『VPNのPPTP接続のセキュリティー対策について』のクチコミ掲示板

[素人◎]

PPTP接続がセキュリティー上、よくないと聞きますが、
理由が全く分からず、セキュリティー対策のしようがありません。
インターネットで調べても、
最近みつかった脆弱性では、
公衆無線で接続時にIDやパスワードが盗まれるとのことしか記載がありません。
PPTPの暗号は解かれやすいのは分かっているのですが、
盗聴される環境ではない場合はどうなんでしょうか？
たとえば有線LANで全て繋がってる場合などはどうなんでしょうか？
また、常時接続と、その都度接続とでは常時接続の方が逆に安心だと思ってしますのですが・・・。
常時接続の場合、一度認証してしまえばIDとパスワードを送信する必要がないというのが理由です。
VPNトンネルの中にIDとパスワードとなる暗号が常におかれている場合は話は別かもしれませんが、
もしそれで盗聴が可能な場合、
光ファイバーの中をどうやって盗聴するのか・・・・全く意味がわかりません。
あくまで、当方の素人的な観点での考え方ですので、
詳しい方、おられましたらご教授頂けましたら幸いです。
VPNのPPTP有線接続時の侵入経路さえわかれば、セキュリティー対策がしやすいと思いますので・・・
宜しくお願いします。

書込番号：14980164

[きたの国から]

素人◎さん　こんにちは。

>VPNのPPTP有線接続時の侵入経路さえわかれば、セキュリティー対策がしやすいと思いますので・・・

ということですが、ユーザーサイドで不正侵入対策どうのこうのというより、そもそもPPTPは仕組みというか構造的に色々と不安点があることが問題です。

ここでは不正進入に関連してくる認証にフォーカスして説明するとします。

他の技術の認証では、相手のパスワードが自分に登録されているものと比較して一致することで本物と判断するのですが、
PPTPの認証では、自分のパスワードが相手も持っているということで、相手が本物だと判断していることにしています。
これはちょっとずれているのがわかりますよね。

つまり、
>公衆無線で接続時にIDやパスワードが盗まれるとのことしか記載がありません。
これをやられてしまえば、どれだけリスク度合いが上がるかわかりますよね


>盗聴される環境ではない場合はどうなんでしょうか？
盗聴されなければ問題はないです。がしかし、PPTPを使うということは、（専用回線ではなく）インターネットという公衆回線をデータが通るわけですから、"盗聴されない"という保障はないわけです。
具体的な盗聴方法はともかく、何らかの方法で大量の通信パケットをキャプチャすればPPTPのRC4（無線LANのWEPと同じ）暗号化方式は解かれてしまう危険性が極めて高いです。

PPTPがセキュリティにやや不安があるということを本格的に知るにはIPSecなどの他のVPN技術と比較しないと中々理解が難しいかと思いますね。

書込番号：14980789

[宮のクマの雅]

こんにちは。

きたの国からさんもおっしゃるように、PPTPの規格が大幅に変更されない限り、
PPTPはセキュリティティの脆弱性に対する対策はないと考えたほうがいいと思います。
（「脆弱性」と言っても、IPsecなどの他のVPN方式と比較して「相対的に低い」ということですが。）

先日PPTPの脆弱性で話題になっていたのは、
ユーザー認証で使用する（拡張プロトコルのPEAPを用いない）MS-CHAP v2方式に関するものです。
http://japan.cnet.com/news/service/35019787/
本機でもMS-CHAP v2方式を選択できます（これが最強です）が、
本機の認証ではPEAPは併用できないので、問題の懸念事項はモロに関係します。
（無理やりPEAPに対応させるシステムを構築するよりも、IPsecなどに乗り換えた方が早くて安心です）

実はこのMS-CHAP v2認証の過程そのものはトンネリングされた専用通路の中で行われません。
もちろんパスワードはMD4でハッシュ化（詳細略）された後に暗号化されますが、
その暗号化も56bitDES（AESの旧型）で行われます。
このため、これを解読されてしまうとユーザー情報が分かってしまい、
悪意のある第3者にPPTPサーバーへのアクセス権を与えてしまうことになります。

これができるのは、認証過程そのものを万人に開放されたインターネット網を通じて行うからです。
これでも昔は安全だったのかもしれませんが、なんせ規格を作ったのが古いので、
現在のようなネットワーク社会の構造はあまり考慮されていなかった（できなかった）かもしれませんね。
今や、ローエンドPCの無線LANチップの暗号化でさえ128bitAESが普通に使えますからね･･･
（ちなみに、IPsecでは認証過程も専用のトンネル内で行われます）


･･･と、ここまで書いてきて、
（取り扱う情報にもよりますが）個人用途であれば、PPTPでも致命的な欠陥になる場合は少ないと考えています。
実際、私も現在PPTPを日常的に使っています。
言い方は悪いですが、一度痛い目に会うまでは強気にいくつもりです。
ただし、ビジネスが絡んでくるとそうも言ってられないので、仕事でインターネットVPN使うならIPsec一択だと考えます。

書込番号：14981621

[素人◎]

