我应该使用什么来代替 MS-CHAP v2？

Question

有一种新工具和服务可以非常轻松地破解用于保护 VPN 的 MS-CHAP v2。在 Ars Technica 上可以找到针对 MS-CHAP 的附件的一个很好的总结。这是我目前在 Windows 2003 R2 SP2 上运行 VPN 服务的方式：

我应该还是可以只使用 EAP？我使用 VPN 的客户端机器是 Windows-XP（我可以关闭的少数机器）、Windows 7 和 iPad。我没有任何 RADIUS 路由器或 wifi 或任何其他依赖于 Windows VPN 服务的东西。我的机器具有的 EAP 方法是：

Answer 1

它实际上并不容易被破解，并且需要中间人攻击才能起作用。如果我正确地阅读了漏洞利用程序，那么在实验室之外几乎不可能做到这一点。只要有足够的时间和精力，几乎任何东西都是容易破碎的。我建议的一件事是放弃 Server 2003（现在是 2012 年...Server 2012 即将推出）...并且至少查看内置于 2008 R2 服务器中的 SSTP VPN 或将 directconnect 视为解决方案。其他人会使用专用设备之类的设备，例如 Cisco ASA 5510 和 Anyconnect。如果您要保护有价值的数据，您还需要拥有一个多重身份验证系统 - 例如 RSA 安全 ID 密钥...只需知道，尽管在适当的条件下，几乎任何解决方案都是可破解的 - 您想要做什么这是人类所能做到的困难。