہ ہو تو TLS مصافحے میں سائٹ کا نام دیکھتا ہے۔ ڈیٹا کی حفاظت ایک الگ سوال ہے۔
آپ کی سرنگ مقامی نیٹ ورک کو آپ کی ٹریفک سے باہر رکھتی ہے۔ لیکن یہ دوسرے سرے کی کمپنی کو نہیں ہٹاتی، جو ہر پیکٹ کو کھلے انٹرنیٹ تک پہنچنے سے پہلے پروسیس کرتی ہے۔ یہ مقام بیک وقت کاروباری ماڈل اور رازداری کا سوال ہے۔ اس لیے مفید سوال یہ نہیں کہ فراہم کنندہ آپ کو دیکھ سکتا ہے یا نہیں، بلکہ یہ ہے کہ وہ کیا دیکھتا ہے، کس کو نام دے سکتا ہے اور کیا رکھتا ہے۔
اعتماد واقعی کہاں منتقل ہوتا ہے
خفیہ کاری آپ کے آلے سے فراہم کنندہ کے سرور تک چلتی ہے، اور یہ بیرونی حصہ ہی وہ سب ہے جو آپ کا مقامی نیٹ ورک کبھی دیکھتا ہے۔ فراہم کنندہ اس حصے کا دوسرا سرا رکھتا ہے، اس لیے سرنگ کو ڈکرپٹ کرتا ہے اور آپ کے پیکٹ آگے بھیجتا ہے۔ اس میں کوئی نقص نہیں؛ یہی اس سروس کی تعریف ہے جو آپ نے خریدی۔ اعتماد غائب ہونے کے بجائے مقامی آپریٹر سے اخراج کے آپریٹر کی طرف منتقل ہو گیا۔
اس مقام سے وہ آپ کا ماخذ پتہ، آپ کب جڑے، تقریباً کتنا منتقل کیا اور کن منزلوں سے رابطہ کیا، جان لیتا ہے۔ ان میں سے کسی کے لیے بھی آپ کے پیغامات پڑھنے کی ضرورت نہیں، اور اقسام کو الگ کرنے کا مطلب یہی ہے۔ فراہم کنندگان کے درمیان دلچسپ فرق اس بات سے متعلق ہے کہ ان مشاہدات کے ساتھ بعد میں کیا ہوتا ہے۔
اخراج لازمی طور پر کیا سنبھالتا ہے
اقسام کو اس ترتیب سے رکھیں کہ اخراج انہیں کتنی بھروسے سے دیکھ سکتا ہے۔ کسی بھی قطار کے لیے خفیہ کاری توڑنے کی ضرورت نہیں، اور ہر ایک کا الگ جواب ہے کہ آیا اس سے بالکل بچا جا سکتا ہے۔
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
چوتھی قطار وہی ہے جو زیادہ تر ذہنی ماڈل چھوڑ دیتے ہیں۔ جدید براؤزر سائٹ کا نام ClientHello میں رکھتا ہے، جو TLS مصافحے کا پہلا پیغام ہے، اور وہ فیلڈ اخراج پر پڑھی جا سکتی ہے، تب بھی جب ہر DNS استفسار سرے سے سرے تک خفیہ ہو۔ جب تک Encrypted Client Hello پر اتفاق نہ ہو، نام منزل کے پتے کے ساتھ کھلے میں سفر کرتا ہے۔ خفیہ DNS یہ بدلتا ہے کہ استفسار کون دیکھتا ہے، یہ نہیں کہ نام کون دیکھتا ہے۔
یہی بات پرانے کنکشن پر سرٹیفکیٹ کے لیے بھی درست ہے: TLS 1.3 سرور سرٹیفکیٹ کو خفیہ کرتا ہے، جبکہ TLS 1.2 مصافحہ نام کو اس مشاہدے کرنے والے کے سامنے بے نقاب کر سکتا ہے جو اسٹریم ریکارڈ کرتا ہے۔ دونوں نقل و حمل کی حقیقتیں ہیں، فراہم کنندہ کی پالیسی نہیں۔
TLS کیا ڈھکتا ہے اور کیا نہیں