きたの国からさん、宮のクマの雅さん

おはようございます。

度々のご返答を頂き、感謝いたします。

＞きたの国からさん

＞ユーザーサイドで不正侵入対策どうのこうのというより、
＞そもそもPPTPは仕組みというか構造的
＞に色々と不安点があることが問題です。

まさにその通りだと思います。古い無線の暗号方式ではまずいですよね・・・WEPなんて・・

＞盗聴されなければ問題はないです。がしかし、PPTPを使うということは、（専用回線ではなく）
＞インターネットという公衆回線をデータが通るわけですから、"盗聴されない"という保障はない
＞わけです。

そうですねー。どういったルートを通っているのかなんて誰にもわからないですもんね・・・。

＞PPTPがセキュリティにやや不安があるということを本格的に知るにはIPSecなどの他のVPN技術と
＞比較しないと中々理解が難しいかと思いますね。

それが一番かもしれませんね。
他の暗号化方式ではそこまで変な話題に取り上げられてませんしね・・・
そう考えるとおのずと答えがでてきますね。


＞宮のクマの雅さん

中々難しいですね・・・
当方には難しい話ですが、なんとなく伝わります＾＾；

＞ちなみに、IPsecでは認証過程も専用のトンネル内で行われます

PPTPはトンネル外認証ということでしょうか？
それですごく気になったのですが、

�@VPN接続中は常にIDとパスワードを定期的に送信しているのでしょうか？
�AVPN接続中でデーターを送信するときはIDとパスワードもそのデーターにくっついていくのでしょうか？

色々とすみません。
よろしくお願いします。

書込番号：14981904

[きたの国から]

素人◎さん　こんにちは。

以下の説明で省略しているところもあって、厳密には正確ではないこともあるかもしれませんが、ご参考になれば幸いです。

>�@VPN接続中は常にIDとパスワードを定期的に送信しているのでしょうか？
いいえ。VPNトンネルを張る前に、認証を行いその後は（再接続しない限り）送信しません。

ちなみにPPTPでは認証処理に（IPSecのように暗号処理はないのですが）、
ユーザー名やパスワードそのものは送信せずに、加工した値（ハッシュ値）を送信することで一定の安全性を確保しています。

具体的にはチャレンジ/レスポンス方式でパスワードとチャレンジ（という乱数）を元にハッシュ値なるものを生成し、送信元、受信元が共に生成したハッシュ値を見比べ、同じだったら互いが正当として認証するシステムです。
（蛇足ですがハッシュ値の生成にMD5というアルゴリズムを使うのですが、理論上の問題点が存在しています。）
http://ja.wikipedia.org/wiki/MD5#.E5.AE.89.E5.85.A8.E6.80.A7

再送信している（定期的に交換している）のは暗号鍵のほうです。
同じ鍵を使っていると暗号が解読される可能性がかなり高くなるためで、この辺はVPNに限らず身近な無線LANでも同様です。


>�AVPN接続中でデーターを送信するときはIDとパスワードもそのデーターにくっついていくのでしょうか？
いいえ。前述したようにパケットにIDやパスワードは付加されません。

書込番号：14983327

[素人◎]

きたの国からさん
こんばんは。
ご返事ありがとうございます。

＞いいえ。VPNトンネルを張る前に、認証を行いその後は（再接続しない限り）送信しませ
＞ん。

とういうことは何度も再接続するより、接続しっぱなしのほうがIDとパスワードを盗聴される可能性は極めて低いということですね。
ただ、VPNトンネルにセキュリティーホールがあればそこから侵入される可能性もあるかもしれませんが・・・。

しかし、接続しっぱなしというものはなぜか、気分的にもあまりしたくないものですね・・。

実際のところ、クラッカーがどういう経路で侵入してくるかなんて誰にも分かりませんし、
なるべく暗号化レベルの高いVPN接続（IPSecなど）をしたほうが安心なのは間違いないですね。

勉強になります有難うございます。
MD4やMD5など、まだまだ勉強不足で意味が全然理解できないので勉強していこうと思います！！

いつもご丁寧な回答を頂き有難うございます＾＾

書込番号：14984294

[denderaden]

MS-CHAPv2認証にPEAPなどを付けてくれるルータはBUFFALOからは出てないんでしょうか？I-O DATAに電話で聞いたら、そういう商品はないと言ってました。

書込番号：15022049

[きたの国から]

denderadenさん　こんにちは。
ニーズと販売コストバランスを考えるとコンシューマー向け製品でPEAPにまで対応する製品のリリースは限りなくないかと。

個人的にはPPTPよりもセキュリティが高くしかもスマホ用途でニーズがありそうな（NECが参考商品として製作した）L2TP/IPSec対応のルータのリリースを期待しております。
http://internet.watch.impress.co.jp/img/iw/docs/481/580/html/ceatec29.jpg.html

書込番号：15022353

[denderaden]

どうもありがとうございます。
やはり、この価格帯では無理なんですね。
VPNサーバ付きの無線ルータは、ブラザーからIPsecに対応したものが出ているようです。
価格が高いせいか、口コミが無いのですが。

http://kakaku.com/item/K0000359136/

書込番号：15031206