Skip to content

README.md

Latest commit

 

History

History
508 lines (354 loc) · 53.6 KB

README.md

File metadata and controls

508 lines (354 loc) · 53.6 KB

MCP سیکیورٹی: AI سسٹمز کے لیے جامع تحفظ

MCP Security Best Practices

(اس سبق کی ویڈیو دیکھنے کے لیے اوپر تصویر پر کلک کریں)

سیکیورٹی AI سسٹم ڈیزائن کا بنیادی جزو ہے، اسی لیے ہم اسے اپنے دوسرے سیکشن کے طور پر ترجیح دیتے ہیں۔ یہ مائیکروسافٹ کے Secure Future Initiative سے تعلق رکھنے والے Secure by Design اصول کے مطابق ہے۔

ماڈل کانٹیکسٹ پروٹوکول (MCP) AI سے چلنے والی ایپلیکیشنز میں طاقتور نئی صلاحیتیں لاتا ہے، جبکہ منفرد سیکیورٹی چیلنجز بھی پیش کرتا ہے جو روایتی سافٹ ویئر خطرات سے آگے بڑھتے ہیں۔ MCP سسٹمز کو مستحکم سیکیورٹی خدشات (محفوظ کوڈنگ، کم از کم مراعات، سپلائی چین سیکیورٹی) کے ساتھ ساتھ نئے AI-مخصوص خطرات جیسے پرامپٹ انجیکشن، ٹول پوائزننگ، سیشن ہیجیکنگ، کنفیوزڈ ڈیپٹی حملے، ٹوکن پاس تھرو کمزوریاں، اور متحرک صلاحیت کی تبدیلی کا سامنا ہوتا ہے۔

یہ سبق MCP نفاذ میں سب سے اہم سیکیورٹی خطرات کو تلاش کرتا ہے—جس میں توثیق، اجازت، زائد اجازت نامے، بالواسطہ پرامپٹ انجیکشن، سیشن سیکیورٹی، کنفیوزڈ ڈیپٹی مسائل، ٹوکن مینجمنٹ، اور سپلائی چین کمزوریاں شامل ہیں۔ آپ ایسے قابل عمل کنٹرول اور بہترین طریقے سیکھیں گے جو ان خطرات کو کم کرنے کے لیے استعمال کیے جا سکتے ہیں، جبکہ مائیکروسافٹ کی حل جیسے Prompt Shields، Azure Content Safety، اور GitHub Advanced Security کے ذریعے اپنی MCP تنصیب کو مضبوط بنائیں گے۔

سیکھنے کے مقاصد

اس سبق کے اختتام تک، آپ قادر ہوں گے کہ:

  • MCP-مخصوص خطرات کی شناخت کریں: MCP سسٹمز میں منفرد سیکیورٹی خطرات کو پہچانیں جن میں پرامپٹ انجیکشن، ٹول پوائزننگ، زائد اجازت نامے، سیشن ہیجیکنگ، کنفیوزڈ ڈیپٹی مسائل، ٹوکن پاس تھرو کمزوریاں، اور سپلائی چین خطرات شامل ہیں
  • سیکیورٹی کنٹرولز کا اطلاق کریں: موثر حفاظتی اقدامات نافذ کریں جن میں مضبوط توثیق، کم از کم مراعات، محفوظ ٹوکن مینجمنٹ، سیشن سیکیورٹی کنٹرولز، اور سپلائی چین کی تصدیق شامل ہے
  • مائیکروسافٹ سیکیورٹی حل کا فائدہ اٹھائیں: MCP کے کام کے بوجھ کی حفاظت کے لیے Microsoft Prompt Shields، Azure Content Safety، اور GitHub Advanced Security کو سمجھیں اور نافذ کریں
  • ٹول سیکیورٹی کی تصدیق کریں: ٹول میٹا ڈیٹا کی تصدیق، متحرک تبدیلیوں کی نگرانی، اور بالواسطہ پرامپٹ انجیکشن حملوں سے دفاع کی اہمیت کو سمجھیں
  • بہترین طریقے مربوط کریں: اہلیت شدہ سیکیورٹی اصول (محفوظ کوڈنگ، سرور ہارڈننگ، زیرو ٹرسٹ) کو MCP-مخصوص کنٹرولز کے ساتھ ملائیں تاکہ جامع تحفظ حاصل کیا جا سکے

MCP سیکیورٹی آرکیٹیکچر اور کنٹرولز

جدید MCP نفاذ کے لیے تہہ دار سیکیورٹی طریقہ کار کی ضرورت ہوتی ہے جو دونوں روایتی سافٹ ویئر سیکیورٹی اور AI-مخصوص خطرات کا حل پیش کرے۔ تیزی سے ترقی کر رہا MCP تفصیل اپنے سیکیورٹی کنٹرولز کو بہتر بناتے ہوئے انٹرپرائز سیکیورٹی آرکیٹیکچرز اور مستند بہترین طریقوں کے ساتھ بہتر انضمام کو ممکن بنا رہا ہے۔

Microsoft Digital Defense Report کی تحقیق ظاہر کرتی ہے کہ رپورٹ شدہ 98% خلاف ورزیاں مضبوط سیکیورٹی حفظان صحت سے روکی جا سکتی ہیں۔ سب سے مؤثر حفاظتی حکمت عملی بنیادی سیکیورٹی عادات کو MCP-مخصوص کنٹرولز کے ساتھ ملانا ہے—ثابت شدہ بنیادی حفاظتی اقدامات مجموعی سیکیورٹی خطرے کو کم کرنے میں سب سے زیادہ مؤثر ہیں۔

موجودہ سیکیورٹی منظرنامہ

نوٹ: یہ معلومات MCP سیکیورٹی معیارات کو 5 فروری 2026 تک ظاہر کرتی ہے، جو MCP Specification 2025-11-25 کے مطابق ہے۔ MCP پروٹوکول تیز رفتاری سے بڑھ رہا ہے، اور آئندہ نفاذ میں نئی توثیقی پیٹرن اور بہتر کنٹرولز شامل ہو سکتے ہیں۔ ہمیشہ موجودہ MCP Specification، MCP GitHub repository، اور سیکیورٹی بہترین طریقے دستاویزات سے جدید رہنمائی حاصل کریں۔

🏔️ MCP سیکیورٹی سمٹ ورکشاپ (شرپا)

