Tabla de contenido
22.2. PPTP/ L2TP
Autentificación PPTP
La Autentificación como una opción en PPTP es derivado directamente desde PPP, tal
como:
Password Authentication Protocol (PAP)
•
Challenge Handshake Authentication Protocol (CHAP)
•
Microsoft CHAP version 1 y version 2
•
PAP es un proyecto de Autentificación sin formato que solicita y envía nombre de
usuario y contraseña en texto sin formato. Por lo tanto no es resistente al
ataque Man-in-the-middle y ataque diccionario cuando la contraseña del cliente
de acceso remoto puede ser fácilmente interceptado y determinado. Además, PAP
NO ofrece protección contra repetición de ataques y spoofing.
CHAP utiliza algoritmo MD5 para hash un desafío y proteger contra repetición de ataques
utilizando una serie de cuestionamientos arbitrarios por intento de autentificación.
Esto es mejor que PAP ya que la contraseña jamás es enviada sobre el link.
En cambio, la contraseña es utilizada para crear el hash de un camino MD5. Esto
significa que CHAP requiere de contraseñas que sean almacenadas en una forma
encriptada reversible.
MS-CHAP v1 es similar a CHAP, la diferencia principal es que con
MS-CHAP v1 la contraseña sólo necesita ser almacenada como un hash MD4 en vez de
una forma encriptada reversible.
MS-CHAP v2 es similar a MS-CHAP v1 con la diferencia de que el servidor además
se autentifica a sí mismo con el cliente.
Encriptación PPTP
Inicialmente, la conexión PPP no utiliza encriptación. Para entregar confidenciabilidad
al tunneling, el Microsoft Point-to-Point Encryption
(MPPE) puede ser utilizado con PPTP para soportar un túnel de datos encriptados.
MPPE utiliza el algoritmo RC4 RSA para la encriptación y soporta claves de sesión de
40-bit, 56-bit y 128-bit, lo cual es modificado frecuentemente para asegurar la
seguridad. Sin embargo, la clave de encriptación inicial es derivada basado en la
contraseña del usuario, y por lo tanto puede ser vulnerable a ataques.
Desde que la seguridad PPTP es basada en contraseña, la elección de una buena
contraseña es de importante consideración. A pesar de la longitud de clave elegida (40,
56 o 128-bit), la verdadera intensidad de la clave es gobernada por lo aleatorio de la
contraseña.
Guía de Usuario de los Firewalls D-Link
229
Tabla de contenido
