Издание на hostapd и wpa_supplicant 2.10

След една година и половина развитие, беше подготвен выпуск на hostapd/wpa_supplicant 2.10, комплект за осигуряване на работата на безжични протоколи IEEE 802.1X, WPA, WPA2, WPA3 и EAP, включващ приложението wpa_supplicant за свързване към безжична мрежа в ролята на клиент и фонова програма hostapd за осигуряване на работа на точка за достъп и сървър за удостоверяване, включваща компоненти като WPA Authenticator, клиент/сървър за удостоверяване RADIUS, сървър EAP. Изходните текстове на проекта се разпространяват под лицензия BSD.

В допълнение към функционалните промени в новата версия, е блокиран нов вектор на атака по странични канали, засягащ метода за координиране на връзките SAE (Simultaneous Authentication of Equals) и протокола EAP-pwd. Злоумишленик, който има възможност да изпълни непривилегирован код на системата на потребителя, свързващ се с безжичната мрежа, може чрез проследяване на активността в системата да получи информация за характеристиките на паролата и да ги използва за опростяване на подбора на парола в offline режим. Проблемът е предизвикан от изтичане по странични канали на информация за характеристиките на паролата, които позволяват по косвени данни, като изменение на закъсненията при изпълнение на операции, да се уточни правилността на избора на части от паролата по време на нейното подбиране.

В контекста на подобни проблеми, решени през 2019 година, новата уязвимост е предизвикана от факта, че външните криптографски примитиви, използвани в функцията crypto_ec_point_solve_y_coord(), не осигурявали постоянно време на изпълнение на операциите, независимо от характера на обработваните данни. На база анализа на поведението на кеша на процесора, атакуващият, който има възможност да стартира непривилегирован код на същото ядро на процесора, може да получи информация за протичането на операциите с паролата в SAE/EAP-pwd. Проблемът засяга всички версии на wpa_supplicant и hostapd, компилирани с поддръжка на SAE (CONFIG_SAE=y) и EAP-pwd (CONFIG_EAP_PWD=y).

Други промени в новите версии на hostapd и wpa_supplicant:

• Добавена е възможност за сборка с криптографската библиотека OpenSSL 3.0.
• Реализиран е предложен от актуализацията на спецификацията WPA3 механизъм Beacon Protection, предназначен за защита от активни атаки на безжичната мрежа, манипулиращи промените на кадрите Beacon.
• Добавена е поддръжка на протокол DPP 2 (Wi-Fi Device Provisioning Protocol), който определя метод за удостоверяване с публични ключове, използван в стандарта WPA3 за опростена конфигурация на устройства без екранен интерфейс. Конфигурацията се извършва с помощта на друго по-напреднало устройство, вече свързано към безжичната мрежа. Например, параметрите за IoT устройство без екран могат да се зададат от смартфон въз основа на снимка на QR код, отпечатан на корпуса;
• Добавена е поддръжка на разширени идентификатори на ключове (Extended Key ID, IEEE 802.11-2016).
• В реализацията на метода за съгласуване на връзки SAE е добавена поддръжка на механизма за защита SAE-PK (SAE Public Key). Включен е режим за незабавно изпращане на потвърждение чрез опцията „sae_config_immediate=1“, както и механизъм hash-to-element, активиран при задаване на параметъра sae_pwe на стойности 1 или 2.
• В реализацията на EAP-TLS е добавена поддръжка на TLS 1.3 (деактивирана по подразбиране).
• Добавени са нови настройки (max_auth_rounds, max_auth_rounds_short) за промяна на лимитите на броя на EAP съобщенията в процеса на удостоверяване (промяната на лимитите може да е необходима при използването на много големи сертификати).
• Добавена е поддръжка на механизма PASN (Pre Association Security Negotiation) за установяване на защитена връзка и защита на обмена на управленски кадри на по-ранен етап от свързването.
• Реализиран е механизмът Transition Disable, който позволява автоматично да се деактивира режимът на роуминг за засилване на сигурността, допускащ превключване между точки за достъп по време на движение.
• От стандартните сборки е изключена поддръжката на протокола WEP (за възстановяване на поддръжката на WEP е необходима пренастройка с опцията CONFIG_WEP=y). Премахната е остаряла функционалност, свързана с протокола IAPP (Inter-Access Point Protocol). Поддръжката на libnl 1.1 е спряна. Добавена е опцията CONFIG_NO_TKIP=y за сборка без поддръжка на TKIP.
• Отстранени са уязвимости в реализацията на UPnP (CVE-2020-12695), в обработчика P2P/Wi-Fi Direct (CVE-2021-27803) и механизма за защита PMF (CVE-2019-16275).
• От специфичните за hostapd изменения можем да отбележим разширената поддръжка на безжични мрежи HEW (High-Efficiency Wireless, IEEE 802.11ax), включително възможността за използване на честотния диапазон 6 GHz.
• Промени, специфични за wpa_supplicant:
  • Добавена е поддръжка на настройки за режим на точка за достъп за SAE (WPA3-Personal).
  • За каналите EDMG (IEEE 802.11ay) е реализирана поддръжка на режима P2P.
  • Подобрено прогнозиране на пропускната способност и избор на BSS.
  • Разширен интерфейс за управление чрез D-Bus.
  • Добавен е нов бекенд за съхранение на пароли в отделен файл, позволяващ извеждане на конфиденциална информация от основния конфигурационен файл.
  • Добавени нови политики за SCS, MSCS и DSCP.

Източник: opennet.ru