گو کہ بروٹ فورس حملہ (Brute Force Attack) کے بارے میں انٹرنیٹ پر بہت سارا مواد موجود ہے مگر مجھ سمیت بہت سارے دوست انگریزی زبان سے زیادہ شناسائی نہ ہونے کی وجہ سے اس مواد سے خاطر خواہ استفادہ کرنے سے قاصر ہیں اور اکثر اس بارے میں اردو میںمواد کی خواہش کرتے رہتے ہیں۔
بروٹ فورس حملہ (Brute Force Attack) ہے کیا اور اس کا طریقہ کار کیا ہے اور ایسے کسی بھی حملے سے بچنے کا موثر طریقہ کیا ہے اس بارے میں اردونامہ انتظامیہ نے ایک جامع رپورٹ تیار کیا ہے تاکہ اپنے قارئین کی رہنمائی کیا جاسکے جسے ذیل میں پیش کیا جا رہا ہے۔
بروٹ فورس حملہ (Brute Force Attack) جسے اکثر اوقات بروٹ فورس کریکنگ (Brute Force Cracking) بھی کہتے ہیں ٹرائل اینڈ ایرر Trial & Error Method پر مشتمل ایک ایسا طریقہ جس میں کسی سافٹ وئیر کی مدد سے کسی پاسورڈ کو کریک کرنے کی کوشش کی جاتی ہے اور یہ سلسلہ تب تک جاری رکھا جاتا ہے جب تک پاسورڈ کریک نہیں ہو جاتا۔ یہ طریقہ ہمیشہ کام کرے یہ ضروری نہیں لیکن اکثر اوقات پاسورڈ رکھنے والے کی غلطی کی وجہ سے یہ طریقہ کار کامیاب رہتا ہے۔
[align=center]
[/align]بروٹ فورس حملہ کی ایک بڑی قسم مختلف قسم کے سافٹ وئیر ہیں جو آپ کی ایسی پی ڈی ایف فائلز جنہیں پاسورڈ لگا ہوتا ہے ان کے پاسورڈ کو کریک کرتے ہیں، اس کام کے لئے ان سافٹ وئیر کے پاس ایسی ڈائریکٹری موجود ہوتی ہے جس میں دنیا جہان کے عام طور پر استعمال ہونے والے پاسورڈز کا ذخیرہ ہوتا ہے، اس کے علاوہ یہ سافٹ وئیرز اپنے طور پر بھی مختلف ہندسوں اور لفظوں کے مجموعے بنا بنا کر آزمانے کی صلاحیت رکھتے ہیں اور بالآخر اپنے مقصد میں کامیاب ہو جاتے ہیں۔ ایسی کوئی بھی کوشش اس وقت بہت جلد کامیاب ہو جاتی ہے جب کوئی بھی یوزر پاسورڈ رکھتے وقت صرف الفاظ یا پھر صرف ہندسوں کا انتخاب کرتے ہیں جیسا کہ urdunama یا 2145785 یا majidurdunama یا پھر اس سے ملتے جلتے ایسے الفاظ جنہیں یاد رکھنا آسان ہوتا ہے، یاد رکھئے جو پاسورڈ یاد رکھنا جتنا زیادہ آسان ہو گا اسے توڑنا اس سے بھی زیادہ آسان ہو گا۔
[align=center]
[/align][align=center]
