Le protocole PPTP VPN: est-il sûr

MyworkDrive agit comme la solution alternative VPN parfaite

PPTP est l’implémentation VPN de Microsoft qui existe depuis Windows NT. Les utilisateurs ont tendance à aimer utiliser PPTP car il est généralement configuré sur les bureaux Windows avec un raccourci qui se souvient de nom d’utilisateur et de mot de passe pour un accès rapide. Lorsqu’ils sont associés à une résolution du nom approprié (victoire historiquement) et maintenant DNS, les utilisateurs peuvent facilement parcourir le réseau pour les partages et les imprimantes. Sur le back-end, Windows Server PPTP est configuré par l’administrateur système avec le rôle de routage et d’accès à distance (RRAS). Bien que les outils utilisés pour gérer et déployer des systèmes PPTP aient changé avec chaque nouvelle version de Windows, il est universellement convenu que le PPTP n’est pas sûr par rapport aux alternatives modernes et ajoute des coûts de support indirects supplémentaires même lorsqu’ils sont mis à niveau pour prendre en charge SSTP.

Le protocole PPTP lui-même n’est plus considéré comme sécurisé comme la fissuration Mot de passe fort largement sans rapport avec la sécurité du PPTP, car l’ensemble de l’espace de clés de 56 bits peut être recherché dans des contraintes de temps pratiques).

L’attaquant capture la poignée de main (et tout trafic PPTP après cela), faites une fissure hors ligne de la poignée de main et dérive la clé RC4. Une fois la touche RC4 dérivée, l’attaquant sera en mesure de décrypter et d’analyser le trafic transporté dans le VPN PPTP. Le PPTP ne prend pas en charge le secret avant, donc le simple fait de fissurer une session PPTP est suffisant pour casser toutes les séances PPTP antérieures en utilisant les mêmes informations d’identification.

Le PPTP offre une faible protection à l’intégrité des données en cours de tunnel. Le chiffre RC4, tout en fournissant le cryptage, ne vérifie pas l’intégrité des données car ce n’est pas un cryptage authentifié avec un chiffrement des données associées (AEAD). Le PPTP ne fait pas non plus de vérifications d’intégrité supplémentaires sur son trafic et est vulnérable aux attaques de folie, E.g. L’attaquant peut modifier les paquets PPTP avec peu de possibilité de détection. Diverses attaques découvertes contre le chiffre RC4 (comme l’attaque de Royal Holloway) font de RC4 un mauvais choix pour sécuriser de grandes quantités de données transmises, et les VPN sont un candidat principal pour les attaques qui transmettent généralement des quantités sensibles et de grandes données de données.

Port PPTP

Le protocole de tunneling point à point (PPTP) utilise le port TCP 1723 et le protocole IP 47 Encapsulation de routage générique (GRE). Le port 1723 peut être bloqué par les FAI et GRE IP Protocol 47 ne peuvent pas être passés par de nombreux pare-feu modernes et routeurs.

Vulnérabilités PPTP

Les experts en sécurité ont examiné le PPTP et énuméré de nombreuses vulnérabilités connues, notamment:

MS-Chap-V1 est fondamentalement précaire

Il existe des outils qui peuvent facilement extraire les hachages de mot de passe NT à partir du trafic d’authentification MS-CHAP-V1. MS-CHAP-V1 est le paramètre par défaut sur les plus anciens serveurs Windows

MS-Chap-V2 est vulnérable

MS-Chap-V2 est vulnérable aux attaques de dictionnaire contre les paquets de réponse au défi capturé. Des outils existent pour casser ces échanges rapidement

Possibilités d’attaque par force brute

Il a été démontré que la complexité d’une attaque par force brute sur une touche MS-CHAP-V2 est équivalente à une attaque brute-force sur une seule clé DES. Sans options intégrées pour l’authentification multi-facteurs / deux facteurs, cela laisse les implémentations PPTP très vulnérables.

Coûts d’assistance supplémentaires

Méfiez-vous des coûts de support supplémentaires généralement associés au client PPTP et Microsoft VPN.