جب کوئی سائٹ HTTPS دیتی ہے، آپ کا براؤزر اسی سائٹ کے اینڈ پوائنٹ کے ساتھ TLS کنکشن بناتا ہے، VPN سرور کے ساتھ نہیں۔ فراہم کنندہ خفیہ ریکارڈ آگے بھیجتا ہے اور منزل کا پتہ، وقت اور تخمینی حجم جان لیتا ہے۔ ECH کام نہ کرے تو سائٹ کا نام ClientHello میں جاتا ہے، اور صفحے کا بنیادی حصہ دونوں صورتوں میں خفیہ رہتا ہے۔ غیر متوقع روٹ سرٹیفکیٹ اس حد کو بدلتا ہے، اسی لیے سرٹیفکیٹ انتباہات احترام کے لائق ہیں۔
سادہ HTTP کے پاس اخراج کے بعد ایسا کوئی تحفظ نہیں۔ سرنگ فراہم کنندہ تک کا حصہ بچاتی ہے، اور اس کے بعد درخواست بالکل ویسے ہی جاتی ہے جیسے VPN کے بغیر جاتی۔ ECH اسے درست نہیں کرتا، کیونکہ وہ نام بچاتا ہے، مواد نہیں۔
حفاظت نظر آنے سے الگ سوال ہے
آپریٹر کنکشن ڈیٹا کو میموری میں پروسیس کر کے کچھ نہیں رکھ سکتا، یا ایک ذیلی مجموعہ رکھ کر اسے درست طور پر براؤزنگ ہسٹری نہ ہونے کے طور پر بیان کر سکتا ہے۔ نو-لاگ دعوے کو نعرے کے بجائے قسم کے مطابق پڑھیں: کنکشن ریکارڈ، وقت کے نشان، کل حجم، منزل کا ڈیٹا، اکاؤنٹ شناخت کنندگان اور معاونت کے پیغامات سب شمار ہوتے ہیں۔ فراہم کنندہ دیانتداری سے کوئی براؤزنگ لاگ نہ رکھتے ہوئے بھی اکاؤنٹ کا ریکارڈ اور سروس چلانے کے لیے ضروری میٹا ڈیٹا رکھ سکتا ہے۔ نظر آنا یہ نہیں بتاتا کہ ان میں سے کون سی قسم محفوظ ہے۔
آڈٹ ان نظاموں اور اس دورانیے کا ثبوت ہے جو اس نے ڈھکا، اور کھلے ماخذ کا کلائنٹ کوڈ سرورز نہیں، کلائنٹ کی وضاحت کرتا ہے۔ دونوں مفید ہیں، اور کوئی بھی اخراج کے پیچھے ہر اسٹوریج نظام کی طرف سے نہیں بولتا۔ آڈٹ کا بیج نہیں، اس کا دائرہ پوچھیں۔
وہ سوالات جو فراہم کنندگان کو الگ کرتے ہیں
پوچھیں کیا رکھا جاتا ہے، کتنی دیر اور کون لے سکتا ہے۔ پوچھیں اخراج کون چلاتا ہے، کیونکہ ڈائریکٹری اندراج، ایپ ڈویلپر اور مخصوص سرور چلانے والا شخص تین مختلف فریق ہو سکتے ہیں۔ پوچھیں DNS کیسے سنبھالا جاتا ہے اور آپ کے استعمال کردہ راستوں پر ECH معاون ہے یا نہیں، کیونکہ سادہ متن والا ClientHello DNS استفسار کے بغیر بھی سائٹ کا نام لیتا ہے۔ پوچھیں قانونی درخواست پر کیا ہوتا ہے، اور جواب کو نیت نہیں، صلاحیت کی وضاحت کے طور پر پڑھیں۔
EFF کی VPN منتخب کرنے کی گائیڈ ان سوالات کے لیے معقول چیک لسٹ ہے، اور یہ کسی سروس پر فیصلہ نہیں، ایک فریم ورک ہے۔ مارکیٹنگ کا صفحہ حفاظتی پالیسی نہیں۔ ان میں سے کوئی بھی VPN کو بیکار نہیں بناتا؛ یہ بدلتا ہے کہ آپ کو کس پر بھروسا کرنا ہے اور کس لیے۔