[/align]اب آتے ہیں ویب سائیٹس پر ہونے والے بروٹ فورس حملے (Brute Force Attack) کی طرف۔ بالکل اسی طریقہ سے جیسے کوئی سافٹ وئیر کسی فائل کے پاسورڈ والے خانے پر زور آزمائی کرتے ہیں ایسے ہی ہیکرز اپنے سافٹ وئیرز کی مدد سے کسی بھی ویب سائیٹ کے ایڈمن کے داخلے کے یوزرنیم اور پاسورڈ کے خانے میں داخل ہونے کی کوشش کرتے ہیں اور ان کے ایڈمن کنٹرول پینل میں داخل ہونے کی کوشش کرتےہیں۔ چونکہ عام طور پر استعمال ہونے والے ویب سائیٹ پلیٹ فارمز جیسا کہ ورڈپریس، بلاگر، مختلف قسم کے بلٹن بورڈز، جملہ وغیرہ کے ایڈمن لاگ ان کا ایڈریس عام طور پر ایک ہی ہوتا ہے اور سب کو معلوم ہوتا ہے اور یہ پلیٹ فارمز ویب سائیٹس کے لئے بہت زیادہ استعمال ہوتے ہیں اس لئے ہیکرز اپنی ہیکنگ کے لئے عموماانہیں پلیٹ فارمز کا استعمال کرتے ہیں اور چونکہ ان پلیٹ فارمز تک سب کی رسائی بے حد آسان ہے اور ان میں سے بیشتر مفت دستیاب ہیں اس لئے تھوڑی سی بھی سوجھ بوجھ رکھنے والے افراد ایسی ویب سائیٹس تیار کر لیتے ہیں جن کے پاسورڈ بھی زیادہ مضبوط نہیں ہوتے اور یہ ان ہیکرز کے لئے نہایت آسان حدف ثابت ہوتے ہیں۔
[align=center]
[/align]بروٹ فورس حملے (Brute Force Attack) عام طور پر تین قسم کے لوگوں کی طرف سے کیئے جاتے ہیں،
ایک کرمینل افراد کی طرف سے
دوسرا ٹیسٹ کرنے والوں کی طرف سے
تیسرا حکومتوں اور سیکورٹی ایجنسیز کی طرف سے
کرمینل افراد ایسے حملے ویب سائیٹس کو ہیک کرنے کے لئے کرتے ہیں اور ان کا مقصد عموما لوگوں کی ویب سائیٹس کو تباہ کرنا، ان کا ڈیٹا چرانا اور ان ویب سائیٹس پر اپنی مرضی کے اسکرپٹس اور سافٹ وئیرز انسٹال کرنا ہوتا ہے جن کی مدد سے وہ لوگ آپ کا ڈیٹا مسلسل چرانے کی صلاحت حاصل کر لیتے ہیں، اپنی مرضی کے مطابق آپ کی ویب سائیٹ کو تبدیل کرنے یا آپ کی ویب سائیٹ پر آنے والی ٹریفک کو اپنے من پسند ایڈریس کی طرف بھیجنے کی صلاحیت رکھتے ہیں۔ یا پھر کسی کمپنی کے ایسے ڈیٹا کو چرانے کی کوشش کرتے ہیں جسے وہ کمپنی دوسروں کے ساتھ شئیر کرنا پسند نہیں کرتی اور ایسا ڈیٹا شئیر ہونے کی صورت میں کمپنی کی ساکھ اور کاروبار دونوں داؤ پر لگ جاتے ہیں۔
بروٹ فورس حملے (Brute Force Attack) کرنے والے دوسرے قسم کے لوگ ایسے ہوتے ہیں جو ویب سائیٹ مالکان کی مرضی کے ساتھ یا ان کی مرضی کے بغیر ان کی ویب سائیٹس کے لاگ ان پاسورڈز کو ٹیسٹ کرتے ہیں تاکہ پتہ چلایا جا سکے کہ ان کی ویب سائیٹس کے پاسورڈ اور یوزرنیم کتنے اچھے یا کتنے برے ہیں۔ ایسا کام اکثر ایسے ادارے جن کی ویب سائیٹس پر پیسوں کا لین دین یا پھر ان پر پیسوں کے بارے میں معلومات موجود ہوتی ہیں جیسا کہ کریڈیٹ کارڈ کی معلومات یا بنک کی معلومات وغیرہ اور بنک کی اپنی سائیٹس وغیرہ۔ اکثر اوقات یہ کام ویب سائیٹ مالکان کی مرضی سے ہو رہا ہوتا ہے تاکہ ویب سائیٹ کی سیکورٹی کو مزید بہتر بنایا جا سکے۔ تاہم کچھ لوگ اپنے طور پر مالکان کی مرضی کے بغیر بھی یہ کام کرتے ہیں اور ان کے پاسورڈ توڑنے کی کوشش کرتے ہیں لیکن ان کا مقصد ان ویب سائیٹس کو تباہ کرنا یا ان کا ڈیٹا چرانا نہیں ہوتا بلکہ وہ رضاکارانہ طور پر یا کسی انعام کی خواہش میں ایسا کام کرتے ہیں اور جب وہ کسی ویب سائیٹ کو کریک کرنے کی کوشش میں کامیاب ہو جاتے ہیں تو پھر اس ویب سائیٹ کے مالکان کو یہ بات بتا کر ان کی مدد کرتے ہیں۔
تیسرے نمبر پر بروٹ فورس حملے (Brute Force Attack) اکثر حکومتی ادارے اور سیکورٹی ادارے وغیرہ کرتے ہیں تاکہ اس شخص کی ویب سائیٹ پر موجود مواد کی مدد سے اس کی شناخت کر سکیں اور اگر انہیں اس پر کسی قسم کا شبہ ہو تو اس کی تصدیق کی جا سکے۔ عموما اس قسم کے افراد کا مقصد بھی ویب سائیٹس کو نقصان پہچانا نہیں ہوتا بلکہ صرف معلومات جیسا کہ ای میل اکاؤنٹس اور ویب سائیٹس کے ڈیٹا تک رسائی ہوتا ہے۔
بروٹ فورس حملے (Brute Force Attack) کا طریقہ کار عموما خاصا پیچیدہ، مشکل اور بہت زیادہ وقت لینے والا ہوتا ہے۔ اس کام کے لئے عموما سافٹ وئیرز کا استعمال کیا جاتا ہے جو ایک سیکنڈ کے بھی کچھ حصے میں بیسیوں پاسورڈ ٹرائی کرتے ہیں اور بالآخر کچھ عرصے میں پاسورڈ تک پہنچ جاتے ہیں۔
آجکل انٹرنیٹ کی دنیا میں مختلف قسم کے کرمینلز کے گروپ موجود ہیں جو انٹرنیٹ پر ڈکیتی جیسی وارداتیں کرتے ہیں اور ان گروہوں کی تعداد بعض اوقات ہزاروں تک پہنچ جاتی ہے۔اکثر اوقات جس طرح کا حمہ 19 دسمبر 2017 سے شروع ہو کر 21 دسمبر 2017 کی شام تک جاری رہا ایسے حملے کوئی اکیلا شخص نہیں کرتا بلکہ ایک ہی وقت میں بیسیوں، سینکڑوں اور ہزاروں ہیکرز مل کر کرتے ہیں جس نے نہ صرف ان حملوں کی شدت میں بے تحاشہ اضافہ ہو جاتا ہے بلکہ ان کی کامیابی کا تناسب بھی خطرناک حد تک بڑھ جاتا ہے۔[/color]
بروٹ فورس حملے (Brute Force Attack) سے بچاؤ کے طریقے
1. اپنی ویب سائیٹ کا لاگ ان ایڈریس ہمیشہ سب سے خفیہ رکھئے اور ایسا رکھئے جس کے متعلق اندازہ لگانا مشکل یا تقریبا ناممکن ہو۔ خاص طور پر عام طور پر استعمال ہونے والے ویب پلیٹ فارمز جیسا کہ ورڈپریس، جملہ یا مختلف اقسام کے بلٹن بورڈز جن کا لاگ ان ایڈریس ہمیشہ ایک ہی ہوتا ہے اسے ہرصورت تبدیل کر دیا جائے تاکہ کوئی بھی عام ایڈریس کے تحت آپ کے لاگ ان فارم تک ہی نہ پہنچ پائے، یاد رکھئے اگر آپ کا لاگ ان ایڈریس پیچیدہ اور ناقابلِ اندازہ ہے تو آپ نے اسی فیصد ایسے حملوں سے بچاؤ حاصل کر لیا ہے۔
