Windows VPN 安全吗？

Question

多年来，我使用了一些 VPN 解决方案。大多数都难以设置、连接缓慢和/或行为不端（更换系统驱动程序、相互干扰等）。

我以前从未使用过的一种解决方案是内置于 Windows 中的一种。这主要是因为基础设施人员总是拒绝使用它，因为他们声称它“不安全”。

现在我终于有机会使用它（在 Windows 7 上），哇，轻而易举！易于设置，表现良好，几乎可以立即连接，自动使用我的登录凭据进行身份验证，并与 UI 完美集成。我不得不说，除非它真的不安全，否则如果我再也不必使用其他 VPN 产品，我会很高兴。

我收集了过去依赖 PPTP 的 Windows VPN，这被认为是不安全的。但在 Windows 7/2008 中，它支持 L2TP/IPSec、SSTP 和 IKEv2，并使用 EAP 或 CHAP/CHAPv2 进行身份验证。这对我来说似乎是最新的。

但我只是一个卑微的开发人员。知情人士可以告诉我这件事的内幕吗？

Answer 1

像所有安全性一样，这取决于您如何配置它。

它可以设置为非常安全。在某个时间点（大约 Win98）它有问题。从那以后，MS 修复了它（大约 1999 年）。有一个可用的密码分析here ; 最重要的是，用户密码是最薄弱的环节（应该如此）。

一些用户密码问题可以通过使用客户端身份验证证书来缓解。如果您已经拥有良好的 PKI 基础设施，您可能已经自动颁发客户端（计算机）证书。PPTP 可以使用这些来证明应该允许计算机尝试用户名和密码对。然而，不需要证书，PPTP 仍将像您的密码一样安全。

MS 提供了有关如何设置PPTP（包括 EAP/TLS）和L2TP（L2TP 确实需要 Certs/PKI）的文章。这两个都是针对 Win2003 的，但它们足以了解需要什么；并且有 2008 年的文档。正如评论中所指出的，PAP 和 CHAP 的任何变体都是不安全的（因为它们可以用微不足道的资源进行暴力破解）。

如果您的 IT 告诉您 PPTP 不安全，他们要么没有跟上问题（自 1999 年以来），要么出于其他原因使用“不安全”作为逃避。

Answer 2

与此同时，克里斯的回答已经过时。正如Moxie Marlinspike所证明的那样，PPTP 是不安全的。因此，只能使用 L2TP/IPSec、带有 IKEv2 的 IPSec 或 OpenVPN。