PPTP: uszkodzony protokół VPN, który wciąż czai się w starych konfiguracjach

Historia

Microsoft stworzył PPTP w 1996 roku jako natywny protokół VPN dla systemu Windows NT 4.0. Konsorcjum dostawców (Microsoft, Ascend Communications, 3Com i inne) opublikowało formalną specyfikację jako RFC 2637 w lipcu 1999 r. PPTP był dostarczany w każdej wersji systemu Windows, począwszy od Windows 95, jako domyślny klient i serwer VPN — przez ponad dekadę był to najczęściej wdrażany protokół VPN na świecie tylko dlatego, że był najłatwiejszy w konfiguracji.

Microsoft formalnie usunął dołączony protokół PPTP serwer z systemu Windows Server 2022. Klient PPTP pozostał w systemie Windows 11 w celu zapewnienia zgodności wstecznej do roku 2024, a następnie zaczęto go usuwać. macOS usunął wbudowanego klienta PPTP w systemie macOS 10.12 Sierra (2016). Większość nowoczesnych dystrybucji Linuksa nadal dostarcza klienta przestrzeni użytkownika (pptp-linux), ale z wyraźnymi ostrzeżeniami dotyczącymi bezpieczeństwa.

Jak działa PPTP

PPTP przenosi ramki protokołu Point-to-Point Protocol (PPP) w tunelach Generic Routing Encapsulation (GRE, numer protokołu 47), z kanałem kontrolnym TCP na porcie 1723 obsługującym konfigurację tunelu i zarządzanie nim. Uwierzytelnianie wykorzystuje protokół MS-CHAP firmy Microsoft (pierwotnie wersja 1, wersja 2 dodana później). Szyfrowanie wykorzystuje szyfrowanie Microsoft Point-to-Point (MPPE) oparte na RC4.

Żadna z tych opcji się nie zestarzała.

Dlaczego PPTP jest zepsuty

RC4 Szyfrowanie

MPPE jest zbudowane na RC4 ze 128-bitowym kluczem. Sam RC4 jest szyfrem strumieniowym, który był najnowocześniejszy w 1987 r. i był uważany za uszkodzony w społeczności kryptograficznej co najmniej od 2013 r. Norma RFC 7465 z 2015 r. całkowicie zabraniała RC4 w TLS. Główne przeglądarki przestały akceptować RC4 w latach 2015–2016. PPTP to jedyny główny protokół VPN, który od niego zależy.

Brak uwierzytelniania zaszyfrowanym tekstem

MPPE szyfruje dane, ale ich nie uwierzytelnia. Nie ma konstrukcji MAC ani AEAD potwierdzającej, że zaszyfrowany tekst nie został naruszony. Osoba atakująca, która może modyfikować przesyłane bajty, może w przewidywalny sposób zmodyfikować zwykły tekst — klasyczny atak polegający na odwracaniu bitów na szyfry strumieniowe bez uwierzytelnienia.

Ten sam klucz w obu kierunkach

W przypadku korzystania z protokołu MS-CHAP-v1 MPPE używa tego samego klucza sesji RC4 dla obu kierunków przepływu komunikacji. Osoba atakująca może XORować oba strumienie razem, aby anulować strumień klucza i bezpośrednio odzyskać zwykły tekst. Jest to podręcznikowy błąd w kryptografii naprawiony w wersji 2, ale prawie nigdy w przypadku starszych wdrożeń wersji 1, które są wciąż na wolności.

MS-CHAP-v1 jest zasadniczo niepewny. Skróty haseł

NT można w prosty sposób wyodrębnić z przechwyconej wymiany MS-CHAP-v1. Narzędzia do tego istnieją od ponad 20 lat.

MS-CHAP-v2 został całkowicie uszkodzony w 2012

Najbardziej potępiające wydarzenie w historii PPTP. Na konferencji DEF CON 20 w lipcu 2012 r. Moxie Marlinspike i David Hulton wykazali, że odzyskanie poświadczeń MS-CHAP-v2 jest matematycznie równoważne odzyskaniu pojedynczego klucza DES metodą brute-force. Stworzyli CloudCracker, płatną usługę online, która może odzyskać dowolny przechwycony skrót hasła NT uzgadniania MS-CHAP-v2 w około 23 godziny za około 200 dolarów mocy obliczeniowej.

Implikacja: osoba atakująca, która przechwyci login PPTP, może skutecznie zagwarantować odzyskanie danych uwierzytelniających w ciągu jednego dnia za cenę smacznej kolacji. Nie ma środka obronnego, który rozwiązałby ten problem w MS-CHAP-v2 — matematyka protokołu jest błędna.

Oficjalna odpowiedź Microsoftu po demonstracji CloudCrackera polegała na zaleceniu klientom całkowitego zaprzestania korzystania z MS-CHAP-v2 i przejścia na inne protokoły VPN. PPTP bez MS-CHAP-v2 jest w zasadzie bezużyteczny, bo nie ma innej obsługiwanej opcji uwierzytelniania.

Co powinno zastąpić PPTP

• WireGuard: nowoczesne, szybkie, zweryfikowane formalnie. Odpowiednie ustawienie domyślne dla nowych wdrożeń.
• IKEv2/IPsec: dostarczane natywnie w nowoczesnych systemach Windows, macOS i iOS. Lepszy roaming mobilny za pośrednictwem MOBIKE.
• OpenVPN: bardziej elastyczny, można ukryć jako HTTPS na TCP/443 w przypadku sieci restrykcyjnych.

Każdy z nich jest znacznie bezpieczniejszy niż PPTP. Na rok 2026 nie ma scenariusza, w którym PPTP byłoby właściwą odpowiedzią.

Gdzie nadal możesz spotkać PPTP

• Stare korporacyjne koncentratory VPN bez planu migracji. Jeśli Twoja firma nadal prosi Cię o połączenie przez PPTP, jest to prawdziwy incydent związany z bezpieczeństwem — eskaluj sprawę.
• Tanie routery konsumenckie dostarczane z domyślnie włączonym serwerem PPTP. Wyłącz to.
• Starsze konfiguracje serwerów Linux z zainstalowanym pptpd z samouczka z 2012 roku. Wycofaj i zastąp WireGuard.
• VPN-menu wyboru protokołu w niektórych komercyjnych aplikacjach VPN. Wybierz dosłownie cokolwiek innego.

Lekcja dotycząca dziedzictwa

PPTP to standardowa historia zastrzeżonych protokołów bezpieczeństwa zbudowanych w latach 90. XX wieku — Microsoft przedłożył łatwość integracji nad rygorem kryptograficznym, poprzeczkę ustawiono na podstawie tego, co było praktyczne w wydaniu w systemie Windows NT 4.0, a powstały projekt był niewystarczający wobec atakujących dziesięć lat później. Nowoczesny projekt protokołu VPN (WireGuard, tryby IPsec ESP) wyraźnie uczy się na tych błędach, wymagając szyfrów AEAD, właściwej separacji kluczy, doskonałej tajemnicy przekazywania i kluczy efemerycznych.

Jeśli odkryjesz wdrożenie PPTP w 2026 r., traktuj to tak, jak traktowałbyś serwer wciąż działający pod kontrolą systemu Windows XP — interesujący artefakt historyczny, pilny cel migracji zabezpieczeń.