مائیکروسافٹ، گوگل متروک TLS پروٹوکولز کو لے لیں۔

مائیکروسافٹ ٹرانسپورٹ لیئر سیکیورٹی (TLS) پروٹوکول کے پرانے ورژن کو غیر فعال کرنے کا ارادہ رکھتا ہے، نیٹ ورکس اور انٹرنیٹ پر بھیجی جانے والی معلومات کی حفاظت کے لیے استعمال ہونے والی ہر جگہ مواصلاتی خفیہ کاری۔ جبکہ کاروبار اور صارفین پروٹوکول کو دوبارہ فعال کرنے کے قابل ہو جائیں گے اگر انہیں ایک اہم ایپلی کیشن کا استعمال جاری رکھنے کے لیے پسماندہ مطابقت کی ضرورت ہو، کمپنیوں کو اپنے سسٹمز کو TLS v1.2 یا 1.3 میں منتقل کرنا چاہئے، مائیکروسافٹ نے کہا۔ اس کی تازہ ترین رہنمائی.

اس مہینے سے، کمپنی Windows 1.0 Insider Preview میں TLS v1.1 اور v11 کو بطور ڈیفالٹ غیر فعال کر دے گی، جس کے بعد مستقبل کے Windows ورژنز پر ایک وسیع غیر فعال ہو جائے گا۔

مائیکرو سافٹ ایک اور ایڈوائزری میں کہا گیا ہے۔. "ہم کئی سالوں سے TLS پروٹوکول کے استعمال کو ٹریک کر رہے ہیں اور یقین رکھتے ہیں کہ TLS 1.0 اور TLS 1.1 کے استعمال کا ڈیٹا کام کرنے کے لیے کافی کم ہے۔"

منصوبہ بند سوئچ گوگل اور اس کے کرومیم پروجیکٹ کے تجویز کردہ TLS سرٹیفکیٹس کے ہونے کے چھ ماہ بعد آیا ہے۔ زیادہ سے زیادہ عمر 90 دن 398 دنوں کی موجودہ زیادہ سے زیادہ درست مدت کے ایک چوتھائی سے بھی کم۔

ٹرانسپورٹ لیئر سیکیورٹی (TLS) پروٹوکول — اور اس کا پیشرو، Secure Sockets Layer (SSL) — انٹرنیٹ پر ٹرانزٹ میں ڈیٹا کی حفاظت کا معیاری طریقہ بن گیا ہے۔ پھر بھی، SSL اور TLS کے پہلے ورژن میں کمزوریوں نے ٹیکنالوجی کمپنیوں اور تنظیموں، جیسے موزیلا فاؤنڈیشن کو زیادہ محفوظ TLS ورژن کو اپنانے پر زور دیا ہے۔ کرومیم پروجیکٹ نے کہا کہ TLS سرٹیفکیٹس کی تیزی سے میعاد ختم ہونے کے لیے دباؤ کمپنیوں کو اپنے سرٹیفکیٹ کے بنیادی ڈھانچے کو خودکار کرنے پر بھی آمادہ کرے گا، جس سے بہتر حفاظتی چستی ہو جائے گی۔ سرٹیفکیٹ کی زندگی کو کم کرنے کی مارچ کی تجویز.

"سرٹیفکیٹ لائف ٹائم کو کم کرنے سے آٹومیشن اور ایسے طریقوں کو اپنانے کی حوصلہ افزائی ہوتی ہے جو ماحولیاتی نظام کو باروک، وقت گزارنے، اور غلطی کا شکار جاری کرنے کے عمل سے دور کر دیں گے،" گروپ نے کہا۔ "یہ تبدیلیاں ابھرتی ہوئی حفاظتی صلاحیتوں اور بہترین طریقوں کو تیزی سے اپنانے کی اجازت دیں گی، اور ماحولیاتی نظام کو کوانٹم مزاحم الگورتھم میں تیزی سے منتقل کرنے کے لیے درکار چستی کو فروغ دیں گی۔"

