Издание на hostapd и wpa_supplicant 2.10

След около година и половина на разработка е подготвеното издание hostapd/wpa_supplicant 2.10, комплект за осигуряване на работа с безжични протоколи IEEE 802.1X, WPA, WPA2, WPA3 и EAP, включващ приложението wpa_supplicant за свързване с безжичната мрежа в ролята на клиент и фоновия процес hostapd за осигуряване на работата на точката за достъп и сървъра за удостоверяване, включващ такива компоненти като WPA Authenticator, клиент/сървър за удостоверяване RADIUS, сървър EAP. Изходните кодове на проекта се разпространяват под лицензията BSD.

В допълнение към функционалните промени в новата версия, е блокиран нов вектор на атака през странни канали, засягащ метода за съгласуване на връзките SAE (Simultaneous Authentication of Equals) и протокола EAP-pwd. Злоумишленик, който има възможност да изпълнява непривилегирован код на системата на потребителя, свързващ се с безжичната мрежа, може чрез проследяване на активността в системата да получи информация за характеристиките на паролата и да я използва за опростяване на подбора на паролата в офлайн режим. Проблемът е причинен от изтичането на информация за характеристиките на паролата през странни канали, което позволява на злонамерен потребител, въз основа на косвени данни, като например изменението на закъсненията при изпълнение на операции, да уточни правилността на подбора на части от паролата по време на процеса на подбор.

В противовес на подобни проблеми, отстранени през 2019 година, новата уязвимост е причинена от факта, че външните криптографски примитиви, използвани във функцията crypto_ec_point_solve_y_coord(), не осигурявали постоянно време за изпълнение на операциите, независимо от характера на обработваните данни. На базата на анализа на поведението на кеша на процесора, нападател, който има възможност да стартира непривилегирован код на същото ядро на процесора, би могъл да получи информация за хода на изпълнение на операциите с паролата в SAE/EAP-pwd. Проблемът засяга всички версии на wpa_supplicant и hostapd, компилирани с поддръжка за SAE (CONFIG_SAE=y) и EAP-pwd (CONFIG_EAP_PWD=y).

Други промени в новите версии на hostapd и wpa_supplicant:

• Добавена е възможността за компилиране с криптографската библиотека OpenSSL 3.0.
• Реализиран е предложеното в обновлението на спецификацията WPA3 механизъм Beacon Protection, предназначен за защита от активни атаки на безжичната мрежа, манипулиращи изменението на Beacon кадри.
• Добавена поддръжка на протокола DPP 2 (Wi-Fi Device Provisioning Protocol), който определя метода на автентикация с открит ключ, използван в стандарта WPA3 за улесняване на настройката на устройства без екранен интерфейс. Настройката се извършва с помощта на друго, по-напреднало устройство, вече свързано с безжичната мрежа. Например, настройките за IoT устройство без екран могат да бъдат зададени от смартфон чрез сканиране на QR код, отпечатан на корпуса.
• Добавена поддръжка на разширени идентификатори на ключове (Extended Key ID, IEEE 802.11-2016).
• В реализирания метод за осигуряване на връзки SAE е добавена поддръжка на механизма за защита SAE-PK (SAE Public Key). Реализиран е режим за мигновено изпращане на потвърждение, активиран с опцията „sae_config_immediate=1“, както и механизъм hash-to-element, задействан при задаване на параметъра sae_pwe на стойности 1 или 2.
• В реализацията на EAP-TLS е добавена поддръжка на TLS 1.3 (деактивирана по подразбиране).
• Добавени са нови настройки (max_auth_rounds, max_auth_rounds_short) за промяна на лимитите на броя EAP съобщения в процеса на автентикация (промяната на лимитите може да е необходима при използване на много големи сертификати).
• Добавена е поддръжка на механизма PASN (Pre Association Security Negotiation) за установяване на защитена връзка и защита на обмена на управляващи кадри на по-ранен етап на свързване.
• Реализиран е механизъм Transition Disable, позволяващ автоматично да се деактивира режимът за роуминг, допускащ превключване между точки за достъп при движение, за да се увеличи сигурността.
• От стандартните сборки е изключена поддръжката на протокола WEP (за да възстановите поддръжката на WEP, е необходима ребилд с опцията CONFIG_WEP=y). Премахната е остарялата функционалност, свързана с протокола IAPP (Inter-Access Point Protocol). Прекратена е поддръжката на libnl 1.1. Добавена е опция за сборка CONFIG_NO_TKIP=y за сборка без поддръжка на TKIP.
• Отстранени са уязвимости в реализирания UPnP (CVE-2020-12695), в обработчика P2P/ Wi-Fi Direct (CVE-2021-27803) и механизма за защита PMF (CVE-2019-16275).
• От специфичните за hostapd промени може да се отбележи разширение на поддръжката на безжични мрежи HEW (High-Efficiency Wireless, IEEE 802.11ax), включително възможността за използване на честотния диапазон 6 GHz.
• Промени, специфични за wpa_supplicant:
  • Добавена е поддръжка на настройки на режима на точка за достъп за SAE (WPA3-Personal).
  • За каналите EDMG (IEEE 802.11ay) е реализирана поддръжка на режима P2P.
  • Подобрено прогнозирането на пропускната способност и избора на BSS.
  • Разширен интерфейсът за управление чрез D-Bus.
  • Добавен е нов бекенд за съхранение на пароли в отделен файл, позволяващ прехвърлянето на конфиденциална информация от основния конфигурационен файл.
  • Добавени са нови политики за SCS, MSCS и DSCP.

Източник: opennet.ru