PPTP VPN Sicherheit

[M_ars]

Hi Leute,

kann mir jemand erklären, ob einer meine PPTP VPN (Router mit TomatoUSB) Verbindung knacken kann wenn der Angreifer keinen Mitschnitt einer erfolgreichen Anmeldung hat? Sprich, wenn jemand versucht eine Verbindung aufzubauen ohne Passwort/Username sollte es doch nicht möglich sein den Server zu knacken?

Hintergrund: Seit ein paar Tagen habe ich eine IP aus China in der Log-Datei, die versucht auf den PPTP Server zugriff zu erhalten. Kann es hier zu Problemen kommen? Brute Force etc... ? (Die Passwörter für die User haben jeweils 32 Zeichen und mehr)

Was meint ihr?

Hier steht auch nur was vom Anmeldevorgang (wenn jemand "belauscht" wird?)
Microsoft warnt vor PPTP und MS-CHAP | heise Security

Eine Handy-VPN-Verbindung (über GSM/UMTS-Netz) zu belauschen stelle ich mir nicht einfach vor...

 

[_Creep]

Meinem Verständnis nach ja. Allerdings habe ich deshalb schon auf L2TP/IPsec umgestellt, PPTP/Ms-Chapv2 hat ausgedient.

 

[M_ars]

Ja? du meinst er kann Sie ohne Mitschnitt eines Anmeldevorgangs knacken?

 

[TheBigG]

PPTP/Ms-Chapv2 hat ausgedient.

Dem ist auch so, wer noch auf PPTP setzt kann auch gleich ganz die Verschlüsselung weglassen, die Schwachstellen sind seit Ewigkeiten bekannt und es gibt genügend alternativen.

 

[M_ars]

Dem ist auch so, wer noch auf PPTP setzt kann auch gleich ganz die Verschlüsselung weglassen, die Schwachstellen sind seit Ewigkeiten bekannt und es gibt genügend alternativen.

stimmt natürlich, pptp ist in die Jahre gekommen und hat bekannte schwachstellen --> aber nicht jedes Gerät unterstützt OpenVPN und co.
Aber kann jemand meine Frage beantworten?

 

[Taker]

Das wichtigste wurde genannt, würde ebenfalls auf IPSec wechseln

 

[Schlingel_INV]

Ja kann er. Der Server verrät bei der fehlerhaften Anmeldung zu viel. Es gab dazu nen schönen Artikel. Google sollte helfen (Stichwort PPTP und 200$).

 

[M_ars]

Den Artikel den du meinst habe ich in meinem ersten Beitrag aufgeführt. Somit kann der Angreifer nur bei erfolgreichem Mitschnitt einer Anmeldung den Code bzw. die Verbindung knacken.