PPTP: Veteraani-VPN-protokolla, jota kannattaa todennäköisesti välttää

Mikä se on

Point-to-Point Tunneling Protocol, paremmin tunnettuna PPTP, on yksi kaikkien aikojen varhaisimmista VPN-protokollista. Microsoft kehitti sen vuonna 1995 keinona laajentaa yritysten verkkoja modeemi-internet-yhteyksien yli. Aikanaan se oli mullistava — etätyöntekijät pystyivät yhtäkkiä muodostamaan turvallisen yhteyden toimiston järjestelmiin kotoa käsin ilman erillisiä vuokrattuja linjoja.

Vuosien ajan PPTP oli VPN-yhteyksien oletusvalinta. Se oli rakennettu suoraan Windowsin käyttöjärjestelmiin, minkä ansiosta sen käyttöönotto onnistui ilman kolmannen osapuolen ohjelmistoja. Internetin kehittyessä ja tietoturvatutkimuksen edetessä PPTP:n lukuisat heikkoudet kävivät kuitenkin mahdottomiksi sivuuttaa.

Miten se toimii

PPTP toimii kapseloimalla datapaketteja tunneliin kahden päätepisteen välillä — laitteesi ja VPN-palvelimen välillä. Tässä yksinkertaistettu kuvaus prosessista:

  1. Yhteyden muodostaminen: Laitteesi aloittaa TCP-yhteyden PPTP-palvelimeen portissa 1723.
  2. Tunnelointi: PPTP käyttää muokattua versiota Generic Routing Encapsulation (GRE) -protokollasta kääriäkseen datapakettisi uusiin paketteihin siirtoa varten.
  3. Todennus: PPTP tukeutuu tyypillisesti Microsoftin todennusprotokolliin, yleisimmin MS-CHAPv2:een, yhteyden muodostavien käyttäjien henkilöllisyyden varmentamiseksi.
  4. Salaus: PPTP käyttää Microsoft Point-to-Point Encryption (MPPE) -salausta, yleensä 128-bittisellä RC4-salakirjoituksella, tietojen sekoittamiseksi siirron aikana.

Protokolla toimii verkkomallin datalinkkikerroksella, mikä tarkoittaa, että se luo virtuaalisen piste-pisteyhtyeyden riippumatta taustalla olevan verkon tyypistä.

Miksi tällä on merkitystä VPN-käyttäjille — ja miksi kannattaa olla varovainen

PPTP:n tärkeimmät myyntivaltit ovat aina olleet nopeus ja yksinkertaisuus. Koska sen salaus on suhteellisen kevyttä, PPTP aiheuttaa hyvin vähän prosessointikuormaa. Tämä tekee siitä nopean — monissa tapauksissa huomattavasti nopeamman kuin raskaampien protokollien, kuten OpenVPN:n tai IKEv2:n.

Nopeus tulee kuitenkin kalliiseen hintaan: tietoturva kärsii.

Vuosien varrella tietoturvatutkijat ovat löytäneet vakavia puutteita PPTP:stä:

  • MS-CHAPv2:n haavoittuvuudet: Todennusprotokolla, johon PPTP tukeutuu, on murrettu. On olemassa työkaluja, jotka voivat murtaa MS-CHAPv2-kättelyt suhteellisen nopeasti, mikä tarkoittaa, että hyökkääjä, joka sieppaa todennusvaihtosi, voi lopulta saada selville tunnuksesi.
  • RC4-salauksen heikkoudet: MPPE:n käyttämässä RC4-salakirjoituksessa on tunnettuja kryptografisia haavoittuvuuksia. Turvallisuusvirastojen, mukaan lukien NSA:n, uskotaan laajalti pystyvän purkamaan PPTP-liikenteen salauksen.
  • Ei täydellistä eteenpäin salassapitoa: PPTP ei tue täydellistä eteenpäin salassapitoa, joten jos salausavaimesi vaarantuu, aiemmat istunnot voitaisiin periaatteessa purkaa.

Yhdysvaltain kansallinen turvallisuusvirasto NSA ja tietoturvatutkijat, kuten Bruce Schneier, ovat julkisesti todenneet, että PPTP-liikenteen tulisi olettaa olevan vaarantunut. Useimmat arvostetuista VPN-palveluntarjoajista ovat joko hylänneet PPTP:n kokonaan tai suosittelevat vahvasti sen välttämistä.

Käytännön esimerkkejä ja käyttötapauksia

Maineestaan huolimatta PPTP ei ole kadonnut kokonaan. Saatat vielä kohdata sen muutamissa erityisissä tilanteissa:

  • Vanhat yritysjärjestelmät: Jotkin vanhemmat yritysverkot käyttävät edelleen PPTP:tä, koska infrastruktuurin siirtäminen on kallista ja monimutkaista.
  • Matalan tietoturvan henkilökohtainen käyttö: Käyttäjä, joka haluaa vain muuttaa näennäistä maantieteellistä sijaintiaan päästäkseen alueellisesti rajoitettuun suoratoistopalveluun — eikä välitä valtioiden valvonnasta tai tietovarkauksista — saattaa käyttää PPTP:tä sen nopeusedun vuoksi.
  • Vanhemmat laitteet: Reitittimet, älytelevisiot tai sulautetut järjestelmät, jotka eivät pysty ajamaan nykyaikaisia protokollia, voivat joutua turvautumaan PPTP:hen ainoana VPN-vaihtoehtona.
  • Testaus ja kehitys: Verkkoasiantuntijat käyttävät ajoittain PPTP:tä hallituissa laboratorioympäristöissä, joissa nopeus on tärkeämpää kuin tietoturva.

Missä tahansa tilanteessa, jossa käsitellään arkaluonteisia tietoja — verkkopankki, yritysviestintä, henkilökohtainen yksityisyys — PPTP on huono valinta. Nykyaikaiset vaihtoehdot, kuten WireGuard, OpenVPN tai IKEv2, tarjoavat huomattavasti paremman tietoturvan ilman liiallisia suorituskykyuhrauksia.

Loppupäätelmä

PPTP on osa VPN-historiaa. Sen tunteminen auttaa ymmärtämään, kuinka pitkälle protokollien suunnittelu on kehittynyt, mutta se ei ole jokin, johon kannattaa luottaa todellisen suojan saavuttamiseksi. Jos VPN-sovelluksesi tarjoaa PPTP:n vaihtoehtona, pidä sitä viimeisenä keinona, ei ensisijaisena valintana.