Segurança do PPTP vs IPSec

Question

O VPN PPTP ou IPSEC é mais seguro que o outro para VPN "dial in"? Em caso afirmativo, por que?

    

Answer 1

O PPTP é um protocolo de encapsulamento exatamente como o L2TP - ele não fornece segurança.

O PPTP usa o MPPE para criptografia, o que pode ter algumas desvantagens em comparação com o IPSEC (que é comumente usado com o L2TP). O IPSEC também pode ser usado sozinho como um protocolo de tunelamento e isso é bastante comum.

Uma vantagem com o IPSEC em geral seria se ele fosse usado com certificados para autenticar no nível da máquina, além do nível do usuário. O L2TP impõe isso, mas o IPSEC sozinho pode ser usado apenas com uma chave pré-compartilhada, assim como a criptografia no PPTP pode - reduzir o nível de segurança para níveis semelhantes na minha opinião.

A maioria das vulnerabilidades antigas no PPTP são fixadas atualmente e você pode combiná-las com o EAP para aumentá-la e exigir certificados também. Eu diria que não há um vencedor claro, mas o PPTP é mais antigo, mais leve, funciona na maioria dos casos e os clientes são prontamente pré-instalados, oferecendo uma vantagem em normalmente ser muito fácil de implantar e configurar sem o EAP.

No entanto, obter algo mais seguro por meio da autenticação no nível da máquina pode dar ao IPSEC uma vantagem em ser projetado para isso (L2TP em particular) - e, portanto, possivelmente ser mais fácil de implantar com esse requisito do que fazer o PPTP funcionar com o EAP .

Se compararmos o PPTP com o L2TP diretamente - o L2TP ganha por um valor justo devido aos requisitos para autenticação decente em vários níveis, evitando vários cenários que o PPTP não impedirá (em teoria).

    

Answer 2

A idéia atual é que o IPSec é melhor, mas nenhum exploit completo (conhecido) existe para o PPTP, então ainda é comumente usado. O IPSec é certamente mais recente e tem mais extras opcionais e um suporte mais amplo (IMHO).

Muita gente critica que o PPTP envia alguns pacotes de controle não criptografados, mas, novamente, isso não resultou em um grande exploit, apenas faz as pessoas pensarem que deve haver um em algum lugar. Eu acho que muito disso é apenas uvas azedas residuais porque o PPTP era uma iniciativa da Microsoft e patenteado (eles recentemente permitiram implementações abertas, então isso não é uma grande preocupação).

    

Answer 3

Deve-se notar que um novo ataque ao MS-CHAPv2 por Moxie Marlinspike e David Hulton torna os túneis PPTP menos desejáveis. Com base nisso, eu usaria um túnel IPSEC ou SSL VPN para acesso remoto.

Mais informações:

• Ataque à Cobertura de Artigos sobre Infecção de Segurança
• Ataque de cobertura de artigos de segurança de TI

Answer 4

Boas respostas, mas um pouco imprecisas. Eles podem dar idéias erradas sobre o papel do L2TP.

O L2TP não usa o IPsec. Não é construído no IPSec. L2TP é "Nível 2 Tunneling Protocol", que executa uma e apenas uma função - encapsulamento de outros protocolos. Ele não fornece qualquer tipo de segurança, apenas porque não é para isso. E é exatamente por isso que geralmente é usado junto com o IPSec. Os dois protocolos que estão sendo usados juntos não significam que eles sejam dependentes de alguma forma. O L2TP pode ser usado sem o IPSec, assim como o IPSec pode ser usado sem o L2TP. Não faz sentido falar em segurança do L2TP - não há nenhum. Quando alguém está falando sobre segurança de VPN IPSec / L2TP, ele está falando sobre a segurança do IPSec.

    

Answer 5

Se você está considerando o microsoft PPTP, pode ser útil: FAQ do PPTP

Além disso, PPTP vs IPSec é um pouco Fish vs Bicycles - você pode querer olhar para L2TP em vez de IPSec reta (L2TP é construído em IPSec, e é suportado no Windows mesmo como PPTP, e tem implementações de código aberto decentes ).