عملی سیکیورٹی تربیت کے لیے، ہم سختی سے MCP Security Summit Workshop (شرپا) کی سفارش کرتے ہیں—جو Microsoft Azure میں MCP سرورز کی حفاظت کے لیے مکمل رہنمائی شدہ مہم ہے۔

ورکشاپ کا جائزہ

MCP Security Summit Workshop ایک ثابت شدہ "نقصان پذیر → استحصال → اصلاح → تصدیق" طریقہ کار کے ذریعے عملی اور قابل عمل سیکیورٹی تربیت فراہم کرتی ہے۔ آپ:

  • خرابی تلاش کرکے سیکھیں: جان بوجھ کر غیر محفوظ سرورز کو استحصال کر کے کمزوریاں تجربہ کریں
  • Azure کی نیٹو سیکیورٹی استعمال کریں: Azure Entra ID، Key Vault، API Management، اور AI Content Safety کا استعمال کریں
  • ڈیفنس اِن ڈیپتھ پیروی کریں: مختلف کیمپوں کے ذریعے جامع سیکیورٹی تہوں کی تعمیر کریں
  • OWASP معیارات پر عمل کریں: ہر تکنیک کا تعلق OWASP MCP Azure Security Guide سے ہے
  • پروڈکشن کوڈ حاصل کریں: عملی اور آزمایا ہوا نفاذ حاصل کریں

مہم کا راستہ

کیمپ توجہ شامل OWASP خطرات
بیس کیمپ MCP بنیادیات اور توثیقی کمزوریاں MCP01, MCP07
کیمپ 1: شناخت OAuth 2.1، Azure Managed Identity، Key Vault MCP01, MCP02, MCP07
کیمپ 2: گیٹ وے API Management، پرائیویٹ اینڈپوائنٹس، گورننس MCP02, MCP07, MCP09
کیمپ 3: انپٹ/آؤٹ پٹ سیکیورٹی پرامپٹ انجیکشن، PII تحفظ، مواد کی حفاظت MCP03, MCP05, MCP06
کیمپ 4: مانیٹرنگ لاگ اینالیٹکس، ڈیش بورڈز، خطرہ کا پتہ لگانا MCP08
سمٹ ریڈ ٹیم / بلو ٹیم انٹیگریشن ٹیسٹ تمام

شروع کریں: https://azure-samples.github.io/sherpa/

OWASP MCP ٹاپ 10 سیکیورٹی خطرات

OWASP MCP Azure Security Guide MCP نفاذ کے لیے دس سب سے زیادہ اہم سیکیورٹی خطرات کی تفصیل دیتا ہے:

خطرہ تشریح Azure حل
MCP01 ٹوکن کا غلط انتظام اور خفیہ انکشاف Azure Key Vault، Managed Identity
MCP02 اسکوپ کریپ کے ذریعے مراعات میں اضافہ RBAC، مشروط رسائی
MCP03 ٹول پوائزننگ ٹول کی تصدیق، سالمیت کی جانچ
MCP04 سپلائی چین حملے GitHub Advanced Security، انحصار کا اسکیننگ
MCP05 کمانڈ انجیکشن اور عمل درآمد انپٹ ویلیڈیشن، سینڈ باکسنگ
MCP06 سیاق و سباق کے پرامپٹس کے ذریعے پرامپٹ انجیکشن Azure AI Content Safety، Prompt Shields
MCP07 ناکافی توثیق اور اجازت Azure Entra ID، OAuth 2.1 ساتھ PKCE
MCP08 آڈٹ اور ٹیلی میٹری کی کمی Azure Monitor، Application Insights
MCP09 شیڈو MCP سرورز API سینٹر گورننس، نیٹ ورک الگ تھلگ کرنا
MCP10 کانٹیکسٹ انجیکشن اور زیادہ اشتراک ڈیٹا کی درجہ بندی، کم سے کم انکشاف

MCP توثیق کا ارتقاء

MCP تفصیل نے توثیق اور اجازت کے نقطہ نظر میں نمایاں پیشرفت کی ہے:

  • اصلی نقطہ نظر: ابتدائی وضاحتوں میں ڈویلپرز سے اپنی مرضی کے توثیقی سرور بنانے کا تقاضا تھا، جہاں MCP سرور OAuth 2.0 اجازت سرور کے طور پر صارف کی توثیق کو براہ راست سنبھالتے تھے
  • موجودہ معیار (2025-11-25): اپڈیٹ شدہ وضاحت MCP سرورز کو خارجی شناخت فراہم کرنے والوں (جیسے Microsoft Entra ID) کو توثیق تفویض کرنے کی اجازت دیتی ہے، جس سے سیکیورٹی کی حالت بہتر اور نفاذ کی پیچیدگی کم ہوتی ہے
  • ٹرانسپورٹ لیئر سیکیورٹی: مقامی (STDIO) اور دور دراز (Streamable HTTP) کنکشنز کے لیے مناسب توثیقی پیٹرن کے ساتھ محفوظ ٹرانسپورٹ میکانزم کی بہتر حمایت

توثیق اور اجازت کی سیکیورٹی

موجودہ سیکیورٹی چیلنجز

جدید MCP نفاذ کو کئی توثیق اور اجازت کے چیلنجز کا سامنا ہے:

خطرات اور خطرہ ویکٹرز

  • غلط طریقے سے ترتیب دیا گیا اجازت منطقی: MCP سرورز میں غلط اجازت نفاذ حساس ڈیٹا کو بے نقاب کر سکتا ہے اور غلط طریقے سے رسائی کنٹرولز لگا سکتا ہے
  • OAuth ٹوکن کا سمجھوتہ: مقامی MCP سرور ٹوکن چوری حملہ آوروں کو سرورز کی نقل بنانے اور نیچے کی خدمات تک رسائی کا موقع دیتا ہے
  • ٹوکن پاس تھرو کمزوریاں: غیر مناسب ٹوکن ہینڈلنگ سیکیورٹی کنٹرول بائی پاس اور احتساب کے خلا پیدا کرتی ہے
  • زیادتی والی اجازت نامے: زیادہ مراعات یافتہ MCP سرور کم از کم مراعات کے اصول کی خلاف ورزی کرتے ہیں اور حملے کی سطح کو بڑھاتے ہیں

ٹوکن پاس تھرو: ایک شدید غلط مثال

موجودہ MCP اجازت وضاحت میں ٹوکن پاس تھرو واضح طور پر ممنوع ہے کیونکہ اس کے شدید سیکیورٹی اثرات ہیں:

سیکیورٹی کنٹرول کی بائی پاسنگ
  • MCP سرورز اور نیچے کی API اہم سیکیورٹی کنٹرولز (ریٹ لمیٹنگ، درخواست کی تصدیق، ٹریفک مانیٹرنگ) نافذ کرتے ہیں جو مناسب ٹوکن کی تصدیق پر منحصر ہوتے ہیں
  • کلائنٹ سے API تک براہ راست ٹوکن کا استعمال ان لازمی حفاظتی اقدامات کو نظر انداز کر دیتا ہے، جس سے سیکیورٹی کی ساخت متاثر ہوتی ہے
احتساب اور آڈٹ کے مسائل
  • MCP سرورز کلائنٹس کو جو اوپ اسٹریم جاری کردہ ٹوکن استعمال کرتے ہیں میں تمیز نہیں کر سکتے، جس سے آڈٹ ٹریلز ٹوٹ جاتے ہیں
  • نیچے کے وسائل سرور لاگز درخواست کے اصل MCP سرور واسطہ کار کی بجائے غلط درخواست خانوں کو دکھاتے ہیں
  • واقعہ کی تفتیش اور تعمیل کی آڈٹنگ بہت مشکل ہو جاتی ہے
ڈیٹا کی برآمدگی کے خدشات
  • غیر توثیق شدہ ٹوکن دعوے سے چور ٹوکن رکھنے والے حملہ آور MCP سرورز کو ڈیٹا کو برآمد کرنے کے لیے پراکسی کے طور پر استعمال کر سکتے ہیں
  • اعتماد کی سرحدیں متاثر ہوتی ہیں جو غیر مجاز رسائی کے پیٹرن کو اجازت دیتی ہیں جو مطلوبہ حفاظتی کنٹرولز کو نظر انداز کرتی ہیں
کثیر سروس حملہ ویکٹرز
  • کئی خدمات میں قبول شدہ سمجھوتہ شدہ ٹوکن ملحقہ نظاموں کے درمیان عرضی حرکت کی اجازت دیتا ہے
  • خدمات کے درمیان اعتماد کی مفروضات ٹوٹ سکتی ہیں جب ٹوکن کے ماخذ کی تصدیق ممکن نہ ہو

سیکیورٹی کنٹرولز اور بچاؤ کے اقدامات

اہم سیکیورٹی تقاضے:

ضروری: MCP سرورز کسی بھی ایسے ٹوکن کو قبول نہیں کر سکتے جو واضح طور پر MCP سرور کے لیے جاری نہ کیے گئے ہوں

توثیق اور اجازت کے کنٹرولز

رسائی کنٹرول نفاذ

  • کم از کم مراعات کا اصول: MCP سرورز کو صرف ضروری کم از کم اجازتیں دیں جو مطلوبہ فنکشنلٹی کے لیے درکار ہوں

  • رول بیسڈ ایکسیس کنٹرول (RBAC): باریک بینی سے رول تقرریاں نافذ کریں

    • مخصوص وسائل اور اقدامات کے لیے رول کو محدود کریں
    • وسیع یا غیر ضروری اجازت ناموں سے بچیں جو حملہ کی سطح کو بڑھائیں

  • مسلسل اجازت کی نگرانی: جاری رسائی آڈٹ اور نگرانی نافذ کریں

    • اجازت کے استعمال کے نمونوں کی نگرانی کریں تاکہ غیر معمولی سرگرمیوں کا پتہ چلے
    • زائد یا غیر استعمال شدہ مراعات کو فوراً درست کریں

AI-مخصوص سیکیورٹی خطرات

پرامپٹ انجیکشن اور ٹول کی چالاکی سے حملے

جدید MCP نفاذ پیچیدہ AI-مخصوص حملہ ویکٹرز کا سامنا کرتے ہیں جنہیں روایتی حفاظتی اقدامات مکمل طور پر نہیں روک سکتے:

بالواسطہ پرامپٹ انجیکشن (کراس ڈومین پرامپٹ انجیکشن)

بالواسطہ پرامپٹ انجیکشن MCP-فعال AI سسٹمز میں سب سے سنگین کمزوریوں میں سے ایک ہے۔ حملہ آور بیرونی مواد—دستاویزات، ویب صفحات، ای میلز، یا ڈیٹا ذرائع—میں بدنیتی پر مبنی ہدایات شامل کرتے ہیں جو AI سسٹمز بعد میں جائز کمانڈز کے طور پر پروسیس کرتے ہیں۔

حملے کے منظرنامے:

  • دستاویزات پر مبنی انجیکشن: پروسیس کی گئی دستاویزات میں چھپی بدنیتی پر مبنی ہدایات جو غیر متوقع AI کارروائیوں کو متحرک کرتی ہیں
  • ویب مواد کا استحصال: متاثر شدہ ویب صفحات جن میں مزاحمت والے پرامپٹس شامل ہوتے ہیں جو AI رویے میں مداخلت کرتے ہیں جب اسکریپ کیے جاتے ہیں
  • ای میل پر مبنی حملے: ای میلز میں بدنیتی پر مبنی پرامپٹس جو AI معاونین کو معلومات کا انکشاف یا غیر مجاز اقدامات کرنے پر مجبور کرتے ہیں
  • ڈیٹا کے ذرائع کی آلودگی: متاثر شدہ ڈیٹا بیسز یا APIs جو AI سسٹمز کو آلودہ مواد فراہم کرتے ہیں

حقیقی دنیا کا اثر: یہ حملے ڈیٹا کی برآمدگی، پرائیویسی خلاف ورزی، نقصان دہ مواد کی تخلیق، اور صارف تعاملات کے ساتھ چالاکی کا باعث بن سکتے ہیں۔ تفصیلی تجزیہ کے لیے دیکھیں Prompt Injection in MCP (Simon Willison)۔

Prompt Injection Attack Diagram

ٹول پوائزننگ حملے

ٹول پوائزننگ MCP ٹولز کی تعریف کرنے والے میٹا ڈیٹا کو نشانہ بناتی ہے، جس سے LLMs کے ٹول وضاحتوں اور پیرا میٹرز کی تشریح کے ذریعے عمل درآمد کے فیصلے متاثر ہوتے ہیں۔

حملے کے طریقے:

