Apakah PPTP atau IPSEC VPN lebih aman daripada yang lain untuk 'dial in' VPN, jika demikian, mengapa?
11
PPTP adalah protokol tunneling seperti L2TP - tidak menyediakan keamanan.
PPTP menggunakan MPPE untuk enkripsi yang mungkin memiliki beberapa kelemahan dibandingkan dengan IPSEC (yang biasa digunakan dengan L2TP). IPSEC juga dapat digunakan sendiri sebagai protokol tunneling dan ini cukup umum.
Keuntungan dengan IPSEC secara umum adalah jika digunakan dengan sertifikat untuk mengautentikasi pada level mesin selain level pengguna. L2TP memberlakukan ini tetapi IPSEC sendiri dapat digunakan hanya dengan kunci yang dibagikan sebelumnya seperti halnya enkripsi dalam PPTP - menurunkan tingkat keamanan ke tingkat yang sama menurut pendapat saya.
Sebagian besar kerentanan lama dalam PPTP diperbaiki hari ini dan Anda dapat menggabungkannya dengan EAP untuk meningkatkannya agar memerlukan sertifikat juga. Saya akan mengatakan tidak ada pemenang yang jelas, tetapi PPTP lebih tua, lebih ringan, berfungsi dalam banyak kasus dan klien siap dipasang sebelumnya, memberikan keuntungan karena biasanya sangat mudah untuk digunakan dan dikonfigurasikan tanpa EAP.
Namun, mendapatkan sesuatu yang lebih aman dengan otentikasi tingkat mesin mungkin memberi IPSEC keuntungan dalam merancang untuk memulai ini (khususnya L2TP) - dan karenanya mungkin lebih mudah untuk digunakan dengan persyaratan itu daripada membuat PPTP bekerja dengan EAP.
Jika kita membandingkan PPTP dengan L2TP langsung - L2TP menang dengan jumlah yang wajar karena persyaratan untuk otentikasi yang layak pada beberapa tingkatan, mencegah beberapa skenario yang tidak akan dicegah PPTP (secara teori).
Kebijaksanaan saat ini adalah bahwa IPSec lebih baik, tetapi tidak ada eksploitasi penuh (diketahui) untuk PPTP, jadi itu masih umum digunakan. IPSec tentu saja lebih baru, dan memiliki lebih banyak tambahan opsional, dan (IMHO) dukungan yang lebih luas.
Banyak orang mengkritik bahwa PPTP mengirim beberapa paket kontrol yang tidak terenkripsi, tetapi, sekali lagi, ini tidak menghasilkan eksploitasi besar, itu hanya membuat orang berpikir bahwa HARUS ada satu di sana di suatu tempat. Saya pikir banyak dari itu hanya sisa anggur asam karena PPTP adalah inisiatif Microsoft, dan paten terbebani (mereka baru-baru ini mengizinkan implementasi terbuka, jadi ini tidak terlalu menjadi perhatian.)
Perlu dicatat bahwa serangan baru pada MS-CHAPv2 oleh Moxie Marlinspike dan David Hulton membuat terowongan PPTP kurang diinginkan. Berdasarkan ini saya akan pergi dengan terowongan berbasis IPSEC atau SSL VPN untuk akses jarak jauh.
Info lebih lanjut:
Jawaban yang bagus, tetapi agak tidak akurat. Mereka bisa memberikan ide yang salah tentang peran L2TP.
L2TP tidak menggunakan IPsec. Itu tidak dibangun di atas IPSec. L2TP adalah "Level 2 Tunneling Protocol", yang melakukan satu dan hanya satu fungsi - tunneling protokol lain. Itu tidak memberikan keamanan apa pun, hanya karena itu tidak dimaksudkan untuk itu. Dan itulah mengapa biasanya digunakan bersama dengan IPSec. Dua protokol yang digunakan bersama-sama tidak berarti bahwa mereka tergantung dengan cara apa pun. L2TP dapat digunakan tanpa IPSec, seperti halnya IPSec dapat digunakan tanpa L2TP. Tidak masuk akal untuk berbicara tentang keamanan L2TP - tidak ada. Ketika seseorang berbicara tentang keamanan IPSec / L2TP VPN maka dia berbicara tentang keamanan IPSec.
Jika Anda mempertimbangkan PPTP microsoft, Anda mungkin menemukan ini berguna: FAQ PPTP
Juga, PPTP vs IPSec sedikit Fish vs Sepeda - Anda mungkin ingin melihat L2TP daripada lurus IPSec (L2TP dibangun di atas IPSec, dan didukung di Windows sama seperti PPTP, dan memiliki implementasi open source yang layak).