TLS 1.3 پر جانے کا وقت

کمپنیوں کو پہلے اپنے TLS اینڈ پوائنٹس، ان کے سرٹیفکیٹس کا مجموعہ، اور دیگر تکنیکی اجزاء کی شناخت کرنی چاہیے۔ AppViewX کے چیف سولیوشن آفیسر، مرلی دھرن پالانیسامی کہتے ہیں کہ سرٹیفکیٹس کے لیے مختصر زندگی کی طرف بڑھنے کی وجہ سے، کلیدوں اور سرٹیفکیٹس کے خودکار انتظام کی ضرورت ہے۔

"ایک خودکار حل آپ کے ہائبرڈ ملٹی کلاؤڈ ماحول کو مسلسل اسکین کر سکتا ہے تاکہ آپ کو آپ کے کرپٹو اثاثوں میں مرئیت فراہم کی جا سکے اور میعاد ختم ہونے اور کمزور سرٹیفکیٹس کو تلاش کرنے کے لیے ایک اپ ڈیٹ شدہ انوینٹری کو برقرار رکھا جا سکے،" وہ کہتے ہیں۔ "مکمل سرٹیفکیٹ لائف سائیکل مینجمنٹ آٹومیشن سرٹیفکیٹس کو دوبارہ ترتیب دینے، خودکار تجدید اور منسوخ کرنے کے قابل بناتا ہے۔"

TLS 1.3 پر منتقلی پہلے ہی جاری ہے۔ AppViewX کے مطابق، ہر پانچ سرورز میں سے ایک سے زیادہ (21%) TLS 1.3 استعمال کر رہے ہیں۔ انٹرنیٹ اسکینز پر مبنی رپورٹ. پلانیسامی کا کہنا ہے کہ نئی ٹیکنالوجی میں صفر راؤنڈ ٹرپ ٹائم کلیدی تبادلے اور TLS 1.2 سے زیادہ مضبوط سیکیورٹی کے ساتھ کارکردگی کے بہت زیادہ فوائد ہیں، جو کہ کامل فارورڈ سیکریسی (PFS) کی پیشکش کرتی ہے۔

بہت سی تنظیمیں اندرونی طور پر TLS 1.2 استعمال کرتی ہیں اور TLS 1.3 بیرونی طور پر استعمال کرتی ہیں۔

اس طرح کے ہر جگہ خفیہ کاری کی طرف بڑھنا اس کے نشیب و فراز کے بغیر نہیں ہے۔ تنظیموں کو توقع کرنی چاہئے کہ - TLS 1.3 اور DNS-over-HTTPS کے وسیع پیمانے پر اپنانے سے کارفرما - مستقبل میں نیٹ ورک ٹریفک کا مزید معائنہ نہیں کیا جا سکے گا، ڈیوڈ ہومز، فارسٹر ریسرچ کے پرنسپل تجزیہ کار، نے کہا۔ سیکورٹی کی نمائش کو برقرار رکھنے کے بارے میں ایک رپورٹ ایک خفیہ کردہ مستقبل میں۔

ہومز نے لکھا، "جیسے جیسے یہ تبدیلیاں زور پکڑتی ہیں، سیکورٹی مانیٹرنگ ٹولز ٹریفک کے مواد اور منزل کی طرف اندھا ہو جائیں گے اور خطرات کا پتہ لگانے سے قاصر ہو جائیں گے،" ہومز نے لکھا۔ "نیٹ ورک پہلے سے کہیں زیادہ گہرا ہو گا۔ سیکیورٹی پریکٹیشنر اور وینڈر کمیونٹیز دونوں فعال طور پر ایسے حل تیار کر رہے ہیں جو نیٹ ورک پر مرئیت کو واپس لا سکتے ہیں۔