  • میٹا ڈیٹا میں چالاکی: حملہ آور ٹول کی وضاحتوں، پیرا میٹر تعریفوں، یا استعمال کی مثالوں میں بدنیتی پر مبنی ہدایات داخل کرتے ہیں
  • غیر مرئی ہدایات: ٹول میٹا ڈیٹا میں چھپے ہوئے پرامپٹس جو AI ماڈلز کے ذریعے پروسیس کیے جاتے ہیں لیکن انسانی صارفین کے لیے نظر نہیں آتے
  • متحرک ٹول میں تبدیلیاں ("رگ پل"): وہ ٹولز جو صارفین نے منظور کیے ہوتے ہیں بعد میں بدنیتی پر مبنی کارروائیوں کے لیے تبدیل کر دیے جاتے ہیں بغیر صارف کی جانکاری کے
  • پیرا میٹر انجیکشن: ٹول پیرا میٹر اسکیموں میں بدنیتی پر مبنی مواد جو ماڈل کے رویے کو متاثر کرتا ہے

میزبان سرور کے خطرات: دور دراز کے MCP سرورز میں خطرات بڑھ جاتے ہیں کیونکہ ٹول کی تعریفیں ابتدائی صارف کی منظوری کے بعد اپ ڈیٹ کی جا سکتی ہیں، جس سے ایسے حالات پیدا ہوتے ہیں جہاں پہلے محفوظ ٹولز بدنیتی پر مبنی ہو جاتے ہیں۔ تفصیلی تجزیہ کے لیے دیکھیں Tool Poisoning Attacks (Invariant Labs)۔

Tool Injection Attack Diagram

اضافی AI حملہ ویکٹرز

  • کراس ڈومین پرامپٹ انجیکشن (XPIA): پیچیدہ حملے جو متعدد ڈومینز کے مواد کو استعمال کر کے سیکیورٹی کنٹرولز کو بائی پاس کرتے ہیں
  • متحرک صلاحیت کی تبدیلی: ٹول کی صلاحیتوں میں حقیقی وقت میں تبدیلیاں جو ابتدائی سیکیورٹی جائزوں سے بچ نکلیں
  • کانٹیکسٹ ونڈو پوائزنگ: حملے جو بڑے کانٹیکسٹ ونڈوز کو چالاکی سے قابو پاتے ہیں تاکہ نقصان دہ ہدایات کو چھپایا جا سکے
  • ماڈل کنفیوژن حملے: ماڈل کی حدود کا استحصال کرتے ہوئے غیر متوقع یا غیر محفوظ رویے پیدا کرنا

AI سیکیورٹی رسک کے اثرات

زیادہ اثر رکھنے والے نتائج:

  • ڈیٹا چوری: غیر مجاز رسائی اور حساس ادارہ جاتی یا ذاتی ڈیٹا کی چوری
  • پرائیویسی کی خلاف ورزیاں: ذاتی شناختی معلومات (PII) اور کاروباری خفیہ ڈیٹا کا انکشاف
  • سسٹم کی چالاکی: اہم نظام اور ورک فلو میں ناگزیر تبدیلیاں
  • کریڈینشل چوری: توثیقی ٹوکنز اور سروس کریڈینشلز کا نقصان
  • لیٹرل موومنٹ: ہیک شدہ AI سسٹمز کو وسیع نیٹ ورک حملوں کے لیے محور کے طور پر استعمال کرنا

Microsoft AI سیکیورٹی کے حل

AI پرامپٹ شیلڈز: انجیکشن حملوں کے خلاف جدید تحفظ

Microsoft AI پرامپٹ شیلڈز متعدد سیکیورٹی پرتوں کے ذریعے براہ راست اور بالواسطہ پرامپٹ انجیکشن حملوں کے خلاف مکمل دفاع فراہم کرتے ہیں:

مرکزی حفاظتی میکانزمز:

  1. جدید شناخت اور فلٹرنگ

    • مشین لرننگ الگوردمز اور NLP تقنیات خارجی مواد میں مضر ہدایات کی شناخت کرتے ہیں
    • دستاویزات، ویب صفحات، ای میلز اور ڈیٹا ذرائع کے حقیقی وقت میں تجزیہ کے ذریعے پوشیدہ خطرات کی جانچ
    • جائز اور مضر پرامپٹ پیٹرنز کا تناظر سمجھنا

  2. اسپاٹ لائٹنگ تکنیکیں

    • قابل اعتماد سسٹم ہدایات اور ممکنہ طور پر ہیک شدہ خارجی انپٹس کے درمیان تمیز
    • ماڈل کی مطابقت کو بڑھانے والی متن تبدیلی کے طریقے جبکہ مضر مواد کو علیحدہ کرنا
    • AI سسٹمز کو مناسب ہدایت کی ترتیب برقرار رکھنے اور انجیکٹ کیے گئے کمانڈز کو نظر انداز کرنے میں مدد

  3. ڈیلیمیٹر اور ڈیٹا مارکنگ سسٹمز

    • قابل اعتماد سسٹم پیغامات اور خارجی انپٹ متن کے درمیان واضح حد بندی
    • خاص نشانیاں قابل اعتماد اور غیر معتبر ڈیٹا ذرائع کے درمیان سرحدوں کو نمایاں کرتی ہیں
    • واضح علیحدگی سے ہدایات میں الجھن اور غیر مجاز کمانڈز کی عمل آوری سے روکا جاتا ہے

  4. مسلسل تھریٹ انٹیلیجنس

    • Microsoft حملے کے ابھرتے ہوئے پیٹرنز کی مسلسل نگرانی کرتا ہے اور دفاع کو اپ ڈیٹ کرتا ہے
    • نئے انجیکشن تکنیکوں اور حملے کے راستوں کے لیے پیشگی خطرے کی تلاش
    • بدلتے ہوئے خطرات کے خلاف مؤثر رہنے کے لیے باقاعدہ سیکیورٹی ماڈل اپ ڈیٹس

  5. Azure Content Safety انٹیگریشن

    • مکمل Azure AI Content Safety سوئیٹ کا حصہ
    • جیل بریک کوششوں، نقصان دہ مواد، اور سیکیورٹی پالیسی خلاف ورزیوں کے اضافی انکشاف
    • AI ایپلیکیشن کے اجزاء میں متحدہ سیکیورٹی کنٹرولز

عمل درآمد کے وسائل: Microsoft Prompt Shields Documentation

Microsoft Prompt Shields Protection

جدید MCP سیکیورٹی خطرات

سیشن ہائی جیکنگ کی کمزوریاں

سیشن ہائی جیکنگ ریاستی MCP تنصیبات میں ایک اہم حملے کا راستہ ہے جہاں غیر مجاز فریقین جائز سیشن شناخت کنندگان حاصل کرکے کلائنٹس کی نقل کرتے اور غیر مجاز کارروائیاں کرتے ہیں۔

