12.1.2 Обеспечение безопасности

Протокол РРТР позволяет использовать все средства аутентификации и шифрования, доступные компьютерам, поддерживающим связь по протоколу РРР. Кроме того, можно настроить сервер РРТР так, чтобы он игнорировал любые пакеты, кроме пакетов РРТР.

Сервер удаленного доступа провайдера может потребовать проведения аутентификации от клиента (чаще всего для подсчета времени сеанса связи с последующим внесением в счет к оплате). При этом метод аутентификации определяется возможностями клиента и сервера, а также политикой безопасности, принятой на них.

Сервер РРТР отвечает за безопасность доступа к локальной сети и поэтому проводит аутентификацию всех клиентов РРТР сразу после установки туннеля. При этом используются стандартные протоколы аутентификации РРР. Например, если на сервере РРТР используется служба Windows NT RAS, то могут применяться протоколы CHAP и РАР. При этом, как обычно, для аутентификации используется база данных пользовательских бюджетов Windows NT, управляемая с помощью приложения User Manager for Domains и обеспечивающая централизованное управление. Следует заметить, что удаленный сеанс, организованный с помощью РРТР. более уязвим для программ, которые с по­мощью повторяющихся попыток подбирают сочетание "имя пользователя-пароль". Поэтому особенно важным является правильное использование политики бюджетов, с помощью которой можно установить блокировку бюджета после определенного количества неудавшихся попыток регистрации и предписать выбор трудных для угадывания паролей, которые должны содержать буквы в обоих регистрах, цифры и специальные символы.

При шифровании данных используется способ, реализованный в конкретной системе удаленного доступа. В самом стандарте РРТР такой способ не предусмотрен. Например, в службе Windows NT RAS используется процесс шифрования с помощью известного обеим сторонам соединения пароля, в качестве которого служит пароль пользователя. Другие методы шифрования используют технологию общего ключа.

Таким образом, технология РРТР использует алгоритм шифрования, который реализован фирмой-разработчиком средств удаленного доступа в качестве расширения протокола РРР. Для согласования технологии шифрования между клиентом и сервером используется один из протоколов группы NCP - протокол ССР (Compression Control Protocol - протокол управления сжатием).

Имя пользователя и пароль доступны как на клиенте РРТР, так и на сервере РРТР. Ключ шифрования длиной 40 бит, генерируется для сеанса из хэшированного пароля. При этом используется стандарт RSA RC4. С помощью этого ключа шифруются все данные, отправляемые через Internet, что обеспечивает безопасность удаленного соединения.

Данные в кадре РРР шифруются. Кадр РРР, содержащий блок зашифрованных данных, помещается в поле данных пакета IP для отправки на сервер РРТР через Internet. Если злоумышленник сможет перехватить этот пакет, то он сможет распознать только заголовок кадра в формате той физической сети, где был перехвачен пакет, заголовок IP, и заголовок РРР, за которым следует блок зашифрованных данных. Расшифровать эти данные он не сможет.

Для того, чтобы повысить безопасность системы, можно задействовать фильтрацию пакетов РРТР. Фильтрация предусматривает блокирование сервером удаленного доступа предприятия любого другого графика, приходящего из сети общего пользования или уходящего в нее, кроме графика РРТР. Это позволяет обеспечить обмен данными с внешним миром только с помощью виртуальных частных сетей, обеспечивающих аутентификацию удаленных узлов и шифрование данных.

Управляющие сообщения РРТР используют порт протокола TCP с номером 1723, а для передачи инкапсулированных кадров РРР используется идентификатор протокола в заголовке IP, равный 47. Это позволяет использовать технологию РРТР вместе с большинством маршрутизаторов и межсетевых экранов. Для этого достаточно разрешить прохождение данных, предназначенных для TCP-порта с номером 1723 и данных с идентификатором протокола 47.

Применение межсетевых экранов позволяет значительно повысить общий уровень информационной безопасности в локальной сети, подсоединенной к Internet. Организация может разместить свой сервер РРТР в локальной сети, защищенной межсетевым экраном. При этом сервер РРТР будет принимать от межсетевого экрана пакеты, полученные из Internet, извлекать из них кадры РРР, расшифровывать пакеты IP из поля данных этих кадров и отправлять эти пакеты компьютерам в локальной сети, для которых они предназначены.