POODLE، Heartbleed، اور دیگر نایاب نسلیں۔

ہومز کے مطابق، عام طور پر، TLS کی کمزوریاں کافی حد تک باطنی خطرہ ہیں، جن میں بہت سی نظریاتی کمزوریاں ہیں لیکن جنگلی میں بہت کم حملے دیکھے جاتے ہیں۔ حملہ آور شاذ و نادر ہی TLS کے مسائل کو نشانہ بناتے ہیں، کیونکہ خفیہ کاری کے بنیادی ڈھانچے پر حملہ کرنا عموماً انتہائی پیچیدہ ہوتا ہے، جس میں بہت زیادہ نفاست کی ضرورت ہوتی ہے۔

پھر بھی جب کوئی کمزوری پائی جاتی ہے تو اس کے اثرات وسیع ہو سکتے ہیں، کیونکہ TLS انکرپشن کا بنیادی ڈھانچہ ہر جگہ موجود ہے۔ 2014 میں، کی دریافت بدنام زمانہ ہارٹ بلیڈ کا خطرہ OpenSSL لائبریری میں بڑے سرورز کو پیچ کرنے کی دوڑ کے نتیجے میں اس سے پہلے کہ حملہ آور سرورز سے حساس ڈیٹا چرانے کے لیے مسئلے کا فائدہ اٹھا سکیں۔ اسی سال، Secure Sockets Layer (SSL) v3.0 میں ایک کمزوری کی دریافت نے ایک مشین میں درمیانی حملے کی اجازت دی - جس کی سب سے مشہور مثال ڈب شدہ پروف آف کانسیپٹ کوڈ ہے۔ ڈاؤن گریڈڈ لیگیسی انکرپشن (POODLE) حملے پر پیڈنگ اوریکل.

"POODLE حملہ SSLv3 میں ایک اہم خطرہ تھا - TLS 1.0 کا پیش خیمہ - اور اس کی دریافت نے انٹرنیٹ کو اس پروٹوکول کو بنیادی طور پر راتوں رات غیر فعال کر دیا - مہینوں کے اندر، جو کہ حیران کن طور پر تیز ہے،" ہومز کا کہنا ہے۔

اگرچہ TLS کے خطرات سنگین ہیں، اکثر یہ اس بات کی علامت ہوتے ہیں کہ کوئی ایپلیکیشن یا سرور پرانا ہے، جس کا اکثر مطلب یہ ہوتا ہے کہ فائدہ اٹھانے میں آسان خطرات کی ایک قابل ذکر تعداد موجود ہے، اس لیے حملہ آور عموماً وہاں اپنی توجہ مبذول کر لیتے ہیں۔

TLS 1.0 اور 1.1 کی حمایت جاری ہے کیونکہ مشن کے لیے اہم ایپس کی ایک چھوٹی سی تعداد جو مشکل ہے، اگر ناممکن نہیں تو کمیونیکیشن پروٹوکول پر انحصار کرتی ہے۔

"ان میں سے بہت سے کو آسانی سے اپ گریڈ نہیں کیا جا سکتا - یا وہ پہلے ہی ہو چکے ہوتے،" وہ کہتے ہیں۔ "ایک مخصوص ڈیوائس کے لیے دہائیوں پہلے لکھی گئی حسب ضرورت ایپلی کیشنز کے بارے میں سوچیں جو صرف مٹھی بھر فیکٹریوں میں چلتی ہے۔ وہ سافٹ ویئر ٹیمیں جنہوں نے ان ایپلی کیشنز کو بنایا تھا وہ بہت پہلے ختم یا ریٹائر ہو گئے تھے لیکن ایپلیکیشن اب بھی چل رہی ہے۔

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
• پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• پلیٹو ای ایس جی۔ آٹوموٹو / ای وی، کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
• پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
• چارٹ پرائم۔ ChartPrime کے ساتھ اپنے ٹریڈنگ گیم کو بلند کریں۔ یہاں تک رسائی حاصل کریں۔
• بلاک آفسیٹس۔ ماحولیاتی آفسیٹ ملکیت کو جدید بنانا۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/dr-tech/microsoft-google-take-on-obsolete-tls-protocols