حملے کے منظرنامے اور خطرات

  • سیشن ہائی جیک پرامپٹ انجیکشن: چوری شدہ سیشن IDs والے حملہ آور سرورز میں مضر واقعات انجیکٹ کرتے ہیں جو نشست کی حالت کو شیئر کر رہے ہیں، ممکنہ طور پر نقصان دہ کارروائیاں شروع کر سکتے ہیں یا حساس ڈیٹا تک رسائی حاصل کر سکتے ہیں
  • براہ راست نقل بنانا: چوری شدہ سیشن IDs MCP سرورز کو بلا اجازت کال کرنے کے قابل بناتے ہیں، جس سے حملہ آوروں کو جائز صارفین جیسا سلوک ملتا ہے
  • ہیک شدہ ریزومیبل اسٹریمز: حملہ آور درخواستیں وقت سے پہلے ختم کر سکتے ہیں، جس سے جائز کلائنٹ ممکنہ طور پر مضر مواد کے ساتھ دوبارہ شروع ہوتے ہیں

سیشن مینجمنٹ کے لیے سیکیورٹی کنٹرولز

اہم تقاضے:

  • اختیاری تصدیق: MCP سرورز کو چاہیے کہ وہ تمام آمدہ درخواستوں کی تصدیق کریں اور تصدیق کے لیے سیشنز پر انحصار نہ کریں
  • مضبوط سیشن جنریشن: محفوظ بے ترتیب نمبر جنریٹرز کے ذریعے غیر متعین اور محفوظ سیشن IDs بنائیں
  • صارف مخصوص بائنڈنگ: سیشن IDs کو صارف کی مخصوص معلومات کے ساتھ باندھیں جیسے <user_id>:<session_id> تاکہ صارفین کے درمیان سیشن کا غلط استعمال روکا جا سکے
  • سیشن لائف سائیکل مینجمنٹ: مناسب اختتام، ریویژن، اور منسوخی نافذ کریں تاکہ خطرے کی مدت محدود ہو
  • ٹرانسپورٹ سیکیورٹی: تمام مواصلات کے لیے HTTPS لازمی ہو تاکہ سیشن ID چوری سے بچاؤ ہو

کنفیوزڈ ڈیپٹی کا مسئلہ

کنفیوزڈ ڈیپٹی مسئلہ اس وقت پیدا ہوتا ہے جب MCP سرورز کلائنٹس اور تیسری پارٹی کی خدمات کے درمیان توثیقی پراکسی کے طور پر کام کرتے ہیں، جو جامد کلائنٹ ID کے استحصال کے ذریعے اجازت نامہ چوری کے مواقع پیدا کرتا ہے۔

حملے کے طریقہ کار اور خطرات

  • کوکی کی بنیاد پر رضامندی کی بائی پاس: پہلے سے موجود صارف کی توثیق سے رضامندی کی کوکیز بنتی ہیں جن کا حملہ آور مضر اجازت نامہ درخواستوں اور ترتیب دی گئی ری ڈائریکٹ URI کے ذریعے فائدہ اٹھاتے ہیں
  • اجازت نامہ کوڈ کی چوری: موجودہ کوکیز کی وجہ سے اجازت نامہ سرورز رضامندی کے اسکرینز کو چھوڑ سکتے ہیں اور کوڈز کو حملہ آور کے کنٹرول والے اینڈ پوائنٹس پر ری ڈائریکٹ کر سکتے ہیں
  • غیر مجاز API تک رسائی: چوری شدہ اجازت نامہ کوڈ ٹوکن تبادلہ اور صارف کی نقل بنانے کے قابل بناتے ہیں بغیر واضح منظوری کے

تدارکی حکمت عملی

لازمی کنٹرولز:

  • واضح رضامندی کی ضرورت: MCP پراکسی سرورز جو جامد کلائنٹ IDs استعمال کرتے ہیں ہر متحرک کلائنٹ کے لیے صارف کی منظوری لیں
  • OAuth 2.1 سیکیورٹی نفاذ: تمام اجازت نامہ درخواستوں کے لیے موجودہ OAuth بہترین عمل بشمول PKCE (پروف کی کی برائے کوڈ ایکسچینج) کی پیروی کریں
  • کلائنٹ کی سخت جانچ: استحصال سے بچاؤ کے لیے ری ڈائریکٹ URI اور کلائنٹ شناخت کنندگان کی سخت توثیق کریں

ٹوکن پاس تھرو کی کمزوریاں

ٹوکن پاس تھرو ایک واضح خراب طرز عمل ہے جہاں MCP سرورز کلائنٹ ٹوکنز کو مناسب توثیق کے بغیر قبول کرتے ہیں اور downstream APIs کو بھیج دیتے ہیں، جو MCP اجازت نامہ وضاحتوں کی خلاف ورزی ہے۔

سیکیورٹی کے اثرات

  • کنٹرول کا گزر جانا: براہ راست کلائنٹ سے API ٹوکن استعمال کرنے سے اہم شرح حد بندی، توثیق، اور نگرانی کنٹرولز کو بائی پاس کیا جاتا ہے
  • آڈٹ ٹریل کی خرابی: اپ اسٹریم جاری کردہ ٹوکنز کے باعث کلائنٹ کی شناخت ناممکن، واقعہ کی تحقیقات میں رکاوٹ
  • پراکسی کی بنیاد پر ڈیٹا چوری: غیر مصدقہ ٹوکنز نقصان دہ افراد کو سرورز کو غیر مجاز ڈیٹا رسائی کے لیے پراکسی کے طور پر استعمال کرنے دیتے ہیں
  • اعتماد کی حد کی خلاف ورزیاں: جب ٹوکن کے ماخذ کی تصدیق نا ہو سکے تو Downstream سروسز کے اعتماد کے مفروضات متاثر ہوتے ہیں
  • کئی خدمات پر حملے کا پھیلاؤ: ہیک شدہ ٹوکن جو متعدد سروسز میں قبول کیے جاتے ہیں وہ لیٹرل حرکت کی اجازت دیتے ہیں

لازمی سیکیورٹی کنٹرولز

ناقابل معاہدہ تقاضے:

