Le VPN Windows est-il sécurisé?

J'ai utilisé quelques solutions VPN au fil des ans. La plupart sont difficiles à configurer, lents à se connecter et / ou plutôt mal comportés (remplacement des pilotes système, interruption les uns des autres, etc.).

Une solution que je n'ai jamais utilisée auparavant est celle intégrée à Windows. C'est principalement parce que les gars de l'infrastructure refusent toujours de l'utiliser parce qu'ils prétendent que ce n'est pas sécurisé.

Maintenant, j'ai enfin eu la chance de l'utiliser (sur Windows 7), et wow, c'est un jeu d'enfant! Facile à configurer, bien comporté, il se connecte presque instantanément, s'authentifie automatiquement avec mes informations d'identification connectées et s'intègre parfaitement à l'interface utilisateur. Je dois dire que, à moins qu'il ne soit vraiment pas sécurisé, je serai heureux si je ne dois plus jamais utiliser un autre produit VPN.

Je suppose que le VPN Windows utilisé pour s'appuyer sur PPTP, qui n'est pas considéré comme sécurisé. Mais dans Windows 7/2008, il prend en charge L2TP / IPSec, SSTP et IKEv2 et s'authentifie avec EAP ou CHAP / CHAPv2. Cela me semble assez à jour.

Mais je suis juste un développeur modeste. Quelqu'un peut-il me donner des informations sur ce sujet?

Comme tout ce qui concerne la sécurité, cela dépend de la façon dont vous le configurez.

Il peut être configuré pour être très sécurisé. À un moment donné (Circa Win98), il a eu des problèmes. Depuis lors, MS l'a corrigé (Circa 1999). Il y a une cryptanalyse disponible ici ; En bout de ligne, les mots de passe des utilisateurs sont le maillon le plus faible (comme il se doit).

Une partie du problème de mot de passe utilisateur peut être atténuée en utilisant des certificats d'authentification client. Si vous disposez déjà d'une bonne infrastructure PKI, vous émettez probablement déjà automatiquement des certificats clients (ordinateurs). PPTP peut les utiliser pour prouver que l'ordinateur doit être autorisé à essayer une paire nom d'utilisateur / mot de passe. Cependant, les certificats ne sont pas requis et PPTP sera toujours aussi sécurisé que vos mots de passe.

MS fournit des articles sur la configuration de PPTP (y compris EAP / TLS) ainsi que de L2TP (L2TP nécessite des certificats / PKI) . Les deux sont pour Win2003, mais ils sont suffisants pour avoir une idée de ce qui est requis; et il existe des documents pour 2008. Comme indiqué dans les commentaires, toute variation de PAP et CHAP n'est pas sécurisée (car elle peut être forcée brutalement avec des ressources triviales).

Si votre service informatique vous dit que PPTP n'est pas sécurisé, soit il n'a pas suivi les problèmes (depuis <1999), soit il utilise "non sécurisé" comme dérivation pour une autre raison.

Pendant ce temps, la réponse de Chris est dépassée. PPTP n'est pas sécurisé comme le prouve Moxie Marlinspike . Par conséquent, seuls L2TP / IPSec, IPSec avec IKEv2 ou OpenVPN doivent être utilisés.