След две години и половина разработка, е публикувана версията hostapd/wpa_supplicant 2.11, набор от средства за работа с безжични протоколи IEEE 802.1X, WPA, WPA2, WPA3 и EAP. Част от набора включва приложението wpa_supplicant за свързване към безжичната мрежа в роля на клиент и фоновия процес hostapd за осигуряване на работа на точка за достъп и сървър за аутентификация, който включва компоненти като WPA Authenticаtor, клиент/сървър за аутентификация RADIUS и EAP сървър. Изходният код на проекта се разпространява под лиценцията BSD.
Основни промени в новите версии на hostapd и wpa_supplicant:
- Добавена е начална поддръжка за Wi-Fi 7 (EHT/IEEE 802.11be) и подобрена поддръжка за Wi-Fi 6 (HE/IEEE 802.11ax).
- Добавена е поддръжка за третата версия на протокола DPP (Device Provisioning Protocol), известен в обихода като «Wi-Fi Easy Connect», както и осигурена възможност за предаване на параметри с настройки на Wi-Fi чрез DPP. Протоколът DPP предлага опростена настройка на безжични устройства без екранен интерфейс, използвайки друго, по-усъвършенствано устройство, вече свързано към безжичната мрежа. DPP се основава на аутентификация с открит ключ, например, параметрите за IoT устройство без екран могат да се зададат от смартфон, базиран на QR код, отпечатан на корпуса и кодиращ открития ключ.
- Добавена е поддръжка за измененията в API, предложени в клона на криптографската библиотека OpenSSL 3.0.
- В реализацията на протоколите за аутентификация EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) и EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement), е добавена поддръжка на механизма за осигуряване на конфиденциалност на идентификатора на абоната в мобилната мрежа, изключваща разкриването на IMSI при свързване с точка за достъп.
- Добавена е поддръжка за режимите на работа на SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) с променлив размер на ключовете.
- Добавена е поддръжка за вариант на AKM (Authentication and Key Management) на базата на хешове SHA384.
- В реализацията на механизма PASN (Pre Association Security Negotiation), използван за установяване на защитено съединение и защита на управлението на кадри на ранния етап на свързване, е осигурена поддръжка на технологията «secure ranging» за безопасно определяне на разстоянието между две Wi-Fi устройства.
- Добавена поддръжка на механизма USD (Unsynchronized Service Discovery), който опростява откритията на услуги от безжични устройства.
- Добавена поддръжка за експлицитна защита на SSID при четиристепенно споразумение за свързване. Защитата се активира чрез опцията «ssid_protection=1» и блокира уязвимостта CVE-2023-52424, която позволява свързване с по-малко защитена безжична мрежа.
- Промени, специфични за hostapd:
- Добавена поддръжка за фоново откритие на смущения от радарни системи, работещи в същите честотни диапазони (при откритие се извършва превключване на други честоти). Също така е добавена поддръжка за механизма CAC (Channel Availability Check), предназначен за прослушване на канала преди използване с цел проверка на неговата заетост от радарната система.
- В изпълнението на метода за споразумение за свързвания SAE (Simultaneous Authentication of Equals) се предоставя възможност за запитване на парола от RADIUS-сервера.
- Добавена поддръжка за проверки на ACL (Access-Control List) и PSK (Pre-Shared Key) с използване на протокола RADIUS по време на споразумението за свързване (wpa_psk_radius=3).
- В изпълнението на механизма ACS (Automatic Channel Selection) при избор на използвания канал е осигурено отчитайки пропускателната способност и типовете канали.
- Разширена е поддръжката за използване на един и същ достъпна точка с няколко идентификатора BSSID (Basic Service Set Identifier) за осигуряване на работа на виртуални безжични мрежи.
- Добавена е начална поддръжка за използване на TLS за криптиране на запитванията по протокола RADIUS.
- Промени, специфични за wpa_supplicant:
- В изпълнението на стандарта MACsec (IEEE 802.1AE), предоставящ средства за защита на канала за предаване на данни, е предоставена възможност за използване на шифриращия набор GCM-AES-256 и е добавена поддръжка за хардуерно ускорение чрез преминаване на операциите на страната на мрежовия адаптер.
- Подобрена е поддръжката за EAP-TLS за TLSv1.3.
- Укрепена е защитата от DoS-атаки при използване на PMF (Protected Management Frames).
- Подобрен е роумингът между AKM (Authentication and Key Management) при избора на SME/BSS (Service Management Entity/Basic Service Set) от драйвера.
- Предоставена е възможност за използване на механизма PASN (Protected Access Secure Negotiation) с външни програми.
- Добавена е поддръжка за използване на предварително генерирани MAC адреси (mac_addr=3) вместо генериране на случаен MAC за всяка мрежа.
- По подразбиране е активирана втората фаза на автентикация (phase2_auth=1) за протокола EAP-PEAP, която предполагава автентикация на клиента в защитен тунел.
- Разширена е поддръжката на технологията MSCS (Multi-Streaming Channel Switching), което позволява на устройството да превключва между множество канали.
- Разширена е поддръжката на технологията SCS (Spatial Channel Switching) за приоритетна обработка на важен трафик при използване на QoS.
Източник: opennet.ru
