Microsoft patcht PPTP-Sicherheitslücken
Zusammenfassung
Microsoft veröffentlichte im August 1998 endgültige Patches für Sicherheitslücken in seiner Implementierung des Point-to-Point Tunneling Protocol. PPTP diente vor allem zum Aufbau von VPNs über das Internet; die Probleme waren Anfang Juni bekannt geworden. Das Sicherheitsbulletin 98-012 empfahl die Updates für DFÜ-Netzwerke unter Windows 95 und 98 sowie für RAS unter Windows NT 4.0.
Ideen
- PPTP sollte verteilte Rechner über TCP/IP sicher verbinden.
- Auf erste Hotfixes folgten erst Wochen später endgültige Patches.
- Lokalisierte Patches für Windows NT kamen später als die US-Versionen.
Einsichten
- Ein VPN-Protokoll ist nur so sicher wie seine konkrete Implementierung.
- Verzögerte lokalisierte Updates verlängern das Risiko für Nutzer außerhalb der USA.
Fakten
- Die Lücken betrafen DFÜ-Netzwerke unter Windows 95/98 und RAS unter Windows NT 4.0.
- Microsoft beschrieb die Updates im Sicherheitsbulletin 98-012.
Referenzen
Kritik
- Die Meldung nennt nicht, worin die Schwächen bestanden; die Analyse von Bruce Schneier und Mudge zu PPTP hätte Einordnung geboten.
Bemerkungen
- PPTP mit MS-CHAPv2 gilt heute als gebrochen und sollte nicht mehr eingesetzt werden; gängige Alternativen sind WireGuard, IPsec/IKEv2 oder OpenVPN.
Empfehlungen
- Ersetze verbliebene PPTP-Zugänge durch WireGuard, IPsec/IKEv2 oder OpenVPN.
- Warte bei sicherheitskritischen Patches nicht auf lokalisierte Versionen, wenn das Risiko hoch ist.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.