  • ٹوکن کی تصدیق: MCP سرورز کو صرف وہی ٹوکن قبول کرنے چاہئیں جو خاص طور پر MCP سرور کے لیے جاری کیے گئے ہوں
  • ناظرین کی تصدیق: ہمیشہ ٹوکن کے ناظرین کے دعووں کی جانچ کریں کہ وہ MCP سرور کی شناخت سے میل کھاتے ہوں
  • مناسب ٹوکن لائف سائیکل: مختصر مدت کے ایکسس ٹوکنز اور محفوظ روٹنگ طریقے نافذ کریں

AI سسٹمز کے لیے سپلائی چین سیکیورٹی

سپلائی چین سیکیورٹی روایتی سافٹ ویئر انحصار سے آگے بڑھ کر پورے AI ماحولیاتی نظام کو شامل کر چکی ہے۔ جدید MCP تنصیبات کو تمام AI متعلقہ اجزاء کی سخت جانچ اور نگرانی کرنی چاہیے کیونکہ ہر ایک ممکنہ کمزوری لاگو ہوتی ہے جو نظام کی سالمیت کو متاثر کر سکتی ہے۔

AI سپلائی چین کے پھیلے ہوئے اجزاء

روایتی سافٹ ویئر انحصار:

  • اوپن سورس لائبریریاں اور فریم ورکس
  • کنٹینر امیجز اور بنیادی نظام
  • ترقیاتی ٹولز اور بلڈ پائپ لائنز
  • بنیادی ڈھانچہ کے اجزاء اور خدمات

AI مخصوص سپلائی چین عناصر:

  • فاؤنڈیشن ماڈلز: مختلف فراہم کنندگان کے پیشگی تربیت یافتہ ماڈلز جن کی ماخذ کی تصدیق ضروری ہے
  • ایمبیڈنگ سروسز: خارجی ویکٹرائزیشن اور معنوی تلاش کی خدمات
  • کانٹیکسٹ پرووائیڈرز: ڈیٹا ذرائع، معلوماتی ذخائر، اور دستاویزی ذخیرے
  • تیسری پارٹی APIs: خارجی AI خدمات، ML پائپ لائنز، اور ڈیٹا پروسیسنگ اینڈ پوائنٹس
  • ماڈل آرٹیفیکٹس: وزن، ترتیب، اور بہتر کیے گئے ماڈل کی اقسام
  • تربیتی ڈیٹا ذرائع: ماڈل کی تربیت اور بہتر بنانے کے لیے استعمال ہونے والے ڈیٹاسیٹس

جامع سپلائی چین سیکیورٹی حکمت عملی

جزو کی تصدیق اور اعتماد

  • ماخذ کی توثیق: تمام AI اجزاء کے ماخذ، لائسنسنگ، اور سالمیت کی جانچ انضمام سے پہلے کریں
  • سیکیورٹی جائزہ: ماڈلز، ڈیٹا ذرائع، اور AI خدمات کے کمزوری اسکین اور جائزہ لیں
  • معروفیت کا تجزیہ: AI سروس فراہم کنندگان کے سیکیورٹی ریکارڈ اور طریقوں کا جائزہ لیں
  • تعمیل کی تصدیق: تمام اجزاء کو تنظیمی سیکیورٹی اور ریگولیٹری معیارات پر پورا اترنا چاہیے

محفوظ تنصیب پائپ لائنز

  • خودکار CI/CD سیکیورٹی: خودکار تنصیب پائپ لائنز میں سیکیورٹی اسکیننگ ضم کریں
  • آرٹیفیکٹ سالمیت: تمام تعینات آرٹیفیکٹس (کوڈ، ماڈلز، ترتیب) کی کرپٹوگرافک توثیق نافذ کریں
  • مرحلہ وار تعیناتی: ہر مرحلے میں سیکیورٹی تصدیق کے ساتھ ترقی پسند تعیناتی کی حکمت عملی اپنائیں
  • قابل اعتماد آرٹیفیکٹ ریپوزیٹریز: صرف تصدیق شدہ، محفوظ آرٹیفیکٹ رجسٹریز اور ریپوزیٹریز سے تعینات کریں

مسلسل نگرانی اور ردعمل

  • انحصار اسکیننگ: تمام سافٹ ویئر اور AI جزء انحصار کی کمزوریوں کی مستقل نگرانی
  • ماڈل مانیٹرنگ: ماڈل رویے، کارکردگی میں تبدیلی، اور سیکیورٹی انومالیوں کا مستقل جائزہ
  • سروس صحت کی جانچ: خارجی AI خدمات کی دستیابی، سیکیورٹی واقعات، اور پالیسی تبدیلیوں کی نگرانی
  • خطرہ انٹیلیجنس انٹیگریشن: AI اور ML سیکیورٹی خطرات کے مخصوص تھریٹ فیڈز کو شامل کریں

رسائی کنٹرول اور کم سے کم امتیازی حق

  • جزو کی سطح کی اجازتیں: کاروباری ضرورت کی بنیاد پر ماڈلز، ڈیٹا، اور خدمات تک رسائی محدود کریں
  • سروس اکاؤنٹ مینجمنٹ: کم سے کم مطلوب اجازتوں کے ساتھ مخصوص سروس اکاؤنٹس نافذ کریں
  • نیٹ ورک سیگمنٹیشن: AI اجزاء کو الگ تھلگ کریں اور خدمات کے مابین نیٹ ورک رسائی محدود کریں
  • API گیٹ وے کنٹرولز: خارجی AI خدمات تک رسائی کنٹرول اور نگرانی کے لیے مرکزی API گیٹ وے کا استعمال

واقعہ کا ردعمل اور بحالی

  • تیز ردعمل کے طریقہ کار: متاثرہ AI اجزاء کی پیچنگ یا تبدیلی کے لیے قائم شدہ عمل
  • کریڈینشل روٹیشن: راز، API کلیدوں، اور سروس کریڈینشلز کو خودکار نظام کے ذریعے گھمائیں
  • رول بیک کی صلاحیت: AI اجزاء کے جانچے ہوئے پچھلے ورژن پر جلد از جلد واپس جانے کی صلاحیت
  • سپلائی چین خلاف ورزی کی بحالی: اپ اسٹریم AI سروس کے متاثر ہونے پر مخصوص ردعمل کے طریقہ کار

Microsoft سیکیورٹی ٹولز اور انٹیگریشن

GitHub Advanced Security جامع سپلائی چین تحفظ فراہم کرتا ہے بشمول:

