Пасля паўтары гадоў распрацоўкі падрыхтаваны выпуск hostapd/wpa_supplicant 2.10, набору для забеспячэння працы бесправадных пратаколаў IEEE 802.1X, WPA, WPA2, WPA3 і EAP, які складаецца з прыкладання wpa_supplicant для падлучэння да бесправадной сеткі ў ролі кропкі кліента і фонавага працэсу hostapd для забеспячэння працы і сервера аўтэнтыфікацыі, які ўключае такія кампаненты як WPA Authenticator, кліент/сервер аўтэнтыфікацыі RADIUS, сервер EAP. Зыходныя тэксты праекту распаўсюджваюцца пад ліцэнзіяй BSD.
Акрамя функцыянальных змен у новай версіі блакаваны новы вектар нападу па іншых каналах, які закранае метад узгаднення злучэнняў SAE (Simultaneous Authentication of Equals) і пратакол EAP-pwd. Зламыснік, які мае магчымасць выканання непрывілеяванага кода на сістэме карыстальніка, які падключаецца да бесправадной сеткі, можа праз адсочванне актыўнасці ў сістэме атрымаць звесткі аб характарыстыках пароля і выкарыстоўваць іх для спрашчэння падбору пароля ў offline-рэжыме. Праблема выклікана ўцечкай па іншых каналах інфармацыі аб характарыстыках пароля, якія дазваляюць па ўскосных дадзеных, такім як змена затрымак пры выкананні аперацый, удакладніць правільнасць выбару частак пароля падчас яго падбору.
У адрозненне ад падобных праблем, ухіленых у 2019 годзе, новая ўразлівасць выклікана тым, што знешнія крыптаграфічныя прымітывы, якія выкарыстоўваюцца ў функцыі crypto_ec_point_solve_y_coord(), не забяспечвалі пастаянны час выканання аперацый, які не залежыць ад характару апрацоўваных дадзеных. На аснове аналізу паводзін працэсарнага кэша атакавалы, мелы магчымасць запуску непрывілеяванага кода на тым жа ядры працэсара, мог атрымаць інфармацыю аб ходзе выканання аперацый з паролем у SAE/EAP-pwd. Праблеме схільныя ўсе версіі wpa_supplicant і hostapd, сабраныя з падтрымкай SAE (CONFIG_SAE=y) і EAP-pwd (CONFIG_EAP_PWD=y).
Іншыя змены ў новых выпусках hostapd і wpa_supplicant:
- Дададзена магчымасць зборкі з крыптаграфічнай бібліятэкай OpenSSL 3.0.
- Рэалізаваны прапанаваны ў абнаўленні спецыфікацыі WPA3 механізм Beacon Protection, прызначаны для абароны ад актыўных нападаў на бесправадную сетку, якія маніпулююць зменай кадраў Beacon.
- Дададзена падтрымка пратаколу DPP 2 (Wi-Fi Device Provisioning Protocol), вызначальнага метад аўтэнтыфікацыі па адчыненых ключах, задзейнічаны ў стандарце WPA3 для арганізацыі спрошчанай налады прылад без экраннага інтэрфейсу. Настройка ажыццяўляецца з выкарыстаннем іншай больш прасунутай прылады, ужо падлучанай да бесправадной сеткі. Напрыклад, параметры для IoT-прылады без экрана можна задаць са смартфона на аснове здымка QR-кода, надрукаванага на корпусе;
- Дададзена падтрымка пашыраных ідэнтыфікатараў ключоў (Extended Key ID, IEEE 802.11-2016).
- У рэалізацыю метаду ўзгаднення злучэнняў SAE дададзена падтрымка механізму абароны SAE-PK (SAE Public Key). Рэалізаваны рэжым імгненнай адпраўкі пацверджання, які ўключае опцыяй «sae_config_immediate=1», а таксама механізм hash-to-element, які ўключаецца пры выстаўленні параметра sae_pwe у значэнні 1 або 2.
- У рэалізацыю EAP-TLS дададзена падтрымка TLS 1.3 (адключана па змаўчанні).
- Дададзеныя новыя налады (max_auth_rounds, max_auth_rounds_short) для змены лімітаў на лік EAP-паведамленняў падчас аўтэнтыфікацыі (змена лімітаў можа запатрабавацца пры выкарыстанні вельмі вялікіх сертыфікатаў).
- Дададзена падтрымка механізму PASN (Pre Association Security Negotiation) для ўстаноўкі абароненага злучэння і абароны абмену кіруючымі кадрамі на раней стадыі падключэння.
- Рэалізаваны механізм Transition Disable, які дазваляе для ўзмацнення бяспекі аўтаматычна адключаць рэжым роўмінгу, які дапускае пераключэнне паміж кропкамі доступу па меры перасоўвання.
- Са зборак па змаўчанні выключана падтрымка пратаколу WEP (для вяртання падтрымкі WEP патрабуецца перазборка з опцыяй CONFIG_WEP=y). Выдалена састарэлая функцыянальнасць, звязаная з пратаколам IAPP (Inter-Access Point Protocol). Спынена падтрымка libnl 1.1. Дададзена зборачная опцыя CONFIG_NO_TKIP=y для зборкі без падтрымай TKIP.
- Ухілены ўразлівасці ў рэалізацыі UPnP (CVE-2020-12695), у апрацоўшчыку P2P/Wi-Fi Direct (CVE-2021-27803) і механізме абароны PMF (CVE-2019-16275).
- З спецыфічных для hostapd змен можна адзначыць пашырэнне падтрымкі бесправадных сетак HEW (High-Efficiency Wireless, IEEE 802.11ax), у тым ліку магчымасць выкарыстання частотнага дыяпазону 6 GHz.
- Змены, спецыфічныя для wpa_supplicant:
- Дададзена падтрымка настроек рэжыму кропкі доступу для SAE (WPA3-Personal).
- Для каналаў EDMG (IEEE 802.11ay) рэалізавана падтрымка рэжыму P2P.
- Палепшана прагназаванне прапускной здольнасці і выбар BSS.
- Пашыраны інтэрфейс кіравання праз D-Bus.
- Дададзены новы бэкэнд для захоўвання пароляў у асобным файле, які дазваляе вынесці канфідэнцыйную інфармацыю з асноўнага файла канфігурацыі.
- Дададзены новыя палітыкі для SCS, MSCS і DSCP.
Крыніца: opennet.ru