• Par défaut, le réseau Windows d’un utilisateur final est acheminé via le réseau VPN Office. En conséquence, cela laisse le réseau interne ouvert aux logiciels malveillants et ralentit tous les utilisateurs de tous les utilisateurs au bureau.
• Le PPTP est généralement bloqué à de nombreux endroits en raison des problèmes de sécurité connus entraînant des appels au service d’assistance pour résoudre les problèmes de connectivité.
• Les conflits avec les sous-réseaux internes de bureau sur les sites de télécommandes peuvent bloquer le routage Microsoft VPN, ce qui n’a pas permis de connectivité et entraînant à nouveau des coûts de support supplémentaires.
• Les fluctuations de réseau mineures peuvent déconnecter le client Microsoft VPN lors de l’utilisation de fichiers corrompus menant à des restaurations et à la perte de travail.
• Le service informatique devra maintenir une flotte supplémentaire d’ordinateurs portables d’entreprise avec Microsoft VPN préconfiguré pour chaque utilisateur à distance potentiel.
• Les logiciels malveillants de type Crypto Locker sont gratuits pour crypter les fichiers sur le tunnel VPN.

MyworkDrive comme solution

MyworkDrive agit comme la solution alternative VPN parfaite

Contrairement à MyWorkDrive, les risques de sécurité de la prise en charge des VPN Microsoft PPTP ou SSTP sont éliminés:

• Les utilisateurs obtiennent un élégant client de gestionnaire de fichiers Web facile à utiliser à partir de n’importe quel navigateur.
• Les coûts de prise en charge informatique sont éliminés – Les utilisateurs se connectent simplement avec leurs informations d’identification existantes Windows Active Directory ou utilisent des ADF ou tout fournisseur SAML pour accéder aux parts de l’entreprise, à des disques à domicile et à modifier / voir des documents en ligne.
• Les clients mobiles pour Android / iOS et MyWorkDrive Desktop Mapted Drive Les clients sont disponibles.
• Contrairement aux types de fichiers de bloc VPN et à recevoir des alertes lorsque les modifications de fichier dépassent les seuils de définition pour bloquer les ransomwares.
• Pour la sécurité, tous les clients MyWorkDrive prennent en charge l’authentification à deux facteurs.

Dan Gordon

Daniel, fondateur de MyWorkDrive.com, travaille dans divers rôles de gestion de la technologie au service des entreprises, du gouvernement et de l’éducation dans la région de la baie de San Francisco depuis 1992. Daniel est certifié dans Microsoft Technologies et écrit sur les technologies de l’information, la sécurité et la stratégie et a reçu le brevet américain # 9985930 dans le réseau d’accès à distance

Messages récents

• La différence de performance: M1 d’Apple VS. Processeurs M2 avec SSD à puce NAND unique
• Storm-0558 Breach Shakes Microsoft: un réveil pour la cybersécurité
• L’état actuel du partage de fichiers: comparaison du cloud public et privé pour le travail à distance
• June MyworkDrive Newsletter 2023
• MyWorkDrive version 6.4 publié à la production

Le protocole PPTP VPN: est-il sûr?

Ce n’est pas une exagération de dire que les protocoles de tunneling font la différence entre le commerce B2B sans tracas et le chaos absolu. Ces outils essentiels créent des “tunnels” sécurisés qui contiennent des données cryptées lorsqu’ils traversent des réseaux privés virtuels (VPN).

En théorie, ils concluent des informations confidentielles, le gardant à l’abri des yeux indiscortifs. Mais ce n’est pas toujours le cas, et certains protocoles communs se sont révélés insuffisants pour assurer une protection adéquate.

Regardons l’un de ces protocoles obsolètes: PPTP. Le protocole de tunneling point à point n’est pas largement considéré comme une option viable par des experts en sécurité de nos jours, et pour une bonne raison. Cependant, comme il est intégré dans de nombreuses versions Windows, elle est toujours régulièrement utilisée par les entreprises sur leurs réseaux internes et orientés vers le client.

Ne soyez pas comme ces entreprises. Au lieu de cela, il existe de nombreuses raisons de regarder bien au-delà du PPTP et de choisir un protocole véritablement sécurisé qui vous protège, vous et les données de vos clients,. Découvrons quelles sont ces raisons.