2. اپنا ایڈمن یوزرنیم اپنے نام یا ایڈمن یا کسی بھی ایسے لفظ سے ہٹ کر رکھا جائے جو عام فہم اور اندازہ لگانے میں آسان ہو، اکثر لوگوں نے اپنا ایڈمن لاگ ان یوزرنیم ایڈمن ہی رکھا ہوتا ہے جو کہ ڈیفالٹ میں ملتا ہے ایسا یوزرنیم ہیکر کے لئے ایک نعمت ثابت ہوتا ہے اس سے اسے آدھی کامیابی پہلی ٹرائی میں ہی مل جاتی ہے یعنی اسے آپ کے یوزرنیم کے لئے کچھ بھی تردد نہیں کرنا پڑتا ہے اور ساری توانائی آپ کے پاسورڈ کو ڈھونڈنے کےلئے صرف کرنے کا وقت مل جاتا ہے۔
3. اپنی ویب سائیٹ کے لئے پاسورڈ کا انتخاب بجائے اپنی آسانی کے ویب سائیٹ کی سیکورٹی کے پیشِ نظر کریں، ایک ایسا پاسورڈ جس میں چھوٹے بڑے حروف کے ملانے اور ان میں کچھ ہندسے اور کچھ سمبلز شامل کر کے بنایا گیا ہو ایسا پاسورڈ ہے جس کو شناخت کرنا اگر ناممکن نہیں تو بے حد مشکل ضرور ہے۔ اس لئے ہمیشہ اپنے تمام پاسورڈز ایسے ہی رکھنے چاہیں جن میں ان تمام حروف ہندسوں یا سمبلز کا مجموعہ موجود ہو۔ اپنے پاسورڈز کو چیک کرنے کے لئے کہ وہ کس حد تک محفوظ ہیں مختلف قسم کے آن لائن یا آف لائن سافٹ وئیر موجود ہیں جو آپ کو بروٹ فورس حملے کی ٹیکنالوجی کو استعمال کرتے ہوئے چیک کرتے ہیں اور بتاتے ہیں کہ آپ کے پاسورڈ کی شناخت کتنی مشکل یا آسان ہے۔ اس کام کے لئے ایک مفت دستیاب ویب سائیٹ اس لنک پر موجود ہے جہاں سے آپ اپنے پاسورڈ کو ٹیسٹ کر سکتے ہیں مگر یاد رکھئے کہ وہاں پاسورڈ ہوبہو نہیں لکھنا کہ عین ممکن ہے کہ وہ پاسورڈ یہ سائیٹ اپنی ڈیٹابیس میں سٹور کر لے اور مستقبل میں آپ کی سائیٹ پر ہونے والے کسی بھی بروٹ فورس حملے میں یہی پاسورڈ استعمال ہو جائے بس اپنے پاسورڈ سے ملتاجلتا پاسورڈ ڈال کر دیکھ لیں کہ یہ پاسورڈ کتنا مشکل یا آسان ہے۔
4. اپنی ویب سائیٹس پر سیکورٹی پلگ ان یا فائر وال انسٹال کیجئے، مختلف قسم کی ویب سائیٹس کے لئے مختلف کے سیکورٹی پلگ ان مفت یا قیمتا دستیاب ہیں خاص طور پر ورڈپریس کے لئے بہت سارے پلگ ان مفت موجود ہیں جو آپ کی ویب سائیٹ پر ہونے والے کسی بھی اس قسم کے حملے کو ناکام بنانے کی صلاحیت رکھتے ہیں۔
5. اپنے ایڈمن لاگ ان پیج پر سیکورٹی کیپچا ضرور استعمال کیجئے جو مختلف شکلوں میں کام کرتا ہے اور یہ شناخت کرتا ہے کہ لاگ ان کی کوشش کرنے والا کوئی انسان ہے یا پھر سافٹ وئیر اور شک کی صورت میں انہیں بلاک کرنے کی صلاحیت رکھتا ہے۔ اس کے لئے سب میں گوگل کا ری کیپچا سب سے اچھا اور قابل اعتماد ہے۔
