Połączenie VPN obsługiwane przez system Windows Server, w którym uwierzytelnienie użytkowników następuje przez niezabezpieczone połączenia, a dopiero po wymianie uwierzytelnień rozpoczyna się szyfrowanie połączenia, to
A. L2TP
B. SSTP
C. IPSEC
D. PPTP
Pytanie z egzaminu CKE, styczeń 2020 (arkusz EE.08-SG-20.01).
PPTP, czyli Point-to-Point Tunneling Protocol, pasuje do opisu z pytania, bo w tym rozwiązaniu najpierw zestawiany jest tunel i wykonywane jest uwierzytelnienie PPP, a dopiero później uruchamiane jest szyfrowanie MPPE. W praktyce oznacza to, że etap logowania użytkownika nie jest chroniony tak solidnie, jak w nowszych technologiach VPN. W Windows Server PPTP był kiedyś bardzo popularny, bo łatwo się go konfigurowało w usłudze Routing and Remote Access, działał z wieloma klientami i nie wymagał certyfikatów. No i to była jego zaleta administracyjna. Ale z punktu widzenia bezpieczeństwa jest to dziś raczej rozwiązanie historyczne. PPTP najczęściej korzystał z MS-CHAPv2, a ten mechanizm ma znane słabości kryptograficzne. Moim zdaniem warto kojarzyć PPTP właśnie jako prosty, stary VPN, w którym szyfrowanie pojawia się dopiero po wymianie danych uwierzytelniających. W dobrych praktykach branżowych zamiast PPTP zaleca się SSTP, L2TP/IPsec albo IKEv2/IPsec, szczególnie gdy chodzi o dostęp zdalny do firmowej sieci. W realnej administracji serwerem Windows lepiej nie wystawiać PPTP do Internetu, chyba że mówimy o laboratorium, starszym systemie albo zadaniu egzaminacyjnym.
W tym pytaniu łatwo pomylić różne rodzaje VPN, bo wszystkie służą do zdalnego dostępu i tworzenia tunelu, ale różnią się momentem oraz sposobem zabezpieczania komunikacji. SSTP nie pasuje do opisu, ponieważ działa przez HTTPS, zwykle na porcie TCP 443, i od początku opiera się na TLS. To oznacza, że połączenie jest zabezpieczane podobnie jak strona WWW z certyfikatem, więc nie jest to typowy przykład mechanizmu, gdzie uwierzytelnienie idzie najpierw niezabezpieczonym kanałem, a szyfrowanie zaczyna się dopiero później. SSTP jest często wygodny w sieciach, gdzie firewalle przepuszczają ruch HTTPS, dlatego w Windows bywa praktyczny. L2TP samo w sobie odpowiada głównie za tunelowanie, ale w środowiskach Windows prawie zawsze łączy się je z IPsec, czyli z warstwą odpowiedzialną za poufność, integralność i uwierzytelnienie pakietów. Przez to L2TP/IPsec jest zupełnie inną konstrukcją bezpieczeństwa niż PPTP. IPsec też nie jest poprawną odpowiedzią, bo to zestaw protokołów zabezpieczających ruch IP, a nie klasyczne połączenie VPN opisane w pytaniu jako mechanizm najpierw uwierzytelniający, a potem szyfrujący. Typowy błąd myślowy polega na tym, że ktoś widzi słowo VPN i wybiera najbezpieczniej brzmiącą opcję. Tutaj trzeba jednak patrzeć na szczegół techniczny: niezabezpieczony etap uwierzytelnienia i późniejsze szyfrowanie wskazują na PPTP. Z mojego doświadczenia najlepiej zapamiętać to tak: PPTP jest prosty i stary, SSTP korzysta z TLS, L2TP zwykle chodzi z IPsec, a IPsec jest fundamentem zabezpieczania ruchu, nie odpowiedzią na ten konkretny opis.