PPTP: un arrière-plan rapide

Le PPTP a été créé dans les années 1990 par des ingénieurs de Microsoft, Ascend et un groupe de fournisseurs de télécommunications mobiles tels que Nokia. Avec l’expansion Internet à haut débit et le commerce électronique devenant grand public, Microsoft voulait fournir aux utilisateurs de Windows un outil de base pour crypter leurs données, et c’est à peu près ce que l’équipe a créé.

Tout comme son prédécesseur PPP, PPTP fonctionne en créant des paquets de données qui forment la base du tunnel réel. Il couple ce processus de création de paquets avec des systèmes d’authentification pour s’assurer que le trafic légitime est transmis sur les réseaux. Et il utilise une forme de cryptage pour brouiller les données détenues par les paquets.

PPTP a acquis une spécification officielle de RFC (RFC 2637) en 1999, et il vaut la peine de se référer à celle pour les détails techniques. Mais pour mettre les choses simplement, il fonctionne à la couche de données 2 et utilise l’encapsulation de routage générale (GRE) comme système de création de paquets. Les paquets utilisent le port IP 47 et le port TCP 1723, et la norme de chiffrement utilisée est le propre MPPE de Microsoft.

Microsoft a conçu le protocole pour fonctionner dans les environnements Windows de tous les jours, avec une empreinte faible et des vitesses élevées. En conséquence, le PPTP est étonnamment simple à mettre en place sur des VPN internes, et il a gagné un énorme public parmi les petites et moyennes entreprises dans les années 2000. Certains d’entre eux comptent toujours sur PPTP, mais ce n’est pas une décision intelligente. Voici pourquoi.

Quels défauts de sécurité ont été identifiés avec PPTP?

Presque dès le début de sa vie, le PPTP a été mis en évidence par des allégations selon lesquelles elle n’est tout simplement pas sécurisée, et un homme est principalement responsable de cette réputation. En 1998, l’analyste de la sécurité Bruce Schneier a publié un article important sur le PPTP, et il a fait une lecture macabre pour les utilisateurs. Ou du moins ça devrait avoir.

Selon Schneier, le point le plus faible du protocole était son protocole de défi / d’authentification de réponse (CAP), suivi de près par son cryptage MPPE basé sur RC4.

En travaillant avec Mudge of Hacker Collective L0PHT Heavy Industries, Schneier a constaté que les algorithmes de hachage utilisés dans les implémentations PPTP étaient choquants à casser. Cela pourrait faciliter une gamme d’attaques d’écoute, les intrus suivant chaque utilisateur lorsqu’ils naviguaient sur les réseaux d’entreprise.

Les problèmes avec Chap sont allés plus loin. Comme Schneier l’a découvert, la plupart des implémentations de PPTP ont donné aux attaquants le pouvoir de poser en tant que serveurs officiels, devenant un nœud pour des informations sensibles.

Troisièmement, les analystes ont constaté que la qualité du chiffrement MPPE de PPTP était très faible, avec des clés qui pouvaient être brisées assez facilement, et une variété de façons pour les gestionnaires de réseau de configurer mal les systèmes – conduisant à des vulnérabilités encore pires.

Ces problèmes ne sont pas restés sans réponse. En fait, Microsoft a mis à jour PPTP (PPTP version 2), qui est la version la plus courante utilisée avec les packages Windows publiés depuis 2000. Encore une fois, Schneier a jeté un œil à la mise à jour et a trouvé quelques faiblesses sérieuses.

Alors que les problèmes liés à CHAP avaient été résolus, Schneier a jugé que les mots de passe restaient une vulnérabilité de base, laissant les utilisateurs à risque des attaques de dédouement. Selon les analystes, cela signifiait que le protocole était fondamentalement aussi sécurisé que les mots de passe choisis par les utilisateurs. En d’autres termes, sa sécurité était basée sur la prière pour éviter les erreurs humaines, sans utiliser les dernières normes de chiffrement.