6. اپنی ویب سائیٹ کے لاگ ان کے لئے ٹو فیکٹر اتھنٹیکشن یا دو طرفہ تصدیق کا طریقہ کار شروع کریں جس میں نہ صرف آپ اپنا پاسورڈ داخل کریں گے بلکہ آپ کو اپنے موبائل فون یا ای میل ایڈریس پر ملنے والے کوڈ کو بھی داخل کرنا ہو گا۔
7. اپنی ویب سائیٹ پر ایسے تمام یوزرز جنہیں ایڈمن کنٹرول حاصل ہے مگر آپ نے عرصہ تک انہیں استعمال نہیں کیا ہے ان کو فی الفور ختم کیجئے تاکہ کوئی ان کا استعمال کرتے ہوئے داخل نہ ہو سکے۔ کوشش کیجئے ایڈمن کا ایک ہی اکاؤنٹ ہو اور وہ آپ کے پاس ہی ہو۔
8. ایک ہی پاسورڈ مختلف ویب سائیٹس اور مختلف ای میل اکاؤنٹس کے لئے کبھی استعمال نہ کریں بلکہ ہر ایک کے لئے الگ الگ پاسورڈ ہو تاکہ اگر ایک ہیک ہو جائے تو باقی سب بھی ہیک نہ ہو جائے۔
9. اپنی ویب سائیٹ پر کوئی ایسا پلگ ان یا سسٹم انسٹال کیجئے جس سے آپ کو پتہ چلتا رہے کہ ایڈمن لاگ ان کرنے کے لئے کس کس نے اور کس کس آئی پی ایڈریس سے کتنی بار ٹرائی کیا ہے اور ایسے تمام آئی پی ایڈریس جو آپ کے نہیں ہیں یا جن سے متعدد بار ناکام لاگ ان کرنے کی کوشش ہوئی ہے یا ایک ہی آئی پی ایڈریس سے مختلف یوزرنیم کے ساتھ ٹرائی ہوئی ہے وہ بروٹ فورس حملہ ہو سکتا ہے اور اس آئی پی ایڈریس کو بلاک کرنا ہی بہتر ہے۔ اس کے لئے اپنے پلگ ان کو ناکام ٹرائی کی کم ازکم حد دے دیں یعنی دو یا تین دفعہ اگر کوئی لاگ ان کی کوشش میں ناکام ہو جاتا ہےتو اس کا آئی پی ایڈریس خودکار طریقہ سے بلاک ہو سکے۔ ایک آئی پی ایڈریس سے بار بار داخل ہونے کا کم ازکم وقت مقرر کردیجئےیعنی کہ ایک آئی پی سے کوئی یوزر پانچ منٹ میں ایک سے زیادہ بار داخل نہ ہو سکے وغیرہ۔
جی تو دوستو امید ہے کہ یہ پوسٹ نہ صرف آپ کو پسند آئے گی بلکہ امید ہے کہ آپ کے لئے فائدہ مند بھی ثابت ہو گی۔
پسند آنے اور کارآمد ہونے کی صورت میں اس پوسٹ کو اپنے سوشل میڈیا اکاؤنٹس پر شئیر بھی ضرور کیجئے تاکہ سب کا بھلا ہو سکے۔
انشااللہ آئندہ ڈی ڈی او ایس یعنی ڈسٹری بیوٹڈ ڈنائل آف سروس اٹیک یا (Distributed Denial Of Service. Attack) کے بارے میں ایسی ہی تفصیل سے لکھنے کی کوشش کروں گا لیکن اس کے لئے کوئی وقت مقرر نہیں ہے کوشش کروں گا کہ کل ہی لکھ دوں لیکن مہینوں بھی لگ سکتے ہیں بس دعا کیجئے فرصت جلدی مل جائے۔
تحریر: ماجد چوہدری ایڈمن اردونامہ فورم
