Point-to-Point Tunneling Protocol (PPTP) je protokol VPN používaný k zabezpečení připojení mezi vaším zařízením a serverem VPN. Jako jeden z nejstarších protokolů VPN se PPTP potýká s mnoha bezpečnostními problémy a dnes je považován za zastaralý.

I přesto jeho široká kompatibilita s celou řadou původního softwaru a hardwaru, snadná instalace, nenáročnost a také vysoké náklady na upgrade starých podnikových intranetových systémů VPN s PPTP pro firmy znamenají, že i v roce 2021 zůstává tento protokol široce používán.

Co je protokol VPN?

Protokol VPN je kombinací přenosových protokolů a standardů šifrování, které vytvářejí zabezpečené připojení mezi vaším zařízením a serverem VPN a šifrují data, když mezi nimi procházejí.

Protokol VPN by měl zajišťovat tři věci:

  • Ověření – brání neoprávněným uživatelům v připojení k serveru VPN
  • Důvěrnost – využití šifrování k zajištění toho, že nikdo nemůže přistupovat k obsahu datových paketů odesílaných přes síť VPN (tzv. „sniffovat“ ho)
  • Integrita – detekuje, zda byla přenášená data nějakým způsobem pozměněna bez dovolení

Mezi dnes používané protokoly VPN patří:

  • PPTP
  • L2TP/IPsec
  • IKEv2 (/IPsec)
  • OpenVPN
  • WireGuard®
  • SSTP
  • SoftEther
  • Cisco AnyConnect (a jeho open-source varianta OpenConnect) – tyto protokoly jsou používány téměř výhradně podnikovými intranety VPN, nikoli komerčními službami VPN, jako je Proton VPN.

Další informace o protokolech VPN

Další informace o protokolu WireGuard

Co je PPTP VPN?

Historie

Specifikace pro PPTP, kterou vyvinulo konsorcium založené společností Microsoft, byla navržena pro vytváření připojení VPN přes vytáčené sítě a byla zveřejněna v roce 1999. Microsoft rychle přidal podporu PPTP do systému Windows 95, což vedlo k tomu, že se rychle stal výchozím protokolem VPN pro podnikové intranety po celém světě.

Podpora

Za posledních více než 20 let byla podpora PPTP zabudována do téměř každé platformy s podporou VPN a nadále je nativně podporována v systémech Windows 11, Android 12, ve většině distribucí Linuxu a v drtivé většině routerů s podporou VPN.

Společnost Apple však v roce 2018 podporu PPTP ze systémů iOS 10+ a macOS 10.12 Sierra odebrala(nové okno) a doporučila jej nepoužívat ani ve starších verzích svých operačních systémů.

Nedávné verze systému Chrome OS nepodporují PPTP přímo, ale na Chromebookech, které podporují Obchod Google Play, je možné připojení PPTP nakonfigurovat pomocí subsystému Android.

Jak to funguje

PPTP je tunelovací protokol(nové okno), sám o sobě to není kompletní protokol VPN. Šifrování a ověření zajišťuje Point-to-Point Protocol(nové okno) (PPP), ale PPP neobsahuje žádný směrovací mechanismus pro nasměrování paketů do jejich cíle.

PPTP navazuje připojení TCP k serveru VPN přes port 1723 a přebaluje IP pakety PPP pomocí protokolu Generic Routing Encapsulation(nové okno) (GRE). Tyto pakety jsou šifrovány pomocí Microsoft Point-to-Point Encryption(nové okno) (MPPE), který využívá proudovou šifru RSA RC4(nové okno) s maximální velikostí klíče 128 bitů.

Ověření se obvykle provádí pomocí protokolu MS-CHAP (nyní v2). (Je možné(nové okno) použít bezpečnější AEP-TLS, ale to vyžaduje implementaci systému serverových certifikátů, což do značné míry popírá výhody použití PPTP.)

Rychlost

PPTP je velmi jednoduchý a nenáročný protokol VPN. To zajišťuje dobrý rychlostní výkon (zejména na zařízeních s nízkým procesorovým výkonem) a dobrou výdrž baterie na mobilních zařízeních. To platí zejména ve srovnání s mnohem bezpečnějším (ale také těžkopádnějším) protokolem OpenVPN.