En conséquence, cela signifiait que Schneier ne pouvait pas “recommander Microsoft PPTP pour les applications où la sécurité est un facteur.”

Ces problèmes font de PPTP un non-emploi pour la sécurité de l’entreprise?

Depuis l’introduction de la mise à jour PPTP, ces défauts de sécurité ne sont devenus plus alarmants. Microsoft n’a pas choisi d’investir dans d’autres mises à jour, et le monde de la cybercriminalité a évolué rapidement, avec des outils de piratage de mot de passe et d’écoute avec lesquels les gens en 1998 ne pouvaient que rêver.

Par exemple, des études ont montré que le cryptage PPTP à forçage brute est devenu presque trivialement simple. À DefCon 2012, le groupe de piratage CloudCracker a montré que MS-CHAPV2 (le CHAP mis à jour pour PPTP) pourrait facilement être joué. Il n’est pas nécessaire d’employer un éventail d’ordinateurs puissants, et le processus ne prend pas longtemps. Bien sûr, cela nécessite des connaissances techniques, mais ce n’est pas en manque de cybercriminels.

Mais qu’est-ce que cela signifie pour les petites entreprises qui utilisent le PPTP dans leurs environnements de sécurité?

Dans certaines circonstances, il peut y avoir des moyens d’améliorer la sécurité des implémentations PPTP existantes. Par exemple, vous pouvez passer de MS-Chap à EAP-TLS (protocole d’authentification extensible). Cela utilise l’infrastructure de clé publique (PKI) pour authentifier les données via un système basé sur un certificat.

PKI n’est pas pour tout le monde. Faire le changement peut impliquer de prendre un coup de performance, et PKI est trop lourd pour certaines situations de travail à distance. De plus, pourquoi prendre le risque? Au lieu de cela, comme Schneier et Cloudcracker le recommandent, il est logique de regarder d’autres protocoles de tunneling pour baser votre VPN autour. Et cela signifie que vous devrez peut-être sacrifier la facilité d’utilisation pour la sécurité.

Trouver la bonne alternative au PPTP

Heureusement, l’insécurité du PPTP a stimulé le développement de protocoles qui offrent une bien meilleure protection contre les menaces externes. Vous avez peut-être rencontré certains de ces outils lorsque vous utilisez des VPN basés sur les consommateurs, mais ils sont tout aussi applicables aux environnements commerciaux.

Openvpn est un choix populaire. Offrant un chiffrement SSL 256 bits (par rapport au chiffrement 128 bits de PPTP), OpenVPN est presque impossible à casser, à notre connaissance. Cependant, il ne s’intègre pas parfaitement dans les systèmes Windows, Linux ou MacOS et nécessitera une certaine configuration. Cela aide souvent à amener des spécialistes à le faire correctement, car les erreurs peuvent compromettre toute l’entreprise dès le départ.

Mis à part OpenVPN, certaines entreprises utilisent un mélange de Ipsec et L2TP. Une autre création de Microsoft, cette combinaison est beaucoup plus facile à implémenter. Ce n’est pas aussi sécurisé qu’OpenVPN, mais beaucoup plus sûr que PPTP et c’est assez rapide aussi.

Enfin, les entreprises qui comptent sur des appareils de travail à distance et mobiles peuvent vouloir vérifier Ikev2. Ce n’est pas le protocole le plus courant, mais IKEV2 est extrêmement flexible, se reconnecte automatiquement si le cryptage est interrompu. Basé sur IPSec, il est assez sécurisé et très rapide lorsqu’il est utilisé avec des appareils Android et iOS.

Tout cela signifie qu’il existe des alternatives viables pour ceux qui comptent sur PPTP. Compte tenu du besoin vital de protéger les données des clients et le danger toujours présent de cyberattaques, il n’y a aucune excuse pour utiliser une technologie obsolète, et de nombreux avantages pour les entreprises qui adoptent une approche de sécurité proactive.

Que devriez-vous apprendre ensuite?

De l’analyste SOC à Secure Coder au responsable de la sécurité – notre équipe d’experts a 12 plans de formation gratuits pour vous aider à atteindre vos objectifs. Obtenez votre copie gratuite maintenant.