Risques de sécurité VPN PPTP

PPTP is Microsoft’s VPN implementation, which has been around since Windows NT. Users tend to like using PPTP as it’s typically configured on Windows Desktops with a shortcut that remembers username and password for quick access.

With proper name resolution (historically WINS) and now DNS, users can easily browse the network for shares and printers. On the back end, the system administrator configures Windows Server PPTP with the Routing and Remote Access role (RRAS).

While the tools used to manage and deploy PPTP Systems have changed with each new version of Windows it’s universally agreed that PPTP is insecure as compared to modern alternatives and adds additional indirect support costs even when upgraded to support SSTP.

Le protocole PPTP lui-même n'est plus considéré comme sécurisé, car le cracking de l'authentification MS-CHAPv2 initiale peut être réduit à la difficulté de cracker une seule clé DES 56 bits, qui, avec les ordinateurs actuels, peut être brutalement forcée en très peu de temps (faisant un mot de passe fort largement sans rapport avec la sécurité de PPTP car l'ensemble de l'espace de clés 56 bits peut être recherché dans des contraintes de temps pratiques).

An attacker can capture the handshake (and any PPTP traffic after that), do an offline crack of the handshake, and derive the RC4 key. Once the RC4 key is derived, the attacker will be able to decrypt and analyze the traffic carried in the PPTP VPN. PTP does not support forward secrecy, so just cracking one PPTP session is sufficient to crack all prior PPTP sessions using the same credentials.

PPTP provides weak protection to the integrity of the data being tunneled. The RC4 cipher, while providing encryption, does not verify the integrity of the data as it is not an Authenticated Encryption with Associated Data (AEAD) cipher.

PPTP also doesn’t do additional integrity checks on its traffic and is vulnerable to bit-flipping attacks, e.g. the attacker can modify the PPTP packets with little possibility of detection. Various discovered attacks on the RC4 cipher (such as the Royal Holloway attack) make RC4 a bad choice for securing large amounts of transmitted data, and VPNs are a prime candidate for such attacks as they typically transmit sensitive and large amounts of data.

Port PPTP

Le protocole PPTP (Point-to-Point Tunneling Protocol) utilise le port TCP 1723 et le protocole IP 47 Generic Routing Encapsulation (GRE). Le port 1723 peut être bloqué par les FAI et le protocole IP GRE 47 peut ne pas être transmis par de nombreux pare-feu et routeurs modernes.

PPTP VPN Vulnerabilities

Les experts en sécurité ont examiné PPTP et répertorié de nombreuses vulnérabilités connues, notamment :

MS-CHAP-V1 est fondamentalement non sécurisé

Tools exist that can easily extract the NT Password hashes from MS-CHAP-V1 authentication traffic. MS-CHAP-V1 is the default setting on older Windows Servers.

MS-CHAP-V2 est vulnérable

MS-CHAP-V2 is vulnerable to dictionary attacks on captured challenge response packets. Tools exist to crack these exchanges rapidly.

PPTP VPN Brute Force Attack Possibilities

It has been demonstrated that the complexity of a brute-force attack on an MS-CHAP-v2 key is equivalent to a brute-force attack on a single DES key. With no built-in options for Multi-Factor/Two-factor authentication, this leaves PPTP implementations highly vulnerable.

PPTP VPN Additional Support Costs

Méfiez-vous des coûts de support supplémentaires généralement associés à PPTP et au client VPN Microsoft.

• Par défaut, le réseau Windows d'un utilisateur final est acheminé via le réseau VPN du bureau. En conséquence, cela laisse le réseau interne ouvert aux logiciels malveillants et ralentit tout Internet pour tous les utilisateurs au bureau.
• PPTP is typically blocked at many locations due to known security issues resulting in calls to the help desk to resolve connectivity issues.
• Conflicts with office internal subnets at remote sites can block Microsoft VPN routing resulting in no connectivity and again leading to additional support costs.
• Minor network fluctuations can disconnect the Microsoft VPN client while in use corrupting files and leading to restores and lost work.
• Le service informatique devra maintenir une flotte supplémentaire d'ordinateurs portables d'entreprise avec Microsoft VPN préconfiguré pour chaque utilisateur distant potentiel.
• Crypto Locker type malware is free to encrypt files over the VPN tunnel.

PPTP VPN – MyWorkDrive as a Solution

MyWorkDrive agit comme le parfait Alternative VPN Solution

Contrairement à MyWorkDrive, les risques de sécurité liés à la prise en charge des VPN Microsoft PPTP ou SSTP sont éliminés :

• Les utilisateurs bénéficient d'un client Web File Manager élégant et facile à utiliser, accessible depuis n'importe quel navigateur.
• IT Support costs are eliminated – users simply log on with their existing Windows Active Directory/Entra ID credentials or use ADFS or any SAML provider to access company shares, home drives, and edit/view documents online.
• Les clients Mobile Client pour Android/iOS et les clients MyWorkDrive Desktop Mapped Drive sont disponibles.
• Contrairement au VPN, bloquez les types de fichiers et recevez des alertes lorsque les modifications de fichiers dépassent les seuils définis pour bloquer les ransomwares.
• Pour des raisons de sécurité, tous les clients MyWorkDrive prennent en charge l'authentification DUO à deux facteurs.