  • راز اسکیننگ: ذخائر میں موجود کریڈینشلز، API چابیاں، اور ٹوکنز کی خودکار دریافت
  • انحصار اسکیننگ: اوپن سورس انحصارات اور لائبریریوں کے لیے کمزوری کا جائزہ
  • CodeQL تجزیہ: سیکیورٹی کمزوریوں اور کوڈنگ مسائل کے لیے جامد کوڈ تجزیہ
  • سپلائی چین ان سائٹس: انحصار کی صحت اور سیکیورٹی کی حیثیت کی بصیرت

Azure DevOps اور Azure Repos انٹیگریشن:

  • Microsoft ترقیاتی پلیٹ فارمز پر بلا روک ٹوک سیکیورٹی اسکیننگ کی انٹیگریشن
  • AI ورک لوڈز کے لیے Azure پائپ لائنز میں خودکار سیکیورٹی چیکس
  • محفوظ AI جزو کی تنصیب کے لیے پالیسی نفاذ

Microsoft کے اندرونی طریقے: Microsoft تمام مصنوعات میں وسیع پیمانے پر سپلائی چین سیکیورٹی کے طریقے نافذ کرتا ہے۔ Microsoft میں سافٹ ویئر سپلائی چین کو محفوظ بنانے کا سفر کے متعلق جانیں۔

بنیادی سیکیورٹی بہترین طریقے

MCP کی تنصیبات آپ کے ادارے کے موجودہ سیکیورٹی موقف کو وراثت میں حاصل کرتی ہیں اور اس پر تعمیر کرتی ہیں۔ بنیادی سیکیورٹی طریقوں کو مضبوط کرنا AI سسٹمز اور MCP کی تعیناتی کی مجموعی حفاظت کو نمایاں طور پر بہتر بناتا ہے۔

بنیادی سیکیورٹی اصول

محفوظ ترقیاتی طریقے

  • OWASP تعمیل: OWASP Top 10 ویب ایپلیکیشن کمزوریوں کے خلاف حفاظت
  • AI مخصوص تحفظات: OWASP Top 10 برائے LLMs کے کنٹرولز کا نفاذ
  • محفوظ راز مینجمنٹ: ٹوکنز، API چابیاں، اور حساس ترتیب کے ڈیٹا کے لیے مخصوص والٹ کا استعمال
  • اینڈ ٹو اینڈ انکرپشن: تمام ایپلیکیشن اجزاء اور ڈیٹا فلو میں محفوظ مواصلات کا نفاذ
  • انپٹ کی تصدیق: تمام صارف انپٹ، API پیرامیٹرز، اور ڈیٹا ذرائع کی سخت جانچ

بنیادی ڈھانچے کی سختی

  • کثیر عنصر توثیق: تمام انتظامی اور سروس اکاؤنٹس کے لیے لازمی MFA
  • پیچ مینجمنٹ: آپریٹنگ سسٹمز، فریم ورکس، اور انحصارات کے لیے خودکار، فوری پیچنگ
  • شناخت فراہم کنندہ انٹیگریشن: انٹرپرائز شناخت فراہم کنندگان (Microsoft Entra ID، Active Directory) کے ذریعے مرکزی شناخت مینجمنٹ
  • نیٹ ورک تقسیم کاری: MCP اجزاء کی منطقی علیحدگی تاکہ پہلو بہ پہلو حرکت کی صلاحیت محدود ہو
  • کم از کم امتیازی حق کا اصول: تمام نظام کے اجزاء اور اکاؤنٹس کے لیے کم از کم مطلوب اجازتیں

سیکیورٹی کی نگرانی اور پتہ لگانا

  • جامع لاگنگ: AI ایپلیکیشن کی سرگرمیوں، بشمول MCP کلائنٹ-سرور تعاملات کی مفصل لاگنگ
  • SIEM انٹیگریشن: انومالی کی شناخت کے لیے مرکزی سیکیورٹی معلومات اور ایونٹ مینجمنٹ
  • برتاؤ کا تجزیہ: غیر معمولی نظام اور صارف طرز عمل کی شناخت کے لیے AI پر مبنی نگرانی
  • خطرہ انٹیلیجنس: خارجی خطرہ فیڈز اور معاہدے کے اشاریے (IOCs) کا انضمام
  • واقعہ کا ردعمل: سیکیورٹی حادثات کی شناخت، جواب، اور بازیابی کے لیے واضح طریقہ کار

زیرو ٹرسٹ فن تعمیر

  • کبھی بھروسہ نہ کریں، ہمیشہ تصدیق کریں: صارفین، آلات، اور نیٹ ورک کنکشنز کی مسلسل جانچ
  • مائیکرو سگمنٹیشن: انفرادی ورک لوڈز اور خدمات کو الگ کرنے والے دقیق نیٹ ورک کنٹرولز
  • شناخت مرکزیت والی سیکیورٹی: نیٹ ورک مقام کی بجائے تصدیق شدہ شناختوں پر مبنی سیکورٹی پالیسیاں
  • مسلسل خطرے کا تخمینہ: موجودہ سیاق و سباق اور رویے کی بنیاد پر متحرک سیکیورٹی حالت کا جائزہ
  • مشروط رسائی: خطرے کے عوامل، مقام، اور ڈیوائس کے اعتماد کی بنیاد پر رسائی کنٹرولز

ادارہ جاتی انٹیگریشن پیٹرنز

Microsoft سیکیورٹی ایکو سسٹم انٹیگریشن

  • Microsoft Defender for Cloud: جامع کلاؤڈ سیکیورٹی پوزیشن مینجمنٹ
  • Azure Sentinel: AI ورک لوڈ کے تحفظ کے لیے کلاؤڈ-نیٹیو SIEM اور SOAR صلاحیتیں
  • Microsoft Entra ID: مشروط رسائی پالیسیوں کے ساتھ ادارہ جاتی شناخت اور رسائی مینجمنٹ
  • Azure Key Vault: ہارڈ ویئر سیکیورٹی ماڈیول (HSM) کے ساتھ مرکزی راز مینجمنٹ
  • Microsoft Purview: AI ڈیٹا ذرائع اور ورک فلو کے لیے ڈیٹا گورننس اور تعمیل

