hostapd и wpa_supplicant версия 2.10

След година и половина разработка беше подготвено изданието на hostapd/wpa_supplicant 2.10, комплект за поддръжка на безжичните протоколи IEEE 802.1X, WPA, WPA2, WPA3 и EAP, състоящ се от приложението wpa_supplicant за свързване към безжична мрежа като клиент и фоновия процес hostapd за осигуряване на работа на точката за достъп и сървър за удостоверяване, включително компоненти като WPA Authenticator, RADIUS клиент/сървър за удостоверяване, EAP сървър. Изходният код на проекта се разпространява под BSD лиценз.

В допълнение към функционалните промени, новата версия блокира нов вектор за атака на страничен канал, засягащ SAE (едновременно удостоверяване на равни) метод за договаряне на връзката и протокола EAP-pwd. Хакер, който има способността да изпълни непривилегирован код в системата на потребител, свързващ се към безжична мрежа, може чрез наблюдение на дейността в системата да получи информация за характеристиките на паролата и да ги използва, за да опрости отгатването на паролата в офлайн режим. Проблемът е причинен от изтичане през канали на трети страни на информация за характеристиките на паролата, което позволява, въз основа на косвени данни, като промени в закъсненията по време на операции, да се изясни правилността на избора на части от паролата в процесът на избора му.

За разлика от подобни проблеми, коригирани през 2019 г., новата уязвимост е причинена от факта, че външните криптографски примитиви, използвани във функцията crypto_ec_point_solve_y_coord(), не осигуряват постоянно време за изпълнение, независимо от естеството на обработваните данни. Въз основа на анализа на поведението на кеша на процесора, нападател, който е имал възможността да изпълнява непривилегирован код на същото ядро ​​на процесора, може да получи информация за напредъка на операциите с парола в SAE/EAP-pwd. Проблемът засяга всички версии на wpa_supplicant и hostapd, компилирани с поддръжка за SAE (CONFIG_SAE=y) и EAP-pwd (CONFIG_EAP_PWD=y).

Други промени в новите версии на hostapd и wpa_supplicant:

• Добавена е възможност за изграждане с криптографската библиотека OpenSSL 3.0.
• Механизмът за защита на Beacon, предложен в актуализацията на спецификацията на WPA3, е внедрен, предназначен да защитава срещу активни атаки в безжичната мрежа, които манипулират промените в рамките на Beacon.
• Добавена е поддръжка за DPP 2 (Wi-Fi Device Provisioning Protocol), който дефинира метода за удостоверяване с публичен ключ, използван в стандарта WPA3 за опростена конфигурация на устройства без интерфейс на екрана. Настройката се извършва с помощта на друго по-модерно устройство, което вече е свързано към безжичната мрежа. Например, параметрите за IoT устройство без екран могат да бъдат зададени от смартфон въз основа на моментна снимка на QR код, отпечатан върху кутията;
• Добавена е поддръжка за Extended Key ID (IEEE 802.11-2016).
• Поддръжката на механизма за сигурност SAE-PK (SAE публичен ключ) е добавена към изпълнението на метода за договаряне на SAE връзка. Реализиран е режим за незабавно изпращане на потвърждение, активиран от опцията “sae_config_immediate=1”, както и механизъм за хеширане към елемент, активиран, когато параметърът sae_pwe е зададен на 1 или 2.
• Изпълнението на EAP-TLS добави поддръжка за TLS 1.3 (деактивирано по подразбиране).
• Добавени са нови настройки (max_auth_rounds, max_auth_rounds_short) за промяна на ограниченията за броя на EAP съобщенията по време на процеса на удостоверяване (може да са необходими промени в ограниченията, когато се използват много големи сертификати).
• Добавена е поддръжка за механизма PASN (Pre Association Security Negotiation) за установяване на защитена връзка и защита на обмена на контролни рамки на по-ранен етап на връзката.
• Въведен е механизмът Transition Disable, който ви позволява автоматично да деактивирате режима на роуминг, който ви позволява да превключвате между точките за достъп, докато се движите, за да подобрите сигурността.
• Поддръжката на WEP протокола е изключена от компилациите по подразбиране (изисква се повторно изграждане с опцията CONFIG_WEP=y, за да се върне WEP поддръжката). Премахната наследена функционалност, свързана с Inter-Access Point Protocol (IAPP). Поддръжката за libnl 1.1 е преустановена. Добавена е опция за изграждане CONFIG_NO_TKIP=y за компилации без поддръжка на TKIP.
• Коригирани уязвимости в внедряването на UPnP (CVE-2020-12695), в P2P/Wi-Fi Direct манипулатора (CVE-2021-27803) и в механизма за защита на PMF (CVE-2019-16275).
• Специфичните за Hostapd промени включват разширена поддръжка за безжични мрежи HEW (High-Efficiency Wireless, IEEE 802.11ax), включително възможността за използване на честотния диапазон от 6 GHz.
• Промени, специфични за wpa_supplicant:
  • Добавена е поддръжка за настройки на режим на точка за достъп за SAE (WPA3-Personal).
  • Поддръжката на P802.11P режим е внедрена за EDMG канали (IEEE 2ay).
  • Подобрено предвиждане на пропускателна способност и избор на BSS.
  • Интерфейсът за управление чрез D-Bus е разширен.
  • Добавен е нов бекенд за съхраняване на пароли в отделен файл, което ви позволява да премахнете поверителна информация от основния конфигурационен файл.
  • Добавени са нови правила за SCS, MSCS и DSCP.

Източник: opennet.ru