Bezpečnost

Je známo, že PPTP má řadu kritických bezpečnostních problémů. Jedním z nejzávažnějších je možnost nezazapouzdřeného ověření MS-CHAP v2, což může útočníkovi umožnit využít kryptografické slabiny k získání přihlašovacích údajů uživatele.

Nástroje, které v roce 2012 poprvé vydal kryptografická legenda Moxie Marlinspike, umožňují s využitím tohoto exploitu prolomit PPTP za méně než den(nové okno). Tato chyba vedla samotný Microsoft k tomu, že doporučil(nové okno) místo toho používat L2TP/IP, IKEv2, IPsec nebo SSTP.

V roce 2019 vydal Microsoft také „Prohlášení o použitelnosti(nové okno)“, ve kterém uvádí, že metoda ověření používaná protokolem MS-CHAP v2 je náchylná ke slovníkovým útokům(nové okno). Aby toho nebylo málo, šifra RC4, kterou PPTP používá k šifrování dat, je zranitelná vůči útokům typu bit-flipping(nové okno).

Nebylo proto žádným velkým překvapením, když v roce 2014 týdeník Der Spiegel (nové okno)zveřejnil dokumenty získané od whistleblowera Edwarda Snowdena, které potvrdily, že americká NSA nemá s přístupem k datům zabezpečeným pomocí PPTP téměř žádný problém.

Přísný tajný snímek získaný od Edwarda Snowdena podrobně popisující, jak NSA snadno prolamuje šifrování PPTP

Odolnost vůči cenzuře

PPTP používá port TCP 1723 a pakety zapouzdřené pomocí GRE používají číslo protokolu IP(nové okno) 47, přičemž obojí lze snadno zablokovat pomocí firewallu.

Shrnutí

PPTP není bezpečný protokol VPN a nikdy by se neměl používat v situacích, kdy je bezpečnost důležitým faktorem.

Snadné použití, nenáročnost a téměř všudypřítomná podpora znamenají, že může být stále užitečný v situacích, kdy bezpečnost není problémem. Mezi příklady použití patří situace, kdy potřebujete obejít omezování rychlosti ze strany IPS, odblokovat geograficky omezené weby a streamovat obsah služby Netflix, který máte předplacený, při cestách do zahraničí.

V Proton VPN jsme však přesvědčeni, že kvůli bezpečnostním slabinám je tento zastaralý protokol pro daný účel nevhodný a že je od moderních komerčních služeb VPN nezodpovědné nabízet PPTP svým uživatelům jako jednu z možností.

V Proton VPN nabízíme pouze kryptograficky bezpečné protokoly VPN implementované s nejvyšším nastavením zabezpečení. Mezi tyto protokoly patří:

  • OpenVPN 
  • IKEv2
  • WireGuard

Často kladené otázky

Který port PPTP používá?

PPT používá port TCP 1723.

Co je PPTP passthrough?

Všechny routery používají překlad síťových adres (NAT) k mapování příchozích a odchozích připojení k místním zařízením, která jsou k nim připojena. Ne všechny routery však vědí, co si počít s pakety, které byly zašifrovány pomocí starších protokolů VPN, jako jsou PPTP, IPSec a L2TP.

Aby router mohl zpracovávat síťový provoz využívající tyto protokoly VPN, musí podporovat funkci VPN passthrough. Pokud ji nepodporuje, bude síťový provoz VPN routerem blokován. Funkce PPTP passthrough nahrazuje základní protokol GRE používaný technologií PPTP vylepšenou verzí, která obsahuje ID volání (call ID), jež může router použít k identifikaci klientů PPTP a správnému směrování jejich paketů.

Většina moderních routerů obsahuje funkci VPN passthrough, která dokáže zpracovat všechny běžné protokoly VPN, kterých se tento problém týká (včetně PPTP). Moderní protokoly VPN, jako jsou OpenVPN, IKEv2 a WireGuard, se navíc s tímto problémem nepotýkají, protože byly navrženy tak, aby jej řešily.

Potřebuji klienta PPTP?

Většina zařízení a operačních systémů s podporou VPN obsahuje nativního klienta PPTP VPN. Významnou výjimkou jsou zařízení Apple, která již PPTP nepodporují. Ze strany společnosti Apple se jedná o dobrý krok, protože modernější protokoly VPN dokážou vše, co PPTP, a zároveň jsou mnohem bezpečnější.