ブロードバンドルーターのPPTP機能を使用してVPNを組んでいます。

PPTPの仕組みやネットーワークについて詳しくなく、すこし不安なのですが、
PPTP接続に使用するIDとパスワードがフィッシングされ、盗まれる可能性はあるでしょうか?

条件は以下の通りです。

PPTPサーバー、クライアントともに固定IPではなく、PPTPサーバーのほうは、ダイナミックDNSでホスト名を割り当てています。
PPTPクライアントからは、ダイナミックDNSで割り当てたホスト名に対してPPTP接続しに行く。
(A) ダイナミックDNSの設定が、何らかの方法で、自分が意図したIP(自分の立てたPPTPサーバー)とは別のIP(フィッシングマシン)が
設定されてしまう。(具体的にはDynDNSというフリーのダイナミックDNSサービスを利用しています。)
(B) DNSポイズニングにより、自分の設定しているダイナミックDNSのホスト名が別のIP(フィッシングマシン)を指してしまう。

500文字制限に引っかかってしまったので、詳細(続き)を
http://okwave.jp/qa4356334.html
に書きました。こちらもあわせて参照してもらえると幸いです。

回答の条件
  • 1人2回まで
  • 登録:2008/09/25 20:33:31
  • 終了:2008/10/02 10:28:34

回答(1件)

id:youku554 No.1

youku554回答回数95ベストアンサー獲得回数02008/09/27 02:42:46

ないです

id:HYU-GA

申し訳ありませんが、「ない」という理由、技術的根拠の簡単な解説、

または、ネット上の分かりやすい解説サイト等のソース、など

示していただけないでしょうか。

RFCなど、技術仕様書のようなものは、避けていただけると幸いです。


http://okwave.jp/qa4356334.html

のほうで、すこしやりとりがあり、

それを踏まえて、今のところ、以下のように解釈しています。


PPTPクライアントで、認証方式を「MS-CHAPv2」に固定していた場合、

PPTP接続要求時のユーザー名は、

偽サーバーに平文で送信してしまうため、盗まれてしまうが、

パスワードは、暗号化されたパスワードを送信する(*)ため、

偽サーバーに取得されることは無い。

PPTPの仕組み上、

取得したユーザー名と、(*)で取得した暗号化済みのパスワードを利用して、正しいサーバーへPPTP接続要求を行っても、認証がとおらない。

PPTPサーバーでは、

クライアントから送信された暗号化済みパスワードを復号して確認するのではなく、

送られてきた暗号化されたパスワードと、サーバー側で設定した

パスワードを暗号化したものを比較して、パスワードが正しいことを

確認している、ということでいいのか?(疑問)

復号できてしまっては、結局パスワードがもれてしまうことに

なってしまうと思うので。

PPTPクライアントで、認証方式を「自動認証」にしていた場合、

偽PPTPサーバーが、暗号化しない認証方式を要求すると、

平文でID/パスワードを送信してしまい、ID/パスワードが

漏洩してしまう。

現時点では、以上のような解釈です。

2008/09/27 16:59:10
  • id:HYU-GA
    http://okwave.jp/qa4356334.html
    の文中で、「IPとパスワード」と書いているところがありますが、
    正しくは「IDとパスワード」でした。
    大変失礼しました。

  • id:HYU-GA
    はてなでは有用な回答が得られなかったため、質問をキャンセルしました。

    OKWave
    http://okwave.jp/qa4356334.html
    では、すこし有益な回答を得られたため、
    こちらでも、私の最終的な解釈をまとめておきます。

    ---
    ホスト名を指定して、PPTP接続を行っている場合、
    ダイナミックDNSの設定乗っ取りや、DNSポイズニング等によって、
    偽PPTPサーバーへ接続しに行く可能性がある。
    偽サーバーへ繋がった場合、PPTP接続用のID/パスワードは奪われる可能性がある。

    DNSポイズニングの心配が十分に低い、かつ、信頼できるDNSサーバーを利用している場合に限り
    サーバーに、ホスト名を指定したPPTP接続を安全に使用できる。

    フリーのダイナミックDNS等は、
    第3者によるIP設定の変更が比較的簡単に行えるものも多いので、
    危険である。

    PPTPサーバーは固定IPアドレスにし、PPTPサーバーへ接続しに行く際は、
    DNSの名前解決に頼ったホスト名での接続ではなく、
    IPアドレスを直接指定してアクセスしに行くことで、十分に安全なPPTP接続を行える。

この質問への反応(ブックマークコメント)

「あの人に答えてほしい」「この質問はあの人が答えられそう」というときに、回答リクエストを送ってみてましょう。

これ以上回答リクエストを送信することはできません。制限について

絞り込み :
はてなココの「ともだち」を表示します。
回答リクエストを送信したユーザーはいません