کسی نے منگل کو ایک نوٹ ڈال دیا، جس پر "وین" کے نام سے دستخط تھے۔ "یہاں ایک مسئلہ ہے۔" یہ مزاحیہ ہوتا، لیکن وین نے اس پر @eMudhra کا پرائیویٹ کی کھینچ لگا دیا، جو بھارت میں ایک سرٹیفکیٹ اتھارٹی ہے۔ یہ کی آپ کے براؤزر کے لیے قابلِ اعتماد ہونے والے آٹھ انٹرمیڈیٹ سرٹیفکیٹس میں سے ایک کے پیچھے ہے۔ ایک کو ہاتھ لگا لیں، اور آپ انٹرنیٹ پر کسی بھی ویب سائٹ کے لیے ایک درست سرٹیفکیٹ جاری کر سکتے ہیں، جس میں آپ کے بینک کا لاگ ان پیج بھی شامل ہے۔ تو وین نے اسے کس طرح حاصل کیا؟ زیادہ تر لوگوں نے مان لیا کہ ہینڈ بریک ہوا ہے۔ شاید اندر سے کوئی، یا کوئی جاسوس ایجنسی۔ لیکن اس نے کچھ بھی چوری نہیں کیا۔ کلیدیں قابلِ اندازہ تھیں۔ ایک عام P-384 کلید میں تقریباً 384 بٹ تصادفیت ہوتی ہے۔ یہ ایک 116 انگوں والی تعداد ہے، اور کوئی اسے اندازہ نہیں لگاتا۔ @eMudhra کلیدوں میں صرف 3 سے 8 بٹ تھے۔ ایک پرائیویٹ کلید تو صرف عدد 4 تھی۔ دوسری 56 تھی۔ سب سے بڑھ کر 237 تھی۔ ایک لپ ٹاپ تمام آٹھوں کو آپ اس جملے کو ختم کرنے سے پہلے ہی توڑ دے گا۔ فلپو ولسورڈا، جو Go کے لیے کرپٹو کوڈ مینٹین کرتے ہیں، نے اسے "اس کا ہونا ممکن نہیں" کی شرط میں رکھ دیا۔ https://t.co/Rg3ue0zZqK کے بن کارٹوائٹ-کوکس کا خیال ہے کہ مثال کا کوڈ پروڈکشن میں چلا گیا، اور کسی نے نہ دھیان دیا۔ اس لئے براؤزر بنانے والوں نے جلد عمل کیا۔ منگل کے دن دوپہر تک، انہوں نے تمام آٹھ سرٹیفکیٹس، اور بعض بڑے اینڈروائس اور پروگرامنگ زبانوں کو بلاک کر دیا۔ سرٹیفکیٹ شفافیت لاگز میں ان کلیدوں کا غلط استعمال نہیں دکھائی دeta۔ خطرہ ختم؟ ابھी تو دور بھی نہیں۔ براؤزر تو آسان حصہ تھا۔ ولسورڈا کہتے ہیں کہ اس صفائی کا پروجیکٹ #Heartbleed سے بھी بڑا ہوگا، جو 2014 میں OpenSSL کا بگ تھا جس پر سالوں تک قابو پانے میں لگا۔ مسئلہ اس بات میں ہے کہ جو چيز اپنا اعتماد کردہ رُوت (trusted root) خود شپ کرتا ہے اور کبھی اپڈیٹ نہीں ہوتا: IoT گجٹس، ڈاکر کنٹینرز، بھول جانے والے لینکس باکسز، پرانے CLI ٹولز۔ بعض لینکس ڈسٹروز میں ابھी تک فکس موجود نہ تھا۔ جب Ars نے شائع کیا تو ونڈوز 10 پر Edge اب بھी 12 زخم خور ہوسٹس سے جڑ رہا تھا۔ حملہ آوروں کے لئے ا ek حائل ہے۔ اگر آپ شخص کے رابطے کے درمیان باثبات ہو جائیں، ان کا ٹرافک ڈکرپٹ اور دوبارہ انکرپٹ کر رہے ہوں، تو برا سرٹیفکیٹ صرف مددگار ثابت ہوتا ہے۔ انٹرنیٹ پر اسے حاصل کرنا مشکل ہے۔ لیکن قہوہ خانوں والے Wi-Fi، یا وہ ملک جو VPN ٹرافک پر نظر رکھتا ہے، وہاں بہت آسان ہوتا ہے۔ اینڈروائس جیسے Signal اور WireGuard بالکل فائن ہیں، کونکہ وہ خصوصیت کے لئے TLS پر انحصار نہीں کرتے۔ میرا جو دلچسپ لگتا ہے وہ چند آدرس بار میں موجود لوک آئن (lock icon) ہے۔ �ہ صرف ا ek کمپنی کا وعدہ نہيں، بلکہ سینکڑوں کمپنิيں اِس وقت اُس وقت اُس وقت وعدہ فرماتي نيں، اور يه صرف وَهِي قوت رکھتى هى جِس سب سِي ضعيف ترين هُي۔ منگل کو، سب سِي ضعيف ترين كمپنى كى كلىد صرف `4` تھي۔ وین نے سب کو بتاديا۔ اگلا شخص شاید نہيں بتائے۔ https://t.co/vSK9GTDYLa