تعمیل اور حکمرانی

  • ریگولیٹری مطابقت: MCP تنصیبات کو صنعت کے مخصوص تعمیل کے تقاضوں کو پورا کرنا چاہیے (GDPR، HIPAA، SOC 2)
  • ڈیٹا کی درجہ بندی: AI سسٹمز کے ذریعے پروسیس کیے جانے والے حساس ڈیٹا کی مناسب درجہ بندی اور ہینڈلنگ
  • آڈٹ ٹریلز: ضابطہ کار کی تعمیل اور عدالتی تحقیقات کے لیے جامع لاگنگ
  • پرائیویسی کنٹرولز: AI نظام کی طرز تعمیر میں پرائیویسی بذریعہ ڈیزائن اصولوں کا نفاذ
  • تبدیلی کا انتظام: AI نظام کی ترامیم کے سیکیورٹی جائزوں کے لیے رسمی عمل

یہ بنیادی طریقے ایک مضبوط سیکیورٹی بنیاد قائم کرتے ہیں جو MCP مخصوص سیکیورٹی کنٹرولز کی تاثیر کو بہتر بناتے ہیں اور AI سے چلنے والی ایپلیکیشنز کے لیے مکمل تحفظ فراہم کرتے ہیں۔

اہم سیکیورٹی نکات

  • مرکب حفاظتی طریقہ کار: بنیادی حفاظتی طریقوں (محفوظ کوڈنگ، کم از کم اجازت، سپلائی چین کی تصدیق، مسلسل نگرانی) کو AI مخصوص کنٹرولز کے ساتھ ملا کر جامع تحفظ فراہم کریں

  • AI مخصوص خطرات کا منظرنامہ: MCP سسٹمز منفرد خطرات کا سامنا کرتے ہیں جن میں پرامپٹ انجیکشن، ٹول پوائزننگ، سیشن ہائی جیکنگ، کنفیوژڈ ڈیپٹی مسائل، ٹوکن پاس تھرو کے نقائص، اور ضرورت سے زیادہ اجازتیں شامل ہیں جن کے لیے خصوصی حفاظتی تدابیر درکار ہیں

  • تصدیق اور اجازت کی اعلیٰ معیار: طاقتور توثیق نافذ کریں جس میں خارجی شناخت کنندگان (Microsoft Entra ID) استعمال ہوں، ٹوکن کی صحیح توثیق یقینی بنائیں، اور ایسے ٹوکن کبھی قبول نہ کریں جو خاص طور پر آپ کے MCP سرور کے لیے جاری نہیں کیے گئے ہوں

  • AI حملوں کی روک تھام: Microsoft Prompt Shields اور Azure Content Safety کا استعمال کریں تاکہ بالواسطہ پرامپٹ انجیکشن اور ٹول پوائزننگ حملوں کی حفاظت کی جا سکے، جبکہ ٹول کی میٹا ڈیٹا کی تصدیق کریں اور متحرک تبدیلیوں کی نگرانی کریں

  • سیشن اور ٹرانسپورٹ سیکیورٹی: کریپٹوگرافک لحاظ سے محفوظ، غیر متعین سیشن IDs استعمال کریں جو صارف کی شناخت سے منسلک ہوں، سیشن کے لائف سائیکل کا مناسب نظم کریں، اور سیشن کو توثیق کے لیے استعمال نہ کریں

  • OAuth کی محفوظ طریقہ کار کی بہترین مثالیں: کنفیوژڈ ڈیپٹی حملوں کو روکا جائے صارف کی واضح رضا مندی کے ذریعے جو متحرک طور پر رجسٹرڈ کلائنٹس کے لیے ہو، OAuth 2.1 کا صحیح نفاذ PKCE کے ساتھ کریں، اور ری ڈائریکٹ URI کی سخت جانچ پڑتال کریں

  • ٹوکن سیکیورٹی اصول: ٹوکن پاس تھرو کے غلط استعمال سے بچیں، ٹوکن کے آڈینس دعووں کی توثیق کریں، مختصر مدتی ٹوکن استعمال کریں جن کا محفوظ راؤنڈیشن ہو، اور واضح اعتماد کی حدود برقرار رکھیں

  • جامع سپلائی چین سیکیورٹی: تمام AI ماحولیاتی نظام کے اجزاء (ماڈلز، ایمبیڈنگز، کانٹیکسٹ فراہم کنندگان، خارجی APIs) کو روایتی سافٹ ویئر انحصار کی طرح سخت حفاظتی معیار سے نوازیں

  • مسلسل ارتقا: تیزی سے بدلتی ہوئی MCP وضاحتوں کے ساتھ اپ ٹو ڈیٹ رہیں، سیکیورٹی کمیونٹی کے معیارات میں حصہ ڈالیں، اور جب پروٹوکول ترقی کرے تو حفاظتی رویوں کو بھی موزوں بنائیں

  • Microsoft سیکیورٹی کا انضمام: Microsoft کے جامع سیکیورٹی ماحولیاتی نظام (Prompt Shields، Azure Content Safety، GitHub Advanced Security، Entra ID) سے فائدہ اٹھائیں تاکہ MCP کی تعیناتی کا تحفظ بہتر ہو

جامع وسائل

سرکاری MCP سیکیورٹی دستاویزات

OWASP MCP سیکیورٹی وسائل

سیکیورٹی معیارات اور بہترین طریقہ کار

AI سیکیورٹی تحقیق اور تجزیہ

Microsoft سیکیورٹی حل

نفاذی گائیڈز اور ٹیوٹوریلز

DevOps اور سپلائی چین سیکیورٹی

مزید سیکیورٹی دستاویزات

مفصل سیکیورٹی رہنمائی کے لیے، اس سیکشن میں موجود خاص دستاویزات ملاحظہ کریں:

عملی سیکیورٹی تربیت

اگلا کیا ہے

اگلا: باب 3: شروع کرنا

ذمہ داری سے انکار: اس دستاویز کا ترجمہ AI ترجمہ سروس Co-op Translator استعمال کرتے ہوئے کیا گیا ہے۔ اگرچہ ہم درستگی کے لیے کوشش کرتے ہیں، براہ کرم آگاہ رہیں کہ خودکار تراجم میں غلطیاں یا غیر درستیاں ہو سکتی ہیں۔ اصل دستاویز اپنی مادری زبان میں معتبر ماخذ سمجھی جائے۔ اہم معلومات کے لیے پیشہ ور انسانی ترجمہ کی سفارش کی جاتی ہے۔ ہم اس ترجمے کے استعمال سے پیدا ہونے والی کسی بھی غلط فہمی یا غلط تعبیر کے ذمہ دار نہیں ہیں۔