TLS/HTTPS کیسے کام کرتا ہے؟

Question

IT Interview Practice · Accepted Answer

**HTTPS بس ایک TLS-encrypted چینل کے اندر چلتا ہوا HTTP ہے۔** TLS (Transport Layer Security) آپ کو تین ضمانتیں دیتا ہے: **confidentiality** (ٹریفک encrypted ہے)، **integrity** (اس کے ساتھ چھیڑ چھاڑ کا پتا چلے بغیر نہیں کی جا سکتی)، اور **authentication** (آپ واقعی اُسی server سے بات کر رہے ہیں جس کا نام certificate میں ہے)۔ اس پر کوئی بھی HTTP بھیجنے سے پہلے ایک **handshake** میں مذاکرات ہوتے ہیں:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

ہوشیاری کا حصہ دو قسم کی cryptography کو ملانا ہے۔ **Asymmetric** cryptography (certificate کا public/private key جوڑا) صرف مختصر وقت کے لیے استعمال ہوتا ہے تاکہ *server کی تصدیق کی جائے اور محفوظ طریقے سے ایک مشترکہ راز پر اتفاق کیا جائے*۔ پھر وہ مشترکہ راز زیادہ تر ڈیٹا کے لیے تیز **symmetric** encryption (جیسے AES) کو key فراہم کرتا ہے — کیونکہ asymmetric cryptography ہر byte کے لیے بہت زیادہ سست ہے۔

**Authentication** certificate چین پر انحصار کرتی ہے: server کا certificate کسی **Certificate Authority (CA)** سے دستخط شدہ ہوتا ہے، اور آپ کا OS/براؤزر قابلِ اعتماد CAs کی ایک فہرست کے ساتھ آتا ہے۔ اگر چین درست ہو اور نام میل کھائے، تو اعتماد قائم ہو جاتا ہے؛ اگر نہیں (میعاد ختم، خود-دستخط شدہ، غلط host)، تو براؤزر ایک تنبیہ دکھاتا ہے۔ جدید **TLS 1.3** اس سب کو ایک ہی round trip تک سُڈول بنا دیتا ہے (دوبارہ جوڑنے پر 0-RTT) اور پرانے، غیر محفوظ ciphers کو چھوڑ دیتا ہے۔

## یہ کیوں اہم ہے

TLS بنیادی طور پر تمام ویب ٹریفک کی بنیاد ہے، اس لیے اسے سمجھنا کسی بھی backend، security، یا infrastructure کردار کے لیے لازمی شرط ہے۔ انٹرویو لینے والے اسے یہ جانچنے کے لیے استعمال کرتے ہیں کہ آیا آپ **hybrid crypto ماڈل** کو سمجھتے ہیں — اعتماد اور ایک مشترکہ key قائم کرنے کے لیے asymmetric، رفتار کے لیے symmetric — جو ایک ایسا نمونہ ہے جو security نظاموں میں بار بار آتا ہے۔ یہ شدید عملی بھی ہے: میعاد ختم شدہ certificates، غیر معتبر chains، اور protocol/cipher کی عدم مطابقت عام production واقعات ہیں، اور handshake اور certificate کی validation کے کام کرنے کا طریقہ جاننا ہی وہ چیز ہے جو آپ کو انہیں تیزی سے تشخیص کرنے دیتی ہے (مثلاً `curl -v` یا `openssl s_client` کے ساتھ)۔

یہ کیوں اہم ہے

متعلقہ سوالات